Log-To-Leak: 基于模型上下文协议的工具使用 LLM 智能体提示注入攻击
Log-To-Leak: Prompt Injection Attacks on Tool-Using LLM Agents via the Model Context Protocol
Yuepeng Hu · Chongyu Fan · Sirat Samyoun · 1+
LLM 智能体通过模型上下文协议 (MCP) 访问外部工具，其元数据构成提示注入攻击面。研究提出 Log-To-Leak 攻击，这是一种附加式事后日志攻击，旨在最终合法调用后诱导攻击者控制的额外调用。载荷针对用户查询、MCP 服务器名、服务器响应及智能体响应，通过触发器、工具绑定、理由和压力实现。评估涵盖 5 个 MCP 服务器和 4 个 LLM 智能体，使用 5 项指标。在 18 个有效工具执行模型-服务器对中，攻击成功率 (ASR) 达 62.64%-100%，条件日志准确率 (LA) 为 76.55%-95.64%；16 对的目标任务完成率绝对变化不超过 6.63 个百分点。三种防御在 GitHub MCP 与 GPT-4o 上残留 ASR 高于 55%，而指令检测器标记了 85.53% 的良性描述。结果表明任务完成与未授权事后披露可共存，需主机控制授权。