論文の概要: My Credentials, Please: Detecting Filesystem Capability Laundering in MCP Servers at Scale
- arxiv url: http://arxiv.org/abs/2610.22301v1
- Date: Thu, 15 Oct 2026 17:48:10 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-17 06:09:33.239533
- Title: My Credentials, Please: Detecting Filesystem Capability Laundering in MCP Servers at Scale
- Title（参考訳）: 大規模MPPサーバにおけるファイルシステムのキャパシティ・ラダーリングの検出
- Abstract要約: Model Context Protocol (MCP)は、AIエージェントが外部ツールを呼び出す方法を標準化する。
一般的なローカルデプロイメントでは、ツールコールのクライアント側による承認は、基盤となるサーバプロセスのホスト権限を広く付与する。
攻撃者が操作する引数によって、ツールが機密性の高いホストファイルにアクセスするという、結果として生じる脆弱性クラス、能力洗浄について検討する。
- 参考スコア（独自算出の注目度）: 1.6797519491757706
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: The Model Context Protocol (MCP) standardizes how AI agents invoke external tools. MCP servers expose tools through a declared contract consisting of a name, description, and argument schema. In typical local deployments, client-side approval of a tool call grants the underlying server process broad host filesystem permissions rather than restricting it to the declared operation. We study the resulting vulnerability class, filesystem capability laundering, where attacker-steered arguments cause a tool to access sensitive host files outside its declared contract and deployment scope. We analyze this capability gap across three layers: server-category screening (L1), per-tool contract analysis (L2), and bypassable path-validation checks (L3). We design MCP-FSD to catalog MCP servers, infer least-privilege boundaries per tool, plant credential fixtures outside those boundaries, and evaluate exploitability and sandbox containment via paired dynamic execution. Across 21,097 MCP servers from nine registries, 787 of 4,806 triaged servers (16.4%) exhibit filesystem capabilities despite non-filesystem functional classifications. Dynamic three-case validation confirms 150 vulnerable instances under tested sandbox policies. Coordinated disclosure yielded 13 security advisories, including two CVEs in Anthropic's Git MCP Server.
- Abstract（参考訳）: Model Context Protocol(MCP)は、AIエージェントが外部ツールを呼び出す方法を標準化する。
MCPサーバは、名前、記述、引数スキーマからなる宣言されたコントラクトを通じてツールを公開する。
一般的なローカルデプロイメントでは、ツールコールのクライアント側による承認は、宣言された操作に制限するのではなく、基盤となるサーバプロセスの広いホストファイルシステムのパーミッションを許可する。
攻撃者が操作する引数によって、ツールが宣言されたコントラクトとデプロイメントの範囲外の機密性の高いホストファイルにアクセスする。
サーバカテゴリスクリーニング(L1)、ツールごとの契約分析(L2)、バイパスパス検証(L3)の3つのレイヤ間でのこの機能ギャップを解析する。
我々はMPP-FSDを設計し、MPPサーバのカタログ化、ツールごとの最小特権境界の推測、それらのバウンダリの外側のクレデンシャルフィクスチャのプラント化、およびペア動的実行によるエクスプロイラビリティとサンドボックスの封じ込めの評価を行う。
21,097台のMSPサーバのうち787台は4,806台の3年サーバ(16.4%)がファイルシステムの能力を示している。
動的3ケース検証は、テストされたサンドボックスポリシの下で150の脆弱性のあるインスタンスを確認する。
コーディネートによる開示は、ArthropicのGit MCP Serverにある2つのCVEを含む13のセキュリティアドバイザリを得た。
関連論文リスト
- Vulnerability Localization Benchmark: Measuring Agentic Security Analysis at Repository Scale [54.83971397981572]
言語モデルエージェントは、ソフトウェアリポジトリ全体を通してますます運用される。
サイバーセキュリティ評価は、関連するコードを見つけることよりも、脆弱性を検出、再生、または修復できるかどうかを測定する。
脆弱性のローカライゼーションについて検討する。弱点クラスと不慣れなリポジトリが与えられた場合、その弱点に関連する実装ファイルを特定する。
論文 参考訳（メタデータ） (2026-09-14T17:44:51Z) - LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。
我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
論文 参考訳（メタデータ） (2026-08-26T12:13:05Z) - Exposed by Design: A Dynamic Security Assessment of Internet-Facing MCP Servers at Scale [0.0]
Model Context Protocol (MCP)は2024年11月のローンチ以来急速に採用されており、21,000以上のサーバインスタンスがパブリックインターネット上で検出されている。
インターネットに面したMPPサーバの動的セキュリティ評価を初めて実施する。
私たちは、MSP固有の10の脆弱性クラスをカバーする34のテストモジュールを実装するためのフレームワークであるCorvusを使用している。
論文 参考訳（メタデータ） (2026-07-31T16:46:19Z) - Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。
我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。
我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
論文 参考訳（メタデータ） (2026-06-29T18:00:45Z) - Attested Tool-Server Admission: A Security Extension to the Model Context Protocol [0.0]
Model Context Protocol(MCP)は、大規模言語モデル(LLM)エージェントと外部ツールサーバがメッセージ交換を行う方法の標準化である。
EnclawedエージェントはGoogleの外部操作型MPPサーバを安全に使用することができる。
論文 参考訳（メタデータ） (2026-05-22T21:52:51Z) - VIPER-MCP: Detecting and Exploiting Taint-Style Vulnerabilities in Model Context Protocol Servers [6.420136372317537]
VIPER-MCPは、MPPサーバ向けの最初のエンドツーエンドの自動脆弱性監査フレームワークである。
テナントスタイルの脆弱性を検出し、具体的な概念実証プロンプトを生成することで、その悪用性を確認する。
VIPER-MCPは39,884のオープンソースのCPサーバーリポジトリを大規模にスキャンし、106の0日間の脆弱性を発見した。
論文 参考訳（メタデータ） (2026-05-20T16:46:51Z) - ShieldNet: Network-Level Guardrails against Emerging Supply-Chain Injections in Agentic Systems [56.613157564882925]
悪意のある行動は、一見良心的なツールに埋め込まれ、エージェントの実行を静かにハイジャックしたり、機密データをリークしたり、無許可のアクションをトリガーしたりする。
影響は拡大しているが、このような脅威を評価するための包括的なベンチマークは今のところ存在しない。
実ネットワークの相互作用を観測してサプライチェーン中毒を検出するネットワークレベルのガードレールフレームワークであるShieldNetを提案する。
論文 参考訳（メタデータ） (2026-04-06T05:15:00Z) - Auditing MCP Servers for Over-Privileged Tool Capabilities [3.2885785438874358]
MCPサーバ用に設計されたセキュリティアセスメントツールキットであるmcp-sec-auditを提案する。
PythonベースのMPPサーバ用の静的パターンマッチングと,DockerとeBPF経由での動的サンドボックスファジィと監視を実装している。
このツールはルールベースの分析を通じてリスクのある機能を検出し、緩和推奨を提供する。
論文 参考訳（メタデータ） (2026-03-23T07:20:00Z) - Trace: Securing Smart Contract Repository Against Access Control Vulnerability [58.02691083789239]
GitHubはソースコード、ドキュメント、設定ファイルを含む多数のスマートコントラクトリポジトリをホストしている。
サードパーティの開発者は、カスタム開発中にこれらのリポジトリからコードを参照、再利用、フォークすることが多い。
スマートコントラクトの脆弱性を検出する既存のツールは、複雑なリポジトリを扱う能力に制限されている。
論文 参考訳（メタデータ） (2025-10-22T05:18:28Z) - Toward Understanding Security Issues in the Model Context Protocol Ecosystem [4.3754423452518205]
本稿では,Model Context Protocolエコシステムの総合的なセキュリティ分析について紹介する。
MCPエコシステムを3つのコアコンポーネント – ホスト,レジストリ,サーバ – に分割する。
攻撃者がサーバーをハイジャックできる幅広い脆弱性を発見しました。
論文 参考訳（メタデータ） (2025-10-18T16:09:05Z) - SOPBench: Evaluating Language Agents at Following Standard Operating Procedures and Constraints [59.645885492637845]
SOPBenchは、各サービス固有のSOPコードプログラムを実行可能な関数の有向グラフに変換する評価パイプラインである。
提案手法では,各サービス固有のSOPコードプログラムを実行可能関数の有向グラフに変換し,自然言語SOP記述に基づいてこれらの関数を呼び出しなければならない。
我々は18の先行モデルを評価し、上位モデルでさえタスクが困難であることを示す。
論文 参考訳（メタデータ） (2025-03-11T17:53:02Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。