ИИ-агенты созданы, чтобы быть полезными помощниками, однако новое исследование TikTok указывает, что они могут также служить невольными каналами утечки данных. Работа лаборатории Privacy Innovation Lab утверждает, что многошаговые системы Model Context Protocol (MCP) разрушают предположения о безопасности, на которые опирались разработчики.

Согласно исследованию, вредоносное описание инструмента может побудить агента на основе большой языковой модели (LLM) отправлять запросы пользователя и собственные ответы на контролируемую злоумышленником службу логирования. Пользователь задает вопрос, агент отвечает, а посторонний незаметно сохраняет копию всего обмена.

Что обнаружило исследование

Работа под названием «When Tools Become Prompts: Why Multi-Turn MCP Systems Break Traditional Security Assumptions» была опубликована 27 февраля 2026 года Сират Самьюном и Цзянь Ду из TikTok Privacy Innovation Lab.

Ее предметом является Model Context Protocol — стандарт, выполняющий роль универсального адаптера, который позволяет ИИ-агентам подключаться к внешним инструментам и сервисам в ходе диалога.

Название отражает ключевую идею: описание инструмента — это текст, который читает модель, а текст, который читает модель, может действовать как инструкция. Если это описание пишет злоумышленник, он фактически пишет часть промпта. Агент затем может выполнить эти скрытые указания, в том числе команду пересылать диалоги на подконтрольную злоумышленнику службу логирования.

Конфиденциальные данные, которые не уходят

Отравление инструментов — лишь часть картины. Исследователи также выяснили, что конфиденциальные поля имеют свойство сохраняться на протяжении многошаговых диалогов и могут утекать через границы серверов.

Примеры включают номера социального страхования и другие идентификаторы. Эти данные могут раскрываться даже тогда, когда агенту явно предписано исключать конфиденциальную информацию.

Команда провела контролируемые эксперименты на публичных MCP-серверах и интеграциях. Они показали, что совершенно легитимные ответы инструментов в совокупности могут позволить восстановить персональные данные (PII).

Ни одному серверу не пришлось передавать полный профиль. Вместо этого данные, полученные с разных MCP-серверов, можно было собрать воедино, что усугубляет косвенную утечку. Для всех, кто использует агента с несколькими интеграциями, это означает, что риск заключается не в каком-то одном инструменте, а в том, что несколько безобидных по отдельности инструментов раскрывают в сочетании.

Почему пошаговые проверки безопасности не замечают проблему

Самый острый упрек в адрес оценки безопасности MCP состоит в том, как она обычно проводится. Большинство проверок рассматривают каждый шаг диалога изолированно.

Исследователи утверждают, что такой подход упускает кумулятивный риск. Экспозиция накапливается между шагами и между инструментами, и становится видна лишь при изучении всей истории диалога. По этой логике аудит, одобривший каждый отдельный шаг, все равно может пропустить утечку, которая проявляется только на протяжении всей сессии.

Молодой стандарт с растущей поверхностью атаки

MCP оформился как стандарт в конце 2024 года и с тех пор распространился в популярных инструментах, таких как Cursor и Claude Desktop. Такой охват помещает описанные в работе риски в программное обеспечение, на которое уже полагаются многие разработчики и конечные пользователи.

Работа TikTok продолжает волну исследований безопасности, начавшуюся в 2025 году. Тогда были высказаны опасения по поводу отравления описаний инструментов и уязвимостей в цепочке поставок, связанных с MCP-серверами.

Об отравлении описаний инструментов как о риске предупреждают с начала 2025 года. Бенчмарки дают и количественные оценки: MCPTox сообщает о среднем уровне успешности атак 36,5% на разных моделях.

Вклад Самьюна и Ду — это взгляд через призму многошаговости. Ранее опасения касались того, можно ли доверять отдельному инструменту. Эта работа спрашивает, что происходит, когда множество инструментов и множество шагов взаимодействуют на протяжении жизни диалога.

Что это значит для разработчиков и компаний

Для разработчиков вывод неприятен, но очевиден. Проверка каждого инструмента по отдельности и оценка каждого ответа в изоляции может быть недостаточной.

Исследователи призывают всех участников экосистемы MCP, от разработчиков до конечных пользователей, пересмотреть свои подходы к безопасности. На практике это означает, что описания инструментов следует считать недоверенным вводом, а риски — оценивать по всему диалогу, а не пошагово.

Результаты также поднимают вопросы цепочки поставок. Когда агенты могут подключаться к публичным MCP-серверам, каждый сторонний инструмент — потенциальная точка входа для отравленных инструкций. Ближайший вопрос в том, последует ли практика советам работы — начнут ли описания инструментов считаться недоверенным вводом и расширятся ли проверки безопасности от отдельных шагов до целых диалогов.