ProbeID 论文提出通过行为探针验证 MCP 工具身份以应对注册漂移

该论文针对 LLM Agent 在 MCP 框架下仅凭可复制描述选择工具导致无法确认实际运行实现的问题，提出了 ProbeID 方案。该方案通过将规范化的响应与可信准入参考进行比对，并在存在歧义时拒绝执行，迫使攻击者必须复制探针可观测的行为才能通过验证。

实验数据显示，在缓存的 MCP-IdentityDrift 案例中，严格选择策略达到 0.956 的 hit@1 准确率，而仅依赖描述的路由器接近随机猜测水平。在包含 38 个工具的代理银行测试中，相等性拒绝策略在 64 次探针内拒绝了所有可达到的替换，距离限制策略在 512 次探针内同样有效。此外，在 MCP-Bench 代理中，验证机制将受污染任务从 16 个中的 15 个减少到 9 个，且未降低任务成功率。研究还发现，在十一周的时间内，59 个真实工具中有 7 个即使版本锁定也发生了响应变化。

事实层面，该研究证明了描述匹配在工具身份验证上的失效以及行为探针的有效性。推断层面，这表明当前 Agent 开发中过度依赖文本描述的工具选择机制存在显著的安全隐患，需要引入运行时行为验证。猜测层面，随着 MCP 生态的扩大，此类注册漂移攻击可能成为常态，但具体防御成本与性能损耗的平衡点仍需更多工程实践数据支持。