Lỗ hổng MCP trong giao tiếp giữa các tác nhân AI
"The article describes a class of AI-agent attacks against Model Context Protocol (MCP) implementations, where prompt injection can pivot across agents and protocols to trigger unauthorized actions such as SSRF and data exfiltration. Researchers found issues affecting multiple organizations, including a Rapid7 vulnerability (CVE-2026-97228, severity 2.7) and a more severe Google MCP toolbox flaw (severity 8) involving unsafe redirects and insufficient IP validation; Google and Rapid7 have since fixed the issues."
Rủi ro bảo mật cao do prompt injection, SSRF và rò rỉ dữ liệu có thể lan qua nhiều tác nhân; cần xác thực đầu vào, kiểm soát redirect/IP và áp dụng zero trust giữa các agent.
Có thể ảnh hưởng đến dữ liệu nhạy cảm, quy trình tự động hóa và uy tín vận hành; việc vá lỗi và siết kiểm soát quyền có thể làm tăng chi phí triển khai nhưng giảm rủi ro gián đoạn.
Bài viết mô tả một nhóm tấn công nhắm vào Model Context Protocol (MCP) trong các hệ thống AI agent, nơi prompt injection có thể lan từ một tác nhân sang tác nhân khác và dẫn tới các hành động không được phép như SSRF hoặc rò rỉ dữ liệu. Theo nghiên cứu, vấn đề này đã xuất hiện ở nhiều tổ chức khác nhau, cho thấy các giả định tin cậy giữa các tác nhân và giao thức đang bị khai thác.
Một trường hợp liên quan đến Rapid7 được gắn mã CVE-2026-97228 với mức độ nghiêm trọng 2.7/10; hãng đã khắc phục trong tháng trước. Trường hợp khác ảnh hưởng đến googleapis/mcp-toolbox có mức độ 8/10, bắt nguồn từ việc cấu hình HTTP client không áp dụng chính sách CheckRedirect và không kiểm tra đầy đủ địa chỉ IP đích. Google đã vá lỗi bằng cách thêm allow-list IP ranges, block list và từ chối base URL không an toàn ngay khi khởi động.
Khuyến nghị cho đội kỹ thuật là coi mọi dữ liệu đi từ LLM sang công cụ hoặc tác nhân khác như đầu vào không tin cậy, áp dụng zero trust, xác thực chặt chẽ redirect, URL, IP, và kiểm soát quyền ở từng bước chuyển giao giữa các protocol.