Структурный изъян MCP: как вредоносные запросы расползаются между ИИ-агентами

Протокол MCP (Model Context Protocol), который всё чаще применяется для взаимодействия ИИ-агентов друг с другом, может оказаться одним из самых рискованных, о которых большинство специалистов пока даже не слышало. К такому выводу приходит издание Ars Technica.

В чём проблема

Суть тревоги — в пробелах доверия, заложенных в самом устройстве протокола. Когда один агент обращается к другому, между ними нет надёжной границы, которая отделяла бы безобидные служебные данные от вредоносных инструкций. В результате злонамеренная подсказка, попавшая к одному агенту, способна расползтись дальше и быть передана следующему участнику цепочки.

По данным публикации, речь идёт не о единичной ошибке в конкретной реализации, а о структурном изъяне: уязвимость обнаружена в агентах Google и ряда других разработчиков, что указывает на системный характер проблемы в самой архитектуре межагентного обмена.

Почему это важно

По мере того как ИИ-агентам поручают всё больше самостоятельных задач и связывают их в цепочки, где один агент вызывает другой, риск многократно возрастает. Вредоносный текст, однажды внедрённый в поток, может перемещаться между компонентами так же свободно, как и легитимные данные, и при этом сохранять силу команды. Это превращает привычную атаку через внедрение подсказок (prompt injection) в проблему, которая распространяется по всей инфраструктуре агентов.

Появление удобного стандарта для общения агентов между собой ускоряет развитие автономных систем, но, как подчёркивает Ars Technica, вместе с удобством приходят и новые классы угроз, которые отрасль ещё только начинает осознавать.

Источник: Ars Technica