論文の概要: MCP Tool Poisoning in Agentic AI Frameworks: A Cross-Framework Measurement Study
- arxiv url: http://arxiv.org/abs/2611.03555v1
- Date: Mon, 02 Nov 2026 18:17:08 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-11-06 03:52:22.516348
- Title: MCP Tool Poisoning in Agentic AI Frameworks: A Cross-Framework Measurement Study
- Title（参考訳）: エージェントAIフレームワークにおけるMPPツール中毒:クロスフレーム計測による研究
- Abstract要約: Model Context Protocol (MCP)は、エージェントAIフレームワークが言語モデルを外部ツールプロバイダに接続することを可能にする。
以前のベンチマークでは、実際の実行を確認することなく、有毒な命令によるモデルコンプライアンスを測定していた。
実ツール実行によるMPPツール中毒のクロスフレームな測定を行った。
- 参考スコア（独自算出の注目度）: 0.916708284510944
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: The Model Context Protocol (MCP) lets agentic AI frameworks connect language models to external tool providers, but it carries attacker-controlled content (tool descriptions, schema fields, and response data) into model context without validation. Prior benchmarks measure model compliance with poisoned instructions without confirming real execution. We present the first cross-framework measurement of MCP tool poisoning with real tool execution. A 25-class root-cause taxonomy unifies prior classifications, and the open-source tool mcpvenom drives a 9,720-cell susceptibility matrix across 12 frameworks, 18 models, and 45 attack scenarios, with a dual oracle that confirms exfiltration via canary HTTP receipt. The overall attack success rate is 22.9% (2,113 vulnerable cells). Of these, 64.9% dispatch an attacker tool call, 23.0% contact the attacker endpoint, and 12.1% verifiably exfiltrate a secret. Resistance is model-level: nine core frameworks cluster within 23 to 26% (chi-squared = 3.30, p = 0.91), and no framework implements intentional defense. Incidental framework properties mitigate in specific cases, and a regex description scanner rejects 20 of 45 scenarios at a 7.2% false-positive rate, so metadata scanning alone is a partial control. Model ASR ranges from 0.4% to 49.7%. Claude Opus 4.8 is vulnerable in 8 of 530 cells while issuing 223 explicit refusals. A code-level audit finds no intentional defense across twelve frameworks, and all five coordinated disclosures across four vendors were rejected.
- Abstract（参考訳）: Model Context Protocol(MCP)は、エージェントAIフレームワークが言語モデルを外部ツールプロバイダに接続することを可能にするが、アタッカー制御されたコンテンツ(ツール記述、スキーマフィールド、レスポンスデータ)をバリデーションなしでモデルコンテキストに転送する。
以前のベンチマークでは、実際の実行を確認することなく、有毒な命令によるモデルコンプライアンスを測定していた。
実ツール実行によるMPPツール中毒のクロスフレームな測定を行った。
オープンソースツールmcpvenomは、12のフレームワーク、18のモデル、45の攻撃シナリオにわたる9,720セルの感受性マトリックスを駆動し、カナリアHTTPレセプションによるエクスフィケーションを確認するデュアルオラクルを備える。
全体の攻撃成功率は22.9%(脆弱細胞2,113個)である。
そのうち64.9%が攻撃者ツールコールを送信し、23.0%が攻撃者エンドポイントに接触し、12.1%が秘密を検証している。
9つのコアフレームワークが23から26%(chi-squared = 3.30, p = 0.91)でクラスタ化されており、意図的な防御を実装しているフレームワークは存在しない。
インシデントフレームワークの特性は特定のケースで緩和され、regex記述スキャナは45のシナリオのうち20を7.2%の偽陽性率で拒否する。
モデルASRは0.4%から49.7%の範囲である。
クロードオプス4.8は530細胞中8細胞で脆弱であり、223の明示的な拒絶を発行する。
コードレベルの監査では、12のフレームワークに対して意図的な防御は行われず、4つのベンダー間で5つの調整された開示が拒否された。
関連論文リスト
- COPEX: Benchmarking LLM Robustness to Adversarial Context Across Model Context Protocol Layers [2.933308760339497]
大規模言語モデルは、モデルコンテキストプロトコル(MCP)システムにおけるツールの使用をますます仲介する。
既存のベンチマークでは、デプロイされたエージェント、ガードレールによるモデルの感受性の混在、オーケストレーション、一般的なタスク能力を評価している。
周辺エージェントスタックを固定し,ツール選択モデルのみを変更することでモデルをMPPクライアントとして分離するベンチマークであるCOPEXを導入する。
論文 参考訳（メタデータ） (2026-10-03T08:44:20Z) - Evaluating and Improving the Robustness of Large Language Models to Input Sequence Variations [0.0]
この論文は、逆入力シーケンスの変動に対するロバスト性の評価と改善のためのモデル、方法、アルゴリズムを開発する。
局所攻撃に対しては、V(h) = 1 - R_class(h) を証明し、ここで R_class(h) は、決定演算子 h がその決定を小さな摂動の下で保持する確率である。
非局所攻撃に対しては経験的モデルを提案する。
論文 参考訳（メタデータ） (2026-10-01T19:57:56Z) - Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。
我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。
我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
論文 参考訳（メタデータ） (2026-06-29T18:00:45Z) - Adaptive Evaluation of Out-of-Band Defenses Against Prompt Injection in LLM Agents [0.0]
最近の研究は、間接的プロンプトインジェクションに対するツール使用 LLM エージェントの防御戦略に集約されている。
我々はこれらのアウト・オブ・バンド・ディフェンスを古典的整合性保護の事例として整理する。
我々は、このプロトコルを、Progent自身の適応攻撃解析の独立した複製と拡張として実行している。
論文 参考訳（メタデータ） (2026-06-25T00:35:23Z) - Your Agent, Their Asset: A Real-World Safety Analysis of OpenClaw [87.97230960702274]
本稿では,OpenClawの安全性評価について紹介する。
エージェントの永続状態を3次元に統一するCIK分類法を導入する。
評価では、ライブOpenClawインスタンス上の12のアタックシナリオをカバーしています。
論文 参考訳（メタデータ） (2026-04-06T15:27:05Z) - How Vulnerable Are AI Agents to Indirect Prompt Injections? Insights from a Large-Scale Public Competition [48.32744727426218]
LLMベースのエージェントは、電子メール、ドキュメント、コードリポジトリなどの外部データソースを処理する高利得設定にますますデプロイされている。
これにより間接的なプロンプトインジェクション攻撃が発生し、外部コンテンツに埋め込まれた敵の命令は、ユーザの意識なしにエージェントの動作を操作できる。
この2つの目的を3つのエージェント設定で評価した。
論文 参考訳（メタデータ） (2026-03-16T14:49:36Z) - CLASP: Defending Hybrid Large Language Models Against Hidden State Poisoning Attacks [48.54598003197356]
Mambaのような状態空間モデル(SSM)はトランスフォーマーの効率的な代替品として大きな注目を集めている。
HiSPAsは、最近発見された脆弱性で、敵対する文字列を通じてSSMメモリを破損させる。
この脅威に対して防御するためのCLASPモデルを紹介します。
論文 参考訳（メタデータ） (2026-03-12T17:29:55Z) - AI Security Beyond Core Domains: Resume Screening as a Case Study of Adversarial Vulnerabilities in Specialized LLM Applications [71.27518152526686]
大きな言語モデル(LLM)はテキストの理解と生成に優れており、コードレビューやコンテンツモデレーションといった自動タスクに最適である。
LLMは履歴書やコードなどの入力データに隠された「逆命令」で操作でき、意図したタスクから逸脱する。
本稿では,特定の攻撃タイプに対して80%以上の攻撃成功率を示すとともに,この脆弱性を再開スクリーニングで評価するためのベンチマークを提案する。
論文 参考訳（メタデータ） (2025-12-23T08:42:09Z) - Penetration Testing of Agentic AI: A Comparative Security Analysis Across Models and Frameworks [0.0]
Agentic AIは、従来のLLMセーフガードが対処できないセキュリティ脆弱性を導入する。
エージェントAIシステムの最初の体系的テストと比較評価を行う。
新たな「ハロシントコンプライアンス」戦略を含む6つの防衛行動パターンを同定する。
論文 参考訳（メタデータ） (2025-12-16T19:22:50Z) - Towards a Science of Scaling Agent Systems [79.64446272302287]
エージェント評価の定義を定式化し,エージェント量,コーディネーション構造,モデル,タスク特性の相互作用として,スケーリング法則を特徴付ける。
協調指標を用いて予測モデルを導出し,R2=0をクロスバリデーションし,未知のタスク領域の予測を可能にする。
ツールコーディネーショントレードオフ: 固定的な計算予算の下では, ツールヘビータスクはマルチエージェントのオーバーヘッドから不均衡に悩まされ, 2) 能力飽和: 調整が減少または負のリターンを, 単一エージェントのベースラインが45%を超えると達成できる。
論文 参考訳（メタデータ） (2025-12-09T06:52:21Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。