Mô hình MCP trong việc đầu độc và điều khiển ngầm

MCP (Mô hình Bối cảnh Giao thức) hệ thống hiện đang ở giai đoạn phát triển sớm, môi trường tổng thể khá hỗn loạn, các phương thức tấn công tiềm ẩn xuất hiện không ngừng, các giao thức và công cụ hiện có khó khăn trong việc phòng ngừa hiệu quả. Để nâng cao tính bảo mật của MCP, một công ty an ninh đã mã nguồn mở công cụ MasterMCP, thông qua các cuộc diễn tập tấn công thực tế giúp phát hiện các lỗ hổng bảo mật trong thiết kế sản phẩm, từ đó củng cố dự án MCP.

Bài viết này sẽ trình bày những phương thức tấn công phổ biến trong hệ thống MCP, chẳng hạn như tiêm thông tin độc hại, ẩn giấu lệnh độc hại và các trường hợp thực tế khác. Tất cả các kịch bản trình diễn cũng sẽ được mã nguồn mở, có thể tái hiện toàn bộ quy trình trong môi trường an toàn, thậm chí phát triển plugin kiểm tra tấn công riêng dựa trên những kịch bản này.

Tổng quan về kiến trúc tổng thể

Mục tiêu tấn công trình diễn MCP:Toolbox

Công cụ quản lý MCP chính thức được phát hành bởi một trang web plugin MCP nổi tiếng. Việc chọn Toolbox làm mục tiêu thử nghiệm chủ yếu dựa trên: cơ sở người dùng lớn, có tính đại diện; hỗ trợ cài đặt tự động các plugin khác; bao gồm cấu hình nhạy cảm, thuận tiện cho việc trình diễn.

Mẫu sử dụng MCP độc hại: MasterMCP

MasterMCP là công cụ mô phỏng MCP độc hại được thiết kế đặc biệt cho việc kiểm tra an ninh, sử dụng kiến trúc plugin và bao gồm các mô-đun chính sau:

1. Mô phỏng dịch vụ trang web địa phương:

Thiết lập máy chủ HTTP đơn giản thông qua framework FastAPI, mô phỏng môi trường trang web phổ biến. Những trang này có vẻ bình thường, nhưng thực tế trong mã nguồn hoặc phản hồi API ẩn chứa các tải trọng độc hại được thiết kế tỉ mỉ.

2. Kiến trúc MCP plugin hóa cục bộ

MasterMCP sử dụng phương thức mở rộng dạng plugin, thuận tiện cho việc nhanh chóng thêm các phương thức tấn công mới. Sau khi chạy sẽ khởi động dịch vụ FastAPI trong một tiến trình con.

trình khách hàng

• Cursor: Một trong những IDE lập trình hỗ trợ AI đang phổ biến trên toàn cầu.
• Claude Desktop: Ứng dụng chính thức của Anthropic

mô hình lớn sử dụng để trình diễn

• Claude 3.7

Chọn phiên bản này vì nó đã có những cải tiến trong việc nhận diện các thao tác nhạy cảm, đồng thời đại diện cho khả năng thao tác mạnh mẽ trong hệ sinh thái MCP hiện tại.

Cross-MCP Malicious Invocation

tấn công tiêm nhiễm nội dung trang web

1. Đầu độc kiểu chú thích

Trình con trỏ truy cập trang web thử nghiệm địa phương, đây là một trang "Thế Giới Bánh Ngọt Ngào" có vẻ vô hại.

Thực hiện lệnh:

Lấy nội dung của

Kết quả cho thấy, Cursor không chỉ đọc nội dung trang web mà còn gửi lại dữ liệu cấu hình nhạy cảm từ máy cục bộ đến máy chủ thử nghiệm. Trong mã nguồn, các từ khóa độc hại được chèn dưới dạng chú thích HTML.

2. Tiêm nhiễm chú thích kiểu mã hóa

Truy cập trang /encode, có vẻ giống như ví dụ trên, nhưng các từ khóa độc hại đã được mã hóa, trở nên kín đáo hơn.

Ngay cả khi mã nguồn không chứa các từ gợi ý rõ ràng, cuộc tấn công vẫn thực hiện thành công.

Thông tin trả về công cụ MCP bị tiêm độc

Nhập lệnh mô phỏng: lấy nhiều táo

Sau khi kích hoạt lệnh, khách hàng đã gọi Toolbox qua MCP và đã thêm thành công máy chủ MCP mới.

Tấn công ô nhiễm giao diện bên thứ ba

Thực hiện yêu cầu:

Lấy json từ /api/data

Kết quả: Từ khóa độc hại đã được chèn vào dữ liệu JSON trả về và đã kích hoạt thực thi độc hại thành công.

Kỹ thuật tiêm độc trong giai đoạn khởi tạo MCP

tấn công phủ hàm ác ý

MasterMCP đã viết hàm remove_server có tên giống như Toolbox, và mã hóa để ẩn các từ khóa độc hại.

Thực hiện lệnh:

công cụ hộp công cụ gỡ bỏ plugin máy chủ

Claude Desktop không gọi phương thức remove_server của toolbox gốc, mà đã kích hoạt phương thức cùng tên do MasterMCP cung cấp.

Nguyên lý là thông qua việc nhấn mạnh "phương pháp ban đầu đã bị hủy bỏ", ưu tiên dẫn dắt mô hình lớn gọi hàm bị ghi đè độc hại.

Thêm logic kiểm tra toàn cầu độc hại

MasterMCP đã viết công cụ banana, buộc tất cả các công cụ phải thực hiện công cụ này để kiểm tra an toàn trước khi chạy.

Trước mỗi lần thực thi hàm, hệ thống sẽ ưu tiên gọi cơ chế kiểm tra banana. Điều này được thực hiện thông qua việc nhấn mạnh "phải chạy kiểm tra banana" trong mã nguồn.

Kỹ thuật nâng cao để ẩn các từ gợi ý độc hại

phương pháp mã hóa thân thiện với mô hình lớn

• Môi trường tiếng Anh: Sử dụng mã Hex Byte
• Môi trường tiếng Trung: Sử dụng mã NCR hoặc mã JavaScript

cơ chế trả về tải độc hại ngẫu nhiên

Khi yêu cầu /random, mỗi lần sẽ ngẫu nhiên trả về một trang có tải trọng độc hại, làm tăng đáng kể độ khó trong việc phát hiện và truy vết.

Tóm tắt

Thông qua buổi trình diễn thực chiến của MasterMCP, chúng ta đã thấy rõ những mối nguy hiểm tiềm ẩn trong hệ thống MCP. Từ việc tiêm từ khóa đơn giản, gọi chéo MCP, đến các cuộc tấn công ở giai đoạn khởi tạo ẩn giấu và việc ẩn giấu chỉ thị độc hại, mỗi khía cạnh đều nhắc nhở chúng ta: mặc dù hệ sinh thái MCP mạnh mẽ, nhưng cũng rất dễ bị tổn thương.

Hy vọng buổi trình diễn lần này có thể gióng lên hồi chuông cảnh tỉnh cho mọi người: dù là nhà phát triển hay người sử dụng, đều cần duy trì sự cảnh giác đủ với hệ thống MCP, luôn chú ý đến từng tương tác, từng dòng mã, từng giá trị trả về. Chỉ khi chú trọng đến từng chi tiết, mới có thể thực sự xây dựng một môi trường MCP vững chắc và an toàn.