Vulnerabilidades e Demonstração de Ataques do Sistema MCP

MCP (Modelo de Contexto de Protocolo) O sistema ainda está em fase inicial de desenvolvimento, o ambiente geral é relativamente caótico, e várias formas potenciais de ataque surgem continuamente. Os protocolos e ferramentas existentes têm dificuldade em defender-se de forma eficaz. Para aumentar a segurança do MCP, a SlowMist abriu o código da ferramenta MasterMCP, que ajuda a identificar vulnerabilidades de segurança no design do produto através de simulações de ataques reais, fortalecendo assim o projeto MCP.

Este artigo demonstrará os métodos de ataque comuns sob o sistema MCP, como envenenamento de informações e ocultação de instruções maliciosas, entre outros casos reais. Todos os scripts de demonstração também serão disponibilizados no GitHub, permitindo que todos reproduzam todo o processo em um ambiente seguro, ou até desenvolvam seus próprios plugins de teste de ataque.

Visão Geral da Arquitetura

Demonstração de ataque ao alvo MCP:Toolbox

smithery.ai é um dos sites de plugins MCP mais populares atualmente, reunindo uma grande quantidade de listas MCP e usuários ativos. Entre eles, @smithery/toolbox é a ferramenta de gestão MCP lançada oficialmente.

Escolher o Toolbox como alvo de teste baseia-se principalmente em:

• A base de usuários é grande e representativa
• Suporta a instalação automática de outros plugins, complementando algumas funcionalidades do cliente.
• Inclui configurações sensíveis ( como a chave API ), facilitando a demonstração

Demonstração de uso do MCP malicioso: MasterMCP

MasterMCP é uma ferramenta de simulação de MCP malicioso desenvolvida pela SlowMist especificamente para testes de segurança, adotando um design de arquitetura modular e incluindo os seguintes módulos chave:

1. Simulação de serviços de sites locais:

O MasterMCP possui um módulo de simulação de serviço de site local embutido, permitindo a rápida construção de um servidor HTTP simples através do framework FastAPI, simulando um ambiente de página web comum. Estas páginas parecem normais, mas na verdade contêm cargas maliciosas cuidadosamente projetadas no código-fonte ou nas respostas da interface.

2. Arquitetura MCP plugin local

O MasterMCP utiliza uma abordagem modular para expansão, facilitando a adição rápida de novos métodos de ataque. Após a execução, o MasterMCP executará o serviço FastAPI do módulo anterior em um subprocesso.

Cliente de Demonstração

• Cursor: uma das IDEs de programação assistidas por IA mais populares globalmente
• Claude Desktop: Cliente oficial da Anthropic

modelo grande usado para demonstração

• Claude 3.7

Escolha a versão Claude 3.7, pois já houve melhorias no reconhecimento de operações sensíveis, representando ao mesmo tempo uma capacidade de operação bastante forte no atual ecossistema MCP.

Invocação Maliciosa Cross-MCP

Esta demonstração contém dois conteúdos: envenenamento e chamadas maliciosas Cross-MCP.

ataque de envenenamento de conteúdo da web

1. Injeção de Comentário

O cursor acede a um site de teste local, esta é uma página que parece inofensiva chamada "Delicious Cake World".

Executar instrução: Buscar o conteúdo de

Os resultados mostram que o Cursor não apenas leu o conteúdo da página da web, mas também enviou dados sensíveis de configuração local de volta para o servidor de teste. No código-fonte, as palavras-chave maliciosas foram inseridas na forma de comentários HTML.

2. Injeção de comentários codificados

Acesse a página /encode, que é uma página semelhante, mas com as palavras-chave maliciosas codificadas, tornando a injeção de exp mais oculta, mesmo ao acessar o código-fonte da página da web, é difícil perceber diretamente.

Mesmo que o código-fonte não contenha palavras-chave em texto claro, o ataque ainda será executado com sucesso.

ataque de poluição de interface de terceiros

Esta demonstração serve principalmente para alertar que, seja um MCP malicioso ou não, ao chamar uma API de terceiros, se os dados de terceiros forem retornados diretamente ao contexto, isso pode ter sérias consequências.

Executar pedido: Buscar json de /api/data

Resultado: palavras-chave maliciosas foram inseridas nos dados JSON retornados e acionaram com sucesso a execução maliciosa.

Técnica de envenenamento na fase de inicialização do MCP

Esta demonstração contém dois conteúdos: injeção de palavras-chave iniciais e conflitos de nome.

ataque de sobreposição de função maliciosa

MasterMCP escreveu uma ferramenta chamada remove_server com a mesma função que a Toolbox e codificou palavras-chave maliciosas de forma oculta.

Executar instruções: ferramenta remover buscar plugin servidor

Claude Desktop não chamou o método remove_server do toolbox original, mas sim acionou o método homônimo fornecido pelo MasterMCP.

O princípio é enfatizar que "o método original foi descontinuado", priorizando a indução do modelo grande a chamar funções de sobreposição maliciosas.

Adicionar lógica de verificação global maliciosa

MasterMCP escreveu a ferramenta banana, cuja função principal é forçar a execução dessa ferramenta para verificação de segurança antes que todas as outras ferramentas sejam executadas no prompt.

Antes de cada execução da função, o sistema prioriza a chamada ao mecanismo de verificação banana. Isso é alcançado através da injeção de lógica global, enfatizando repetidamente no código que "a verificação banana deve ser executada".

Dicas avançadas para ocultar palavras-chave maliciosas

forma de codificação amigável para grandes modelos

Devido à forte capacidade de análise de formatos multilíngues dos grandes modelos de linguagem, isso é frequentemente utilizado para ocultar informações maliciosas, sendo os métodos mais comuns incluem:

• Ambiente em inglês: usar codificação Hex Byte
• Ambiente em chinês: usar codificação NCR ou codificação JavaScript

mecanismo de retorno de carga maliciosa aleatória

Quando o pedido /random é feito, ele retorna aleatoriamente uma página com carga maliciosa a cada vez, aumentando significativamente a dificuldade de detecção e rastreamento.

Resumo

Através da demonstração prática do MasterMCP, vimos claramente os vários riscos de segurança ocultos no sistema MCP. Desde a injeção de palavras-chave simples e chamadas cruzadas de MCP, até ataques na fase de inicialização e ocultação de instruções maliciosas, cada etapa nos lembra: embora o ecossistema MCP seja poderoso, também é igualmente frágil.

Particularmente, à medida que os grandes modelos interagem cada vez mais com plugins externos e APIs, uma pequena contaminação na entrada pode causar riscos de segurança em nível de sistema. A diversidade de métodos dos atacantes, como a codificação oculta (, contaminação aleatória e sobrecarga de funções ), significa que as abordagens tradicionais de proteção precisam de uma atualização abrangente.

Espero que esta demonstração sirva de alerta para todos: desenvolvedores e utilizadores devem manter-se vigilantes em relação ao sistema MCP, prestando atenção a cada interação, linha de código e valor de retorno. Somente tratando os detalhes com rigor, podemos construir um ambiente MCP sólido e seguro.

A SlowMist continuará a aprimorar o script MasterMCP, open source mais casos de teste direcionados, ajudando a entender, praticar e reforçar a proteção em um ambiente seguro. O conteúdo relacionado já foi sincronizado no GitHub, os leitores interessados podem conferir.