ToFu / Repeat-After-Me: enam framework agen mengeksekusi panggilan tool yang ditulis penyerang yang hanya digema oleh model; 253 kerusakan MCP tool terverifikasi

Peneliti Penn State / Montpellier / Dartmouth (arXiv 2610.13651, diposting 2026-10-09; diliput luas 12-14 Okt) menunjukkan bahwa enam framework orkestrasi utama akan mengirimkan panggilan tool yang hanya digema oleh model di bawah prompt pengulangan teks, bahkan ketika model secara terpisah menolak — penolakan dan panggilan yang dieksekusi tidak sejalan. Fuzzer ToFu mereka mengonfirmasi 253 bug keamanan yang dapat direproduksi di 118 dari 273 server MCP open-source. Tidak ada CVE; ini adalah kelas serangan yang berfungsi dengan transkrip demonstrasi.

Ini adalah kelas serangan eksekusi-agen lintas-framework: tidak ada eksploitasi jaringan dan tidak ada CVE standar yang diperlukan, hanya prompt yang direkayasa ditambah pintasan orkestrator. Ini menghilangkan nilai keamanan dari penolakan sisi-model untuk framework agen yang paling banyak digunakan dan, jika dipasangkan dengan 253 kerusakan MCP tool, menunjukkan bahwa argumen tool dikendalikan penyerang dari ujung ke ujung. Bagi defender, ini adalah sinyal prioritas untuk memindahkan otorisasi keluar dari model dan ke batas tool/orkestrasi.

Prompt 'Repeat-After-Me' membingkai pemanggilan tool berbahaya sebagai teks hipotetis yang harus digema model; model mengeluarkan penolakan dalam prosa namun mengeluarkan panggilan tool terstruktur persis dari penyerang, yang dikirim oleh lapisan orkestrasi tanpa pemeriksaan otorisasi pra-eksekusi. Fuzzer ToFu secara independen menunjukkan bahwa MCP tools menerima argumen adversarial yang valid-skema namun melanggar batasan terdokumentasi mereka (path traversal, SSRF ke metadata, command injection).

LangGraph (didemonstrasikan pada 1.2.0), Microsoft Agent Framework, AutoGen, Google ADK 2.0, AWS Strands Agents, CrewAI; 118 server MCP open-source melalui ToFu

Perlakukan output model sebagai permintaan, bukan otorisasi: tambahkan pemeriksaan otorisasi/izin per-tool yang independen sebelum dispatch, validasi argumen tool sebagai tidak tepercaya di dalam tool itu sendiri, batasi cakupan file/jaringan/kredensial, dan terapkan gerbang persetujuan pada panggilan tool sensitif/tidak dapat dibatalkan. Untuk operator MCP, tinjau 118 server yang ditandai untuk bug path-traversal/SSRF/command-injection. Tidak ada patch vendor — diperlukan penguatan arsitektural.