用于智能体间通信的 MCP，可能是你闻所未闻的高风险协议

MCP for agent-to-agent comms may be the riskiest protocol you've never heard of — arstechnica.com · 40 分钟前 · 🔒 安全

当企业把越来越多的自动化智能体接入内部网络，这些智能体彼此之间凭什么互相信任，就成了一道被长期忽视的安全命题。过去五个月里，Google 以及另外四家几乎毫无共同点的组织先后承认存在相关漏洞：攻击者只要拿下目标网络中的某一个智能体，就能借它把恶意指令扩散给其他内部智能体。独立研究员 Syed Anas Mohiuddin 对来自 Google、摩根大通、Weaviate、Rapid7、法国政府跨部门数字事务局和美国联邦政府的智能体进行了测试，他的概念验证攻击瞄准的是 MCP（Model Context Protocol）的信任缺口——这套协议正是内部网络里各类应用与智能体互相通信的标准方式。这类攻击属于提示注入的一种特殊形态，目标并不是底层的大语言模型，而是翻译、数据分析之类的具体智能体；这些智能体自带的防护栏即便存在也往往相当松懈，会把收到的指令继续往链条下游传递，而下游智能体因为明确信任上游，便照单全收地执行。后果可能包括数据库内容被外带、商业机密与个人信息泄露。报道指出，这类跨智能体的指令传播之所以棘手，是因为信任关系被写进了协议的默认行为里，而不是某个可以单独打补丁的实现细节。作者的结论是：MCP 的信任假设构成结构性缺陷，既出人意料又难以缓解，而智能体在数百万组织中的快速铺开正在把这一风险持续放大。

核心信息

MCP 全称 Model Context Protocol，是内部网络中各类应用与智能体彼此通信的标准方式，它的默认设定是链路上游的智能体可信。研究员发现，只要污染其中一个智能体——比如负责翻译或数据分析的那一个——恶意指令就会顺着信任关系逐级下发，下游智能体几乎不会质疑来源，于是照做。这属于提示注入的一种特殊变体，针对的不是底层的大语言模型，而是具体的智能体本身，因此那些只盯着语言层的防护思路往往会失效。
过去五个月，Google 及另外四家背景迥异的组织承认了同类漏洞。被测试的对象覆盖 Google、摩根大通、Weaviate、Rapid7、法国政府跨部门数字事务局以及美国联邦政府，研究员 Syed Anas Mohiuddin 用概念验证攻击验证了这些信任缺口。一旦得手，攻击者可以让智能体执行数据库内容外泄、窃取商业与个人敏感信息等动作，而受害组织往往在事后才意识到指令来自内部而非外部。
报道强调该问题既出人意料又难以缓解：智能体内部的防护栏常常形同虚设或配置宽松，链式调用又让污染能够跨系统传播；由于信任是协议层的默认行为，单点修补难以覆盖整条链路。目前公开信息中既没有统一的检测手段，也没有成熟的隔离方案，组织只能从收紧智能体权限、限制跨代理调用范围入手，代价是牺牲一部分自动化收益。随着智能体进入数百万组织，这一攻击面还在持续扩大，而多数团队甚至不知道自己已经部署了 MCP。

💡 为什么值得读: 因为它把一个容易被当成普通接线板的基础协议，还原成了一条可被逐级劫持的完整攻击链，读完会让人重新审视内部代理之间的信任边界。

✍️ 小编看法: 这件事真正值得警惕的地方，不在于某个厂商又出了漏洞，而在于我们正在把决策权交给一群会互相传话、彼此默认信任的软件代理。传统的边界防护假设外部不可信、内部可信，可当内部代理能自行发起调用并把指令层层转发时，这条界线就失效了：一次成功的污染，等于拿到了一整条链路的执行权。

被低估的代价有两层。第一层是审计，指令在代理之间传递时往往不留清晰的来源标记，事后追责时很难还原是哪个环节被动了手脚，合规取证会变得非常昂贵。第二层是治理惯性，很多团队把这类协议当作基础设施的接线板，默认它安全，于是既不做权限收敛，也不限制出网方向。

机会同样明显。零信任的思路可以直接搬过来：给每一次代理间调用加上身份与来源签名，按最小权限授予能力，对读数据库、发邮件、写文件这类高危动作强制二次确认，并把跨代理调用限制在预先声明的范围内。这些做法不新鲜，新鲜的是它们现在必须落到代理与代理之间，而不是人跟系统之间。

接下来值得盯三件事：协议规范会不会把来源验证与能力声明写进默认要求；厂商在披露漏洞之后是否给出可核查的修复版本；监管与采购标准会不会要求代理行为全程可追溯。如果这三件事都没有进展，那么下一个被曝光的案例，很可能只是换个行业重演一遍。

🏷️ MCP, AI agents, security, protocol