论文指出签名 MCP 工具仍可隐藏恶意代码并泄露数据，提出 germline execution 隔离方案

该研究揭示了一个关键的安全盲区：经过认证的 MCP（Model Context Protocol）工具即便拥有合法签名，仍可能在执行中隐藏恶意逻辑以窃取敏感信息。Meta 的 MCPGuard-Dynamic 等现有运行时防御机制虽然能拦截部分直接外泄尝试，但在多次测试中无法完全阻止此类攻击。作者通过实验证明，仅依赖签名验证和运行时策略不足以保障 AI Agent 的工具链安全。

针对这一缺陷，论文提出了名为"germline execution"的新机制。其核心在于每个工具调用都从不含数据的"种系进程"（data-free germline process）派生出一个临时副本执行，且该副本仅被授权访问目标所需的数据。这种设计不依赖对工具代码本身的信任或静态分析，而是通过限制可访问数据的范围来界定泄露边界。在 153 次攻击模拟中，该方案未检测到任何未经授权的披露，而基线防御方案的失败率介于 5.9% 至 74.5% 之间。此外，由于无需每次重启工具，单次调用的延迟仅为 10-49 毫秒，速度是传统方法的 2-28 倍。

事实层面，该研究基于 arXiv cs.CR 发布，对比了现有防御与新型隔离机制在特定攻击场景下的表现。推断层面，这意味着未来构建高可信 Agent 系统时，单纯依赖软件签名或行为监控将不够，必须引入进程级数据隔离架构。猜测层面，若该机制成为 MCP 标准的一部分，可能会推动工具分发平台从"验证身份"转向"验证环境"，但这需要社区对新的执行模型达成共识。