MCP 中的信任洗白：在解码时绑定数据来源

What is this?

2026 年 10 月 22 日，Eric Yocam、Varghese Vaidyan、Paris Kalathas、Patrick Tague、Bruce DeBruhl 和 Yong Wang 在 arXiv 上发表了《Agentic AI Defense: Decode-Time Provenance Binding for MCP》（2610.31974，cs.CR）。该论文研究使用模型上下文协议（MCP）的智能体，这类智能体会因不可信的工具输出而面临间接提示注入。

作者描述了一种称为 cross-modal trust laundering（跨模态信任洗白）的模式：指令通过隐写载体嵌入图片中，例如电子邮件签名。文本扫描器看不到这些指令。一旦工具对图片解码，提取出的文本便进入多智能体工作流，并可能被当作普通的可信内容。

How it works

问题在于标签，而不是提示词本身。原本不可信的内容（来自外部邮件的图片）被工具转换为纯文本，“不可信”的状态在过程中丢失。下游智能体于是像对待其他工具结果一样对待这段文本。

论文的测试平台是一个真实的 MCP 环境，包含三种隐写载体和 24 个自适应载荷。据作者报告，未加防御的流水线被完全攻破（攻击成功率 100%），关键词过滤和正则过滤各自仍放行了 62.5% 的攻击。威胁模型还包括试图替换有效信任标签的受感染智能体。

所提出的防御”解码时来源绑定”包含四个部分：在解码时将内容标记为不可信；用 HMAC 对信任标签进行认证；在来源账本中跟踪血缘关系，使污点随派生内容传播；在执行端强制检查，阻止受污染内容影响的关键工具调用。在作者的测试中，所有攻击均被阻止（成功率 0%），包括跨受控智能体边界的标签替换。本文不复现任何载荷或嵌入步骤。

Why it matters

许多智能体系统会在文本进入模型之前扫描可疑短语。这项工作说明了这一边界为何脆弱：危险内容可以以扫描器无法读取的形式到达，之后在可信组件内部变成文本。处理附件的邮件、文档和工单流水线是最明显的暴露面。

作者自己也说明了局限：只有在完全受控的 MCP 执行环境中才能证明隔离有效；结果来自单一测试平台和 24 个载荷，只能视为对该方法的支持证据，而非保证。合法任务完成率起初为 67%，加入经审计的可信提升机制后才升至 100%，因此该防御存在需要工程化解决的可用性成本。

Defenses

• 无论来源工具的信任级别如何，默认将所有解码或转换后的产物（OCR 输出、图片说明、解析后的附件）视为不可信。
• 让来源信息随数据传递：附加经认证的标签，并将污点传播到所有由不可信内容派生的数据。
• 在动作层而不仅是输入层执行控制：对输入依赖受污染内容的高风险工具调用，予以阻止或要求人工批准，这与 OWASP 关于最小权限和人工批准的建议一致。
• 按 OWASP LLM01 的建议隔离并明确标识外部内容；OWASP 同时指出，图片中隐藏的指令属于多模态风险。
• 不要只依赖关键词或正则过滤；将多模态输入纳入对抗性测试。
• 审计所有”信任提升”路径，因为它会成为攻击者下一个关注的位置。

Status

项目	详情
论文	arXiv 2610.31974，2026 年 10 月 22 日提交（v1）
类型	研究性防御与评估，并非厂商漏洞
厂商补丁	不适用；所查阅的摘要未点名具体产品
代码与数据	作者表示公开可获取
范围限制	仅在完全受控的 MCP 环境中证明了隔离效果