關鍵代理缺陷揭露 MCP 部署中廣泛的協議轉向風險

概述

本次研究由資安研究員 Syed Anas Mohiuddin 主導，針對多模型協作平台（MCP）內部的結構性弱點進行深入剖析。研究發現，Google、JPMorgan Chase、Weaviate、法國數位政府部（DINUM）以及印尼 Tangerang 市等多家機構在其 AI 代理與下游服務的交互過程中，普遍存在一種被稱為「協議轉向」的安全缺口。此類缺口允許惡意指令在被 AI 代理接收後，被重新封裝成看似合法的內部服務請求，最終以伺服器端請求偽造（SSRF）或注入攻擊的形式對內部資源造成危害。

Google 的高危 CVE‑2026‑14540

Google 在 2026 年披露的 CVE‑2026‑14540 漏洞獲得 CVSS 基礎分數 8.0，屬於高危等級。漏洞根源在於其 AI 代理在將使用者或模型產生的請求轉發至下游服務前，未對重定向 URL 與目標 IP 位址執行充分的驗證與過濾。攻擊者可利用此缺陷構造惡意 URL，使代理在不知情的情況下向內部未受保護的服務發起請求，導致資料外洩或服務中斷。Google 隨後發布的修補程式加入了嚴格的白名單與黑名單機制，同時強化了代理的啟動檢查流程，確保任何不符合安全策略的配置皆被即時拒絕，從而提升整體資料流的防護層級。

其他企業與公共部門事件

JPMorgan Chase 在其公開的 GitHub 倉庫中提供了一套恢復工具，該工具原本未實施任何白名單限制，允許任意內部端點被呼叫，形成了明顯的 SSRF 風險。問題被安全社群回報後，JPMorgan 迅速下架該工具，並在新版本中加入了細緻的存取控制與端點白名單驗證。Weaviate 則在合併請求 ID 12961 中縮減了暴露的 API 端點，降低了潛在的攻擊面。法國 DINUM 於 2026 年 9 月針對其內部平台升級了 SSRF 防護機制，加入了動態 URL 解析與來源驗證。印尼 Tangerang 市在發現相同類型的漏洞後，大約在一天內完成了修補，關閉了易受攻擊的服務入口，顯示出地方政府對此類新興威脅的快速回應能力。

Rapid7 另外追蹤的 CVE‑2026‑97228 為一個 GraphQL 注入漏洞，雖然其 CVSS 分數僅為 2.7，屬於低危等級，但仍揭示了協議轉向問題在不同請求格式下的廣泛存在。該漏洞主要影響 GraphQL 查詢的解析階段，攻擊者可藉由特製的查詢語句將惡意載荷注入至後端服務，雖然攻擊面相對有限，卻提醒開發者即使是低危漏洞也不容忽視，因為其可能成為更複雜攻擊鏈的一環。

協議轉向的關鍵技術特徵

• 代理接收來自語言模型或使用者的未受信任輸入。
• 輸入在未經適當清理的情況下傳遞給工具。
• 工具將該輸入視為可信的內部請求。
• 最終行為利用 SSRF、注入或配置錯誤。

Mohiuddin 的深入分析指出，協議轉向的根本原因在於多數 MCP 設計中隱含的信任假設：模型的輸出被默認視為下游服務的可靠資料。當攻擊者利用提示注入（prompt injection）或對抗性樣本（adversarial examples）操控模型輸出時，這一假設立即瓦解，導致代理將惡意內容直接傳遞至內部系統，觸發未受控的操作。

針對此類結構性缺陷，研究者強烈建議採用零信任（Zero Trust）架構，對模型產生的每一個值在送達任何外部工具或內部 API 前，都必須重新驗證。具體做法包括結構化檢查（schema validation）、白名單比對、以及在執行時將請求沙箱化（runtime sandbox），確保即便單一畸形值出現，也不會導致特權操作或資料外洩。零信任策略的核心在於「不信任任何來源」，即使是同一平台內部的模型，也必須經過嚴格的安全審查後方可使用。

對使用 MCP 的組織的影響

已將大型語言模型與內部 API 結合的企業必須重新審視其資料流管線的安全性。協議轉向的存在意味著單一代理或工具的漏洞可能迅速蔓延，形成跨服務的攻擊鏈，最終導致整個系統被侵入，甚至洩漏關鍵的內部服務資訊或資料庫內容。此類風險在金融、醫療與政府等高度敏感領域尤為致命，因為一旦內部服務被未授權存取，將直接影響業務連續性與客戶信任。

監管機構與稽核人員預計將針對 MCP 的零信任控制措施展開更嚴格的審查，特別是在金融機構與公共行政部門。未能證明已實施有效的輸入驗證與白名單機制，可能導致合規違規、罰款甚至法律訴訟。企業因此需要提前準備相關的安全報告與測試證據，以應對未來可能的監管要求。

對於以中文為主要作業語言的組織而言，實務上應立即在每個資料交接點實施嚴格的輸入驗證機制，對所有內部服務呼叫使用白名單策略，並部署能即時偵測 AI 代理異常外發請求的監控系統。將模型輸出預設為不可信，並在送出前加入多層驗證，可顯著降低協議轉向的風險，保護關鍵基礎設施免受新型 AI 驅動的攻擊。

總結而言，協議轉向揭露了 MCP 生態系統中長期被忽視的信任假設問題。各大企業與公共部門已展開緊急修補與策略調整，然而只有在全鏈路採用零信任原則、加強輸入清理與嚴格白名單管控後，才能真正遏止此類 AI 代理導向的攻擊向量，確保未來的多模型協作平台在安全與創新之間取得平衡。