何が起きたか
ペンシルベニア州立大学/モンペリエ/ダートマス研究者（arXiv 2610.13651、2026-10-09投稿、10月12〜14日に広く報道）は、6つの主要なオーケストレーションフレームワークが、テキスト反復プロンプト下でモデルが単にエコーしたツールコールを、モデルが個別に拒否した場合でもディスパッチすることを示しました—拒否と実行されたコールは矛盾します。彼らのToFuファザーは、273のオープンソースMCPサーバーのうち118で253の再現可能なセキュリティバグを確認しました。CVEはありません。これは実証トランスクリプト付きの動作する攻撃クラスです。
なぜ重要か
これはフレームワーク横断的なエージェント実行攻撃クラスです：ネットワークエクスプロイトも標準CVEも不要で、巧妙なプロンプトとオーケストレーターのショートカットのみが必要です。これは、最も広く展開されているエージェントフレームワークにおいて、モデル側の拒否の安全価値を剥奪し、253のMCPツール欠陥と組み合わせることで、ツール引数がエンドツーエンドで攻撃者制御下にあることを示しています。防御側にとっては、認可をモデルからツール/オーケストレーション境界へ移すための優先順位付けシグナルです。
攻撃経路
「Repeat-After-Me」プロンプトは、危険なツール呼び出しをモデルがエコーすべき仮説的なテキストとして組み立てます。モデルは散文で拒否を発行しながらも、攻撃者の正確な構造化ツールコールを出力し、オーケストレーション層は実行前の認可チェックなしでそれをディスパッチします。ToFuファザーは独立して、MCPツールが文書化された制約に違反するスキーマ検証済みだが敵対的な引数（パストラバーサル、メタデータへのSSRF、コマンドインジェクション）を受け入れることを実証しました。
影響を受けるシステム
LangGraph（1.2.0で実証）、Microsoft Agent Framework、AutoGen、Google ADK 2.0、AWS Strands Agents、CrewAI。ToFu経由で118のオープンソースMCPサーバー
緩和策
モデル出力をリクエストとして扱い、認可としては扱わないでください：ディスパッチ前にツールごとの独立した認可/権限チェックを追加し、ツール自体の内部で引数を信頼できないものとして検証し、ファイル/ネットワーク/資格情報のスコープを制限し、機密性の高い/不可逆的なツールコールに承認ゲートを適用してください。MCPオペレーターは、フラグ付けされた118サーバーをパストラバーサル/SSRF/コマンドインジェクションのバグについてレビューしてください。ベンダーパッチはありません—アーキテクチャ上の強化が必要です。