A2M：基于迹优化的MCP生态Agent劫持
来自 arXiv · 期号 2026-09-23
摘要
MCP 协议依赖语义匹配来选择合适的工具，攻击者可以通过操控第三方服务器上的元数据和输出结果注入恶意工具。 A2M 是两阶段黑盒攻击框架：Attraction 阶段优化工具元数据，使其更容易被 agent 选中；Manipulation 阶段利用执行迹调整恶意返回值，引导 agent 走向攻击者预期的结果。 在 LiveMCPBench 上，针对 GLM-4.6 的直接攻击达到 93.6% 的恶意工具调用率、74.4% 的平均攻击成功率；不加重新优化迁移到另外四个模型，对应指标仍有 63.6% 和 24.5%。这说明 MCP 生态需要更强的工具审查和运行时隔离。