論文の概要: Unicode TAG-Block Concealment of Tool-Metadata Payloads in the Model Context Protocol: An Approval-View Fidelity Gap Across Three Independent Server Implementations
- arxiv url: http://arxiv.org/abs/2607.05744v1
- Date: Tue, 07 Jul 2026 02:01:44 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-07-08 21:24:51.366754
- Title: Unicode TAG-Block Concealment of Tool-Metadata Payloads in the Model Context Protocol: An Approval-View Fidelity Gap Across Three Independent Server Implementations
- Title（参考訳）: Unicode TAG-Block による Model Context Protocol におけるツール-Metadata ペイロードの取得: 3つの独立したサーバ実装間の承認-ビュー忠実ギャップ
- Abstract要約: Model Context Protocol(MCP)は、コーディングエージェントが外部ツールを発見して呼び出す主要な方法である。
プロトコルには承認ビューと、一致させるためにモデルに渡されるバイトは一切必要ありません。
UnicodeのTAGブロック(U+E0000からU+E007F)が、メインストリーム端末に割り当てられたグリフを持たないことを示す。
そして、これが今日のクライアント側の防衛を実際に破るかどうかを測定します。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: The Model Context Protocol (MCP) is the dominant way coding agents discover and invoke external tools. A server advertises each tool through a tools/list handshake that returns a name, a natural-language description, and a JSON input schema. The client renders this metadata once, in a one-time approval dialog, and then injects it verbatim into the model's context on every subsequent turn. Nothing in the protocol requires the rendered approval view and the bytes delivered to the model to match. We isolate that gap as a single structural mechanism, concealment encoding, and show with a model-free, protocol-free analysis that Unicode's TAG block (U+E0000 to U+E007F) has no assigned glyph in any mainstream terminal, chat, or IDE renderer, so a payload written in it is absent from what a human reviewer sees while surviving byte-for-byte into the model's tokenizer. We then measure whether this mechanism actually defeats today's client-side defenses, building a proof-of-concept that speaks the real MCP JSON-RPC/stdio protocol against a genuine client and server. Across 5 distinct MCP metadata surfaces we implement 8 concrete techniques with a deterministic, protocol-level harness. All 8/8 techniques deliver an attacker-controlled payload into the model's context, 4/8 evade a representative string-matching sanitizer, and exactly as the mechanism analysis predicts, only the TAG-block encoding (1/8) is invisible in the human approval view while still reaching the model verbatim. MCP forces re-approval for 0/8 techniques even under a time-of-check to time-of-use rug-pull. To test whether these outcomes are a property of the protocol or an artifact of one server codebase, we re-implement the catalogue against 3 independently developed Python MCP server libraries and find total agreement across all 32 cross-library outcome cells. The baseline sanitizer flags 0 of 25 benign descriptions.
- Abstract（参考訳）: Model Context Protocol(MCP)は、コーディングエージェントが外部ツールを発見して呼び出す主要な方法である。
サーバは、名前、自然言語記述、JSON入力スキーマを返すツール/リストハンドシェイクを通じて、各ツールを宣伝する。
クライアントは一度このメタデータを1回の承認ダイアログでレンダリングし、その後のターンごとにモデルのコンテキストに冗長に注入します。
プロトコルにレンダリングされた承認ビューと、一致させるためにモデルに渡されるバイトは、何も必要としません。
我々は、このギャップを単一の構造機構、隠蔽符号化、そして、UnicodeのTAGブロック(U+E0000からU+E007F)がメインストリーム端末、チャット、IDEレンダラーに割り当てられたグリフを持たないというモデルフリーなプロトコルフリーな分析で示している。
そして、このメカニズムが現在のクライアント側の防衛を実際に破るかどうかを計測し、真のクライアントとサーバに対して実際のMPP JSON-RPC/stdioプロトコルを話す概念実証を構築します。
5つの異なるMPPメタデータサーフェスで、決定論的でプロトコルレベルのハーネスを持つ8つの具体的なテクニックを実装します。
全8/8技術は、攻撃者が制御するペイロードをモデルのコンテキストに投入し、4/8は、代表的な文字列マッチングサニタイザを回避し、メカニズム解析が予測するとおり、モデルに垂直に到達しながら、人間の承認ビューでは、TAGブロック符号化(1/8)のみが見えない。
MCPは、タイム・オブ・ユース・ルーグ・プルの下でも、0/8テクニックの再承認を強制する。
これらの結果がプロトコルの特性なのか,あるいはひとつのサーバコードベースの成果物なのかをテストするため,独立に開発されたPython MCPサーバライブラリに対してカタログを再実装し,32のクロスライブラリな結果セルすべてに総括的に一致することを確認した。
ベースラインサニタイザフラグは25の良心的な記述の0である。
関連論文リスト
- Public-Sharing Labels and Verbatim Field Egress in an MCP-to-A2A Agent Configuration: A Controlled Multi-Model Study [0.0]
Model Context Protocolツールの使用のために別々に評価され、Agent2Agent(A2A)デリゲートは、エージェントが両方を使用するときの振る舞いを記述する必要はない。
一つの制御されたMCP-to-A2A構成でそのような挙動を計測する。
論文 参考訳（メタデータ） (2026-09-01T16:24:11Z) - ADeptS-Bench: Measuring the Trustworthiness of Computer Use Agents Across Devices [48.36933831982682]
我々はADEPTS機能フレームワークを基盤とした信頼性ベンチマークであるADeptS-Benchを紹介する。
Safetyストリームは、視覚インターフェースに埋め込まれた脅威を伴うペアの良心/悪意のあるタスクを提供する。
曖昧さストリームは、意図が曖昧である場合、エージェントが明確化を求めるかどうかを評価する。
論文 参考訳（メタデータ） (2026-08-25T23:21:57Z) - Stealing Reasoning Traces from Proprietary LLM APIs [84.58379404903394]
我々は、暗号化された推論トレースのためのスケーラブルな復号化ジェイルブレイクを開発する。
抗蒸留機構を回避し、敵がプロプライエタリなモデルの推論を抽出できるようにする。
それは必然的に、推論プロセス内に隠された有害な情報を明らかにします。
論文 参考訳（メタデータ） (2026-08-10T17:24:50Z) - "What Happens Locally, Leaks Globally": Detecting Privacy Leakage Risks in MCP Servers [23.845823085920262]
MCPサーバの漏洩は主にプロトコルによって引き起こされる。
MCPPrivacyDetectorは,そのような漏洩を検出する静的解析フレームワークである。
論文 参考訳（メタデータ） (2026-06-19T11:35:41Z) - A Technical Taxonomy of LLM Agent Communication Protocols [60.76747983053368]
本研究では,大規模言語モデル(LLM)エージェント通信プロトコルの分類と解析を行う技術的分類法を開発する。
このフレームワークはプロトコルの選択をガイドし、プライバシーやポリシー執行といったオープンな研究ギャップを強調する。
論文 参考訳（メタデータ） (2026-06-17T14:45:20Z) - From Attack Simulation to SIEM Rule: Deterministic Detection-as-Code Synthesis with Probe-Level Traceability [51.56484100374058]
セキュリティチームは、自身のシステムに対する攻撃をシミュレートして、監視が真の侵入者を捕まえるかどうかをチェックする。
人間はそのギャップを手でブリッジし、それぞれの発見を読み、対応するシグマルールを書きます。
ロックされたコーパスからプローブが引き出されると,この変換が部分的に自動化されることを示す。
論文 参考訳（メタデータ） (2026-06-03T14:26:25Z) - Entity-Collision: A Stratified Protocol for Attributing Retrieval Lift in Agent Memory [0.0]
エンドツーエンドのエージェント-メモリベンチマークでは、レトリバー毎に単一の hit@k が報告されている。
本稿では,BM25フロアを構造的に固定するシステムに依存しないプロトコルであるエンティティ・コリジョンを提案する。
論文 参考訳（メタデータ） (2026-05-28T09:02:48Z) - ChipMATE: Multi-Agent Training via Reinforcement Learning for Enhanced RTL Generation [55.947962672433675]
ChipMATEは、RTL生成のための最初の自己学習型マルチエージェントフレームワークである。
ChipMATEは産業的な実践に触発され、VerilogエージェントとPythonのリファレンスモデルエージェントをペアにし、相互に出力を検証する。
ChipMATEは、VerilogEval V2で75.0%と80.1%パス@1を4Bと9Bベースモデルで達成している。
論文 参考訳（メタデータ） (2026-05-13T01:04:21Z) - FedAttr: Towards Privacy-preserving Client-Level Attribution in Federated LLM Fine-tuning [58.80511162314259]
我々はフェデレート学習のための新しいクライアントレベルの属性プロトコルであるFedAttrを提案する。
FedAttrは、ペア化されたサブセット差分メカニズムを通じて、ウォーターマークされたデータでトレーニングされたクライアントを特定する。
100%のTPRと0%のFPRを達成し、TPRでは少なくとも44.4%、FPRでは19.1%を上回り、FLトレーニング時間に比べて6.3%のオーバーヘッドしか残っていない。
論文 参考訳（メタデータ） (2026-05-07T17:21:02Z) - AIP: Agent Identity Protocol for Verifiable Delegation Across MCP and A2A [0.0]
IBCT(Invocation-Bound Capability Tokens)は、ID、認可、証明のバインディングを単一の追加専用トークンチェーンに融合する。
完全な言語間の相互運用性を備えたPythonとRustのリファレンス実装を提供しています。
論文 参考訳（メタデータ） (2026-03-25T19:45:37Z) - AgentRFC: Security Design Principles and Conformance Testing for Agent Protocols [2.1352949241716352]
エージェントプロトコルにより、自律的なエージェントが機能を発見し、タスクを委譲し、信頼境界を越えてサービスを構成することができる。
大規模なデプロイメントにもかかわらず、これらのプロトコルの体系的なセキュリティフレームワークは存在しない。
Agent Protocol Stack、Agent-Agnostic Security Model、AgentConformの3つのコントリビューションを提示します。
論文 参考訳（メタデータ） (2026-03-25T00:25:02Z) - Bridging Protocol and Production: Design Patterns for Deploying AI Agents with Model Context Protocol [0.0]
Model Context Protocol(MCP)は、AIエージェントが外部ツールを発見して呼び出す方法を標準化する。
アイデンティティの伝搬、アダプティブツールの予算化、構造化エラーセマンティクスの3つのプロトコルレベルのプリミティブがまだ欠けている。
本稿では,大手クラウドプロバイダのMPPサーバと統合されたAIエージェントプラットフォームの企業展開から,現場での授業を通じて,これらのギャップを識別する。
論文 参考訳（メタデータ） (2026-03-12T17:42:24Z) - Who Leaked the Model? Tracking IP Infringers in Accountable Federated Learning [51.26221422507554]
Federated Learning (FL) は、大規模で分散したクライアントからのデータと計算リソースを調整する効果的な協調学習フレームワークである。
このようなコラボレーションは、個々のユーザではなく、パーティー全体によって保護され、共有されるべきモデルパラメータによって表現される非自明な知的財産(IP)をもたらす。
このようなIPリークをブロックするためには、IPを共有モデルで識別し、最初にリークした匿名の侵害者を特定することが不可欠である。
本稿では,説明責任FLの要件を満たすために,Dudeable Unique Watermarking (DUW)を提案する。
論文 参考訳（メタデータ） (2023-12-06T00:47:55Z) - Text-To-Concept (and Back) via Cross-Model Alignment [48.133333356834186]
一方のモデルにおける画像表現と他方のモデルにおける画像表現とのマッピングは、ただの線形層で驚くほどよく学習できることを示す。
固定オフザシェルフビジョンエンコーダを驚くほど強力なゼロショット分類器に無償で変換する。
概念監督なしで概念ボトルネックモデルを構築するなど、テキスト・トゥ・コンセプトの即時使用例を示す。
論文 参考訳（メタデータ） (2023-05-10T18:01:06Z) - CrowdGuard: Federated Backdoor Detection in Federated Learning [39.58317527488534]
本稿では,フェデレートラーニングにおけるバックドア攻撃を効果的に軽減する新しい防御機構であるCrowdGuardを提案する。
CrowdGuardでは、サーバロケーションのスタック化されたクラスタリングスキームを使用して、クライアントからのフィードバックに対するレジリエンスを高めている。
評価結果は、CrowdGuardがさまざまなシナリオで100%正の正の正の正の負の負の負の値を達成することを示す。
論文 参考訳（メタデータ） (2022-10-14T11:27:49Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。