Безопасность MCP AI-агентов: векторы атак

На пентесте агентной системы я подменил описание одного MCP-инструмента - добавил скрытую инструкцию в поле description, невидимую в UI клиента, но читаемую моделью. Через три минуты агент собрал содержимое ~/.ssh/ и вставил приватный ключ прямо в чат-сессию. Ни одного классического exploit, ни одной CVE - только текст на естественном языке в JSON-поле. Model Context Protocol открывает AI-агентам доступ к файлам, базам данных, Git-репозиториям и облачным API. Но тот же протокол превращает каждое описание инструмента и каждый shared context в вектор атаки.

Уязвимости Model Context Protocol глазами атакующего​

MCP работает по клиент-серверной модели с тремя компонентами. Host - AI-приложение (Claude Desktop, IDE-копайлот, кастомный агент). Client - управляет подключениями и передаёт контекст между LLM и серверами. Server - предоставляет инструменты (Tools), ресурсы (Resources) и промпт-шаблоны (Prompts), связывая модель с внешними системами. Подробнее - в нашем статье о безопасность llm приложений.

Для пентестера тут принципиальное отличие от привычных веб-приложений: trust boundary проходит не между пользователем и сервером, а между моделью и инструментами. LLM принимает решение о вызове инструмента на основании его текстового описания. При SSRF атакующий манипулирует URL, при deserialization - объектом. В MCP атакующий манипулирует текстом описания - и модель сама выполняет вредоносное действие. Почувствуйте разницу.

Поверхность атаки MCP делится на три слоя:

• Supply chain - MCP-серверы распространяются через npm, PyPI, GitHub. Малициозные серверы создаются специально для эксфильтрации данных - прямая аналогия с Compromise Software Supply Chain (T1195.002). Классический тайпсквоттинг, только теперь вредоносный код - это текст на естественном языке
• AppSec - MCP-серверы выставляют HTTP-эндпоинты, потоки аутентификации и обмена данными. Injection, path traversal, insecure deserialization - всё применимо напрямую (T1190)
• MCP-specific - prompt injection через tool descriptions, context poisoning, confused deputy, sampling abuse. Векторы атак через инструменты LLM, которые не существуют за пределами агентной архитектуры

Бизнес-логика атак на MCP-агентов прозрачна: агент имеет привилегированный доступ к внутренним системам. Компрометация агента - это lateral movement без необходимости эксплуатировать каждый сервис по отдельности. В отдельных случаях один tool call заменяет цепочку из SSRF, pivot, credential dump. MCP-агент - идеальный confused deputy: уже аутентифицирован, имеет сетевой доступ и готов выполнять инструкции. Мечта атакующего.

Атаки на AI-агентов: таксономия из 31 метода​

Исследовательская группа MCPLib (публикация на arxiv.org) систематизировала 31 метод атаки на MCP-агенты. Первый unified attack framework с воспроизводимыми тестами, разбитый на четыре категории.

Direct Tool Injection. Атакующий контролирует MCP-сервер и внедряет вредоносные инструкции напрямую в tool descriptions, schemas или metadata. Модель читает описание как доверенный контекст и выполняет скрытые команды. Ключевой инсайт: MCP-агенты демонстрируют «слепое послушание» - приоритизируют текстовые описания над фактической функциональностью инструмента. По сути, sycophancy LLM, возведённая в ранг вектора атаки.

Indirect Tool Injection. Вредоносные инструкции попадают в контекст агента не через сам инструмент, а через данные, которые инструмент обрабатывает: файлы (README, PDF), записи в базе данных, email-сообщения, веб-страницы. Агент читает содержимое и принимает чужую команду за часть рабочей задачи. MCPLib показал: файловые операции часто выполняются без подтверждения пользователя, тогда как выполнение кода обычно требует explicit approval. Атакующие используют эту асимметрию, встраивая payload в безобидные файлы.

Malicious User Attacks. Пользователь сам атакующий - подаёт crafted prompts, пытается обойти guardrails, эскалировать привилегии или добраться до данных других пользователей через shared context. Классическая prompt injection (LLM01:2025 по OWASP LLM Top 10) в агентном контексте приобретает новое измерение: результат - не просто утечка текста, а выполнение действий во внешних системах.

LLM Inherent Attacks. Эксплуатация встроенных ограничений модели: неспособность различать данные и инструкции, context window overflow, adversarial suffixes. В MCP эти атаки усиливаются shared context, tool chaining и indirect invocation - LLM06:2025 (Excessive Agency) по OWASP LLM Top 10.

Маппинг атак на MITRE ATT&CK​

Полная цепочка эксплуатации через MCP укладывается в классический kill chain: Initial Access через compromised MCP server → Execution через tool poisoning → Collection через доступ агента к файлам и репозиториям → Exfiltration через email tool или cloud storage API.

Tool Poisoning и подмена описаний инструментов​

Tool poisoning - самый практичный вектор для пентестера MCP-систем. И самый элегантный, если честно. MCP-сервер предоставляет клиенту список инструментов в JSON: каждый содержит name, description и inputSchema. Модель выбирает инструмент на основании description - это текст на естественном языке, обрабатываемый LLM наравне с пользовательским запросом.

Вариант атаки - добавить скрытую инструкцию в description, которая не отображается в UI клиента, но модель её прекрасно видит:
Модель видит «указание об аутентификации» и добросовестно читает приватный ключ (Credentials In Files, T1552.001). Пользователь в UI видит только «Returns weather for a city» - инструкция скрыта за переносом строки. Красота.

Rug pull - вариант отложенной атаки. MCP-сервер при установке выглядит чисто: нормальный код, нормальные описания. Пользователь подтверждает разрешения. Позже при обновлении описания инструментов тихо меняются на вредоносные (Ingress Tool Transfer, T1105). По сути тайпсквоттинг из npm/PyPI, но опаснее: вредоносный код здесь - просто текст на естественном языке. Софт для установки MCP-серверов должен поддерживать pinning версий и уведомлять при изменениях кода или описаний. На практике - почти никто этого не делает.

Prompt Injection в MCP через Sampling​

MCP Sampling - механизм, при котором сервер может попросить клиента вызвать LLM для обработки данных. Звучит невинно. Исследователи Unit 42 показали, что это не так - три PoC на реальном coding copilot:

Resource Theft. Малициозный MCP-сервер отправляет скрытые промпты через sampling, заставляя LLM выполнять вычислительно дорогие задачи. Результат: расходование квот AI-compute клиента на несанкционированные workloads. Атакующий получает бесплатные вычислительные ресурсы за счёт жертвы - майнинг на LLM, если угодно.

Conversation Hijacking. Сервер инъектирует persistent instructions через sampling-запрос. Инструкции остаются в контексте сессии и влияют на все последующие ответы модели - манипуляция ответами, эксфильтрация данных из диалога. Один sampling-запрос отравляет всю сессию. Persistent prompt injection в чистом виде.

Covert Tool Invocation. Протокол позволяет скрытые вызовы инструментов и операции с файловой системой через sampling. Атакующий выполняет неавторизованные действия без ведома пользователя - прямая реализация Excessive Agency (LLM06:2025).

Атаки на цепочку инструментов AI​

MCPLib выявил критическую проблему: MCP-агенты не различают внешние данные и исполняемые инструкции. Все инструменты и данные лежат в одном shared context модели. Атакующий компрометирует один инструмент - и через shared context влияет на поведение остальных.

Infection attack. Если один инструмент содержит вредоносный код, агент «обучается» на нём через context learning и воспроизводит уязвимость в новых инструментах. Модель пытается «починить» сломанный инструмент, используя контекст - и атакующий использует это поведение для координации multi-tool атак. Зверь сам себя заражает.

Confused deputy. MCP-сервер действует с более широкими привилегиями, чем пользователь. Token passthrough - передача клиентских токенов downstream API без валидации - high-risk anti-pattern, нарушающий trust boundaries. Низкопривилегированный агент отправляет инструкцию высокопривилегированному, и тот выполняет её без проверки исходного intent. Arbitrary Code Execution (ACE) - один из ключевых классов уязвимостей MCP-окружений.

Пентест MCP-сервера: полная цепочка эксплуатации​

Детектирование атак на MCP-агенты​

MCP-клиенты должны логировать каждый tool call с request ID, параметрами и идентификатором агента. На практике логирование почти всегда неполное.

Признаки компрометации MCP-агента:

• Tool call к инструменту, не соответствующий исходному запросу пользователя - агент вызывает read_file для ~/.ssh/ в контексте задачи про погоду
• Аномальное количество sampling-запросов от одного сервера - индикатор resource theft
• Изменение tool descriptions между версиями MCP-сервера - индикатор rug pull
• Цепочка tool calls с финальной отправкой данных на внешний endpoint - паттерн эксфильтрации
• Инструкции на естественном языке в параметрах tool call вместо структурированных данных - признак prompt injection

Если в инфраструктуре развёрнут SIEM, начните с правила на аномальные файловые операции от MCP-процесса: обращения к ~/.ssh/, .env, credential stores из процесса, который по baseline этого не делает.

MCP-агенты ломают привычную модель threat modeling. Мы привыкли: initial access требует эксплуатации конкретной уязвимости - переполнение буфера, injection, misconfiguration. В MCP достаточно написать убедительный текст в поле description. Весь attack surface строится на том, что LLM не различает доверенные и недоверенные инструкции - и протокол не предлагает механизма для такого различения на уровне транспорта.

31 задокументированный метод атаки из MCPLib - не теоретическая таксономия. Каждый метод воспроизводим, большинство не требуют привилегированного доступа. Защитные механизмы MCP-клиентов сейчас на уровне «неудобно, но возможно»: rate limiting, confirmation dialogs, pinning версий. Ни один не делает атаку невозможной - только утомительной. Для автоматизированного атакующего утомительность - не барьер.

Пока протокол полагается на способность модели самостоятельно отличить данные от инструкций (а MCPLib показал, что модели этого не умеют), каждый MCP-deployment - одна убедительная фраза от компрометации. Пора включать MCP-серверы в scope пентеста наравне с API endpoints - и проверять не только код сервера, но и то, что написано в его tool descriptions. На WAPT эту связку (prompt injection + tool poisoning + chain exploitation) разбирают в модуле по тестированию AI-интеграций с лабами.