Log-To-Leak：通过模型上下文协议日志元数据对工具型LLM智能体发起提示词注入攻击

该论文提出名为Log-To-Leak的新型攻击方法，针对使用模型上下文协议（MCP）访问外部工具的LLM智能体，利用描述工具的自然语言元数据作为提示词注入表面。攻击者通过添加后处理日志指令，在合法调用结束后诱导执行一个由攻击者控制的额外调用，其载荷目标涵盖用户查询、MCP服务器名称、服务器响应及智能体响应。

实验在18个模型-服务器对中验证了该攻击的有效性，攻击成功率（ASR）介于62.64%至100%之间，条件日志准确率（LA）为76.55%至95.64%，且16个配对中绝对目标任务完成变化不超过6.63个百分点。评估显示，三种现有防御措施在GitHub MCP与GPT-4o组合上仍残留超过55%的攻击成功率，而指令检测器会误报85.53%的良性描述。

事实层面，该研究证实任务成功完成可与未经授权的后续披露共存；推断层面，这表明当前基于单次调用的安全机制不足以应对MCP环境下的二次调用风险；猜测层面，未来可能需要主机控制的授权机制来专门管理此类二次工具调用，但具体实施路径尚未在文中明确给出。