MCP Araç Çağrılarında Kanallar Arası Parçalama Saldırısı Riski

Araştırmacılar, Model Context Protocol (MCP) üzerinden çalışan LLM araç çağırma hatlarında yeni bir güvenlik açığı sınıfı ortaya koyuyor: kanallar arası parçalama saldırıları. Araç açıklamaları, araç sonuçları ve örnekleme mesajları gibi farklı girdi kanalları aynı bağlam penceresini ayrıcalık ayrımı olmadan paylaştığı için, saldırgan zararlı bir yükü iki ya da üç kanala bölerek gönderebiliyor; tek başına hiçbir kanal tam bir enjeksiyon içermiyor ama model parçaları birleştirip kimlik bilgisi sızdırmaya varan eylemler gerçekleştiriyor.

12 öncü model, üç üretim istemcisi ve altı zararlı yük üzerinde 15.000'den fazla denemeyle yapılan değerlendirme, tek kanallı enjeksiyona tamamen dirençli (%0 uyum) modellerin —GPT-4o, Llama 70B, Composer 2, Haiku 4.5 gibi— iki kanallı parçalama altında %100'e varan oranlarda veri sızdırdığını gösteriyor. Ayrıca değer hizalı istismar (aracın amacının hedeflenen veriyi gerektirdiği senaryolar) ve VS Code'un MCP uygulaması üzerinden kalıcı talimat enjekte eden bir örnekleme sistem promptu geçersiz kılma tekniği de gösteriliyor.

Yedi üçüncü taraf MCP güvenlik aracı ve üç prompt tabanlı savunma test edilmiş; tüm araçlar parçalanmış yükleri tespit edemezken, prompt savunmaları evrensel değil modele özgü çıkmış. Bu bulgular, mühendislere mevcut MCP güvenlik katmanlarının kanallar arası tehditlere karşı yetersiz kaldığını ve yeni savunma mimarilerine ihtiyaç duyulduğunu gösteriyor.