44 · 恶意 MCP 服务器：跨通道分裂攻击与供应链风险全景

一、背景：MCP 为什么是新的攻击面

Model Context Protocol（MCP）是 Anthropic 2024-11 开源的 agent 工具协议：把外部能力（文件系统、GitHub、Slack、邮件、数据库）封装成"工具"，供 AI 编程助手（Cursor、VS Code/Copilot、Claude Code、Codex CLI）在会话中调用。它的核心信任假设是：你连接的服务器，是你信任到愿意委托权威的代码。

这个假设在 2025 年被系统性地击穿。安全社区很快意识到 MCP 放大了两个经典问题：

• 供应链：MCP 服务器像 npm 包一样分发（npm/PyPI/GitHub/Registry），但安装后每次调用都被递上活凭据，且通常没有代码审查；
• 指令与数据不分：工具名、描述、返回结果都是"数据"，但 agent 把它们当"指令"执行——这就是提示注入的 MCP 版本。

攻击链条的通用形态（Invariant Labs 的"致命三要素"）：不可信指令 + 敏感数据 + 外泄通道，三者交汇即出事。截至 2026-08，官方 Registry 上线约 2,000 个条目，但不校验服务器内容、无版本签名——"注册表是发现层，信任评估是消费者责任"。

二、GhostSplice：跨通道信任碎片化

2.1 核心机制：没有一条消息是恶意的

此前所有防御（模型拒绝训练、单条消息过滤、用户批准对话框）都假设"恶意指令以完整形态出现在某一条消息里"。GhostSplice 绕过的正是这个假设：MCP 协议在结构上保持工具/结果之间的边界，但 agent 在自己的共享工作上下文中跨边界组合信息。攻击者把"读哪些文件 + 填到哪些字段 + 发到哪个工具"拆成多块，任何单块都不构成完整恶意指令。

2.2 攻击链五步（参考实现）

1. 投递恶意服务器：社交工程 / 仿冒包 / 第三方市场分发。GhostSplice 不是远程攻击——前提是受害者已连接恶意服务器、agent 本身有目标文件读取权限；
2. 铺设无害工具：服务器声明一个看似人畜无害的工具 integrity_checker，带四个平淡字段（alpha、beta、gamma、delta），工具描述中不出现任何敏感文件名；
3. 补全映射：稍后，另一次"项目扫描"的工具结果提供映射关系——要求把 .ssh/id_rsa、专有源代码、customers.csv、.env 的内容填入上述字段，理由是"服务端哈希校验"；
4. 组合触发：分开看，任何一段都不含完整窃取指令；合起来看，它们指示 agent 收集敏感文件并传回攻击者工具；
5. 外泄：agent 以"填写工具要求的表单"的朴素认知执行任务，敏感内容经工具参数发给攻击者服务器。

2.3 有效性数据（研究机构自测，非通用结论）

2.4 第三条通道：sampling

MCP 的 sampling 特性允许服务器向 agent 模型发送提示（服务器发起请求）。研究发现：VS Code with GitHub Copilot 是唯一接受 sampling 请求的主流工具（Cursor、Claude Code、Claude Desktop 均拒绝），且微软代码把服务器的 systemPrompt 逐字作为系统消息前置，无任何安全包装；批准对话框只显示服务器名称，从不显示被注入的提示文本。sampling 请求本身不指名任何文件——真正的文件清单在后续工具结果中才出现。

三、真实事件时间线（2025-04 → 2026-08）

四、生态数据：锈迹斑斑的底座

五、应对措施（分角色）

5.1 客户端 / Agent 框架开发商

• 把服务器输出当作数据而非指令；阻止一个工具的输出未经检查流入另一个工具的参数（GhostSplice 直接对应措施）；
• sampling 通道必须包装 systemPrompt，批准对话框展示实际提示文本（VS Code Copilot 当前缺失）；
• 批准时与会话启动时快照并复检 tools/list 响应（防事后投毒 / rug-pull）；
• 工具调用序列级（而非单消息级）安全评估；强制 RFC 8707，拒绝错误 audience 的 token。

5.2 MCP 服务器开发者

• 禁止 token passthrough（混淆代理）；用 OAuth 2.1 + PKCE（S256 强制）；
• 工具描述保持简洁、无隐藏指令；least-privilege 工具设计；
• 发布走 Registry 命名空间绑定；版本签名、SBOM、审计日志。

5.3 企业

• 盘点已批准 MCP 集成；低信誉服务器默认视为敌意；
• 每会话/每仓库绑定 token，而非越权 PAT；出站端点白名单、沙箱容器化运行、无网络出口或仅声明 API；
• 敏感工具调用人工批准 + 执行 trace 审计；DMARC RUA/RUF 作为外泄"烟雾报警器"（postmark-mcp 教训）；
• 每次更新都扫描：静态扫描抓不住"多一行 BCC"式单行变更；逐版本行为 diff、锁定版本 + SHA-256。

5.4 个人开发者

• 只连接可信来源；安装前读工具定义并逐一映射副作用（外写、读密钥、shell、网络可达）；安装量是弱证据（可刷）；
• 克隆仓库前检查 .claude/settings.json、.mcp.json、AGENTS.md、图片资源（Ghostcommit/GhostSplice 的投递面）；
• 及时升级：mcp-remote ≥0.1.16、Inspector ≥0.14.1、fast-mcp-telegram ≥0.19.1。

六、对从业者的五个洞察

6.1 MCP 是放大版的 npm/pip 供应链

十年包管理生态的滥用模式——仿冒、信任预热、维护者钓鱼、依赖混淆、蠕虫式自我复制——在 MCP 生态完整复现，且被信任模型放大：被攻陷的服务器每次调用都被递上活凭据、执行任意逻辑、无代码审查，危险还延伸到安装后的配置继承与 agent 自动安装依赖。postmark-mcp 的"15 个干净版本 + 一行 BCC"就是教科书式的信任预热。

6.2 模型拒绝不是安全边界，harness 才是

GhostSplice 与 Ghostcommit 两连发指向同一结论：模型外部的控制（工具审批、数据流隔离、调用序列审计）才是真正的安全边界。验收任何 agent 系统，应问"被 hack 成功后的工具调用序列是什么"，而不是"模型会不会拒绝"。

6.3 "安全协议" ≠ "安全生态"

规范持续收紧（OAuth 2.1、RFC 8707、不可信工具输出声明），但协议无强制机制，Registry 不校验内容——规范给你一条干净的线协议与强身份，给不了干净的威胁模型。

6.4 更强的模型往往更服从

MCPTox 中最强前沿模型攻击成功率 72.8%。"能力增长必须视为权限增长"——模型越强，越需要 harness 兜底。

6.5 防御必须架构化

静态逐条过滤检测不了跨轮结晶的意图。可行的架构：工具输出与参数之间的数据流隔离、完整调用序列评估（Toxic Flow Analysis）、运行时治理与人工批准、读者/写者服务器分离——不可信内容永远不流经写能力工具。

七、时间线与来源

关键时间线

来源

• 一手（披露）：ASSET Research Group, GhostSplice, 2026-08-10（asset-group.github.io；THN 原文域名被拦截，内容经披露页 + 多源转载交叉核实）
• 新闻报道：The Hacker News；FreeBuf 中文；ThaiCERT（postmark-mcp 确认）
• 安全公司研究：Invariant Labs（Toxic Flow Analysis）；Lakera（零点击 RCE）；safeguard.sh（CVE 分析）；Check Point（MCPoison）
• 官方：MCP 规范 changelog；GHSA-rxw2-pc8j-vxwm（CVE-2026-52830）
• 学术：MSA 论文（ACM DOI）；Ghostcommit PoC（GitHub）；CSA 研究笔记（Cloud Security Alliance）
• 社区：HackerNoon（The MCP Is an Enterprise Backdoor）