MCP độc hại có thể khiến tác nhân AI lập trình rò rỉ bí mật
"Researchers described GhostSplice, a prompt-injection technique against AI coding agents that use MCP-connected tool servers. By splitting malicious instructions across tool descriptions, tool results, or multiple interactions, a malicious server can induce agents to exfiltrate secrets such as SSH keys, environment files, source code, and customer data; no CVE was listed at publication, and the main mitigation is to treat server output as untrusted data and restrict tool chaining."
Rủi ro rò rỉ bí mật và prompt injection cao khi tác nhân AI được nối với MCP server không tin cậy; có thể ảnh hưởng đến SSH keys, mã nguồn và dữ liệu nhạy cảm.
Có thể gây lộ tài sản trí tuệ, gián đoạn quy trình phát triển và phát sinh rủi ro tuân thủ nếu tác nhân AI truy cập dữ liệu nội bộ mà không được kiểm soát chặt.
Các nhà nghiên cứu mô tả GhostSplice, một kỹ thuật prompt injection nhắm vào các AI coding agents kết nối với MCP (Model Context Protocol). Thay vì gửi một chỉ dẫn độc hại rõ ràng, máy chủ MCP có thể chia nhỏ lệnh và phân tán qua tool description, tool result hoặc nhiều lượt tương tác để tác nhân tự ghép lại và thực thi.
Trong các thử nghiệm, tác nhân có thể bị hướng dẫn thu thập và gửi ra ngoài các dữ liệu nhạy cảm như SSH keys, .env, mã nguồn và dữ liệu khách hàng. Nghiên cứu cho biết đây là kết quả từ môi trường kiểm thử có dữ liệu giả, chưa ghi nhận CVE tại thời điểm công bố.
Điểm đáng chú ý là mức độ ảnh hưởng phụ thuộc vào client và các kiểm soát an toàn xung quanh mô hình. Cùng một mô hình có thể từ chối trong ứng dụng này nhưng lại chấp nhận trong ứng dụng khác.
Khuyến nghị chính là coi đầu ra từ server MCP là dữ liệu không tin cậy, hạn chế tool chaining, và không để giá trị từ một công cụ đi thẳng sang tham số của công cụ khác. Doanh nghiệp cũng nên kiểm tra kỹ tích hợp MCP và chỉ cấp quyền tối thiểu cho các tác nhân AI.