AI智能体的设计初衷是充当有用的助手，但TikTok的最新研究表明，它们也可能在不知不觉中成为数据窃取的渠道。该公司隐私创新实验室的一篇论文指出，多轮模型上下文协议(MCP)系统破坏了开发者一直依赖的安全假设。

研究显示，恶意工具描述可以诱导大语言模型(LLM)智能体将用户查询及其自身的响应发送至攻击者控制的日志工具。用户提问，智能体作答，而一个陌生人则悄然保留了整个对话的副本。

论文的核心发现

这篇题为《当工具成为提示词：为什么多轮MCP系统打破传统安全假设》的论文由TikTok隐私创新实验室的Sirat Samyoun和Jian Du于2026年2月27日发布。

其研究重点是模型上下文协议(MCP),这一标准如同一款通用适配器，让AI智能体能够在对话过程中接入外部工具和服务。

论文标题道出了核心思想：工具描述是模型阅读的文本，而模型阅读的文本可以发挥指令的作用。如果攻击者撰写了该描述，他们实际上就参与了提示词的编写。智能体随后可能遵循这些隐藏的指令，包括将对话转发至攻击者控制的日志服务。

拒不消失的敏感数据

工具投毒只是问题的一部分。研究人员还发现，敏感字段往往会在多轮对话中持续存在，并可能跨服务器边界泄露。

他们的示例包括社会安全号码及其他身份标识信息。即使智能体已被明确要求排除敏感信息，这些细节仍可能被泄露。

团队在公开的MCP服务器和集成上进行了受控实验。他们证明，完全合法的工具响应可以被组合起来重建个人身份信息(PII)。

没有任何单一服务器需要交出完整的用户画像。相反，从不同MCP服务器提取的数据可以被拼凑起来，使间接泄露更加严重。对于运行多个集成的智能体的用户而言，这意味着风险并不存在于任何单一工具中，而是存在于多个各自无害的工具组合后所暴露的信息之中。

为什么逐轮安全检查无法发现该问题

论文最尖锐的批评指向MCP安全性的常规评估方式。大多数评估都是孤立地看待对话的每一轮。

研究人员认为，这种方式忽略了累积风险。暴露会在多轮对话和多个工具之间不断累积，只有在检视完整对话历史时才会显现。按照这一逻辑，即使每一轮都通过审计，仍可能漏掉只有跨完整会话才会显现的泄露。

一项年轻标准与不断扩大的攻击面

MCP于2024年底作为标准问世，此后已扩展至Cursor和Claude Desktop等热门工具。这种普及程度意味着论文所担忧的问题已经存在于众多开发者和最终用户所依赖的软件之中。

TikTok的这篇论文建立在2025年兴起的一波安全研究之上。此前的相关工作已对工具描述投毒以及与MCP服务器相关的供应链漏洞提出了担忧。

自2025年初以来，工具描述投毒一直被标记为一种风险。基准测试也给出了具体数字：MCPTox报告各模型的平均攻击成功率为36.5%。

Samyoun和Du的贡献在于多轮视角。此前的担忧集中在单个工具是否可信，而这篇论文探讨的是当众多工具和多轮对话在会话周期内相互作用时会发生什么。

对开发者和企业意味着什么

对开发者而言，这一信息令人不安但十分明确：逐一审查每个工具、孤立检查每条响应可能并不足够。

研究人员呼吁MCP生态系统中的每一个人，从开发者到最终用户，重新审视其安全框架。在实践中，这意味着应将工具描述视为不可信输入，并在整个对话层面而非逐轮评估风险。

这些发现还引发了供应链方面的疑问。当智能体可以连接公开的MCP服务器时，每个第三方工具都是被投毒指令的潜在入口。眼下的问题是实践是否会遵循论文的建议——工具描述是否会被视为不可信输入，安全审查是否会从单轮扩展至完整对话。