何が起きたか
研究（arXiv 2610.31974）は、テキストチャネルのみにラベルを付けるプロヴェナンス防御が、画像ステガノグラフィーに命令を隠し、ツールによってエージェントの信頼されたフローにデコードされる良性のキャリアによって打ち負かされることを実証しています。防御されていないパイプラインは攻撃の100%で漏洩し、キーワード/正規表現スキャナーはそれぞれ62.5%で漏洩しました。提案されたデコード時プロヴェナンスバインディングは攻撃成功率を0%に削減しました（また、1つの信頼ドメイン内ではプロセス内汚染ベースラインと一致しますが、侵害されたリレーを生き延びます）。
なぜ重要か
これは、エージェントMCPシステム向けに現在展開されているプロヴェナンスベースの防御の具体的なバイパスです。クロスモーダル、キャリア非依存、表現非依存です。テキストチャネルの信頼ラベリングでは不十分であり、MCP実行層がデコード/隠蔽解除境界で信頼をバインドして、注入された命令が敏感なアクションに到達するのを防ぐ必要があることを示しています。
攻撃経路
命令は画像ステガノグラフィー（LSB、DCT、またはメタデータ）で良性に見える画像（例：メール署名ロゴ）に隠され、ピクセルしか見ないテキストスキャナーを通過します。ツールが実行時にそれをデコードすると、命令はエージェントの信頼された制御フローにlaunderedされ、テキストプロヴェナンスのみを追跡するプロヴェナンス防御をバイパスします。
影響を受けるシステム
テキストチャネルプロヴェナンス/汚染防御を使用したMCPツールオーケストレーションを使用するLLMエージェント（間接プロンプトインジェクション面）。
緩和策
デコード時プロヴェナンスバインディングを採用してください。隠蔽解除ツール境界でHMAC署名付きの「Untrusted」ラベルを発行し、MCP層がプロヴェナンス系統（台帳＋コンテキストごとの汚染）を独立して維持し、検証者が系統が信頼されていない呼び出しをブロックするようにします。侵害されたエージェントが信頼された無関係な値に対して有効なラベルを提示した場合でもブロックします。