本文针对新兴的 W3C WebMCP 提案在浏览器环境中集成大语言模型（LLM）代理时引入的安全信任边界问题展开研究。WebMCP 允许网页向 LLM 代理暴露可调用的工具，但在多参与者 Web 环境下，现有以同源策略（SOP）为核心的浏览器安全模型无法为代理可访问的工具提供充分的来源（provenance）和生命周期保证，从而产生三类风险：主体归属伪造（subject-attribution spoofing）、工具生命周期失控、以及语义提示注入（semantic prompt injection）。为应对这些风险，作者提出 WebMCP-Phalanx，一种双层代理运行时架构。第一层提供浏览器原生的信任锚点，通过密码学保护的能力凭证将每个工具绑定到其注册主体，并在整个工具生命周期中传播来源标签；第二层将语义检查与特权工具调用分离——一个无工具调用权限的隔离代理（Q-LLM）负责检查工具元数据、输出及页面提供的内容以识别提示注入，验证后的内容再转发给有执行权限的特权代理（P-LLM），同时 Q-LLM 的内部状态对页面脚本保持隐藏。实验结果表明：浏览器原生所有权机制将撤销和覆盖攻击的成功率从 100% 降至 0%；双代理运行时能够阻止工具描述中嵌入的全部 80 个提示注入尝试，并将工具返回攻击限制为 80 例中仅 2 例成功；任务效用与无攻击基线在统计上无显著差异。然而，在白盒自适应攻击者场景下，基于描述的内容过滤可能被恶意工具名绕过（在检查前被调用），这一发现促使作者提出调用时机门控（call-timing gate），即延迟工具调用直到所有代理可见的工具元数据均通过验证。本文为浏览器集成 LLM 代理的安全设计提供了首个系统化方案，适合浏览器安全研究人员、LLM 代理框架开发者及 Web 标准制定者阅读。

该论文研究了WebMCP协议中的一种新型安全威胁——会话中工具注入（Mid-Session Tool Injection, MSTI）。WebMCP是一种新兴协议，允许网站直接将工具暴露给AI智能体，绕过传统用户界面，从而带来新的安全风险。当涉及第三方脚本时，智能体可访问工具的动态暴露进一步扩大了Web会话的攻击面。论文识别出攻击者可利用第三方脚本在活跃会话期间注入恶意工具的MSTI攻击，并根据操纵阶段和目标将其分为两类：工具劫持（Tool Hijacking）和工具框架（Tool Framing）。工具劫持通过AbortSignal API或工具注册期间的竞态条件修改智能体可见的工具集；工具框架则通过工具名称、描述、readOnlyHint和inputSchema等元数据字段影响智能体对工具角色的感知。作者实现了两种攻击的有效演示，表明它们能够成功破坏WebMCP的预期功能。基于实验结果，论文提出了潜在的缓解方向和安全性设计建议，包括将工具身份绑定到其来源、确保生命周期一致性、对第三方工具实施数据边界限制，以及维护工具注册和调用的可追溯日志。这些发现表明，MSTI源于WebMCP独特的工具生命周期和结构化元数据，使得工具表面本身成为一个新兴的安全问题。