MCP 協定潛藏致命信任漏洞　Google、摩根大通等五大組織接連中招

編按：本文綜合整理自 Ars Technica、The Outpost AI 與 Cloud Security Alliance 研究報告，並加入 Siami 編輯部觀點與分析。

Anthropic 在 2024 年 11 月推出 Model Context Protocol（MCP）時，立意是讓 AI 應用程式能用統一標準串接外部工具與資料源。短短不到兩年，這個被視為「AI 代理時代 USB-C」的協定，已經悄悄成為整個產業最致命的攻擊面。

Ars Technica 報導，獨立資安研究員 Syed Anas Mohiuddin 在過去五個月內，分別對 Google、摩根大通、Rapid7、Weviate、法國政府數位總署，以及美國聯邦政府等機構的 AI 代理進行實測，結果全部淪陷。他把這類攻擊命名為「protocol pivoting（協定跳躍）」——利用 MCP 內部代理之間的信任鏈，讓一段惡意指令從一個代理「跳」到下一個，一路滲透到核心系統。

五個月、五大組織、同一個漏洞

Syed 的攻擊示範並非傳統的 prompt injection 直接攻擊大型語言模型，而是鎖定特定任務型代理（例如翻譯、資料分析、客服分類）。這些代理的防護寬鬆，往往會把收到的指令轉發給下游的其他代理。問題在於，下游代理預設信任上游，因此即使上游內容有毒，仍然照單全收。

更關鍵的是，MCP 伺服器會替每個代理儲存認證憑證。當一個被污染的代理取得合法身份後，就能觸發伺服器端請求偽造（SSRF），強迫內部伺服器代為發送未授權的網路請求。

「AI 代理給了攻擊者一整條新的走廊可以穿越。駭客在某處埋一段文字，代理讀進去，當成正常任務轉交給另一個代理，第二個代理因為信任交辦方就照做。每一環節都完美執行了它的設計——這正是它難以察覺的原因。」

—— Douglas McKee，Rapid7 漏洞情報總監

這個現象在企業內部極為常見：每個協定都只檢查自己的前門，沒有人看守走廊。

漏洞的嚴重程度

Syed 揭露的漏洞中，Rapid7 內部網路被編列為 CVE-2026-97228，CVSS 評分僅 2.7 分（已於上個月修補）。但**Google 的 MCP 工具箱（googleapis/mcp-toolbox）**評分高達 8.0 分，屬於高危險等級。

Google 的問題出在初始化 HTTP 客戶端時，未啟用 CheckRedirect 政策，也未驗證目標 IP 位址。攻擊者只要在路徑參數中埋一段精心設計的請求，就能讓工具箱跟隨重新導向，存取內部端點，並以代理身份對外發送請求。

Google 後續的修補方式是套用 IP 範圍白名單與黑名單，並在啟動時而非首次請求時拒絕不安全的 base URL。Syed 評論這才是「真正像樣的 SSRF 防護」，但他也直言：「這工作量比大多數 MCP 伺服器目前投入的還多。」

「協定跳躍」為什麼難以防範

Syed 把這類攻擊命名為 protocol pivoting，核心機制是：

透過 MCP 把任務指派給代理 A
代理 A 收到惡意指令後轉發給代理 B
代理 B 使用另一種通訊協定（例如 Google 的 Agent-to-Agent 協議 A2A，或新興的 Agent Network Protocol）執行

攻擊之所以致命，是因為信任與授權在「協定翻譯」的過程中被悄悄稀釋。MCP 信任 A，A 信任 B，但 B 使用的可能是另一個完全不同的信任模型。沒有任何一層真正驗證內容是否安全。

X41 D-Sec 研究員 Markus Vervier 對這個命名持保留態度，認為這仍是間接 prompt injection的子類別。他向 Ars 表示：「惡意提示可以從不同協定（像 A2A）傳來，再透過另一個協定發揮作用，這對攻擊本身並非必要，但確實讓防禦變得困難。」

🚨 為什麼這件事重要

MCP 是當前 AI 代理生態系事實上的標準。不只 Anthropic 自己的產品採用，OpenAI、Google、Cursor、Claude Desktop 等主流 AI 工具都已宣布支援。換句話說，這個漏洞不是某一家公司的問題，而是整個 AI 代理時代的結構性問題。

雲端安全聯盟（CSA）今年五月的研究報告指出，截至 2026 年 5 月，已經有至少 7 個高風險或重大等級的 CVE 落在 MCP 相關平台上，涵蓋 MCP Inspector、LiteLLM、Cursor IDE、LibreChat、Windsurf 等熱門工具。OX Security 同步揭露，超過 7,000 個 MCP 伺服器公開暴露在網際網路上，整個生態系估計有 20 萬個潛在受影響實例，相關軟體套件下載量累計突破 1.5 億次。

對企業 IT 而言，最令人不安的訊號是：沒有人在執行零信任（Zero Trust）。在代理架構急速擴張的同時，工程團隊把「代理之間預設信任」當成設計前提，等同於放棄三十年來資安界最核心的防禦原則。

🚨 數據解讀與質疑

幾個值得追問的數字：

「五個月、五大組織」的覆蓋面：Google、摩根大通、兩國政府、Rapid7——這些單位橫跨公私部門與不同產業，唯一共通點只有使用 MCP。Syed 的取樣不算大，但完全沒有單位通過測試，機率上極不尋常。
CVSS 評分的誤導性：Rapid7 的漏洞僅 2.7 分，但本質是同一類攻擊的入口。當漏洞被獨立評分時，可能低估「組合攻擊鏈」的整體風險。
Syed 與 Vervier 的命名之爭：表面是學術爭論，實際反映業界對「這是新問題還是老問題」缺乏共識。如果歸類為舊問題，企業傾向用既有流程處理；歸類為新問題，則需要新的標準與工具。這個分類將直接影響防禦投資的方向。
Anthropic 的角色：作為 MCP 規範的制定者與最大推動者，Anthropic 至今未對此系列攻擊發表官方安全公告。當一個標準的催生者不承擔維護責任，整個生態將更依賴開源社群的零散修補。

McKee 給出的防禦建議值得所有部署 AI 代理的團隊記住：

「任何從 LLM 傳到你的工具的內容，都應該被當成網路陌生人的輸入來處理——因為在 prompt injection 的場景裡，它就是陌生人的輸入。底層的 bug 其實是注入攻擊與 SSRF 這些二十年老問題，修法也沒變過。研究者幫這種攻擊命名了，這很重要，因為有名字才會讓防禦者與標準組織真的為它做設計。」

研究筆記（press 視角）