A2M: Trace-Optimized Agent Hijacking in the MCP Ecosystem
作者: Laizhen Li, Xuan Wang, Peicheng Zhao, Juanjuan Zhao, Kejiang Ye, Cheng-zhong Xu, Xitong Gao
分类: cs.CR, cs.AI
发布日期: 2026-09-22
备注: Accepted by AACL-IJCNLP 2026
🔗 代码/项目: GITHUB
💡 一句话要点
提出A2M框架以优化MCP生态系统中的代理劫持问题
🎯 匹配领域: 支柱一：机器人控制 (Robot Control)
关键词: 模型上下文协议 代理劫持 黑箱攻击 工具优化 网络安全
📋 核心要点
- 现有的MCP代理在选择工具时依赖语义匹配，容易受到攻击者控制的元数据影响，导致安全隐患。
- A2M框架通过吸引和操控两个阶段，优化工具元数据和执行轨迹，从而有效劫持MCP代理。
- 实验结果显示，A2M在多种场景下实现了高达93.6%的恶意工具调用率，显著提升了攻击成功率和成本效益。
📝 摘要（中文）
代理使用模型上下文协议（MCP）依赖语义匹配从第三方服务器选择工具，这使得攻击者通过控制元数据和输出暴露出语义供应链风险。我们提出了A2M（吸引-操控），一个两阶段的黑箱框架用于劫持MCP代理。吸引阶段优化工具元数据以提高调用概率；操控阶段利用执行轨迹来细化对抗性工具返回，指导代理朝向攻击者期望的结果。在LiveMCPBench上，针对GLM-4.6优化和评估的直接攻击在四种场景下实现了93.6%的恶意工具调用率，认知拒绝服务下的加权令牌成本增加至32.4倍于良性基线，信息泄露、环境完整性妥协和推理偏离的平均攻击成功率为74.4%。转移到其他四个模型而无需重新优化，分别获得63.6%、2.7倍和24.5%的对应宏平均。这些发现促使在MCP生态系统中加强工具审查和运行时隔离。
🔬 方法详解
问题定义：本论文旨在解决MCP生态系统中代理工具选择的安全性问题，现有方法在面对攻击者控制的元数据时表现出脆弱性，容易导致不安全的工具调用。
核心思路：A2M框架的核心思路是通过优化工具的元数据和利用执行轨迹来操控代理的行为，从而实现对MCP代理的有效劫持。这样的设计使得攻击者能够更精准地控制代理的输出。
技术框架：A2M框架分为两个主要阶段：吸引阶段和操控阶段。在吸引阶段，通过优化工具的元数据来提高其被调用的概率；在操控阶段，利用执行轨迹来调整工具的返回结果，引导代理朝向攻击者期望的目标。
关键创新：A2M的主要创新在于其双阶段的黑箱攻击策略，结合了元数据优化和执行轨迹分析，这与现有方法的单一攻击方式形成了鲜明对比，显著提高了攻击的成功率和效率。
关键设计：在实验中，A2M使用了特定的损失函数来优化工具调用的概率，并设计了适应不同模型的参数设置，确保在多种环境下的有效性。
🖼️ 关键图片
📊 实验亮点
实验结果显示，A2M在GLM-4.6模型上实现了93.6%的恶意工具调用率，且在认知拒绝服务场景下加权令牌成本增加至32.4倍，攻击成功率在多种场景下达到74.4%。此外，A2M在转移到其他模型时仍保持较高的效果，显示出其广泛的适用性。
🎯 应用场景
该研究的潜在应用领域包括网络安全、自动化工具选择和智能代理系统。通过增强MCP生态系统的安全性，A2M框架能够有效防止恶意攻击，保护用户数据和系统完整性，具有重要的实际价值和未来影响。
📄 摘要（原文）
Agents using the Model Context Protocol (MCP) rely on semantic matching to select tools from third-party servers, exposing a semantic supply-chain risk through attacker-controlled metadata and outputs. We introduce A2M (Attraction-to-Manipulation), a two-stage black-box framework for hijacking MCP agents. The Attraction phase optimizes tool metadata to increase invocation probability; the Manipulation phase uses execution traces to refine adversarial tool returns that steer agents toward attacker-desired outcomes. On LiveMCPBench, direct attacks optimized and evaluated on GLM-4.6 achieve a macro-average malicious tool invocation rate of 93.6% across four scenarios, increase weighted token costs to 32.4$\times$ the benign baseline under Cognitive Denial of Service, and attain a mean attack success rate of 74.4% across Information Exfiltration, Environment Integrity Compromise, and Reasoning Derailment. Transfer to four other models without re-optimization yields corresponding macro-averages of 63.6%, 2.7$\times$, and 24.5%. These findings motivate stronger tool vetting and runtime isolation in MCP ecosystems. Code is publicly available at https://github.com/Lilaizhen/A2M.