mcpField
🧠
🧠 AgentNull: AI System Security Threat Catalog + Proof-of-Concepts

🧠 AgentNull: AI System Security Threat Catalog + Proof-of-Concepts

本地服务
research.thirdkey.ai开发工具530 周前更新
代码仓库访问官网

关于 🧠 AgentNull: AI System Security Threat Catalog + Proof-of-Concepts

AgentNull 是面向 AI 系统安全研究的威胁目录与概念验证集合，涵盖 Agent、MCP、RAG、向量系统等攻击场景。它为红队测试和内部安全研究提供可复现示例及结构化目录；仅供教育和经授权的测试使用。

主要功能

  1. 01按攻击向量整理威胁目录
  2. 02提供概念验证代码与样例
  3. 03涵盖 Agent、MCP 与 RAG
  4. 04提供 JSON 目录供安全工具导入

适用场景

  1. 01梳理 AI 系统的威胁面
  2. 02在授权环境复现攻击场景
  3. 03为 SOC 或 SIEM 导入威胁数据
  4. 04开展红队与内部安全研究

MCP 相关

项目目录涵盖针对 MCP 与 Agent 系统的攻击方式，并提供相关概念验证；它本身并未说明提供 MCP 服务端功能。

#agent#research#ai#proof-of-concept#mcp#poc#hacks#threat-modeling#blueteam#security-tools#threat-intelligence#redteam#redteam-tools#llm#llmops#agentic-workflow#agentic-ai#mcp-servers#mcp-server#mcp-security

配置

本地服务的配置在各客户端中通用，复制后粘贴到客户端的 MCP 配置文件即可。

暂未收录安装方式

我们还没有获取到这个服务的安装包或远程地址，请按项目 README 中的说明安装。

代码仓库

工具

还没有获取到工具列表

本地服务需要在你的电脑上运行后才能读取工具，维护者暂未提供工具列表。

详细介绍

🧠 AgentNull：AI 系统安全威胁目录 + 概念验证

此仓库包含一份面向红队的攻击手段目录，针对包括自主 Agent（MCP、LangGraph、AutoGPT）、RAG 管道、向量数据库和基于嵌入的检索系统在内的 AI 系统，并为每种攻击手段提供单独的概念验证（PoC）。

📘 结构

  • catalog/AgentNull_Catalog.md — 威胁目录的易读版本
  • catalog/AgentNull_Catalog.json — 适用于 SOC/SIEM 导入的结构化版本
  • pocs/ — 每种攻击手段对应一个目录，每个目录都包含自己的 README、代码和示例输入/输出

⚠️ 免责声明

此仓库仅用于教育和内部安全研究。请勿在生产环境中部署此处的任何技术或代码，也不要针对你不拥有或未获明确授权进行测试的系统使用这些内容。

🔧 用法

进入每个 pocs/<attack_name>/ 文件夹，并按照 README 复现攻击场景。

🤖 使用本地大模型进行测试（推荐）

如果要在不产生 API 费用的情况下更好地演示 PoC，请使用 Ollama 搭配本地模型：

安装 Ollama
# Linux/macOS
curl -fsSL https://ollama.ai/install.sh | sh

# Or download from https://ollama.ai/download
设置本地模型
# Pull a lightweight model (recommended for testing)
ollama pull gemma3

# Or use a more capable model
ollama pull deepseek-r1
ollama pull qwen3
使用本地大模型运行 PoC
# Advanced Tool Poisoning with real LLM
cd pocs/AdvancedToolPoisoning
python3 advanced_tool_poisoning_agent.py local

# Other PoCs work with simulation mode
cd pocs/ContextPackingAttacks
python3 context_packing_agent.py
Ollama 配置
  • 默认端点：http://localhost:11434
  • 模型选择：如有需要，请在 PoC 文件中编辑模型名称
  • 性能：Llama2（约需 4GB RAM）、Mistral（约需 4GB RAM）、CodeLlama（约需 4GB RAM）

🧩 涵盖的攻击手段

🤖 MCP 和 Agent 系统
🧠 记忆与上下文系统
🔍 RAG 和向量系统
💻 代码与文件系统
⚡ 资源与性能
  • 函数泛洪 - 生成递归工具调用，以耗尽预算/API 资源
  • 语义 DoS - 触发无限生成或无休止的任务
🌐 Agent 式浏览器与助手攻击
  • EchoLeak (LLM Scope Violation) - 通过 M365 Copilot 窃取数据的零点击间接提示注入 (Aim Labs / Varonis, CVE-2025-32711, 2025 年 6 月)
  • Gemini Trifecta - 针对 Google Gemini 各界面的三向量间接提示注入 (Tenable Research, 2025 年 10 月)
  • CometJacking - 基于 URL 的提示注入，劫持与 Agent 式浏览器相连的服务 (LayerX / Brave Security, 2025 年 8 月)
  • Tainted Memories - 通过 AI 浏览器身份验证实施基于 CSRF 的持久化记忆注入 (LayerX, 2025 年 10 月)
  • DECEPTICON - 暗黑模式对 Web Agent 的操纵效果比对人类更好；模型越大，越容易受影响 (arXiv:2512.22894, 2025 年 12 月)
  • Parallel Poisoned Web - 针对 Agent 的 Web 隐蔽技术向 AI Agent 和人类提供不同内容 (JFrog, arXiv:2509.00124, 2025 年 9 月)
🤖 多 Agent 系统攻击
  • Multi-Agent Control-Flow Hijacking (MAS-CFH) - 伪造错误消息劫持编排器的重新规划过程 (COLM 2025, arXiv:2503.12188)
  • Inter-Agent Trust Exploitation - 通过对等 Agent 转发恶意载荷，绕过直接注入防御 (arXiv:2507.06850, 2025 年 7 月)
  • A2A Protocol Exploitation - 在 Google A2A 中伪造 Agent Card、滥用令牌并实施级联委派 (CSA, Semgrep, arXiv:2505.12490)
  • Prompt Infection - 在多 Agent 系统中传播的 LLM 到 LLM 自我复制蠕虫 (arXiv:2410.07283, 2025 年各会议)
🧠 记忆与持久化攻击
  • MemoryGraft - Agent 记忆系统中被投毒的经验检索 (arXiv:2512.16962, 2025 年 12 月)
  • Delayed Tool Invocation - 由用户自然回应触发的条件式延迟注入 (Johann Rehberger / Embrace The Red, 2025 年 2 月)
  • Zombie Agents - 通过记忆自我复制实现的自我强化持久化注入，可跨会话存续 (arXiv:2602.15654, 2026 年 2 月)
  • MINJA - 通过仅查询交互进行记忆注入，成功率为 98.2% (arXiv:2503.03704, NeurIPS 2025)
🔗 供应链与市场攻击
  • Slopsquatting - 注册模型幻觉生成的包名，将其用作恶意供应链包 (USENIX Security 2025)
  • Marketplace Skill Poisoning (OpenClaw / ClawHavoc) - 利用未经审查的技能注册表窃取凭据并实现 RCE (SecurityScorecard, Sangfor, 2026 年 1 月至 2 月)
  • MCP Supply Chain Backdoor - 被入侵的 npm 包会在用户不知情的情况下将邮件密件抄送给攻击者 (Authzed, 2025)
  • s1ngularity - 通过供应链将 AI CLI 武器化，以自动窃取凭据 (Snyk, GitGuardian, 2025 年 8 月)
  • LangGrinch - LangChain 中的序列化注入可实现提示注入 → RCE 链 (CVE-2025-68664, Cyata, 2025 年 12 月)
🔓 协议与沙箱攻击
  • MCP Sampling Exploitation - 通过 MCP sampling 功能隐蔽调用工具、劫持对话 (Unit 42, 2025 年 12 月)
  • Reasoning-Assisted Sandbox Escape - Agent 自主推理并绕过沙箱控制 (Ona Security, 2025)
  • Semantic Privilege Escalation - Agent 在通过所有访问控制检查的同时执行未经授权的操作 (Acuvity, 2025 年末)
🎯 提示注入进展
  • Phantom - 通过聊天分隔符实施结构化模板注入，伪造对话历史 (arXiv:2602.16958, 2026 年 2 月)
  • STAC - 顺序工具链攻击将无害的工具调用组合成危险序列，ASR 超过 90% (arXiv:2509.25624, 2025 年 9 月)
  • Policy Puppetry - 利用配置/策略文件格式实施通用越狱，所有前沿模型均易受攻击 (HiddenLayer, 2025 年 4 月)
  • Promptware Kill Chain - 提示注入恶意软件的七阶段攻击链，记录了 21 起真实事件 (arXiv:2601.09625, 2026 年 1 月)
  • Chain-of-Thought Hijacking - 先用无害谜题引导推理模型，再提出有害请求，ASR 达 99% (arXiv:2510.26418, 2025 年 10 月)
👁️ 多模态与视觉 Agent 攻击
  • 视觉提示注入 - 嵌入在 UI 中的视觉指令通过屏幕截图劫持计算机操作 Agent (VPI-Bench，arXiv:2506.02456，2025 年 6 月)
  • CrossInject - 同时针对视觉与语言的跨模态对抗扰动 (arXiv:2504.14348，ACM MM 2025)
  • Flashboom - 通过高注意力干扰片段使大模型代码审计员失明，成功率达 96.3% (IEEE S&P 2025)
🛠️ 工具选择与劫持
  • ToolHijacker - 注入恶意工具文档以迫使 Agent 选择特定工具，ASR 达 96.43% (NDSS 2026，arXiv:2504.19793)
  • UDora - 通过自动发现注入点劫持推理轨迹 (arXiv:2503.01908，2025 年 2 月)
💻 编码 Agent 攻击
  • 规则文件注入（“你的 AI，我的 Shell”） - 通过 .cursorrules 和 copilot-instructions.md 实施提示注入 (arXiv:2509.22040，2025 年 9 月)
  • ZombAI - 自我传播的蠕虫将编码 Agent 变成恶意软件／C2 端点 (CVE-2025-53773，Embrace The Red，2025)
  • AgentFlayer - 通过隐藏在文档中的指令实施零点击企业 Agent 漏洞利用 (Zenity，Black Hat USA 2025)
  • 邮件 Agent 劫持 - 通过恶意邮件内容远程控制邮件 Agent，1,404/1,404 个 Agent 遭到劫持 (arXiv:2507.02699，2025 年 7 月)
  • Gemini 日历蠕虫 - 通过日历邀请提示注入实现类似蠕虫的自我传播 (SafeBreach，Black Hat USA 2025)
🔬 RAG 投毒进展
  • CorruptRAG - 无需触发器即可通过单个文档实施 RAG 投毒 (arXiv:2504.03957，2025 年 4 月)

📚 相关研究与出处

新型攻击向量（⭐）

标有 ⭐ 的攻击向量代表主要在 AgentNull 项目中开发的新颖概念，超出了现有文档所记录的攻击模式。

已知攻击模式及研究链接
2025–2026 年攻击研究链接
arXiv 论文与会议发表成果（2025–2026）
行业研究与 CVE 来源
由 ThirdKey 赞助

评论

支持 Markdown

第一次接触 MCP？

从协议是什么，到在客户端里装上第一个服务，这几条回答覆盖了大多数入门问题。

一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。