事件经过
宾夕法尼亚州立大学/蒙彼利埃大学/达特茅斯学院研究人员（arXiv 2610.13651，发布于2026-10-09；10月12日至14日广泛报道）表明，六个主要编排框架会在文本重复提示下调度模型仅回显的工具调用，即使模型单独拒绝——拒绝与执行的调用不一致。他们的ToFu模糊测试器在273个开源MCP服务器中的118个中确认了253个可复现的安全漏洞。没有CVE；这是一个可行的攻击类别，附有演示记录。
影响分析
这是一个跨框架的代理执行攻击类别：不需要网络利用或标准CVE，只需要精心构造的提示加编排器捷径。它剥夺了模型侧拒绝在最广泛部署的代理框架中的安全价值，并且与253个MCP工具缺陷结合，表明工具参数端到端地受攻击者控制。对于防御者来说，这是将授权从模型中移出、移至工具/编排边界的优先级信号。
攻击途径
“Repeat-After-Me”提示将危险的工具调用框定为模型应回显的假设性文本；模型在文本中发出拒绝，却发出攻击者的精确结构化工具调用，编排层在未进行执行前授权检查的情况下调度该调用。ToFu模糊测试器独立证明MCP工具接受符合模式但具有对抗性的参数，违反其文档规定的约束（路径遍历、对元数据的SSRF、命令注入）。
受影响系统
LangGraph（已在1.2.0上演示）、Microsoft Agent Framework、AutoGen、Google ADK 2.0、AWS Strands Agents、CrewAI；通过ToFu检测的118个开源MCP服务器
缓解措施
将模型输出视为请求而非授权：在调度前添加独立的每工具授权/权限检查，在工具内部将工具参数视为不可信进行验证，限制文件/网络/凭据范围，并对敏感/不可逆的工具调用实施审批门控。对于MCP运营商，审查标记的118个服务器是否存在路径遍历/SSRF/命令注入漏洞。无供应商补丁——需要架构级加固。