NIST發布對抗式機器學習草案，示警MCP工具供應鏈攻擊風險

2026年11月9日，美國國家標準暨技術研究院（NIST）發布特別出版物NIST SP 2400-102e2026的初版公開草案，標題為「Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations」。根據NIST，這份文件開放公開徵詢意見至2026年12月18日。草案其中一項重點，是示警AI代理透過模型情境協定（Model Context Protocol，MCP）呼叫之工具的供應鏈風險。

什麼是對抗式機器學習？NIST草案涵蓋哪些內容？

對抗式機器學習（Adversarial Machine Learning，AML）研究的是刻意操縱機器學習系統的攻擊，以及相應的防禦。根據NIST，這份報告建立概念分類，並定義該領域的術語。分類採概念階層，涵蓋主要的機器學習方法類型、攻擊的生命週期階段，以及攻擊者的目標、意圖、能力與所掌握的知識。NIST表示，內容依據大量文獻回顧、與AML專家的討論，以及NIST自家專家的研究。

根據NIST的出版物頁面，這份草案延續NIST AI 100-2系列，並將AI 100-2 E2025列為相關出版物。頁面列出的作者包括NIST的Apostol Vassilev與Maia Hamin、東北大學的Alina Oprea、ElevenLabs的Alie Fordyce，以及英國AI安全研究所的Xander Davies。本版重點是針對代理式系統的攻擊與緩解措施，收錄於報告第4節，並新增代理式攻擊分類索引。

在術語上需要說明一點。NIST自己的頁面以縮寫「SI」（展開為「Super Intelligence」）稱呼所涵蓋的系統，而CDO Magazine與iThome則將草案描述為處理代理式AI系統。本文使用「AI」一詞，並依循這兩家媒體的描述。

這份分類列出哪些攻擊？

CDO Magazine在11月12日報導，該文件探討資料中毒、模型中毒、隱私攻擊與規避技術。針對生成式AI，則涵蓋供應鏈攻擊、直接與間接提示注入、資訊萃取與模型竄改。提示注入，是指把指令藏在模型會讀取的文字中，讓模型照做。

台灣媒體iThome在11月13日報導，草案涵蓋預測式機器學習、生成式AI與代理式AI系統，並提出相應的防禦方式。CDO Magazine指出，代理式的部分處理的是代理與外部資料、工具、技能及其他代理互動所產生的威脅，包括不受信任的資料、惡意工具與技能、多代理工作流程，以及長時間執行的任務。

MCP工具如何被下毒？

模型情境協定（MCP）是一項標準，讓AI代理能連接第三方伺服器提供的外部工具。根據iThome對草案的整理，AI代理會依據工具供應者提供的文字說明，決定要使用哪些工具。NIST描述攻擊者可能在惡意工具的說明中植入指令，誘使代理選用攻擊者提供的工具，甚至改變原本的執行計畫。NIST將這類手法稱為工具中毒（Tool Poisoning）。

iThome指出，另一種手法是rug pull。攻擊者先將看似正常的MCP伺服器註冊到公開工具註冊庫，等使用者安裝後，再暗中修改伺服器提供的工具說明，誘使代理在未經使用者再次同意的情況下執行惡意操作。

iThome補充，NIST引用的研究發現，實際運作中的MCP伺服器存在這類攻擊風險。同一份報導指出，現有AI模型的安全對齊機制，仍不足以阻止透過合法工具介面傳遞的惡意行為。

NIST建議哪些防禦措施？

兩家媒體分別整理了草案中不同但互補的緩解措施：

• 以密碼學簽章及不可變更的版本識別碼驗證工具定義，並透過沙箱隔離工具的執行環境（iThome）。
• 將可信任的指令與不受信任的內容分開、限制資訊流動、採用存取控制與最小權限，並使用沙箱與稽核日誌（CDO Magazine）。

為什麼記憶中毒與指令漂移連重新啟動都未必能清除？

除了工具，iThome報導NIST也討論長期執行任務的AI代理所面臨的風險。攻擊者若將惡意內容植入代理的長期記憶，這些內容可能在後續任務中影響代理行為，這就是記憶中毒。CDO Magazine說明，代理會從網站、檔案、知識庫與持久記憶中擷取資訊，嵌入這些素材的惡意指令可能進入代理的情境。

第二種風險是指令漂移。根據iThome，隨著工作資料持續累積，代理可能逐漸降低對早期指令及限制的遵循程度，使攻擊者有機會透過多次互動改變其行為。若遭到中毒的是基礎模型或其適應層，單純重新啟動或還原系統可能無法清除惡意行為，甚至需要更換模型或重新訓練，同樣是iThome的說法。

這對企業意味著什麼？

CDO Magazine指出，這份草案屬自願性質，並未建立法律或監管要求。它也只是草案：NIST表示將隨攻擊與防禦技術的發展更新文件，並就三個問題徵詢意見，即威脅現有系統（特別是代理式系統）的最新攻擊、最新的有效緩解措施，以及需要標準化的新術語。NIST表示，這套分類是為了作為未來標準與實務指南的參考。

對於與美國供應商或客戶往來的台灣企業，這份草案提供了一套共同語彙，可用來詢問供應商與撰寫資安要求。以下是我們的解讀，並非NIST的說法：第一步可以先盤點AI代理能呼叫的每個MCP伺服器與工具、固定所使用的版本、在每次更新後重新檢查工具說明、只授予代理必要的權限，並保留其操作紀錄。這些控管屬於更廣泛的AI代理治理架構的一部分。