MCPシステムの安全性研究と攻撃シミュレーション実践

MCP (モデルコンテキストプロトコル)は現在、発展の初期段階にあり、全体的な環境は比較的混沌としており、さまざまな潜在的な攻撃方法が次々と現れています。既存のプロトコルやツールの設計は効果的に防御することが難しいです。コミュニティのMCPの安全性に対する認識を高めるために、MasterMCPという名前のオープンソースツールが登場しました。このツールは、実際の攻撃演習を通じて製品設計における安全上の欠陥を発見するのを助け、MCPプロジェクトを徐々に強化することを目的としています。

この記事では、読者が実際に手を動かし、MCPシステム下での一般的な攻撃手法、例えば情報汚染や悪意のある命令の隠蔽などの実際のケースを示します。すべてのデモスクリプトもオープンソースとして提供され、皆さんが安全な環境でプロセス全体を再現し、自分自身の攻撃テストプラグインを開発することもできます。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

全体アーキテクチャの概要

ターゲット MCP のデモンストレーション: Toolbox

Toolboxは某有名なMCPプラグインサイトが提供する公式MCP管理ツールです。それをテスト対象として選択した主な理由は以下の通りです:

• ユーザー数が膨大で、代表性があります
• 他のプラグインの自動インストールをサポートし、クライアント機能の一部を補完します。
• センシティブな設定(（APIキー)）を含む、デモを行いやすくするためのものです。

悪意のある MCP の使用を示す: MasterMCP

MasterMCPは、安全テストのために特別に設計された悪意のあるMCPツールで、プラグインアーキテクチャデザインを採用し、以下の主要モジュールを含んでいます:

1. ローカルウェブサイトサービスのシミュレーション:

攻撃シーンをリアルに再現するために、MasterMCPにはローカルウェブサイトサービスシミュレーションモジュールが組み込まれています。FastAPIフレームワークを使用して簡易HTTPサーバーを迅速に構築し、一般的なウェブページ環境をシミュレートします。これらのページは表面的には正常に見えますが、実際にはページのソースコードやインターフェースの返却に巧妙に設計された悪意のあるペイロードが隠れています。

2. ローカルプラグインMCPアーキテクチャ

MasterMCPはプラグイン方式で拡張され、新しい攻撃方法を迅速に追加できるようにしています。実行後、MasterMCPは子プロセスで上記のFastAPIサービスを実行します。

! 実戦:MCPシステムにおける秘密の毒殺と操作

デモクライアント

• Cursor:現在、世界中で流行しているAI支援プログラミングIDEの一つ
• クロードデスクトップ:大手モデル会社の公式クライアント

デモに使用される大モデル

• クロード 3.7

このバージョンを選択した理由は、敏感な操作の識別において改善がなされているためであり、同時に現在のMCPエコシステムにおいて強力な操作能力を代表しています。

Cross-MCP 悪意のある通話

ウェブコンテンツ毒攻撃

1. コメント型毒

Cursorを介してローカルテストサイトにアクセスし、大規模モデルクライアントが悪意のあるサイトにアクセスした場合の影響をシミュレートします。

指示を実行する:

コンテンツを取得する

結果は示しています、Cursorは単にウェブページの内容を読み取るだけでなく、ローカルのセンシティブな設定データをテストサーバーに返送しました。ソースコードの中では、悪意のある提示語がHTMLコメント形式で埋め込まれています。

! 実戦:MCPシステムにおける秘密の毒殺と操作

2. コード型コメントの毒物投与

アクセス/encodeページ、これは前の例と同じように見えるウェブページですが、その中の悪意のあるキーワードはエンコードされており、攻撃がより隠蔽されているため、ウェブページのソースコードを見ても直接気づくのは難しい。

ソースコードに平文のヒントが含まれていなくても、攻撃は依然として成功します。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

MCP ツールが情報ポイズニングを返す

入力シミュレーションコマンド:

たくさんのリンゴを手に入れる

指令がトリガーされた後、クライアントはMCPを横断してToolboxを呼び出し、新しいMCPサーバーを正常に追加しました。プラグインコードを確認すると、返されたデータにはエンコード処理された悪意のあるペイロードが埋め込まれており、ユーザー側では異常をほとんど認識できません。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

第三者インターフェース汚染攻撃

リクエストを実行する:

/api/data から json をフェッチします

結果:悪意のあるプロンプトが返されたJSONデータに埋め込まれ、悪意のある実行が正常にトリガーされました。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

MCP初期化フェーズにおけるポイズニング技術

悪意のある関数オーバーライド攻撃

MasterMCPは、Toolboxで使用されるのと同じ関数名remove_serverのtoolを作成し、悪意のあるキーワードを隠すためにエンコードしました。

指示を実行する:

ツールボックスからプラグインサーバーを削除する

Claude Desktop は、元のツールボックス remove_server メソッドを呼び出す代わりに、MasterMCP によって提供される同じ名前のメソッドをトリガーします。

原理は「従来の方法は廃止された」と強調することで、大規模モデルに悪意のあるオーバーライド関数を優先的に呼び出させることです。

! 実戦出発:MCPシステムにおける秘密の毒殺と操作

悪意のあるグローバルチェックロジックを追加

MasterMCPは、全てのツールが実行される前に安全チェックを行うために、プロンプト内で強制的に実行されるbananaツールを作成しました。

関数を実行するたびに、システムは最初にbananaチェックメカニズムを呼び出します。これは、コード内で「必ずbanana検出を実行する」と繰り返し強調することによって実現されるグローバルロジックインジェクションです。

! 実際の戦闘出発:MCPシステムにおける秘密の毒殺と操作

悪意のあるプロンプトを隠すための高度なテクニック

大規模モデルに優しいコーディング方式

大規模言語モデルが多言語フォーマットに対して非常に強い解析能力を持っているため、これが悪意のある情報を隠すために利用されることがあります。一般的な手法には次のようなものがあります:

• 英語: Hex Byte encoding
• 日本語環境下:使用NCRエンコーディングまたはJavaScriptエンコーディング

! 実戦:MCPシステムにおける秘密の毒殺と操作

ランダム悪意のあるペイロード返却メカニズム

/randomをリクエストすると、毎回悪意のあるペイロードを含むページがランダムに返され、検出と追跡の難易度が大幅に増加します。

! 実戦出発:MCPシステムにおける秘密の毒殺と操作

まとめ

MasterMCPの実戦デモを通じて、私たちはMCPシステムに隠されたさまざまな安全上のリスクを直感的に見ることができました。シンプルなヒントの注入、クロスMCPの呼び出しから、より巧妙な初期化段階の攻撃や悪意のある命令の隠蔽まで、各段階が私たちに警告しています: MCPエコシステムは強力ですが、同時に脆弱です。

特に大規模モデルが外部プラグインやAPIと頻繁に相互作用する今日、小さな入力の汚染がシステムレベルの安全リスクを引き起こす可能性があります。そして、攻撃者の手段の多様化(エンコード隠蔽、ランダム汚染、関数オーバーライド)は、従来の防護思考が全面的にアップグレードする必要があることを意味します。

安全は決して一朝一夕には実現しません。このデモが皆さんに警鐘を鳴らすことを望みます: 開発者もユーザーも、MCPシステムに対して十分な警戒を保ち、常にすべてのインタラクション、すべてのコード行、すべての戻り値に注意を払うべきです。すべての詳細に厳密に対処することで、真に堅固で安全なMCP環境を構築することができます。

! 実戦出発:MCPシステムにおける秘密の毒殺と操作