AI 代理的設計初衷是充當有用的助理，但 TikTok 的新研究表明，它們也可能在不知不覺中成為資料竊取的管道。該公司隱私創新實驗室發表的一篇論文指出，多輪模型上下文協定（MCP）系統正在打破開發者一直依賴的安全假設。

根據這項研究，惡意的工具描述可以誘導大型語言模型（LLM）代理將使用者查詢及其自身的回應傳送至攻擊者控制的日誌工具。使用者提問、代理回答，而第三方則悄悄保留了整個對話的副本。

論文發現了什麼

這篇題為「When Tools Become Prompts: Why Multi-Turn MCP Systems Break Traditional Security Assumptions」的論文，由 TikTok 隱私創新實驗室的 Sirat Samyoun 與 Jian Du 於 2026 年 2 月 27 日發表。

其研究焦點是模型上下文協定（MCP），這是一項充當通用轉接器的標準，讓 AI 代理在對話過程中能夠接入外部工具與服務。

論文標題點出了核心概念：工具的描述是模型讀取的文字，而模型讀取的文字可以發揮指令的作用。如果攻擊者撰寫了該描述，實際上就是在撰寫提示詞的一部分。代理隨後可能遵循這些隱藏的指示，包括將對話轉發至攻擊者控制的日誌服務。

拒不離場的敏感資料

工具汙染只是問題的一部分。研究人員還發現，敏感欄位往往會在多輪對話中持續存在，並可能跨越伺服器邊界外洩。

他們舉的例子包括社會安全號碼與其他識別碼。即使代理被明確指示不得包含敏感資訊，這些細節仍可能被揭露。

研究團隊在公開的 MCP 伺服器與整合服務上進行了受控實驗。他們證明，完全合法的工具回應可以被組合起來，重建出可識別個人身份的資訊（PII）。

任何單一伺服器都不必交出完整的個人檔案。相反地，從不同 MCP 伺服器取得的資料可以被拼湊起來，使間接外洩更加嚴重。對任何運行多項整合服務的代理的人來說，這意味著風險不在於任何單一工具，而在於多個各自無害的工具組合起來所透露的資訊。

為什麼逐輪安全檢查無法發現問題

論文最尖銳的批評指向 MCP 安全性通常的評估方式。大多數評估都是孤立地審視對話的每一輪。

研究人員認為，這種方法忽略了累積性風險。暴露會跨輪次、跨工具地累積，只有檢視完整的對話歷史時才會顯現。按照這個邏輯，即使審計判定每一輪都沒問題，仍可能遺漏只在完整工作階段中才會浮現的外洩。

一個攻擊面不斷擴大的年輕標準

MCP 於 2024 年底成為一項標準，此後已擴展到 Cursor 和 Claude Desktop 等熱門工具。這種普及度使論文的疑慮直接關係到許多開發者與終端使用者已經依賴的軟體。

TikTok 的論文建立在 2025 年開始湧現的一系列安全研究之上。較早的研究已對工具描述汙染以及與 MCP 伺服器相關的供應鏈漏洞提出疑慮。

自 2025 年初以來，工具描述汙染一直被標記為風險。基準測試也給出了具體數字：MCPTox 報告各模型的平均攻擊成功率為 36.5%。

Samyoun 與 Du 的補充在於多輪視角。先前的疑慮集中在單一工具是否可信。這篇論文則追問：當許多工具在對話的整個生命週期中互動時，會發生什麼。

這對開發者與企業意味著什麼

對開發者而言，這個訊息令人不安但清晰。逐一審查每個工具、孤立地檢查每個回應，可能並不足夠。

研究人員呼籲 MCP 生態系統中的所有人，從開發者到終端使用者，重新思考他們的安全框架。在實務上，這意味著將工具描述視為不可信輸入，並對完整對話而非逐輪評估風險。

研究結果也引發了供應鏈方面的疑慮。當代理可以連接公開的 MCP 伺服器時，每一個第三方工具都是被汙染指令的潛在入口。眼前的問題是，實務是否會遵循論文的建議——工具描述是否會開始被視為不可信輸入，以及安全審查是否會從單一輪次擴展到完整對話。