ToFu 框架在 273 个 MCP 服务器中发现 343 个工具存在未执行的输入语义漏洞

ToFu 研究团队通过自动化框架评估了 273 个开源 MCP 服务器中的 3405 个工具，发现其中 343 个工具（分布在 118 个服务器中）存在经核实的语义安全漏洞，这些漏洞对应 CWE 弱点类别。该研究指出，当前架构中 LLM 生成的参数常被错误地视为可信，而工具本身往往未能强制执行其文档化的输入语义，导致信任边界失效。

ToFu 框架利用现有元数据和 CWE 指导的清洗器语料库，自动推导针对特定工具的语义安全检查，并通过运行时内省和结果清洗生成模糊测试 harness 和语义预言机。实测结果显示，真实世界的工具频繁无法执行其文档规定的输入约束，这意味着将 LLM 生成的参数直接作为可信输入处理存在显著风险。

事实层面，研究覆盖了 273 个服务器和 3405 个工具，确认了 343 个工具的具体漏洞；推断层面，这表明现有的 Agent 编排层与工具之间的信任模型存在系统性缺陷，单纯依赖 LLM 输出或工具元数据不足以保障安全；猜测层面，若行业不快速引入类似 ToFu 的自动化语义校验机制，随着 MCP 生态扩张，此类因语义未执行导致的攻击面可能呈指数级增长。