Agenci AI mają działać jako pomocni asystenci, ale nowe badanie TikToka sugeruje, że mogą również służyć jako nieświadomi pośrednicy kradzieży danych. Praca z laboratorium Privacy Innovation Lab tej firmy argumentuje, że wieloturowe systemy Model Context Protocol (MCP) łamią założenia bezpieczeństwa, na których polegali twórcy oprogramowania.

Według badania złośliwy opis narzędzia może nakłonić agenta opartego na dużym modelu językowym (LLM) do wysyłania zapytań użytkownika i własnych odpowiedzi do narzędzia logującego kontrolowanego przez atakującego. Użytkownik zadaje pytanie, agent odpowiada, a osoba trzecia po cichu zatrzymuje kopię całej wymiany.

Co znalazło badanie

Praca zatytułowana „When Tools Become Prompts: Why Multi-Turn MCP Systems Break Traditional Security Assumptions” została opublikowana 27 lutego 2026 r. przez Sirata Samyouna i Jian Du z TikTok Privacy Innovation Lab.

Jej przedmiotem jest Model Context Protocol, standard działający jak uniwersalna przejściówka, umożliwiająca agentom AI podłączanie się do zewnętrznych narzędzi i usług w trakcie rozmowy.

Tytuł oddaje istotę idei: opis narzędzia to tekst, który czyta model, a tekst czytany przez model może pełnić rolę instrukcji. Jeśli atakujący napisze ten opis, w praktyce pisze część promptu. Agent może następnie wykonać ukryte polecenia, w tym instrukcję przekazywania rozmów do serwisu logującego kontrolowanego przez atakującego.

Dane wrażliwe, które nie chcą zniknąć

Zatruwanie narzędzi to tylko część problemu. Badacze ustalili również, że wrażliwe pola mają tendencję do utrzymywania się w wieloturowych rozmowach i mogą przeciekać przez granice serwerów.

Przykłady obejmują numery ubezpieczenia społecznego i inne identyfikatory. Te dane mogły zostać ujawnione nawet wtedy, gdy agent miał wyraźny zakaz ujawniania informacji wrażliwych.

Zespół przeprowadził kontrolowane eksperymenty na publicznych serwerach MCP i integracjach. Wykazały one, że całkowicie legalne odpowiedzi narzędzi można łączyć, aby odtworzyć dane umożliwiające identyfikację osoby (PII).

Żaden pojedynczy serwer nie musiał przekazać pełnego profilu. Zamiast tego dane pobrane z oddzielnych serwerów MCP można było złożyć w całość, co pogarsza pośrednie wycieki. Dla każdego, kto uruchamia agenta z wieloma integracjami, oznacza to, że ekspozycja nie tkwi w żadnym pojedynczym narzędziu, lecz w tym, co kilka pojedynczo nieszkodliwych narzędzi ujawnia w połączeniu.

Dlaczego kontrole bezpieczeństwa tura po turze nie wychwytują problemu

Najostrzejsza krytyka w pracy dotyczy sposobu, w jaki zwykle ocenia się bezpieczeństwo MCP. Większość ocen analizuje każdą turę rozmowy w izolacji.

Badacze argumentują, że takie podejście pomija ryzyko kumulatywne. Ekspozycja narasta w kolejnych turach i różnych narzędziach, a staje się widoczna dopiero po przeanalizowaniu całej historii rozmowy. W tym ujęciu audyt, który zatwierdza każdą turę z osobna, wciąż może przeoczyć wyciek ujawniający się dopiero w pełnej sesji.

Młody standard z rosnącą powierzchnią ataku

MCP wyłonił się jako standard pod koniec 2024 r. Od tego czasu rozprzestrzenił się na popularne narzędzia takie jak Cursor i Claude Desktop. Ten zasięg umieszcza obawy z badania w oprogramowaniu, na którym polega już wielu twórców i użytkowników końcowych.

Praca TikToka bazuje na fali badań nad bezpieczeństwem zapoczątkowanej w 2025 r. Wcześniejsze prace raised obawy dotyczące zatruwania opisów narzędzi i luk w łańcuchu dostaw związanych z serwerami MCP.

Zatruwanie opisów narzędzi jest sygnalizowane jako ryzyko od początku 2025 r. Benchmarki przyniosły też liczby: MCPTox raportuje średni wskaźnik skuteczności ataku na poziomie 36,5% w różnych modelach.

Wkład Samyouna i Du to perspektywa wieloturowa. Wcześniejsze obawy koncentrowały się wokół zaufania do pojedynczego narzędzia. Ta praca pyta, co się dzieje, gdy wiele narzędzi i wiele tur oddziałuje w trakcie życia rozmowy.

Co to oznacza dla twórców i firm

Dla twórców przesłanie jest niezręczne, ale jasne. Weryfikacja każdego narzędzia osobno i sprawdzanie każdej odpowiedzi w izolacji mogą nie wystarczać.

Badacze wzywają wszystkich w ekosystemie MCP, od twórców po użytkowników końcowych, do przemyślenia swoich ram bezpieczeństwa. W praktyce oznacza to traktowanie opisów narzędzi jako niezaufanego wejścia i ocenianie ryzyka w całej rozmowie, a nie tura po turze.

Ustalenia budzą również pytania dotyczące łańcucha dostaw. Gdy agenci mogą łączyć się z publicznymi serwerami MCP, każde narzędzie zewnętrzne jest potencjalnym punktem wejścia dla zatrutych instrukcji. Pytanie na najbliższy czas brzmi, czy praktyka pójdzie za zaleceniami pracy — czy opisy narzędzi zaczną być traktowane jako niezaufane wejście i czy przeglądy bezpieczeństwa rozszerzą się z pojedynczych tur na całe rozmowy.