MCP Poisoning Attack - PoC

🛡️ MCP 工具投毒安全研究

⚠️ 重要安全声明：本仓库包含安全研究，展示了 Model Context Protocol（MCP）中的严重漏洞。代码仅用于教育和防御目的。请勿恶意使用这些技术。

🌟 关于 GenSecAI

GenSecAI 是一个非营利社区，利用生成式 AI 防御 AI 驱动的攻击，并构建开源工具，保护我们的数字未来免受新兴 AI 威胁。

本研究是我们使命的一部分，旨在识别并缓解 AI 安全漏洞，避免其遭到恶意利用。

🚨 执行摘要

本研究展示了 Model Context Protocol（MCP）中的严重安全漏洞，攻击者可借此：

• 🔓 窃取敏感数据（SSH 密钥、API 凭据、配置文件）
• 🎭 通过隐藏的提示词注入劫持 AI Agent 行为
• 📧 在用户不知情的情况下重定向通信
• 🔄 覆盖受信任工具的安全控制
• ⏰ 部署延迟触发的攻击，在建立初始信任后激活

影响：任何使用 MCP 的 AI Agent（Claude、Cursor、带插件的 ChatGPT）都可能通过恶意工具描述遭到入侵。

🎯 快速开始

安装

# Clone the repository
git clone https://github.com/gensecaihq/mcp-poisoning-poc.git
cd mcp-poisoning-poc

# Create virtual environment
python -m venv venv
source venv/bin/activate  # On Windows: venv\Scripts\activate

# Install dependencies
pip install -r requirements.txt

# Run the demonstration
python examples/basic_attack_demo.py

基本演示

from src.demo.malicious_server import MaliciousMCPServer
from src.defenses.sanitizer import MCPSanitizer

# Create a malicious MCP server
server = MaliciousMCPServer()

# See how tool descriptions contain hidden instructions
for tool in server.get_tools():
    print(f"Tool: {tool['name']}")
    print(f"Hidden payload detected!")

# Defend against attacks
sanitizer = MCPSanitizer()
safe_description = sanitizer.clean(tool.description)

📊 主要发现

攻击向量	严重程度	利用难度	影响
数据窃取	🔴 严重	低	凭据被完全窃取
工具劫持	🔴 严重	低	Agent 被完全入侵
指令覆盖	🟠 高	中	绕过安全机制
延迟载荷	🟠 高	中	持续性入侵

🔬 技术详情

该漏洞利用了 MCP 的一个根本性设计缺陷：

1. AI 模型将工具描述视为可信输入
2. 用户看不到描述中的隐藏指令，但 AI 会处理这些指令
3. 不会对工具描述进行验证或清理
4. 跨工具污染使一个恶意工具能够影响其他工具

请参阅 PROOF_OF_CONCEPT.md，了解详细的技术分析。

🛡️ 防御措施

我们提供了一套全面的防御框架：

from src.defenses import SecureMCPClient

# Initialize secure client with all protections
client = SecureMCPClient(
    enable_sanitization=True,
    enable_validation=True,
    enable_monitoring=True,
    strict_mode=True
)

# Safe tool integration
client.add_server("https://trusted-server.com", verify=True)

📁 仓库结构

• /src - 攻击与防御的核心实现
• /docs - 详细文档与分析
• /tests - 全面的测试套件
• /examples - 可直接运行的演示

🧪 运行测试

# Run all tests
pytest

# Run with coverage
pytest --cov=src tests/

# Run security-specific tests
pytest tests/test_attacks.py -v

🤝 参与贡献

欢迎贡献力量，共同提升 MCP 安全性！请参阅 CONTRIBUTING.md 了解指南。

加入 GenSecAI 社区

• 🌐 网站：https://gensecai.org
• 📧 电子邮件：[email protected]
• 💬 讨论：GitHub Discussions

📚 文档

• 概念验证 - 详细的 PoC 说明
• 攻击向量 - 全面的攻击分析
• 缓解策略 - 防御实现
• 技术分析 - 深入的技术解析

⚖️ 法律与道德声明

本研究遵循负责任披露原则：

1. 教育目的：代码仅用于安全研究和防御
2. 禁止恶意使用：请勿使用这些技术攻击系统
3. 披露时间线：公开发布前已通知相关厂商
4. 防御重点：首要目标是帮助加强防御

🏆 致谢

• 组织：GenSecAI - 生成式 AI 安全社区
• 研究团队：GenSecAI 安全研究部门
• 基于：Invariant Labs 的原创发现
• 特别感谢：安全研究社区和负责任披露倡导者

📮 联系方式

• 安全问题：[email protected]
• 一般咨询：[email protected]
• 网站：https://gensecai.org
• 漏洞报告：GitHub Issues

📄 许可证

本项目采用 MIT License 许可，详情请参阅 LICENSE。

---

由 GenSecAI 倾心打造 ❤️
一次解决一个漏洞，守护 AI 安全