NIST发布对抗式机器学习草案，警示MCP工具供应链攻击风险

2026年11月9日，美国国家标准与技术研究院（NIST）发布了特别出版物NIST SP 2400-102e2026的初版公开草案，标题为“Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations”。根据NIST，这份文件开放公开征求意见至2026年12月18日。草案的一个重点，是警示AI智能体通过模型上下文协议（Model Context Protocol，MCP）调用的工具所存在的供应链风险。

什么是对抗式机器学习？NIST草案涵盖哪些内容？

对抗式机器学习（Adversarial Machine Learning，AML）研究的是刻意操纵机器学习系统的攻击，以及相应的防御。根据NIST，这份报告建立概念分类，并定义该领域的术语。分类采用概念层级，涵盖主要的机器学习方法类型、攻击的生命周期阶段，以及攻击者的目标、意图、能力和所掌握的知识。NIST表示，内容依据大量文献回顾、与AML专家的交流，以及NIST自身专家的研究。

根据NIST的出版物页面，这份草案延续NIST AI 100-2系列，并将AI 100-2 E2025列为相关出版物。页面列出的作者包括NIST的Apostol Vassilev和Maia Hamin、东北大学的Alina Oprea、ElevenLabs的Alie Fordyce，以及英国AI安全研究所的Xander Davies。本版重点是针对智能体系统的攻击与缓解措施，收录于报告第4节，并新增智能体攻击分类索引。

在术语上需要说明一点。NIST自己的页面用缩写“SI”（展开为“Super Intelligence”）来称呼所涵盖的系统，而CDO Magazine和iThome则把草案描述为处理智能体AI系统。本文使用“AI”一词，并依循这两家媒体的描述。

这份分类列出哪些攻击？

CDO Magazine在11月12日报道称，该文件探讨数据投毒、模型投毒、隐私攻击和规避技术。针对生成式AI，则涵盖供应链攻击、直接与间接提示注入、信息提取和模型篡改。提示注入，是指把指令藏在模型会读取的文字中，让模型照做。

台湾媒体iThome在11月13日报道，草案涵盖预测式机器学习、生成式AI和智能体AI系统，并提出相应的防御方式。CDO Magazine指出，智能体部分处理的是智能体与外部数据、工具、技能及其他智能体交互所产生的威胁，包括不可信数据、恶意工具与技能、多智能体工作流，以及长时间运行的任务。

MCP工具如何被投毒？

模型上下文协议（MCP）是一项标准，让AI智能体能够连接第三方服务器提供的外部工具。根据iThome对草案的整理，AI智能体会依据工具提供方给出的文字说明，决定使用哪些工具。NIST描述了攻击者可能在恶意工具的说明中植入指令，诱使智能体选用攻击者提供的工具，甚至改变原本的执行计划。NIST把这类手法称为工具投毒（Tool Poisoning）。

iThome指出，另一种手法是rug pull。攻击者先把看似正常的MCP服务器注册到公开的工具注册库，等用户安装后，再暗中修改服务器提供的工具说明，诱使智能体在未经用户再次同意的情况下执行恶意操作。

iThome补充，NIST引用的研究发现，实际运行中的MCP服务器存在这类攻击风险。同一篇报道指出，现有AI模型的安全对齐机制，仍不足以阻止通过合法工具接口传递的恶意行为。

NIST建议哪些防御措施？

两家媒体分别整理了草案中不同但互补的缓解措施：

• 用密码学签名和不可变更的版本标识符验证工具定义，并通过沙箱隔离工具的执行环境（iThome）。
• 把可信指令与不可信内容分开、限制信息流动、采用访问控制和最小权限，并使用沙箱和审计日志（CDO Magazine）。

为什么记忆投毒和指令漂移连重启都未必能清除？

除了工具，iThome报道称NIST还讨论了长期执行任务的AI智能体所面临的风险。攻击者如果把恶意内容植入智能体的长期记忆，这些内容可能在后续任务中影响智能体行为，这就是记忆投毒。CDO Magazine解释说，智能体会从网站、文件、知识库和持久记忆中获取信息，嵌入这些材料的恶意指令可能进入智能体的上下文。

第二种风险是指令漂移。根据iThome，随着工作数据持续积累，智能体可能逐渐降低对早期指令和限制的遵循程度，使攻击者有机会通过多次交互改变其行为。如果被投毒的是基础模型或其适配层，单纯重启或回滚系统可能无法清除恶意行为，甚至需要更换模型或重新训练，同样是iThome的说法。

这对企业意味着什么？

CDO Magazine指出，这份草案属于自愿性质，并未建立法律或监管要求。它也只是草案：NIST表示将随攻击与防御技术的发展更新文件，并就三个问题征求意见，即威胁现有系统（特别是智能体系统）的最新攻击、最新的有效缓解措施，以及需要标准化的新术语。NIST表示，这套分类旨在为未来的标准和实践指南提供参考。

对于与美国供应商或客户往来的中国企业，这份草案提供了一套共同语汇，可用来询问供应商并撰写安全要求。以下是我们的解读，并非NIST的说法：第一步可以先盘点AI智能体能调用的每个MCP服务器和工具、固定所使用的版本、在每次更新后重新检查工具说明、只授予智能体必要的权限，并保留其操作记录。这些管控属于更广泛的AI智能体治理框架的一部分。