Cảnh báo: Mô tả công cụ MCP bị đầu độc có thể khiến AI agent rò rỉ dữ liệu
"Microsoft reported that poisoned MCP tool descriptions can be used to steer AI agents into leaking sensitive data through normal-looking actions, creating a supply-chain style prompt injection risk. The issue affects agentic systems that use the Model Context Protocol, and Microsoft recommends tighter tool allowlisting, review of description changes, human approval for risky actions, and stronger logging and identity controls to reduce exposure."
Nguy cơ prompt injection dạng chuỗi cung ứng qua mô tả công cụ MCP có thể dẫn tới data exfiltration mà không vi phạm ràng buộc hành vi rõ ràng. Tác động nổi bật ở: tấn công qua mô tả tool (điều hướng hành động), lách cơ chế kiểm soát mặc định (khó phát hiện), và rò rỉ qua kết nối hợp lệ (dựa trên quyền/đích cho phép).
Có thể gây gián đoạn và thiệt hại tuân thủ do rò rỉ dữ liệu từ các tác vụ tự động của agent, đặc biệt khi doanh nghiệp mở rộng dùng AI để thực thi quy trình. Tác động đáng chú ý gồm: tăng rủi ro vận hành khi agent được phép gọi nhiều công cụ, chi phí kiểm soát (review/approval/logging), và ảnh hưởng niềm tin nếu sự cố xảy ra dù thao tác trông “bình thường”.
Microsoft cho biết các mô tả công cụ trong MCP (Model Context Protocol) có thể bị “poison” để điều hướng AI agents thực hiện hành vi rò rỉ dữ liệu theo cách trông như thao tác bình thường. Điểm mấu chốt là agent không cần “phá luật”: từng bước đều hợp lệ, nên trong cấu hình mặc định có thể không kích hoạt cảnh báo.
Theo mô tả, mỗi MCP tool đi kèm một đoạn mô tả văn bản mà agent dùng để quyết định khi nào và cách nào gọi công cụ. Nếu kẻ tấn công thay đổi mô tả (ví dụ chèn chỉ dẫn ẩn), agent có thể thực hiện truy vấn ngoài ý muốn và gửi dữ liệu ra ngoài qua các kết nối hợp lệ.
Microsoft khuyến nghị: coi mọi tool/publisher được kết nối như một phần của chuỗi cung ứng; áp dụng allowlisting thay vì cho phép tất cả; xem xét thay đổi mô tả công cụ như code review; yêu cầu human approval cho hành động rủi ro (chia sẻ dữ liệu ra ngoài, thay đổi tài khoản/tiền); đồng thời tăng logging, giám sát hành vi theo baseline và dùng cơ chế định danh riêng cho từng agent.
Bài viết cũng dẫn các nghiên cứu trước đó về “tool poisoning”, bao gồm trường hợp gói npm postmark-mcp và benchmark MCPTox.