На одной модели вредные инструменты перехватывали вызовы MCP-агентов в 93,6% тестов

Авторы проверяли не просто «может ли агент выбрать вредный инструмент», а разделили атаку на два шага. Сначала вредному инструменту подбирали описание и другие служебные данные так, чтобы агент чаще замечал именно его. Затем изучали следы выполнения — последовательность действий агента — и по ним дорабатывали ответы инструмента, чтобы направить уже начатую работу к нужному злоумышленнику результату. Всё это делали без доступа к внутренним параметрам моделей: система видела только их запросы и ответы, как внешний атакующий.

Проверка прошла на LiveMCPBench — наборе из 95 повседневных задач в офисе, путешествиях, покупках и других сферах. В нём использовали 70 серверов MCP и 527 инструментов, а эксперименты провели на пяти языковых моделях, включая GPT-5, Qwen3-Max и DeepSeek-V3.1. Такой дизайн важен: он показывает не только результат на одной специально настроенной модели, но и то, насколько атака переносится на другие модели без повторной оптимизации.

Отдельно авторы измерили атаку типа «когнитивный отказ в обслуживании»: вредный инструмент не обязательно крадёт данные, а может заставить агента тратить намного больше вычислений и денег на одну задачу. В самом тяжёлом сценарии расходы на токены выросли в 32,4 раза относительно обычного набора инструментов. При этом перенос на другие модели оказался заметно слабее, чем прямая настройка атаки, что показывает зависимость результата от конкретной модели и условий теста.