事件经过
研究（arXiv 2610.31974）表明，仅标记文本通道的来源防御被一种看似无害的载体击败，该载体在图像隐写中隐藏指令，由工具解码进入代理的可信流程。未防御的管道在100%的攻击中泄漏，关键词/正则扫描器各泄漏62.5%，而提出的解码时来源绑定将攻击成功率降至0%（并与单一信任域内的进程内污点基线匹配，但在受损中继下仍存活）。
影响分析
这是当前正在为代理MCP系统部署的来源防御的具体绕过：跨模态、载体无关且措辞无关。它表明文本通道信任标签不足，MCP执行层必须在解码/隐藏逆转边界绑定信任，以防止注入指令到达敏感操作。
攻击途径
通过图像隐写（LSB、DCT或元数据）在看似无害的图像（例如电子邮件签名徽标）中隐藏指令，该图像通过仅查看像素的文本扫描器；当工具在运行时解码时，指令被清洗进代理的可信控制流，绕过仅跟踪文本来源的来源防御。
受影响系统
使用文本通道来源/污点防御的LLM代理通过MCP工具编排（间接提示注入面）。
缓解措施
采用解码时来源绑定：在隐藏逆转工具边界铸造HMAC签名的“不可信”标签，并让MCP层独立维护来源谱系（账本+每上下文污点），使验证器阻止任何来源不可信的调用，即使受损代理为不相关的可信值呈现有效标签。