提出MCP解码时溯源绑定防御间接提示注入

该论文针对使用模型上下文协议（MCP）的智能体系统，揭示了跨模态信任洗白风险：攻击者可将指令隐藏在邮件签名图像的 LSB、DCT 或元数据隐写术中，绕过文本扫描器进入多智能体工作流。作者提出解码时溯源绑定（decode-time provenance binding）机制，结合 HMAC 认证信任标签、MCP 维护的溯源账本和上下文污染追踪，将解码内容标记为不可信并阻断受其影响的关键工具调用。 在包含三种隐写载体和 24 种自适应载荷的真实 MCP 测试床评估中，未防护管道攻击成功率达 100%，关键词和正则防御各允许 62.5% 的攻击成功，而新机制阻断所有攻击（0% 成功率），包括跨中介智能体边界的对抗性标签替换。消融实验验证了解码标记、密码学认证、谱系追踪和汇点执行四个组件的作用；经过审计的信任提升机制将合法任务完成率从 67% 提升至 100% 且不损害保护能力。 事实层面，代码和数据已公开，论文发表于 arXiv cs.CR 领域。推断层面，该方案可能成为 MCP 生态中处理外部工具输出的标准安全基线，特别是针对图像等多模态输入场景。猜测层面，若行业广泛采纳此机制，可能会推动 MCP 规范增加原生的溯源字段定义，但具体实施细节需等待开源代码库的进一步验证。