PulseAugur
中
实时 12:45:51
English(EN) We found an attack class in MCP tool-call receipts — and built a 7KB linter for it

新的linter检测MCP工具调用收据中的伪造数据攻击

作者 PulseAugur 编辑部 · [1 个来源] ·

研究人员在模型上下文协议（MCP）中发现了一个安全漏洞，受损的上游服务可以将伪造的数据注入到工具调用收据中。这种攻击利用了那些在签名之前不递归剥离保留字段的代理，导致了经过加密证明的恶意数据。为解决此问题，建议采用特定的操作顺序——剥离、规范化、哈希，然后签名——并且已经开发了一个轻量级的7.5KB linter工具来检测MCP响应中的这些漏洞。 AI

影响 该工具通过防止工具调用收据中的伪造数据来帮助保护AI系统，这对于可靠的AI代理交互至关重要。

排序理由 该项目描述了一个新的、独立的linter工具，用于检测特定的安全漏洞。

在 dev.to — MCP tag 阅读 →

AI 生成摘要 · Google Gemini · 来自 1 个来源。 我们如何撰写摘要 →

新的linter检测MCP工具调用收据中的伪造数据攻击

报道来源 [1]

  1. dev.to — MCP tag TIER_1 English(EN) · correctover ·

    我们在MCP工具调用收据中发现了一个攻击类别——并为此构建了一个7KB的linter

    <p>We've been building an inline security proxy for <a href="https://modelcontextprotocol.io/" rel="noopener noreferrer">MCP</a> (Model Context Protocol) tool calls. It produces Ed25519-signed, JCS-canonicalized receipts — 22 fields that a third party can verify offline without t…

相关实体

相关话题