PERDITUM IN TRANSLATIONE
Fidei lacunae in novo protocollo malignas promptiones ab uno agente ad alterum disseminant.
Creditum:
Getty Images
Adoptio agentium AI in millibus organizationum novas opportunitates creans pro aggressoribus ut eos ad actiones malignas cogant, ut exfiltratio contentorum database et informationum sensibilium negotialium et personalium.
In quinque mensibus praeteritis, Google et quattuor aliae organizationes—parum inter se communes praeter usum agentium AI—vulnerabilitates agnoverunt quae unum agentem intra reticulum destinatum ad instructiones nocivas ad alios agentes internos disseminandas explant. Technica haec est specialis forma injectionis promptorum quae non LLM sed certum agentem, ut unum pro translatione vel analysi data, petit. Guardrails intra tales agentes, si omnino existunt, saepe laxae sunt et instructiones ad alios agentes per catena mittent. Quia ille agentis explicite primum confidet, sequitur directiones.
Inexpectatum et difficile mitigare
Independens investigator Syed Anas Mohiuddin agentes ex organizationibus inter quas Google, JP Morgan Chase, Weviate, Rapid7, directoratus digitalis interministerialis regni Francici, et imperium foederatum US probavit. Eius probationes conceptus impugnationes lacunas fidei in MCP, abbreviatio pro Model Context Protocol, explant. Hic standard est modus quo applicationes et agentes AI inter se communicant intra reticulum internum. Illustratio infra simplicem MCP in actione ostendit.
Multi agentes speciales propositi carent guardrails quae plerumque maxime nocivas consequentias injectionis promptorum mitigare possent. Et cum servientes MCP credentias pro unoquoque agente servant—et agentes ad fidendum unumquemque alium internum agentem constructi sunt—exploit quod a LLM reiectum fuisset succedit. In multis casibus, bene elaboratae promptiones ad rectum agentem pertinentes ad falsam petitionem ex parte servientis ducunt, vulnerabilitatem quae servientem interretialem ad petitiones non auctorizatas facere cogit.
“Agentes AI aggressoribus novas connexiones ad ambulandum praebent,” Douglas McKee, director intelligentiae vulnerabilitatis apud Rapid7, Ars dixit. “Aliquis textum in contento plantat, agens id legit et deinde ad alium agentem ut normalem negotium delegatum tradit, et ille secundus agens id exsequitur quia confidit cuiusquam id operis tradentis. Quisque pars in illa catena id quod designatum est facere fecit, quod hoc tam difficile est capere. Quisque protocolum constructum est assumens se solum vivere, ita quod unumquodque suum frontem ianuam inspicit dum nemo corridor interius spectat.”
CVE-2026-97228, vulnerabilitas quam Mohiuddin in rete Rapid7 invenit, gravitatem rating tantum 2.7 ex 10 habuit. Rapid7 id mense praeterito correxit.
Vulnerabilitas quae Google afficit gravius erat, cum rating 8. Ex MCP toolbox pro databases (googleapis/mcp-toolbox) provenit, quod clientem HTTP suum sine usu politicae CheckRedirect initium faciebat, series configurationum quae moderantur quomodo servientis casus URL aut errorem reddere aut ad alium URL redirigere debeat. Clientis HTTP Google etiam non validavit IP adsignationes.
“Parametrus viae elaboratus potest facere ut toolbox redirectionem ad punctum internum sequatur et petitiones in nomine aggressoris mittat,” Mohiuddin explicavit. Correctio Google implicabat applicandum album IP ambitus et album interdictorum. “Reiectat URL basim non tutam ad initium loco in prima petitione. Id quod verum SSRF guard spectat. Est etiam plus operis quam plerique servientes MCP fecerunt.”
Mohiuddin genus impugnationis “protocolum pivoting” appellat quia exploit operantur cum applicatio vel servientis MCP utitur ad negotium agenti assignandum et agens deinde instructiones malignas ad alium agentem per alium modum communicationis, ut protocolum Agent-to-Agent (A2A) Google, ad delegationem inter agentes adhibitum, vel emergentia standarda ut Agent Network Protocol. Saepe, inquit, fides vel auctoritas in translatione perditur. Descripsit protocolum pivoting ut “impugnatio multi-gradus in qua adversarius primam accessum per unum protocolum obtinet, lacunas fidei inter protocolla explant, et ad capacitatem tantum per alium protocolum accessibilem escalat.”
Markus Vervier, investigator apud X41 D-Sec qui etiam impugnationes AI quae MCP explant excogitavit, dixit melius nomen manere “injectionem promptorum” et technicam Mohiuddin simplicem subclasse illius esse.
“Pro me hoc est indirecta injectio promptorum,” inquit Ars. “Factum est quod promptio malignus ex alio protocollo (e.g., A2A) provenire potest et manifestatur cum adhibetur per alium protocolum non stricte requiritur ut tales impugnationes operentur. Est, scilicet, inexpectatum et difficile mitigare in genere.”
Factum est quod technica pivoting per quinque organizationes cum nihil commune praeter usum MCP operavit notabile est. MCP novum est et iam ubique est antequam satis probatum et firmatum sit. In festinatione organizationum ad architecturas agenticas amplas construendas, principium securitatis core notum ut zero trust reliquerunt. Sub illo modelo, reticula construuntur cum assumptionem quod unus vel plures nodi infecti esse possunt. Ad effectus mitigandos, ingeniarii nodos designare debent ut auctoritatem requirant antequam transactiones sensibiles cum aliis agant.
“Lectionem quam velim homines capere est quod quidquid ab LLM ad tuum instrumentum traditur debet tractari sicut input ab extraneo in interrete, quia in scenario injectionis promptorum id quod est,” McKee dixit. Bugs subter sunt veteres amici sicut injectio et SSRF, et correctiones in 20 annis non mutatae sunt. Creditum investigatoris quod nomen ei imposuit, quia nomen est quod defensores et corpora standardorum ad vere designandum adducit.”
Dan Goodin est Senior Security Editor apud Ars Technica, ubi coverage malware, spionage computatrale, botnets, hacking hardware, encryption, et passwords moderatur. In tempore suo libero, hortum colere, coquere, et follo amat.