Apa yang terjadi
Penelitian (arXiv 2610.31974) menunjukkan bahwa pertahanan provenance yang hanya melabeli saluran teks dikalahkan oleh pembawa yang tampak jinak yang menyembunyikan instruksi dalam steganografi gambar, yang didekodekan oleh alat ke dalam alur tepercaya agen. Pipeline yang tidak dilindungi bocor pada 100% serangan, pemindai kata kunci/regex masing-masing pada 62,5%, sementara pengikatan provenance waktu-dekode yang diusulkan mengurangi keberhasilan serangan menjadi 0% (dan cocok dengan baseline taint dalam proses dalam satu domain kepercayaan tetapi tetap bertahan melalui relay yang dikompromikan).
Mengapa penting
Ini adalah bypass konkret dari pertahanan berbasis provenance yang sedang diterapkan untuk sistem MCP agen: lintas-modal, independen dari pembawa, dan independen dari kata-kata. Ini menunjukkan bahwa pelabelan kepercayaan saluran teks tidak cukup dan lapisan eksekusi MCP harus mengikat kepercayaan pada batas dekode/pembalikan penyembunyian untuk mencegah instruksi yang disuntikkan mencapai tindakan sensitif.
Vektor serangan
Instruksi disembunyikan melalui steganografi gambar (LSB, DCT, atau metadata) dalam gambar yang tampak jinak (misalnya logo tanda tangan email) yang lolos pemindai teks yang hanya melihat piksel; ketika alat mendekodekannya saat runtime, instruksi tersebut dicuci ke dalam alur kontrol tepercaya agen, melewati pertahanan provenance yang hanya melacak provenance teks.
Sistem yang terdampak
Agen LLM yang menggunakan orkestrasi alat MCP dengan pertahanan provenance/taint saluran teks (permukaan injeksi prompt tidak langsung).
Mitigasi
Adopsi pengikatan provenance waktu-dekode: buat label 'Tidak Tepercaya' yang ditandatangani HMAC di batas alat pembalik penyembunyian dan minta lapisan MCP memelihara garis keturunan provenance secara independen (buku besar + taint per konteks) sehingga verifikator memblokir panggilan apa pun yang garis keturunannya tidak tepercaya, bahkan jika agen yang dikompromikan menyajikan label yang valid untuk nilai tepercaya yang tidak terkait.