所有人都在痴迷于隐藏在PDF和网站中的提示注入攻击。

而工具列表本身——每个代理程序最先读取的内容——却门户大开。

MCP漏洞悬赏系列第二部分
https://t.co/HrIfPkRHFM

工具列表本身就是攻击入口（MCP漏洞悬赏系列——第二部分）

来源：https://medium.com/@Aacle/the-tool-list-itself-is-the-attack-mcp-bugbounty-series-part-2-107e0311be94
按回车键或点击查看完整尺寸图片

Abhishek meena (https://medium.com/@Aacle?source=post_page—byline–107e0311be94—————————————)
MCP漏洞悬赏实地指南·第二部分（共五部分）——探讨恶意工具描述如何劫持模型，以及如何将其作为真实漏洞提交。

30秒速览
MCP工具由模型根据其文本描述进行选择。该描述只是模型作为指令读取的文本。控制描述的入侵者即可控制模型。无需攻击载荷，无需漏洞利用，无需CVE编号。这是一个可提交的漏洞，而多数漏洞悬赏项目对此视而不见。

本系列前情提要：
第一部分——MCP服务器就是新的开放端口22，但几乎无人对其进行审计。(https://medium.com/@Aacle/mcp-servers-are-the-new-open-port-22-nobodys-auditing-them-23f3f0e60768?sk=c97fde791ac88525ef3c1ec5aba91f72)

在第一部分中，我们将MCP定义为LLM允许运行的一组工具。

而大多数漏洞猎人忽略的是：模型选择工具并非依据名称，而是阅读工具的描述后决定是否调用它。

描述是文本。模型将文本视为指令。

因此，谁编写描述，谁就在编写模型将遵循的指令。

这就是整个漏洞的本质。能够设置或更改工具描述的入侵者，可以让模型执行用户从未要求过的操作——而且这看起来不像攻击，因为模型“只是在使用赋予它的工具”。