Gli agenti AI sono progettati per agire come assistenti utili, ma una nuova ricerca di TikTok suggerisce che possono anche fungere da canali inconsapevoli per il furto di dati. Un articolo del Privacy Innovation Lab dell'azienda sostiene che i sistemi Model Context Protocol (MCP) multi-turno compromettano le ipotesi di sicurezza su cui gli sviluppatori hanno sempre contato.

Secondo lo studio, una descrizione di strumento dannosa può indurre un agente basato su un grande modello linguistico (LLM) a inviare le richieste degli utenti e le proprie risposte a uno strumento di logging controllato da un attaccante. L'utente fa una domanda, l'agente risponde, e un terzo conserva silenziosamente una copia dell'intero scambio.

Cosa ha rilevato l'articolo

L'articolo, intitolato "When Tools Become Prompts: Why Multi-Turn MCP Systems Break Traditional Security Assumptions", è stato pubblicato il 27 febbraio 2026 da Sirat Samyoun e Jian Du del Privacy Innovation Lab di TikTok.

Il suo focus è il Model Context Protocol, uno standard che funziona come adattatore universale, consentendo agli agenti AI di collegarsi a strumenti e servizi esterni durante una conversazione.

Il titolo coglie l'idea centrale: la descrizione di uno strumento è un testo che il modello legge, e un testo letto da un modello può funzionare come istruzione. Se un attaccante scrive quella descrizione, di fatto sta scrivendo una parte del prompt. L'agente potrebbe quindi seguire quelle direzioni nascoste, compresa l'istruzione di inoltrare le conversazioni a un servizio di logging controllato dall'attaccante.

Dati sensibili che rifiutano di andarsene

L'avvelenamento degli strumenti è solo una parte della storia. I ricercatori hanno anche scoperto che i campi sensibili tendono a persistere attraverso le conversazioni multi-turno e possono trapelare oltre i confini tra server.

I loro esempi includono numeri di previdenza sociale e altri identificatori. Questi dettagli potrebbero essere divulgati anche quando all'agente era stato esplicitamente detto di escludere le informazioni sensibili.

Il team ha condotto esperimenti controllati su server e integrazioni MCP pubblici. Ha dimostrato che risposte di strumenti del tutto legittime potevano essere combinate per ricostruire informazioni personali identificabili (PII).

Nessun singolo server doveva fornire un profilo completo. Instead, i dati estratti da server MCP separati potevano essere ricomposti, aggravando la perdita indiretta. Per chiunque gestisca un agente con più integrazioni, ciò significa che l'esposizione non risiede in un singolo strumento, ma in ciò che diversi strumenti singolarmente benigni rivelano se combinati.

Perché i controlli di sicurezza per turno non individuano il problema

La critica più tagliente dell'articolo è rivolta al modo in cui di solito viene valutata la sicurezza di MCP. La maggior parte delle valutazioni esamina ogni turno della conversazione in isolamento.

I ricercatori sostengono che questo approccio trascuri il rischio cumulativo. L'esposizione si accumula attraverso i turni e gli strumenti, e diventa visibile solo quando si esamina l'intera storia della conversazione. Secondo questa logica, un audit che approva ogni singolo turno potrebbe comunque non rilevare perdite che emergono solo nell'arco di un'intera sessione.

Uno standard giovane con una superficie d'attacco in crescita

MCP è emerso come standard alla fine del 2024. Si è da allora diffuso in strumenti popolari come Cursor e Claude Desktop. Questa diffusione colloca le preoccupazioni dell'articolo all'interno di software su cui molti sviluppatori e utenti finali fanno già affidamento.

L'articolo di TikTok si basa su un'onda di ricerca sulla sicurezza iniziata nel 2025. Quel lavoro precedente aveva sollevato preoccupazioni sull'avvelenamento delle descrizioni degli strumenti e sulle vulnerabilità della supply chain legate ai server MCP.

L'avvelenamento delle descrizioni degli strumenti è segnalato come rischio dall'inizio del 2025. Anche i benchmark hanno fornito numeri: MCPTox riporta un tasso medio di successo degli attacchi del 36,5% tra i modelli.

Ciò che Samyoun e Du aggiungono è la prospettiva multi-turno. Le preoccupazioni precedenti si concentravano sulla affidabilità di un singolo strumento. Questo articolo chiede cosa accada quando molti strumenti e molti turni interagiscono nel corso della vita di una conversazione.

Cosa significa per sviluppatori e aziende

Per gli sviluppatori, il messaggio è scomodo ma chiaro. Verificare ogni strumento singolarmente e controllare ogni risposta in isolamento potrebbe non bastare.

I ricercatori chiedono a tutti gli attori dell'ecosistema MCP, dagli sviluppatori agli utenti finali, di ripensare i propri quadri di sicurezza. In pratica, ciò punta a trattare le descrizioni degli strumenti come input non affidabile e a valutare il rischio sull'intera conversazione anziché turno per turno.

I risultati sollevano anche questioni legate alla supply chain. Quando gli agenti possono collegarsi a server MCP pubblici, ogni strumento di terze parti è un potenziale punto d'ingresso per istruzioni avvelenate. La domanda a breve termine è se la pratica segua i consigli dell'articolo — se le descrizioni degli strumenti inizino a essere trattate come input non affidabile e se le revisioni di sicurezza si estendano dai singoli turni alle intere conversazioni.