Agent RuntimeMCP SecurityAttack × Utility
技术与评测：把Agent安全从风险清单变成可执行验证
研究主线由八层攻击面、五个信任边界、六类MCP实现风险、六段控制栈和E1–E5实验组成。
一、八层攻击面
任何一条真实攻击链都可能跨越多层，因此不能用单一Guardrail替代系统控制。
二、五个信任边界：从文本风险定位到副作用风险
Agent的危险性来自不可信信息逐步获得计划权、工具权和业务权限。
策略不能只存在于Prompt
模型内指令可被上下文影响，关键权限必须由模型外策略执行。
工具描述和返回值也是不可信输入
工具元数据、Schema、输出和错误信息都可能改变Agent行为。
副作用需要独立授权与补偿机制
转账、删除、发布、部署等动作必须有额外确认、幂等和回滚。
三、六类MCP实现风险：协议兼容不等于安全实现
这些风险来自官方MCP Security Best Practices，应成为客户端、服务端和代理实现的最小审查表。
M1Confused deputy
MCP代理与第三方OAuth同意被错误复用。
逐客户端同意、精确redirect URI、单次state。M2Token passthrough
转发非本服务签发的令牌，破坏audience和审计边界。
验证issuer/audience/scope，禁止透传。M3OAuth metadata SSRF
恶意元数据把客户端引向内网、localhost或云元数据。
HTTPS、私网阻断、跳转校验、egress proxy。M4Session hijacking
会话ID被用于冒充用户或注入异步事件。
每请求鉴权、用户绑定、随机ID、过期轮转。M5Local server compromise
一键启动命令或二进制继承客户端权限和主机访问。
显示完整命令、显式同意、默认沙箱和最小文件/网络权限。M6Scope inflation
通配权限扩大失陷半径并掩盖每次调用意图。
最小初始scope、渐进提权、精确challenge和提权审计。Primary: MCP Security Best PracticesOWASP Secure MCP Server DevelopmentNIST Agent Identity & Authorization
四、六段控制栈
模型Guardrail只是Inspect的一部分，不能替代身份、授权、隔离、审计和恢复。
五、公开Benchmark定义最低测试维度，但不能直接替代产品验收
四类Benchmark共同说明：只报攻击阻断率是不完整的，必须同时报告正常任务能力和过度阻断。
动态工具Agent与自适应提示注入；同时测任务效用和安全属性。
间接提示注入、用户伤害和私有数据外泄。
恶意多步任务、拒绝能力和越狱后能力保持。
攻击成功、不安全执行与False Refusal Rate。
六、E1–E5实验协议：建立可重复的攻击—效用基线
每个套件都固定攻击输入、允许权限、预期策略、业务副作用和原始日志。
七、证据与结论闸门
规范与同行评审研究可以定义风险和测试；厂商资料只能定义候选能力与验证假设。
决策级方法证据
官方规范、协议指南、同行评审论文、公开代码和可复现实验。
候选能力证据
产品文档、发布说明、路线图、组织投入和单方案例，需要交叉验证。
禁止升级为结论
商业提案、无方法排名、二手转述和没有正常任务基线的“安全率”。