该论文针对大语言模型（LLM）智能体从聊天界面走向基础设施运维这一现实趋势，提出了一个在 Kubernetes 上安全承载 AI 智能体的纵深防御框架与参考架构。作者指出，当智能体能够读取遥测、调用工具、生成并执行代码、直接改变生产 K8s 集群状态时，传统云原生安全所依赖的『数据与控制面分离』假设已经崩塌：智能体仅仅是『读取』的内容——一行日志、一张工单、一段工具描述——就可能改变它接下来的行为。因此论文的核心立场是：模型本身不能被视为安全边界，智能体安全本质上是基础设施问题，所有安全保证必须在『智能体已被提示注入完全攻陷』的假设下依然成立。围绕这一立场，论文给出五项贡献：(1) 面向 K8s 内部与之上运行智能体的威胁模型与十类威胁分类法，并与 OWASP 关于智能体应用的新兴指南对齐；(2) 九条设计原则，核心是在工具边界实现完全中介（complete mediation），并打破『不可信输入 + 敏感访问 + 对外出口』三者的组合；(3) 七层纵深防御框架，将每条原则映射到原生或广泛采用的 K8s 机制上，包括工作负载身份、RBAC 与 ValidatingAdmissionPolicy、通过 SIG Apps Agent Sandbox 项目实现的 gVisor/Kata 沙箱、支持 FQDN 的出站策略、对工具参数做 policy-as-code 的 agent/MCP 网关，以及 eBPF 运行时强制；(4) 一套参考架构，含具体策略工件以及面向 Amazon EKS、Azure Kubernetes Service、Google Kubernetes Engine 的分层绑定；(5) 定性评估，包括威胁—控制覆盖矩阵、四个攻击情景走查以及一套拟议的实证方法论。论文明确表示不报告实测的攻击成功率或性能开销数据，而是识别残余风险并指出验证该框架所需的度量指标。适合平台安全、云原生安全、AI 基础设施与 SOC 团队阅读。

该学位论文系统研究如何评估并提升大语言模型（LLM）对输入序列变异的鲁棒性，直面生产系统中三类现实威胁：提示注入、木马/后门植入，以及对自动质量评测指标（LLM-as-a-Judge）的操纵。作者首先提出生成式鲁棒性度量 R_stab(f)，通过对输入施加微小扰动，比较模型逐步输出分布之间的 Jensen-Shannon 散度来量化稳定性。针对局部化攻击，论文给出理论结果 V(h) ≤ 1 − R_class(h)，即决策算子 h 的脆弱性上界由其在微小扰动下仍保持原决策的概率决定；针对非局部化攻击，则提出经标定的经验模型来刻画脆弱性。在评测器安全方向，作者设计了 ASA——一种自适应进化式黑盒攻击方法，用于攻击 LLM-as-a-Judge 系统，最高攻击成功率（ASR）达 73.8%，在开放模型之间的迁移成功率最高 62.6%，说明评测器本身可被系统性操纵。在后门检测方向，论文在 Trojan Detection Challenge 2023（Pythia-1.4B）数据上显示，基于代理触发器可取得约 0.99 的 REASR，但对真实触发器的召回率仅约 0.17（基线约 0.14），揭示现有检测方法易过拟合到代理触发器而非真正识别后门。在防御绕过方向，作者基于 SaTML CTF 2024 的经验，将多层防御的绕过方式归纳为四类，可将 ASR 从 90% 压降到 15–25%。在集成防御上，由 5–7 个异构模型组成的委员会可把 Gemma-3-4B 的 ASR 降低 47–55 个百分点，7 模型配置下降至 19.3%。面向基于模型上下文协议（MCP）的智能体系统，论文提出 AttestMCP，用 HMAC 保护的数据包对工具调用进行证明，单次调用开销低于 0.1 毫秒，并提出 Commit Boundary 隔离模式；在包含 847 个场景的 MCPBench 上，二者将平均 ASR 从 53.7% 降至 12.4%。所有方法均落地为 JudgeGuard、TrojanArmor 软件套件与 MCPSec 模块，形成从理论度量、攻击评估到工程防御的完整闭环。

该论文研究的是 LLM 智能体在企业级大规模工具集环境下的安全可扩展性问题。作者指出，若让智能体直接访问全部内部工具，会带来三个后果：上下文窗口被撑爆、工具选择质量下降，以及严重的治理漏洞——因为仅写在提示词里的系统策略本质上是概率性建议，而不是硬性约束。现存的缓解手段(如按领域拆分的多智能体委派)会把审计日志分散到各处，也无法跨会话保证策略合规。为此作者提出 skilder 框架，把能力封装成“角色”(role)：一个角色是技能、工具、指令的捆绑包，并附带限定其边界的限制条件。智能体从最小角色目录出发，先学习任务需要哪些角色，然后通过单一的 MCP 服务器获得该角色的技能、指令与工具。关键设计在于：工具只以“已学习技能”的内部组件形式抵达智能体，因此同一台服务器能够确定性地强制“已学习范围”的边界，而不是依赖模型自觉。评估方面，作者在 13 个任务、6 个模型、每个模型 10 次运行的设定下，将 skilder 与扁平上下文工具选择和现有多智能体编排进行对比。结果显示：当模型完成角色发现流程并发出受治理的调用时，skilder 的模拟授权层成功守住了治理边界，没有出现任何未授权工具调用或参数违规(例如突破支出上限)。整体任务通过率还额外反映了模型是否遵循发现协议、是否满足响应质量检查，这些未通过项并不属于授权失败。作者进一步强调，允许智能体在任务中途动态获取跨角色能力，可以在保持问题求解灵活性的同时，提供硬性的系统级强制执行。该工作适合关注智能体权限治理、MCP 工具网关与最小权限架构的研究者与安全工程师阅读。

这篇论文（cs.SE）系统研究了编码智能体（coding agent）审批机制的覆盖盲区。问题起点是：审批界面把人类的批准决定绑定到某一条命令或某一个工具调用上，但开发者工具真正执行的是该调用所激活的整条传递性工作流。例如安装一个包可能触发依赖包的 lifecycle hook 并写入任意文件；一次 MCP 调用可能连带行使网络访问权限。结果形成一种持久化记录的覆盖失败：审计记录如实写下了入口调用的身份，却完整遗漏了该工作流实际行使的副作用。作者将这一现象命名为 "approval laundering"（审批洗白），并称这是对该 record-to-closure（记录到闭包）关系首次开展的系统性安全分析。方法上有三部分：其一，在六类副作用（effect classes）上形式化 "closure-bound approval"（闭包绑定审批），并推导出一条信息论上限——相同的策略可见字段在不同场景下可能要求彼此冲突的效应级决策，因此任何只依赖记录的策略都无法同时保证两者；其二，构建 Approval-to-Action Security Benchmark，把审批对象与决策时刻的元数据同执行后证据进行绑定与比对；其三，提出前瞻性的恢复方案，让效应绑定记录在授权之前就提交冻结的、有来源支撑的预测与溯源信息。实验上，111 组固定的审批对象/执行轨迹配对中，残留记录在仅用显式字段时为 40，引入命令语义后降至 17，引入决策时元数据后降至 13；在 11 次固定 SHA 的执行中，这一递进阶梯可把元数据残留降到零，且有两个精确映射在三个不同的产品前端重复出现，说明该缺陷具有普遍性而非单一实现问题。在 17 个预先指定的 holdout 工作流上，效应预测达到 0.926 的宏召回率与 0.941 的宏精确率，把预测绑定到授权后残留效应从 10 降到 3。作者还实现了一个 Claude Code PreToolUse 集成，将冻结记录沿权限路径往下传递，同时不会自动批准。结论是：即便调用身份完全真实，审批洗白仍是一种可度量、反复出现的记录覆盖失败，因此应在授权前把每次调用绑定到对其工作流传递效应边界的有来源预测，并让该绑定随决策一并保存。适合智能体平台开发者、SDK/IDE 工具链维护者、AI 安全研究者以及负责 AI 编码工具治理与审计的合规、SOC 团队阅读。

该论文研究了多步工具调用型 LLM Agent 中一个此前被忽视的计费安全面。背景是：Agent 依赖宿主运行时（host runtime）在多个回合之间保存状态，而当运行时把外部工具的返回内容再次带入后续模型输入时，服务提供方会对这段内容重复计费。论文指出，一个已被接纳（post-admission）的恶意或被攻陷工具，无需受害者凭据、也无需本地运行时权限，就能把不可信数据转化为持续由受害者付费的处理开销，形成"拒绝钱包"（Denial-of-Wallet）攻击。作者将这种被保留并反复计费的内容命名为"持久计费状态"（persistent billable state），并把宿主在"是否以及如何让该内容进入后续计费上下文"上的决策形式化为"持久计费状态边界"。这是对该后准入生命周期进行的首个系统性安全研究。作者据此归纳出六类拒绝钱包攻击向量，并构建端到端测试框架 DOW-BENCH，在六个模型家族上评估：243 次执行的使用遥测显示，单会话最大累计输入可达该会话首次调用输入的 14,293 倍。通过受控的历史策略重跑，作者隔离出"原始历史保留"本身的贡献：保留原始历史使平均有效会话成本上升 21.2%–35.9%。压缩策略在两个提供方上分别于 10/12 与 11/12 的历史依赖任务中成功，而删除策略每方仅 2/12。为治理该边界，论文提出确定性历史变换与四条宿主侧不变量，在重新摄取（re-ingestion）前限定提示质量、上下文增长、递归机会与累计花费；该内核在 123 次评估重放语料中覆盖了全部复发攻击。在 24 个 Mistral Small 4 工作流中，进度授权策略取得 22/24 的 oracle 验证任务成功率且无完成前中断，固定上限策略仅 13/24。另对 3,830 个 MCP 服务器与传输仓库扫描发现，仅 71 个暴露任何代码可见的防护代理，且无一覆盖全部四类防护。

该论文研究 Model Context Protocol (MCP) 生态中的一类语义供应链风险：使用 MCP 的智能体（agent）在从第三方 MCP 服务器挑选工具时，主要依赖工具名称、描述等元数据与用户意图之间的语义匹配，而元数据和工具执行返回内容均由第三方（可能不可信）提供者控制。作者指出，这一机制使攻击者无需入侵模型或协议实现，仅通过精心构造的元数据与返回值即可劫持 agent 的工具选择与后续推理链路。为此论文提出 A2M（Attraction-to-Manipulation），一个两阶段的黑盒攻击框架。第一阶段 Attraction（吸引）以迭代方式优化工具元数据，在不改变 agent 内部参数的前提下提升该工具被调用的概率，使其在候选工具池中脱颖而出；第二阶段 Manipulation（操纵）则利用真实执行产生的 trace（工具调用序列、模型中间输出等轨迹信息）作为反馈信号，反向精修对抗性的工具返回内容，逐步把 agent 的后续行为牵引到攻击者预设的结果上。由于是黑盒方法，攻击者不需要模型权重、梯度或白盒访问权限。作者在 LiveMCPBench 上进行了系统评测：针对 GLM-4.6 直接优化并评估时，四个场景下的宏平均恶意工具调用率达到 93.6%；在 Cognitive Denial of Service 场景中，加权 token 消耗被推高到良性基线的 32.4 倍；在 Information Exfiltration（信息外泄）、Environment Integrity Compromise（环境完整性破坏）与 Reasoning Derailment（推理偏离）三类目标上取得 74.4% 的平均攻击成功率。论文还验证了迁移性：不重新优化即迁移到另外四个模型时，对应宏平均分别为 63.6% 调用率、2.7 倍 token 成本与 24.5% 成功率，说明该攻击具有较强的跨模型泛化能力。作者据此主张在 MCP 生态中引入更严格的工具审核（vetting）与运行时隔离机制，并公开了代码仓库。整体上，该工作把 MCP 工具选择面形式化为可优化的攻击面，并给出了可量化的危害证据，对 agent 安全与供应链安全研究具有直接参考价值。

该论文聚焦 MCP（Model Context Protocol）驱动的智能体（agentic）工作流中的授权安全问题。此类系统通过多步工具调用访问文件、服务与外部资源来满足用户请求，而现有防护普遍采用“逐调用隔离检查”的方式，即对每一次工具调用单独判定是否被允许。作者指出这种模式会漏掉一类工作流层面的失效：序列中的每一次调用在局部看都合规，但把它们按顺序组合起来后，整体行为会超出会话建立时的授权边界，作者将这一失败模式命名为“授权漂移”（authorization drift）。 为解决该问题，论文提出运行时授权一致性检查（Runtime Authorization Consistency Checking, RAC）。RAC 是部署在控制器侧工具调用边界上的轻量守卫，其核心思想是把授权从“一次性静态判定”转变为“由已被接受的工作流步骤承载的运行时状态”。对每个待执行的调用，RAC 依据控制器自身可观测的元数据重建一个可信授权事件，只有当该调用在权限严格程度上“不宽于”经由已接受调用谱系（lineage）继承下来的授权基准时，才允许放行；而被拒绝的步骤会被排除在谱系之外，因此后续调用只能从已被接受的历史中获取授权依据，从而阻断“用被拒调用作为跳板”的累积越权路径。 评估方面：在包含 1,248 条工作流的 TraceBench 套件上，RAC 未出现任何漏拦截（missed-block）情况，而最强的 Static+History 基线在 1,008 条 oracle-BLOCK 工作流中漏掉 509 条；在盲测 LLM 生成计划的高置信可观测子集上，RAC 的拦截召回率为 92.8%，对照最强基线的 68.8%；在真实 MCP 文件系统规划器回放中，RAC 在服务器执行前阻止了 9 次不安全延续，且 p99 检查延迟保持在亚毫秒级，说明工作流级授权一致性校验在真实时延预算内可行。

该论文研究的是工具增强型 LLM Agent 中一个被现有方法系统性忽视的失效模式：模型会调用根本不存在的工具，并传入任何 schema 都未声明的参数（即工具幻觉）。作者指出这不是「工具选错」问题，也不是「权限过大」问题——现有防御分两类：一类做工具选择（selection），保证选出正确工具；另一类做调用门控（gating），限制 Agent 能用真实工具做什么。二者都有一个隐含前提：模型发出的调用至少指向一个真实工具。而幻觉调用在构造上就不是任何 gate 所做过的决策，因此任何 gate 在原理上都无法拒绝它，这是一个结构性盲点。 论文定位为测量与基准研究，主要贡献包括：(1) 提出工具幻觉的五分类法 H1–H5；(2) 作为参照实现提出 Resolution Rung——一个免训练、闭世界的解析器（仅做注册表成员资格判定加签名校验），作者强调其价值在于「必须部署在链路中的哪个位置」而非其计算复杂度；(3) 形式化证明幻觉防御必须先于任何因果 gate，并刻画出一个不可约残留：借用参数（borrowed arguments），它与合法调用在 schema 层面无法区分；(4) 在十种托管模型、两种调用接口上测得 322 次真实幻觉，其中伪造工具调用高度集中在无约束的原始 JSON 调用面（34 比 3），且模型规模无帮助——675B 模型与 7–8B 模型表现相当；(5) 将研究扩展到 Model Context Protocol（MCP），指出把多个服务器合并进单一命名空间会制造单个注册表无法表达的幻觉面，并给出第二套分类法 M1–M5，在实时 MCP 接口上测得 154 次幻觉，其中甚至包括在单注册表接口上表现干净的先进模型，原因是命名冲突与遮蔽（shadowing）是合并操作的结构性产物。作者同时发布带版本号的 Hallucinated-Tools Benchmark（HTB），使不同解析器方案可在同一基准上横向比较。

该论文聚焦于 Model Context Protocol（MCP）从本地进程执行向远程 Streamable HTTP 部署演进过程中，整个生态在规模化后暴露出的架构集中度与安全可观测性问题。作者认为，MCP 已成为自治智能体连接外部数据源与执行环境的主流接口，但远程部署形态下的基础设施分布、认证实践与漏洞可见性此前缺乏系统性的实证测量。为此，论文提出一个三层可观测性框架：O_0 层为目录元数据（registry catalog metadata），用于刻画服务器在公共注册表中的登记信息；O_1 层为被动合规信号（passive compliance signals），通过非侵入式探测获取认证与协议合规特征；O_2 层为主动漏洞分析（live vulnerability analysis），在获得授权前提下设别运行时风险。基于该框架，作者从两个主要公共注册表中抽取分层样本，对 179 个远程端点开展实证评估，发现生态存在显著的基础设施整合：按自治系统号（ASN）分布计算的赫芬达尔-赫希曼指数（HHI）达到 0.736，远高于 0.25 的“高度集中市场”判定阈值，意味着少数托管方掌控了大部分 MCP 服务。研究进一步表明，服务器认证强度与所选托管平台强相关，而非取决于个体运营者配置：在商业 PaaS 托管的服务器中，95% 通过网关层强制执行带 PKCE 的 OAuth 2.1。由此作者提出当前生态中的“安全-可观测性权衡”（Security-Observability Tradeoff）：正是这些保护多数服务器的平台级认证机制，同时限制了自动化漏洞扫描的可行性，使 AI 网关运营方在未预先获得凭据的情况下，难以评估工具投毒（tool-poisoning）等攻击面。论文的贡献在于提供了可复用的分层测量方法论、集中度量化证据以及对该结构性权衡的明确刻画，适合 MCP/AI 网关运营者、智能体平台安全团队与供应链风险研究者阅读。

该论文研究 Model Context Protocol (MCP) 在企业网络中造成的网络检测盲区。MCP 是用于标准化自主 AI 智能体与远程工具之间通信的协议，基于 Streamable HTTP 传输，会把机器生成、经过认证、高频的 JSON-RPC 流量直接引入企业内网。传统上，防御方把“机器式固定节律”的通信视为失陷指标 (IoC)，因此这类流量本应容易被识别。作者指出，在缺乏显式网络层标识的情况下，MCP 流量在结构与时间特征上与命令控制 (C2) 信标行为高度相似，尤其是 Cobalt Strike 等高级持续性威胁常用的轮询式架构。为验证这一假设，作者搭建了基于 Docker 的受控测试床，构造 11 种有数学定义的流量剖面，覆盖三种 TLS 条件（不透明加密、TLS 解密检测、明文），并分别用 Suricata 的签名匹配和 RITA 的行为信标评分对 MCP JSON-RPC 模式进行评估。结果显示存在明显的可见性缺口：无论是否加入时间抖动 (jitter)、也无论是否具备 TLS 解密可见性，MCP 流量在 Behavior 评分上稳定得到 0.0，在 Emerging Threats (ET) Open 规则集下内容告警近乎为零，标准企业 IDS 与信标评分框架均未把 MCP 远程工具调用判为异常。作者进一步分析：不透明 TLS 虽然遮蔽了 HTTP 内容，却使流量暴露于流级时间分析之下，但现有针对传统恶意软件调优的 NIDS 启发式规则无法识别生成式 AI 推理循环所特有的对数正态到达间隔分布。据此，论文提出建立“智能体原生 (agent-native)”网络标识标准，包括 Agent-Native ALPN 与标准化带外头部，使防御方能够在不依赖内容解密的前提下区分合法智能体工具流量与恶意信标。该工作适合网络检测工程、SOC 检测规则开发、AI 智能体平台与网关基础设施团队阅读。

该论文聚焦 MCP（Model Context Protocol）引入的一类被忽视的信任问题。MCP 让 LLM 能调用外部工具，但每一次工具交互都会把攻击者可控的文本通过多条输入通道注入模型：工具描述、工具返回结果、采样（sampling）消息等。这些通道共享同一个上下文窗口，彼此之间没有任何权限隔离或来源可信度区分，模型无法分辨哪一段文本来自可信系统、哪一段来自外部不可信源。作者首先提出一套测量框架，通过不同通道发送多种载荷包装形式，系统刻画任意 LLM 的“信任画像”，即模型对不同来源、不同包装方式文本的服从程度差异。基于该画像，作者设计出跨通道碎片化攻击：把看似无害的载荷片段分散到 2 至 3 条通道中，任何单一通道都不包含完整注入，但模型会在推理时把碎片拼接成完整语义，最终执行凭据外泄。实验覆盖 12 个前沿模型、3 个生产级客户端、6 类载荷，累计超过 15,000 次试验。核心发现是：跨通道攻击构成一片此前未被探索的攻击面——在单通道注入下完全免疫（合规率 0%）的模型，在两通道碎片化下敏感数据外泄率最高可达 100%，涉及 GPT-4o、Llama 70B、Composer 2、Haiku 4.5 等。论文还展示了两类扩展：其一是“价值对齐利用”，即工具被声明的用途本身就要求访问攻击者想要的数据，使外泄行为在语义上显得合理；其二是在 VS Code 的 MCP 实现中通过采样系统提示覆盖注入持久化指令。最后，作者用 7 款第三方 MCP 安全工具和 3 类基于提示的防御进行对抗评估，结果显示所有工具均未能检出碎片化载荷，而提示层防御具有模型特异性，无法通用。

该论文提出 PentestChain，一个面向自动化渗透测试的十阶段框架，核心动机是解决 AI 驱动渗透测试的成本可及性问题。作者指出，此前基于 GPT-4 等前沿闭源模型（premium frontier models）的自动化渗透测试虽然已被证明可行，但按次计费的 token 开销使得持续化、常态化的自动化测试对中小型组织而言难以承受——而这些组织恰恰最需要此类能力。PentestChain 的设计由三块组成：(1) 一个经过人工整理、确定性的漏洞利用映射表（curated deterministic exploit map），作为稳定不依赖模型推理的“骨干”；(2) 成本感知的 AI 级联（cascade）策略：先调用本地 Ollama 部署的 qwen2.5-7b 小模型，失败再降级到 OpenRouter 与 Cerebras 的免费额度，最后还有规则式兜底（rule-based fallback）保证任何情况下都能产出结果；(3) 通过 Model Context Protocol（MCP）服务器将整条流水线以 11 个工具的形式对外暴露，便于被其他 Agent/客户端编排调用。论文声明三项贡献：第一，把“每次交战（per-engagement）的美元成本”作为被实际测量的一等评价指标，并证明在确定性骨干把 7B 本地模型挡在关键路径之外的设计下，系统可在实测零付费 API 成本的前提下维持端到端运行。第二，作者分析了将攻击性引擎通过 MCP 暴露所引入的新攻击面，并基于 2025 年 MCP 相关事件记录构建了一个四位置威胁模型，所依据的真实案例包括 mcp-remote 中的 CVE-2025-6514 远程代码执行漏洞、postmark-mcp 供应链后门，以及“工具投毒—地毯式撤回—跳线”（tool-poisoning / rug-pull / line-jumping）这一类针对工具描述与信任链的攻击模式，并据此提出四项缓解措施。第三，作者给出一套可复现、容器化的评测协议，对齐当前顶会所要求的标准测试床：AutoPenBench、Cybench 子集以及 PentestGPT 的 182 个子任务基准，并采用多轮试验统计方法（每种配置 10 次以上试验、pass@k、非参数显著性检验与效应量），同时对 PentestGPT 与 PentestAgent 基线进行相同测试床上的直接复现，而非直接引用其论文公布的数字。摘要给出的实测结果为：在已完成测量的遗留目标上，框架识别出 26 个服务、富化了 34 个 CVE（摘要在此处被截断，后续实验数据未完整给出）。整体来看，这是一篇兼具工程系统与安全分析视角的论文：既把经济性作为设计约束引入 AI 渗透测试，又反过来审视自身架构（MCP 暴露面）带来的风险。适合研究自动渗透测试、LLM Agent 编排、MCP 生态安全与 AI 红队成本优化的读者。

该论文是一篇面向「工具调用型 AI 智能体」授权体系的系统性综述，作者来自产业与研究机构。文章指出：能够自主调用 API、数据库、浏览器以及 MCP（Model Context Protocol）等智能体间协议的 AI Agent 正在成为生产基础设施，但约束「Agent 何时可以代表人类行事」的安全模型仍严重滞后。作者提出可信人机系统必须满足三条性质：每一个有实质后果的 Agent 动作都能追溯到某个人类主体（principal）；该动作被限制在此人实际委托的权限范围内；事后可以对其提出质疑与追责（contestable）。而现实中极少有已披露的部署能端到端地同时满足这三点。 文章认为既有文献只零散地处理了问题的片段：非人类身份的凭证管理、经典访问控制模型（RBAC/ABAC 等）、提示注入攻击、审计日志；却很少聚焦「授权决策点本身」，即工具调用真正发生的那一刻，以及让该决策正确、可强制执行、可问责的机制。为此作者构建了一个主体层级（principal hierarchy）作为组织框架，自上而下包括：人类用户、运营方/部署者、编排 Agent、子 Agent、工具端点。在该框架下论文辨析了五个相互依赖的层面：(1) Agent 身份与凭证生命周期；(2) 多跳调用链中的委托与权限范围传播；(3) 在策略执行点（PEP）上进行的运行时强制与即时（just-in-time）授权；(4) 提示注入作为一种破坏主体层级、实现授权绕过的攻击；(5) 可审计性、溯源与非否认性。 方法上，本文是结构化叙事综述，从约 180 篇候选文献中筛选出 89 篇 2023—2026 年的主要来源。核心产出包括：提炼出七条结构性要求、推导出一个四层参考架构、将要求应用于三种可部署的参考配置，并指出当前最主要的两处未解缺口是「运行时强制执行」与「聚合边界（aggregation bounds）」——即多个被单独授权的小范围动作聚合后可能形成未被授权的整体能力。适合安全架构师、IAM/平台安全工程师、Agent 框架开发者与合规审计人员阅读。

该论文形式化了工具调用型 LLM Agent 中的「随机代理问题」(stochastic deputy problem):多租户工具通常要求调用方传入租户标识(tenant id),再由工具依据调用方授权校验该标识。但当调用方是 LLM Agent 时,资源选择权实际被交给了一个上下文可能被攻击者指令污染的进程,于是参数校验在语义上正确、在安全上却失效——模型可被诱导传入不属于自己的租户标识。作者提出的结构性防御是:把租户身份从 MCP(Model Context Protocol)工具 schema 中彻底移除,将访问范围绑定到经过验证的凭证上,并在 Agent 之下(而非之上)强制执行。为验证该设计,作者完成 373 次试验的消融实验,覆盖 8 种模型配置与 2 种传输方式:当租户参数存在且被「正确校验」时,全部 26 次越权尝试均被服务端执行(在 41 次带合理借口措辞的试验中占 26 次),说明参数级校验无法抵御上下文注入;移除该参数后,任何工具签名都无法表达跨租户读取。但 56 次试验中仍有 12 次通过伪造可写范围(writable scope)绕过接口约束,表明接口不变性还依赖密码学保护的上下文绑定。性能方面,在数 GB 规模生产数据集上,当成员谓词被函数包裹时,集合值范围(set-valued scope)造成高达 57 倍的延迟比;改用 JSON_TABLE 侧向连接,并在租户键有索引的情况下恢复了索引访问。论文同时披露部署边界:授权规模过大时查询规划器出现性能悬崖,以及索引覆盖不全。结论是多租户隔离必须依赖可强制执行的接口与凭证,而不能寄望于模型自身合规。

该论文聚焦一个此前被忽视的授权盲区：自主 AI 智能体在执行任务过程中会「获取(acquire)」计算资源、凭证、账户、外部服务乃至其他智能体，这些被获取的对象一旦返回，就会给原任务引入新的权限。作者指出，现有的支付校验、预算控制、OAuth 授权、mandate(委托指令)校验和履约(fulfillment)校验，都只回答「这笔交易/这次调用是否允许发生」，而无法回答「履约之后返回的资源，是否可以被当作可用权限来激活」。这个「履约后激活缺口(post-fulfillment activation gap)」同时存在于三条路径：工具介导的资源创建、智能体之间的层级委派，以及 agentic commerce(智能体自主交易)场景。 为此作者提出 AcquireBound——一种「溯源边界内」的运行时授权架构。其核心流程为三步：第一，对已获取的输出先做隔离(quarantine)，不让其立即生效；第二，通过一个版本化的解析器(resolver)，从经过认证的 provider 证据中解析出该资源实际具备的能力，而非依赖调用方自报的意图；第三，只有当一次「当前激活事务」检查通过后才允许激活，检查项包括解析后的能力清单(manifest)、溯源信息、epoch(权限版本代次)，以及定义在类型化「资源-能力超图」之上的下行封闭关系包络(downward-closed relational envelope)。该包络用于保持相关联的身份、效果、数据、委派与全图级别的限制，从而避免拆分式规避。对于一次性效果许可(single-use effect permit)，系统在效果线性化(effect linearization)时重新验证并消耗，防止重放。 在显式假设下，作者证明了八条安全属性：隔离、背书(backing)、非放大(non-amplification)、拆分不可规避(split non-evasion)、崩溃/重试一致性、退款、epoch 语义、效果封闭(effect confinement)。 实验方面：在五类资源上，参考语义实现接受 20/20 良性 trace、拒绝 40/40 已注册的不安全 trace，覆盖 810 个事件；独立检查器在 60 条基础 trace 与 40 条精化 trace 上与参考实现一致，并拒绝 89/89 篡改测试。冻结版本的 Codex 与 Gemini 的 MCP(Model Context Protocol)客户端组件完成了 54/54 次确定性本地 stdio 调用。在注册的 18 例分阶段 MCP-to-Docker 组合场景中，两条良性路径全部完成，16 条不安全路径均未产生未授权的 Docker 启动请求。此外，一项五来源审计对 32 个单元的 1,248 个字段对进行分类，结论是没有任何单一来源能独立提供完整的激活画像。 适合阅读人群：智能体安全、智能体身份与权限(IAM)、MCP/工具调用运行时防护、agentic commerce 与云资源自动化方向的研究者与架构师。

该论文关注 LLM Agent 在执行真实动作（运行代码、修改文件、调用外部服务、委派子任务）时的权限最小化问题。与传统系统中「能力预先定义」不同，Agent 真正需要的最小权限是动态的，取决于其「任务意图」——它想做什么、以何种方式做。驱动 Agent 的上下文来源非常杂：用户请求、工具返回结果、被读取的文档、shell 输出、Skill 与 MCP 指令、长期记忆等。这些输入全部汇入同一个共享的规划通道，影响力几乎对等，因此既可能被对抗性注入利用，也会因意外的作用域扩大而越权；然而用户显式请求与文档中抽取的文本在信任等级上并不相同，不应拥有同等的「选择目标」和「扩大访问范围」的权力。现有防御大多约束具体操作与信息流，论文转而研究「按任务定域、多来源的权限组合」。作者主张：Agent 能力应当绑定当前任务意图，而不是绑定沙箱或整个会话生命周期；同时没有任何单一上下文来源能够定义完整能力。为此提出 IntentCap：从四类来源合成能力——用户意图、工作流指令、工具 schema、运行时环境——并采用「字段级所有权」与「单调收窄」原则。每个来源只贡献特定字段，任何来源都不能填写别人的字段；生成的权限租约只能收窄用户已授权的权限，绝不能扩权。实现上，IntentCap 用 LLM 从这些来源生成短时租约，在任何副作用提交之前由确定性检查器校验，并由工具层与操作系统层的信息流策略强制执行。评估显示：IntentCap 能阻断测试中的违规行为且不误拒良性动作，每个来源边界都独立必要，检查器在工具调用、代码执行、文件放置、任务委派等边界上具备泛化能力。适合从事 Agent 安全、最小权限模型、提示注入防御的研究者与工程团队阅读。

该论文对 Model Context Protocol (MCP) 生态进行了一次系统性的安全普查。MCP 已成为大语言模型应用连接外部工具的事实标准接口，其公共注册表分发了数千个社区构建的服务器，但相较成熟软件包生态，其审核与治理基础设施严重不足。作者以 2026 年 8 月的完整公共 MCP 注册表快照为语料，共采集 21,643 个服务器、72,606 条版本记录，并实际拉取到 14,353 个服务器的源码。为量化风险，作者设计了一套基于模式匹配的扫描器，覆盖八类威胁目录，并用 414 条人工标注发现来测量扫描器在每个类别上的精确率，从而把原始观测流行度校正为更接近真实的估计值。观测结果显示，最高频的风险类别是未认证的网络暴露，占被扫描服务器的 9.57%；把所有类别按各自精确率校正后，原本 11.14% 的高危流行度下降到约 7.6%。论文更核心的发现不是某个具体缺陷，而是生态层面的"静默漂移"：51.1% 的多版本服务器在版本之间改变了自身对外声明的能力或元数据，其中 40.6% 属于静默变更（协议不会向已安装的客户端提示），另有 4.2% 的服务器在保留注册表身份不变的前提下，把远程端点重定向到了另一台主机。作者进一步做关联分析，发现存在静默漂移的服务器出现高危问题的几率接近三倍（OR = 2.96，95% CI [2.56, 3.42]），而流行度只能提供很弱的保护（每单位对数 star 数 OR = 0.78），说明星级/下载量不能作为安全性的代理指标。最后，论文给出了针对注册表设计、客户端版本固定（pinning）与扫描器分诊的具体建议，并发布了一份匿名化数据集以便复现与后续研究。

传统漏洞分析通常依赖对目标系统的访问权限或与其动态交互，但在第三方分析师审计闭源、远程托管、关键在役系统或商业受限软件时，这两类条件往往都不具备。为此，论文提出一种新的分析范式——无盒漏洞分析（no-box vulnerability analysis）：分析者既无系统访问权，也无法运行时交互，唯一可用的信息是功能元数据。元数据描述了系统的预期行为（输入、输出与副作用），并据此约束所有与之相符的可能实现。研究者的目标是在不观察、不接触目标系统的前提下，推断出“在符合该元数据的全部可能实现中都会出现”的漏洞假设，待日后获得更多访问权限时再行验证。作者以原型系统 MCPSEC 验证该范式的可行性：MCPSEC 仅利用 Model Context Protocol（MCP）服务器在注册阶段暴露的工具元数据，审计其中可能存在的间接提示注入漏洞。评估覆盖 20 个广泛部署的 MCP 服务器共 177 个工具，人工评估者确认其中 95 个工具确实存在漏洞；MCPSEC 将 143 个工具标记为存在风险，并为每个被标记工具生成漏洞假设与对应的利用技术描述。仅凭元数据，MCPSEC 就预测出 94 个经人工验证的真实漏洞（召回率 98.9%），优于 LLM 基线的 80 个（84.2%）。该工作提出并验证了无盒漏洞分析这一新范式在真实系统中的实用可行性。

本文针对远程模型上下文协议（MCP）服务中，大型语言模型（LLM）智能体调用外部工具时的信任缺口问题展开研究。传统上，服务依赖 OAuth 授权来允许智能体调用工具，但 OAuth 仅完成身份与授权层面验证，无法保证后续工具调用确实由依赖方原本预期的提供端工作负载执行。作者称之为“后授权执行信任缺口”（post-authorization execution trust gap）：例如，授权端点可能被重定向到替换后的工作负载、依赖已过时的评估状态、复用来自其他发送者转移的权限，或历经未声明的下游组件。为弥补这一缺口，论文提出 ACLE-MCP 架构，一种按调用（invocation）为范围的安全设计，将委托授权、工作负载评估和资源端执行准入三者耦合。对于受保护调用，ACLE-MCP 签发短时、发送者约束的能力租约，该租约绑定预期的执行工作负载、新鲜度要求、操作类型、对象与参数边界、下游约束以及接收义务。工作负载执行前，提供者端的“执行门”（Execution Gate）会立即验证并消费该租约。作者实现了一套可运行原型，集成 Keycloak/OIDC 验证、MCP Python SDK 服务器，以及可选的 vTPM 远程证明后端。受控安全实验与智能体工具使用扩展表明：在仅使用较弱授权或仅在连接时进行认证的模式下，多种后授权攻击仍可奏效；而完整的 ACLE-MCP 能够阻断所有评估的攻击家族，同时不干扰良性任务。在本地模拟的智能体扩展中，完整设计相比仅 OAuth 方案，在允许的正常调用上请求级聚合 p95 延迟仅增加 25.7%。实验证明，将调用权威与当前工作负载状态进行执行时刻绑定，是对 OAuth 保护的远程工具调用的实用补充。

该研究针对一个实际安全评估盲区: 当同一个智能体(Agent)同时使用 MCP 工具调用和 A2A 委托时，单独对每一层评估的安全性可能无法描述组合行为。作者构建了一个受控测试床: 一个真实模型主机通过本地 MCP 访问工具，再经本地 A2A 将消息传递给另一个代理，形成有序事件轨迹，并使用确定性规则进行精确计分，而不是依赖 LLM 裁判。实验采用冻结的三臂设计，包含 10 个记录场景，每个场景分别施加 "CONFIDENTIAL" 标头、无标头和 "PUBLIC - OK TO SHARE" 标头，但六个实质性记录字段的值在三种条件下字节完全相同。配置为 4 个模型 × 3 个条件 × 4 次重复，共 480 次试验。结果显示: 带 CONFIDENTIAL 标头与无标头之间的外发差异没有明确结论，且在所有模型中均接近下限；而增加 PUBLIC - OK TO SHARE 标头相对无标头会带来更高的逐字字段外发频率，但模型依赖性很大——Claude Sonnet 5 上效果强且一致（公开发送相对无标头的平均增加 0.800，所有 10 个场景均如此），GPT-5.6 的某一档中等但受到下限限制，另一档中位数增量为 0，还有一档完全没有效果。作者强调这是单一配置下的相关性而非因果关系。研究已公开代码、字节级轨迹和分析流水线，便于复现。对安全从业者的启发是: 在多协定的智能体链路中，简单的标签条件可能改变数据外发行为，不能依赖标签本身作为数据防泄漏控制，需要跨组件监督出站内容的逐字泄露。

本文提出并系统研究了模型上下文协议（MCP）服务器端的一种新型时间性信任攻击——TrustShift。MCP 已成为大语言模型（LLM）智能体连接外部工具后端的标准协议层，但其开放性引入了严重的服务器端威胁。TrustShift 攻击的核心机理是：被攻陷的 MCP 服务器在初始条件阶段保持良性行为，建立操作依赖并抑制智能体的怀疑，直到达到某个交互阈值后才切换到对抗性载荷。这种规避是时间维度的而非语法层面的：部署时表现为良性，因此可绕过部署前的静态分析；其切换后的载荷涵盖从明显的结构违规到保持协议合法性的模式有效操作，后者可规避运行时中间件过滤器。攻击通道是服务器控制的工具通道，而非用户提示（不同于间接提示注入）或传输层（不同于中间人攻击），对抗者本身就是被信任的服务器端点。作者提出了 TrustShiftProbe 评估与防御框架，包含四项贡献：（1）构建了智能体-服务器生命周期的状态化时间威胁模型，将生命周期建模为良性条件阶段与信任视界后的对抗性背叛阶段；（2）实现了一个语言无关的攻击引擎，可在四个生产域中实例化每种变体为受损的 MCP 服务器；（3）提出了 SHIELD，一种部署在 MCP 传输边界的多层级、零预言机运行时防御，利用干净信任窗口期学习的行为基线来审计服务器载荷；（4）建立了九种 TrustShift 变体的分类体系，涵盖三种执行机制（结构违规、语义破坏、范围扩展）和三种对抗目标（破坏、窃取及其组合）。实验覆盖前沿专有和开源模型，TrustShift 攻击的平均成功率为 69.5%，SHIELD 可将其降至 42.7%。该研究揭示了 MCP 生态中服务器端信任关系的脆弱性，为 LLM 智能体安全提供了新的威胁建模视角和防御思路。适合 LLM 安全研究者、智能体平台开发者及安全运营人员阅读。

本文提出 AEGIS，一个针对 Model Context Protocol（MCP）的跨域资源滥用防护策略执行组件。MCP 是一种开源的 JSON-RPC 协议，用于标准化大语言模型（LLM）与外部系统之间通过工具（tools）进行的交互。攻击者或恶意代理可以利用 MCP 工具的某些模态（modality）来降低基于代理的应用程序的整体服务质量，例如，代理可能请求过大的搜索半径或过长的视频，从而过载后端系统，导致响应缓慢甚至拒绝服务。文本、图像、视频和位置等每种模态都会引入不同的资源滥用向量，使得制定一致的缓解策略变得困难。此外，多模态和跨域工具暴露了多样的请求模式和参数，这给定义既通用又精确、能够执行有意义资源约束的策略带来了挑战。AEGIS 允许管理员针对异构 MCP 工具和模态定义细粒度的防护策略，以防范资源滥用。其核心方法是利用大语言模型的推理能力来分析、分类和规范化各种工具调用，将其转换为统一、策略友好的表示形式，便于安全从业者理解和使用。AEGIS 与 Open Policy Agent 及 ContextForge AI Gateway 集成，能够检测和缓解滥用行为，同时保留基于 MCP 的代理生态系统的灵活性。本文的主要贡献包括：提出了一种跨模态、跨域的资源滥用防护架构，利用 LLM 进行工具调用的语义理解和规范化，并通过策略引擎实现细粒度控制。适合关注 LLM 代理安全、MCP 生态安全、策略引擎设计与部署的安全研究人员、AI 基础设施工程师和蓝队成员阅读。

该论文是一篇面向AI代理（AI Agent）在Web3环境中攻击面的系统性综述。研究背景是：AI代理正从“只读”转向“执行”，在模型上下文协议（MCP）生态系统中，能够修改外部状态的工具调用占比已从27%升至65%。当代理通过MCP、技能（skills）和工具调用（tool calling）在公链上行使这种权限时，攻击的后果不再遵循传统软件安全假设，而是由区块链执行层决定。论文提出区块链执行层的四个核心属性——不可逆性（irreversibility）、签名权威（signing authority）、持续自主性（continuous autonomy）和序列级组合（sequence-level composition）——会从根本上改变威胁模型，使得通用代理安全中原本可恢复的失败，变成长期的、不可逆的资产损失。作者将碎片化的MCP安全文献整合为一个攻击面分类体系，并贡献了一个Web3风险映射矩阵：将每类攻击与放大后的影响、责任放大器、代表性缓解措施以及剩余缺口对应起来。随后，论文综合了现有防御手段，包括新兴的基于区块链的机制，并发现这些防御虽在进步但仍不充分：已有防护手段只能阻止不到30%的攻击，而模型级安全拒绝率不足3%。最后，作者将工作与相邻综述对比，并根据矩阵中未闭合的单元推导出未来研究议程。该研究适合关注AI代理安全、区块链安全、Web3基础设施防护的研究人员、安全架构师和蓝队工程师阅读，有助于理解AI代理在链上行动时的新风险维度。

本文报告了一种面向 Model Context Protocol (MCP) 的企业级网关认证架构。MCP 已成为将 LLM 代理连接到企业工具的事实标准接口，但其快速采用带来了治理危机：大型组织在一年内从零部署到数十个内部 MCP 服务器，而每个团队独立实现认证方式，有的无认证，有的使用 API key，有的实现完整 OAuth，导致认证体系碎片化，无法统一授权调用者、追踪用户操作或对离职员工进行跨系统账号回收。为应对这一挑战，作者提出了一个集中式 MCP 网关，作为所有下游 MCP 服务器的统一聚合、治理和认证层。论文基于生产环境经验贡献了四个核心内容：第一，一个双轴认证模型，将角色（交互式用户 vs. 自动化非用户）与凭证类型（无认证、静态/动态 API key、PKCE、客户端凭证、平台应用上下文）进行交叉组合；第二，一个网关认证层，支持三种企业单点登录授权类型和三种令牌供应模式：自带令牌（BYOT）、生成令牌（GYOT）以及通过 RFC 8693 令牌交换的委托 OAuth；第三，三个端到端身份流——用户到 OAuth2、非用户到服务账号、用户到服务账号——组合了客户端、网关和服务器；第四，部署演进路径，从 CDN/WAF/边缘边界到私有 MCP 隧道和企业级连接器。该架构已在生产环境中运行，覆盖 Web、桌面、自定义 SDK 和低代码客户端等数十个 MCP 服务器。本文对负责 MCP 安全架构设计、企业身份治理和 LLM 代理安全集成的研究者与安全工程师具有重要参考价值。

本文针对Model Context Protocol (MCP) 注册表描述的安全审计时效性问题展开研究。现有MCP安全研究通常基于单一时点的静态审计，未考虑注册表描述随时间变化的情况，导致审计结论可能迅速过时。作者通过88.6天对官方MCP注册表进行120次观测，覆盖19,099个不同的服务器（从3,510增长至18,966），重建了描述演变的完整面板数据。核心发现是：如果按历史漂移程度排序选择前5%的服务器进行重新审计，在持有期内只能捕捉到约20%的此前观察过的、描述发生变化的服务器，以及约10%的全部描述变更者，远低于使用描述符漂移整体排序所能达到的27%覆盖率。尽管该排名仍能带来约4倍的提升，但由于描述变更的稀疏性（仅8.6%的服务器曾重写过描述，而描述符为24.8%），且约一半的变更发生在历史排名无法覆盖的新增服务器上，导致同样的提升只能获得较少覆盖率。为此，作者提出内容绑定（content-binding）策略，即在描述哈希变化时立即重新验证，并配合定期全量扫描；历史漂移排名可作为补充但无法应对新条目。文章还描述了描述变更的分布：在至少观察10次的服务器中，四分之三从未变化，最活跃的5%产生了61%的变更事件，30天内11.9%的描述变更，而朴素复合预测为35.8%，显示重尾分布，但该预测仅用于诊断。作者开源了面板数据、图表生成器和分析代码。该研究为MCP生态的安全审计提供了量化依据，强调动态监控的重要性，适合安全审计工具开发者、AI代理安全研究者和注册表维护者阅读。

本文首次对互联网上暴露的 Model Context Protocol (MCP) 服务器进行大规模动态安全评估。MCP 自 2024 年 11 月发布以来迅速普及，公共互联网上可检测到超过 21,000 个服务器实例。作者结合被动发现与主动动态测试：被动发现覆盖 crt.sh、HuggingFace、GitHub、npm、Smithery、PyPI、Censys、FOFA、Shodan、glama.ai 和 pulsemcp.com 共 11 个数据源；主动测试使用自研框架 Corvus，包含 34 个测试模块，覆盖 10 类 MCP 特有漏洞。在 2026 年 7 月进行的四轮测量中，确认了 640 个生产 MCP 服务器，并对其中的 414 个进行了动态审计，发现 68 个可报告漏洞，涉及 SQL 注入、针对云元数据服务的 SSRF、提示词模板注入以及通过游标操作实现的路径遍历。审计发现 91.8% 的服务器未启用 OAuth 认证，687 个工具实例暴露 shell 执行能力且无访问控制，41.6% 的确认服务器在连续测量间隔三天内消失，表明快速部署且缺乏安全审查。作者还介绍了负责任披露流程，并将 Corvus 作为开源框架发布，用于 MCP 安全评估。该研究填补了 MCP 安全动态评估的空白，对理解 AI 代理基础设施的暴露面有重要价值。

随着大型语言模型（LLM）智能体的快速发展，其已被广泛应用于各类真实世界任务。为了标准化LLM智能体与外部环境之间的交互，模型上下文协议（MCP）工具应运而生，并成为事实上的标准，被广泛集成到这些系统中。然而，MCP工具的使用也引入了新的安全风险，因为LLM智能体可能被诱导执行恶意或未经授权的操作。尽管已有工作提出了针对LLM智能体工具使用的防御措施，但大多数方法依赖静态分析（即检查提示词和生成的输出），这限制了防御的有效性和鲁棒性。为了克服这些局限，本文提出了MTGuard，一种基于混合分析的防御框架，通过生命周期感知的静态-动态协同分析来保护LLM智能体中MCP工具的安全使用。广泛的评估表明，MTGuard能够有效缓解不同LLM智能体上多种类别的有害工具使用，同时保持良性用户任务的性能。该研究的核心贡献包括：提出了首个结合静态与动态分析的MCP工具安全防御框架；引入生命周期感知的概念，覆盖工具调用的完整过程；通过实验证明了其在多个智能体上的有效性和通用性。该论文适合LLM安全研究人员、智能体平台开发者以及关注AI供应链安全的安全工程师阅读。

本文提出了 FlowGuard，一个基于证据的 MCP（模型上下文协议）安全检测系统。MCP 允许 LLM 代理与外部工具交互，但现有安全扫描器主要依赖语义信号（如字符串模糊匹配）而非实际执行行为，导致误报。例如，看似凭证的字符串可能只是占位符，并非真实泄露。FlowGuard 填补了这一空白，通过组合语义风险分类、重定向引导的载荷缩减、模式验证的探针生成、证据评估和历史引导的细化，实现了对执行相关风险的运行时证据验证，以及对工具元数据和返回内容中语义风险的检测。系统在包含 1880 个 MCP 案例的可执行基准测试上评估，覆盖五种漏洞类别。在命令注入和文件系统访问类别上，F1 分数分别达到 0.879 和 0.942。与现有动态扫描器相比，端到端延迟降低了最多 2.23 倍。在实际评估中，FlowGuard 在 326 台服务器上报告了 523 个发现。结果表明，基于证据的检测可以同时评估 MCP 交互中的执行相关风险和语义风险。

本文针对模型上下文协议（MCP）的安全性问题进行了大规模实证研究。MCP已成为基于LLM的代理与外部工具及服务交互的标准接口，随着其被广泛应用于安全敏感操作，理解其真实世界风险变得至关重要。然而，由于缺乏大规模运行时MCP服务器，现有安全评估主要依赖对少量案例的扫描，但这些评估的可靠性尚不明确。为此，作者提出了MCPZoo——目前最大的用于动态分析的MCP服务器集合。MCPZoo通过一个多智能体框架构建，该框架模拟人类专家构建、诊断和迭代修复部署与运行时缺陷的过程，结合环境推理与反馈驱动的改进，将现实中的静态仓库转换为动态服务。为确保运行时交互性，服务器通过真实协议交互进行验证。最终，MCPZoo包含64,611个独立MCP服务器（总计113,927个），其中超过37,288个支持动态分析。基于MCPZoo，作者进行了首次生态系统规模的MCP服务器及对其进行分析的扫描器的测量。结果发现，现有扫描器报告96.89%的服务器存在风险，但这些信号并不可靠。具体而言，手动验证显示不到50%的采样告警为真阳性，且不同扫描器的输出存在明显不一致。总之，MCPZoo实现了大规模、可复现的MCP服务器安全测量，并暴露了当前扫描实践的限制。作者还发布了公共查询接口以支持MCP服务器的实际风险评估。

该论文系统化整理了2023-2026年间关于AI编码代理执行安全性的39篇论文，将其分为17个类别，并直接验证了每个类别与原始来源的一致性。研究背景是AI编码代理可以读取仓库、调用工具和执行shell命令，但缺乏足够的人类监督，因此其执行层的安全性成为关键问题。现有文献分散在不同子领域（如沙箱隔离、能力与访问控制、策略执行、TOCTOU竞争、MCP威胁、身份委托、执行溯源、网络出口控制和代理生成代码的静态分析），彼此很少互相引用。论文通过系统化梳理，发现了五个跨领域的缺口：（1）隔离架构和能力模型几乎从未在共享基准上相互评估；（2）策略执行研究报告的真实拒绝列表失败率高达69%-98%，但没有隔离论文在该对抗设置下重新评估自身的防御；（3）TOCTOU和MCP威胁被视为独立的文献，尽管它们都是同一个状态验证问题的实例；（4）所有执行机制假设策略作者诚实，未解决策略编写错误本身；（5）在真实提示下，良性但超出范围的代理动作发生率高达17.1%，但没有任何访问控制或能力论文处理此问题。此外，论文还确认了四个直接影响生产代理框架的已披露并修补的CVE。最后，论文针对这五个缺口提出了未来的研究议程。该论文适合AI安全研究人员、系统安全工程师以及开发AI编码代理平台的团队阅读。

本文研究MCP（Model Context Protocol）风格的代理运行时的安全不变性。MCP为语言模型应用提供了工具、资源、提示和传输的连接层，但随着代理从连接向执行推进，安全决策分散在客户端、服务器、提示、批准对话框、OAuth部署和日志中，缺乏统一的执行层安全保证。作者定义了八个关键安全不变性：元数据非权威性、授权支持的批准、规范化资源、主体绑定、范围化能力调用、源和目标数据流授权、拒绝路径审计以及显式协议状态。为实现这些不变性，提出了HCP（Handle-Capability Protocol）参考运行时，其架构包括主体、资源、授权、能力、句柄、策略决策、数据管道检查和审计条目等元素。实验设置包括两个基线：一个简单的连接层运行时和一个实践指导的缓解基线（包含元数据检查、会话检查和每次调用批准）。在10个基准攻击案例中，简单基线允许所有攻击，缓解基线允许6个，HCP阻止全部10个并提供审计证据。消融实验表明哪些运行时组件阻止了攻击并保留了取证证据。本地微基准测试显示策略执行、调用、窥视和管道操作的平均延迟低于1毫秒。此外，对GitHub README的筛选示例提供了生态系统信号而非漏洞发现。结论是MCP风格的代理系统需要在连接层约定之外增加执行控制层，以实现显式可测试的安全不变性。本文适合代理安全架构师、LLM安全研究人员以及运行时开发者阅读。

随着大语言模型（LLM）的广泛部署，模型上下文协议（MCP）已成为连接LLM与外部资源的事实标准。然而，MCP协议本身引入了一类隐私泄露风险，现有工具难以检测。与传统的显式数据泄露不同，MCP服务器中的泄露主要是协议诱导的：凭据、API密钥和个人身份信息（PII）仅通过被返回、记录或在工具处理程序中抛出，即可跨越本地/LLM边界，而源代码中不存在显式的出站请求。本文提出MCPPrivacyDetector，一种上下文感知的跨语言静态分析框架，用于检测多语言MCP服务器中的此类泄露。该框架首先将不同编程语言（如Python）实现的异构代码提升为统一程序表示，然后应用上下文感知语义过滤以隔离真正敏感的值和协议特定的隐式汇点（例如@mcp.tool处理程序），最后执行污点分析以枚举可行数据流。通过对10,655个真实MCP服务器进行分析，MCPPrivacyDetector发现泄露率超过10%。案例研究证实了具体暴露，包括泄露的Bearer令牌、传播的API密钥和明文认证凭据。这项工作论证了在新兴的LLM智能体工具链中需要系统性的、协议感知的安全防护。

本文研究了Model Context Protocol (MCP) 标准化自主智能体工具调用时引入的一个被忽视的攻击面：错误处理循环。作者假设工具的错误消息具有隐含权威，会触发智能体的纠正性推理模式，从而绕过标准安全启发式。为此，他们提出了VATS（Vulnerability Analysis of Tool Streams）框架，这是一个基于系统性突变的测试框架，能够沿着七个结构性和语言学维度生成对抗性载荷。通过在Gemini 3.1 Pro、GPT-5.5、GLM-5.1和Qwen3-Coder四个前沿模型上的评估，实验表明，错误路径注入能使标准间接提示注入（IPI）的成功率提高三倍，在受控评估中最高达到100%的遵从率。研究进一步发现，结构性定位（即在错误上下文中夹带指令）是跨所有测试模型的最有效利用向量。虽然生产框架的护栏可以缓解这些漏洞，但模型层的固有脆弱性对定制化智能体工作流构成了系统性风险。本文的主要贡献包括：识别并系统化了一个新攻击面，提出了一种自动化突变驱动测试方法，并通过大量实验验证了攻击的有效性和迁移性。适合AI安全研究员、智能体框架开发者及安全运营团队阅读。

本文针对模型上下文协议（Model Context Protocol, MCP）服务器中普遍存在的描述-代码不一致（Description-Code Inconsistency, DCI）问题进行了系统性研究。MCP是大语言模型（LLM）调用外部工具的关键标准，其工作流程中，LLM依赖MCP服务器提供的自然语言描述来选择和执行函数。这一交互隐含地假设工具描述忠实反映底层实现，但实际中该假设并未得到强制验证。本文首先正式定义了DCI问题，并提出了一个全面的分类体系，涵盖功能不一致和未声明的副作用。基于该分类，开发了自动化框架DCIChecker，该框架结合结构感知的静态分析和直接-反向-仲裁（Direct-Reverse-Arbitration）提示方法，对工具描述与实际代码实现进行交叉验证。研究人员将框架应用于包含2214个真实MCP服务器中19200个描述-代码对的大规模数据集。测量结果表明DCI普遍存在，9.93%的对存在不一致。进一步分析显示DCI会造成关键防御盲区，可能引发从操作失败到隐蔽恶意行为等多种风险。最后，本文提出了强制语义一致性的缓解策略，以增强新兴代理生态系统的可靠性。该研究适合AI安全、LLM应用安全、软件工程等领域的从业者阅读。

本文提出了VIPER-MCP，这是首个针对MCP（模型上下文协议）服务器的端到端自动化漏洞审计框架。MCP已成为连接LLM代理与外部工具的标准接口，由于MCP服务器暴露特权操作（如shell执行、网络访问、文件系统操作），其工具处理程序中的实现缺陷可导致从自然语言输入到安全敏感接收器的直接路径，进而引发远程代码执行或系统完全沦陷。现有方法要么产生未经验证的静态告警，要么依赖缺乏代码级指导的固定模板库，无法触发需要特定参数形状或多步污染路径的漏洞。VIPER-MCP引入两种新技术：（1）两遍静态分析中的锚点-查询遍，通过函数级结构上下文增强标准污染告警，将文件级静态工件解析为具体的MCP工具处理程序，并生成以漏洞为锚点的调用链；（2）反馈驱动的提示进化机制，采用双变异器调度，独立校正工具选择漂移并加深参数渗透，结合适应度评分的种子选择，迭代优化自然语言提示以触发漏洞。在39884个真实开源MCP服务器仓库的大规模扫描中，VIPER-MCP发现了106个0-day漏洞，均通过端到端利用轨迹确认，迄今已分配67个CVE ID。所有发现的漏洞均已负责任地披露给受影响的开发者，并协调CVE分配。

本文研究了大型语言模型（LLM）作为自主代理时，其工具调用权限控制的安全缺陷。作者指出，当未授权工具出现在代理的上下文窗口中时，即使模型被明确指示禁止调用，在对抗性场景下仍可能被选中。现有基于提示（prompt）的约束方法效果有限，只能将未授权调用率（UIR）降低11-18个百分点，存在显著的残余风险。为此，本文提出了一种受治理的MCP（Model Context Protocol）代理，在工具发现和工具调用两个阶段强制实施基于属性的访问控制（ABAC）：在工具发现阶段，从模型的上下文窗口中移除未授权工具；在工具调用阶段，进行二次检查以阻止任何未授权调用。通过在三个模型（Qwen 2.5 7B、Llama 3.1 8B、Claude Haiku 3.5）上执行150项覆盖四种攻击类别的对抗性任务，实验表明该架构强制方法将未授权调用率降至0%，且中位数延迟增加不超过50毫秒。研究结论认为，在部署的代理系统中，可靠的工具访问控制必须依赖架构强制而非提示工程。本文适合LLM安全研究员、AI代理开发者和系统安全工程师阅读。