Lavado de confianza en MCP: enlazar la procedencia al decodificar
Un artículo de arXiv del 22 de octubre de 2026 muestra cómo instrucciones ocultas en una imagen cruzan herramientas MCP como texto de confianza, y prueba una defensa por procedencia.
What is this?
El 22 de octubre de 2026, Eric Yocam, Varghese Vaidyan, Paris Kalathas, Patrick Tague, Bruce DeBruhl y Yong Wang publicaron en arXiv «Agentic AI Defense: Decode-Time Provenance Binding for MCP» (2610.31974, cs.CR). El artículo estudia agentes que usan el Model Context Protocol (MCP) y que están expuestos a la inyección indirecta de prompts mediante salidas de herramientas no confiables.
Los autores describen un patrón al que llaman cross-modal trust laundering (lavado de confianza intermodal). Las instrucciones se incrustan en una imagen, por ejemplo la firma de un correo, mediante portadores esteganográficos. Un escáner de texto nunca las ve. Cuando una herramienta decodifica la imagen, el texto extraído entra en un flujo multiagente, donde puede parecer contenido de confianza normal.
How it works
La debilidad es un problema de etiquetado más que de prompt. Un contenido que empezó como no confiable (una imagen de un correo externo) es transformado por una herramienta en texto plano, y el estado «no confiable» se pierde por el camino. Los agentes posteriores tratan entonces ese texto como cualquier otro resultado de herramienta.
El banco de pruebas del artículo es un entorno MCP real con tres portadores esteganográficos y 24 cargas adaptativas. Según los autores, un pipeline sin defensa quedó totalmente comprometido (100 % de éxito de los ataques), y los filtros de palabras clave y expresiones regulares dejaron pasar aún un 62,5 % cada uno. El modelo de amenaza incluye también un agente comprometido que intenta sustituir una etiqueta de confianza válida.
La defensa propuesta, el enlace de procedencia en el momento de la decodificación, tiene cuatro partes: marcar el contenido como no confiable al decodificarlo, autenticar las etiquetas de confianza con HMAC, seguir el linaje en un registro de procedencia para que la contaminación acompañe al contenido derivado, y aplicar la regla en el punto de acción, de modo que se bloqueen las llamadas críticas a herramientas influidas por contenido contaminado. En las pruebas de los autores se bloquearon todos los ataques (0 % de éxito), incluida la sustitución de etiquetas entre agentes mediados. Este texto no reproduce ninguna carga ni procedimiento de incrustación.
Why it matters
Muchas pilas de agentes analizan el texto en busca de frases sospechosas antes de que llegue al modelo. Este trabajo ilustra por qué esa frontera es frágil: el contenido peligroso puede llegar en una forma que el escáner no sabe leer y convertirse en texto más tarde, dentro de un componente de confianza. Los flujos de correo, documentos y tickets que procesan adjuntos son los más expuestos.
Los propios autores indican límites. La contención solo se demuestra en entornos MCP totalmente mediados. Los resultados provienen de un único banco de pruebas con 24 cargas, por lo que respaldan el enfoque sin ser una garantía. La finalización de tareas legítimas era del 67 % y solo llegó al 100 % con un mecanismo de promoción de confianza auditado, de modo que la defensa tiene un coste de uso que hay que diseñar.
Defenses
- Trate todo artefacto decodificado o transformado (salida de OCR, descripciones de imágenes, adjuntos analizados) como no confiable por defecto, sea cual sea el nivel de confianza de la herramienta de origen.
- Haga que la procedencia viaje con el dato: adjunte etiquetas autenticadas y propague la contaminación a todo lo derivado de contenido no confiable.
- Aplique el control en la acción, no solo en la entrada: bloquee o exija aprobación humana para las llamadas de alto riesgo cuyas entradas dependan de contenido contaminado, en línea con las recomendaciones de OWASP sobre mínimo privilegio y aprobación humana.
- Separe e identifique claramente el contenido externo, como recomienda OWASP LLM01, que además señala las instrucciones ocultas en imágenes como un riesgo multimodal.
- No dependa solo de filtros de palabras clave o expresiones regulares; incluya las entradas multimodales en las pruebas adversariales.
- Audite cualquier ruta de «promoción de confianza», porque pasa a ser el nuevo lugar al que apuntará un atacante.
Status
| Elemento | Detalle |
|---|---|
| Artículo | arXiv 2610.31974, enviado el 22 de octubre de 2026 (v1) |
| Tipo | Defensa de investigación y evaluación, no una vulnerabilidad de proveedor |
| Parche del proveedor | No aplica; el resumen consultado no nombra ningún producto concreto |
| Código y datos | Los autores indican que son públicos |
| Límite de alcance | Contención demostrada en entornos MCP totalmente mediados |