MCP prompt hijacking: luka w protokole łączącym AI z danymi

Nowe zagrożenie nie atakuje modelu, tylko kanały, które go podłączają do świata

Czym jest MCP i po co powstał

Model Context Protocol (MCP) został zaprojektowany, by ułatwić komunikację między modelami AI a lokalnymi usługami i danymi. Dzięki niemu asystent może odczytać fragment kodu z edytora, sięgnąć do pliku czy wywołać zewnętrzne API, a następnie wykorzystać te informacje w odpowiedzi. Sama idea jest rozsądna: modele uczące się na dużych korpusach nie dysponują „tu i teraz” — MCP ma to zmienić.

Gdzie pojawia się problem

JFrog wskazał, że zagrożenie nie wynika z błędu w samym modelu, lecz z niewłaściwej implementacji MCP w bibliotece oatpp-mcp. Konkretnie chodzi o mechanizm komunikacji opartej na Server-Sent Events (SSE) i sposób generowania identyfikatorów sesji. Zamiast losowych, kryptograficznie silnych tokenów, serwer używał adresu pamięci jako identyfikatora — wartość deterministyczną i łatwą do przewidzenia na poziomie systemu.

Mechanika ataku: przewidywalne identyfikatory i recykling pamięci

Systemy operacyjne i alokatory pamięci często ponownie wykorzystują te same adresy w celu oszczędności zasobów. Atakujący, kontrolując sieć, może szybko otwierać i zamykać sesje, rejestrując „wykorzystane” adresy. Gdy potem rzeczywisty użytkownik otrzyma sesję z takim samym identyfikatorem, napastnik już dysponuje poprawnym tokenem i może wysyłać do serwera fałszywe komunikaty, które zostaną przetworzone tak, jakby pochodziły od uprawnionego klienta.

Przykład z życia: zainfekowany podpowiadacz programisty

W praktyce efekt wygląda groźnie: programista pyta asystenta o bibliotekę do przetwarzania obrazów; poprawna odpowiedź to Pillow. W zamkniętym scenariuszu atakujący może podmienić polecenie i zasugerować złośliwy pakiet „theBestImageProcessingPackage”, który zawiera złośliwy kod lub backdoor. Taka podmiana z pozoru „pomocnej” sugestii jest praktycznym atakiem na łańcuch dostaw oprogramowania i na prywatność danych.

Dlaczego to nie jest tylko ciekawostka techniczna

Ta klasa ataków — prompt hijacking — pokazuje, że rozszerzanie funkcjonalności modeli o dostęp do zewnętrznych kontekstów przenosi do świata AI znane wektory ataku z aplikacji webowych: przejęcie sesji, przewidywalne identyfikatory, manipulacja komunikatami. Wystarczy sieć, do której ma dostęp napastnik, aby atak stał się możliwy; dotyczy to każdej instalacji oatpp-mcp z włączonym SSE, dopuszczającej dostęp zewnętrzny.

Rekomendacje: co trzeba zmienić natychmiast

Ochrona przed prompt hijacking wymaga zastosowania dobrze znanych zasad bezpieczeństwa, lecz dostosowanych do specyfiki AI-protokółów:

– Generowanie sesji: serwery muszą tworzyć identyfikatory sesji za pomocą kryptograficznie bezpiecznych generatorów losowych, a nie opierać się na adresach pamięci czy innych przewidywalnych wartościach.

– Walidacja po stronie klienta: klienty powinny odrzucać komunikaty, które nie odpowiadają oczekiwanym typom lub nie niosą zweryfikowalnych identyfikatorów. Proste, inkrementowane numery zdarzeń są podatne na „spray” — należy używać niekolizyjnych, nieprzewidywalnych tokenów.

– Zero‑trust i ograniczenia sieciowe: usieciowanie protokołów MCP musi opierać się na segmentacji, autoryzacji i krótkim czasie życia sesji. Monitorowanie i limity tworzenia sesji utrudnią masowe próby przewidzenia identyfikatorów.

– Audyty implementacji: biblioteki i implementacje MCP wymagają przeglądu bezpieczeństwa, fuzzingu i modelowania zagrożeń — tymczasem sama idea MCP nie powinna być dyskredytowana, ale jej implementacje muszą spełniać standardy bezpieczeństwa znane z aplikacji webowych.

Konsekwencje dla liderów technologicznych

CIO i CISO muszą rozszerzyć zakres ochrony: nie wystarczy zabezpieczać modelu i danych — trzeba zabezpieczyć kanały kontekstowe, które łączą model z systemami produkcyjnymi. Kontrole bezpieczeństwa muszą obejmować protokoły, middleware i integracje, a nie polegać wyłącznie na gotowych ocenach ryzyka dotyczących samych modeli AI.

Wnioski

Odkrycie JFrog to przypomnienie, że w miarę jak AI zostaje głębiej zintegrowana z narzędziami pracy, atakujący znajdą nowe miejsca do nadużyć — często nie w modelu, lecz w jego otoczeniu. MCP pozostaje użytecznym rozwiązaniem, ale jego bezpieczeństwo zależy od jakości implementacji. Organizacje wdrażające te protokoły muszą przyjąć rygorystyczne praktyki bezpieczeństwa sesji, walidacji komunikatów oraz zasad zero‑trust, aby nie dopuścić do eskalacji problemu w postaci trudnych do wykrycia manipulacji asystentami AI.