論文の概要: A2M: Trace-Optimized Agent Hijacking in the MCP Ecosystem
- arxiv url: http://arxiv.org/abs/2609.26761v1
- Date: Tue, 22 Sep 2026 17:41:34 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-24 01:05:39.775154
- Title: A2M: Trace-Optimized Agent Hijacking in the MCP Ecosystem
- Title（参考訳）: A2M:MSPエコシステムにおけるトレース最適化エージェントハイジャック
- Abstract要約: MCPハイジャックエージェントのための2段階ブラックボックスフレームワークであるA2M(Attraction-to-Manipulation)を紹介する。
LiveMCPBenchでは、GLM-4.6で最適化され評価されたダイレクトアタックは、マクロ平均悪質なツール呼び出し率93.6%を達成する。
これらの知見は、MCPエコシステムにおけるより強力なツールベッティングと実行時の分離を動機付けている。
- 参考スコア（独自算出の注目度）: 34.790079806241366
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Agents using the Model Context Protocol (MCP) rely on semantic matching to select tools from third-party servers, exposing a semantic supply-chain risk through attacker-controlled metadata and outputs. We introduce A2M (Attraction-to-Manipulation), a two-stage black-box framework for hijacking MCP agents. The Attraction phase optimizes tool metadata to increase invocation probability; the Manipulation phase uses execution traces to refine adversarial tool returns that steer agents toward attacker-desired outcomes. On LiveMCPBench, direct attacks optimized and evaluated on GLM-4.6 achieve a macro-average malicious tool invocation rate of 93.6% across four scenarios, increase weighted token costs to 32.4$\times$ the benign baseline under Cognitive Denial of Service, and attain a mean attack success rate of 74.4% across Information Exfiltration, Environment Integrity Compromise, and Reasoning Derailment. Transfer to four other models without re-optimization yields corresponding macro-averages of 63.6%, 2.7$\times$, and 24.5%. These findings motivate stronger tool vetting and runtime isolation in MCP ecosystems. Code is publicly available at https://github.com/Lilaizhen/A2M.
- Abstract（参考訳）: Model Context Protocol(MCP)を使用するエージェントは、サードパーティサーバからツールを選択するためのセマンティックマッチングに依存し、アタッカーが制御するメタデータと出力を通じてセマンティックサプライチェーンリスクを公開する。
MCPエージェントをハイジャックするための2段階のブラックボックスフレームワークであるA2M(Attraction-to-Manipulation)を紹介する。
Attraction フェーズはツールメタデータを最適化し、実行確率を高める。Manipulation フェーズは実行トレースを使用して、敵ツールのリターンを洗練し、アタッカーに望まれる結果にエージェントを向ける。
LiveMCPBenchでは、GLM-4.6で最適化され評価されたダイレクトアタックは、4つのシナリオで平均93.6%のマクロ平均悪用ツール実行率を実現し、重み付きトークンコストを32.4$\times$に増加し、Cognitive Denial of Serviceの下での良質なベースラインでの平均攻撃成功率は74.4%に達した。
再最適化せずに他の4つのモデルに転送すると、63.6%、2.7$\times$、24.5%のマクロエラーが発生する。
これらの知見は、MCPエコシステムにおけるより強力なツールベッティングと実行時の分離を動機付けている。
コードはhttps://github.com/Lilaizhen/A2M.comで公開されている。
関連論文リスト
- Tool Specifications Matter: Uncovering and Mitigating Safety Risks in AI Agents [21.622196229181103]
我々は、スキーマフォーマットのツール仕様を、エージェントの安全性劣化の主な原因として特定する。
ツール実行から安全判断を分離する推論時セーフガードであるSafeKeepを提案する。
有害な要求に対する平均拒絶率を23.8%から70.6%に引き上げ、観察レベルのプロンプト注入による平均攻撃成功率を25.6%から2.5%に下げる。
論文 参考訳（メタデータ） (2026-07-31T10:25:04Z) - Do Agent Optimizers Compound? A Continual-Learning Evaluation on Terminal-Bench 2.0 [53.71882250666667]
エージェント最適化法で報告されているほとんどの利得はワンショットである。
これは、デプロイされたエージェントにとって重要な設定をテストするものではない。
エージェントハーネス最適化に対する3つのアプローチを比較する。
論文 参考訳（メタデータ） (2026-07-15T16:36:04Z) - Understanding NPM Malicious Package Detection: A Benchmark-Driven Empirical Analysis [10.599261033874884]
NPMエコシステムは、ソフトウェアサプライチェーン攻撃の主要なターゲットとなっている。
ベンチマークによるNPMマルウェア検出の実証分析を行う。
我々は、11の行動カテゴリと8の回避テクニックを付加した、6,420の悪意のある7,288の良性パッケージのデータセットを構築した。
論文 参考訳（メタデータ） (2026-03-29T07:04:31Z) - T-MAP: Red-Teaming LLM Agents with Trajectory-aware Evolutionary Search [49.99459363244884]
提案手法は, 対向的プロンプトの発見を導くために, 実行トラジェクトリを利用するトラジェクトリ対応の進化探索手法であるT-MAPを提案する。
本手法は,安全ガードレールをバイパスするだけでなく,実際のツールインタラクションによる有害な目標を確実に実現するための攻撃の自動生成を可能にする。
論文 参考訳（メタデータ） (2026-03-21T12:33:34Z) - MCP-ITP: An Automated Framework for Implicit Tool Poisoning in MCP [22.063867518456743]
暗黙のツール中毒では、ツールメタデータに埋め込まれた悪意のある命令が、モデルコンテキストプロトコル(MCP)登録フェーズ中にエージェントコンテキストに注入される。
MCPエコシステム内での暗黙のツール中毒に対する最初の自動化および適応型フレームワークであるMPP-ITPを提案する。
論文 参考訳（メタデータ） (2026-01-12T10:28:46Z) - Securing the Model Context Protocol: Defending LLMs Against Tool Poisoning and Adversarial Attacks [8.419049623790618]
本研究は,MPP統合システムに対するセマンティックアタックの3つのクラスを分析する。
ディスクリプタの整合性を強制するためのRSAベースのマニフェスト署名、不審なツール定義を検出するためのLLM-on-LLMセマンティックベッティング、実行時に異常なツール動作をブロックする軽量ガードレールである。
提案手法は, モデル微調整や内部修正を伴わずに, 安全でないツール実行率を低減できることを示す。
論文 参考訳（メタデータ） (2025-12-06T20:07:58Z) - AgenTracer: Who Is Inducing Failure in the LLM Agentic Systems? [71.21547572568655]
AgenTracer-8Bは、マルチグラニュラ強化学習で訓練された軽量障害トレーサである。
Who&Whenベンチマークでは、AgenTracer-8BはGemini-2.5-ProやClaude-4-Sonnetのような巨大なLLMを最大18.18%上回っている。
AgenTracer-8BはMetaGPTやMAASのような市販のマルチエージェントシステムに4.8-14.2%の性能向上をもたらす。
論文 参考訳（メタデータ） (2025-09-03T13:42:14Z) - MCPTox: A Benchmark for Tool Poisoning Attack on Real-World MCP Servers [12.669529656631937]
MCPToxは,現実的なMCP設定において,ツールポジショニングに対するエージェントの堅牢性を評価する最初のベンチマークである。
MCPToxは、数ショットの学習によって1312の悪意のあるテストケースの包括的なスイートを生成し、潜在的なリスクの10のカテゴリをカバーする。
評価の結果,o1-miniで72.8%の攻撃成功率を達成したツールポイジングの脆弱性が広く報告されている。
論文 参考訳（メタデータ） (2025-08-19T10:12:35Z) - LLM4MEA: Data-free Model Extraction Attacks on Sequential Recommenders via Large Language Models [50.794651919028965]
近年の研究では、モデル抽出攻撃(MEA)に対するシーケンシャルレコメンデータシステムの脆弱性が実証されている。
事前のMEAにおけるブラックボックス攻撃は、データ選択のランダムサンプリングによるレコメンデータシステムの脆弱性を明らかにするのに効果がない。
LLM4MEAは,Large Language Models (LLMs) を人間のようなランク付けとして活用してデータを生成する新しいモデル抽出法である。
論文 参考訳（メタデータ） (2025-07-22T19:20:23Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。