MCPシステムのセキュリティリスクと攻撃デモ

MCP (モデルコンテキストプロトコル)体系は現在も初期の発展段階にあり、全体の環境は比較的混沌としており、さまざまな潜在的な攻撃方法が次々と現れています。MCPの安全性を向上させるために、SlowMistはMasterMCPツールをオープンソース化し、実際の攻撃演習を通じて製品設計における安全上の脆弱性を発見する手助けをしています。本記事では、MCP体系下の一般的な攻撃方法、例えば情報汚染、隠れた悪意のある命令などの実際のケースを示します。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

全体アーキテクチャの概要

攻撃対象MCP:ツールボックス

Toolboxはsmithery.ai公式が提供するMCP管理ツールであり、テスト対象として選択した理由は主に以下の点に基づいています：

• ユーザーベースが大きく、代表性があります
• 他のプラグインの自動インストールをサポートし、一部のクライアント機能を補完します。
• センシティブな設定を含むため、デモを行いやすい

! 実戦:MCPシステムにおける秘密の毒殺と操作

###悪意のあるMCP:MasterMCP

MasterMCPは、安全テストのために設計された悪意のあるMCPツールのシミュレーションであり、プラグインアーキテクチャのデザインを採用しており、以下の重要なモジュールを含んでいます。

1. ローカルウェブサイトサービスのシミュレーション：FastAPIフレームワークを使用して簡易HTTPサーバーを構築し、一般的なウェブページ環境をシミュレートします。

2. ローカルプラグイン化 MCP アーキテクチャ：プラグイン方式で拡張し、新しい攻撃方法を迅速に追加できるようにする。

! 実戦:MCPシステムにおける秘密の毒殺と操作

デモクライアント

• Cursor：世界中で人気のある AI 支援プログラミング IDE の一つ
• Claude Desktop:公式のAnthropicクライアント

デモ用の大規模モデル

• クロード 3.7

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

Cross-MCP 悪意のある通話

ウェブコンテンツ毒攻撃

1. コメント型毒

ウェブページのソースコードにHTMLコメント形式の悪意のあるキーワードを埋め込むことで、悪意のある操作が成功裏にトリガーされました。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

2. コーディング型コメント攻撃

ソースコードに明示的なプロンプトが含まれていなくても、攻撃は依然として成功します。悪意のあるプロンプトはエンコード処理されており、直接察知するのは難しいです。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

サードパーティインターフェース汚染攻撃

デモは、悪意のあるMCPでも非悪意のあるMCPでも、サードパーティAPIを呼び出す際に、サードパーティのデータをそのままコンテキストに返すと、重大な影響を及ぼす可能性があることを示しています。

! 実戦出発:MCPシステムにおける秘密の毒殺と操作

MCP初期段階のポイズニング技術

悪意のある関数オーバーライド攻撃

MasterMCPは、Toolboxと同名のremove_server関数を作成し、悪意のあるプロンプトをコーディングして隠しました。「元の方法は廃止されました」と強調することで、大規模モデルが悪意のあるオーバーライドされた関数を優先的に呼び出すように誘導しています。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

悪意のあるグローバルチェックロジックを追加

MasterMCPは、すべてのツールが実行される前にこのツールを安全チェックのために強制的に実行しなければならないbananaツールを作成しました。これは、「必ずbanana検査を実行する必要があります」と繰り返し強調することによって実現されるグローバルな論理注入です。

! 実戦:MCPシステムにおける秘密の毒殺と操作

悪意のあるプロンプトを隠すための高度なテクニック

大規模モデルに優しいコーディング方式

大規模言語モデルの多言語形式に対する強力な解析能力を利用して悪意のある情報を隠す：

• 英語環境：Hex Byte エンコーディングを使用
• 日本語環境：NCRエンコーディングまたはJavaScriptエンコーディングを使用

! 実戦出発:MCPシステムにおける秘密の毒殺と操作

ランダム悪意のペイロード返却メカニズム

毎回のリクエストはランダムに悪意のあるペイロードを含むページを返し、検出と追跡の難易度を高めます。

! 実戦出発:MCPシステムにおける秘密の毒殺と操作

まとめ

MasterMCPの実戦デモは、MCPシステム内のさまざまなセキュリティリスクを明らかにしました。単純なプロンプトインジェクションから、より巧妙な初期化段階の攻撃に至るまで、各段階は私たちにMCPエコシステムの脆弱性を思い出させます。大規模モデルが外部プラグインやAPIと頻繁に相互作用する今日、小さな入力汚染がシステムレベルのセキュリティリスクを引き起こす可能性があります。

攻撃者手段の多様化（コーディング隠蔽、ランダム汚染、関数オーバーライド）は、従来の防御思考が全面的にアップグレードされる必要があることを意味します。開発者とユーザーは、MCP システムに対して警戒を怠らず、すべてのインタラクション、すべてのコード行、すべての返り値に注意を払うべきです。細部に厳密に対処することで、堅固で安全な MCP 環境を構築することができます。

関連内容はGitHubに同期されており、興味のある読者はさらに探求できます。

! 実戦開始:MCPシステムにおける秘密の毒殺と操作