过去几个月，AI Agent 正在以肉眼可见的速度涌入企业内网。但一份最新安全研究提醒我们：当一堆 Agent 被默认“互相盲信”地连在一起时，攻击者多了一条全新的横向移动通道。

事件：过去五个月，五家机构的 Agent 接连“中招”

独立安全研究员 Syed Anas Mohiuddin 在过去五个月里，对多家部署了 AI Agent 的组织做了一系列渗透测试。结果显示，Google、摩根大通（JP Morgan Chase）、Weaviate、Rapid7，以及法国政府数字局、美国政府等至少五家机构，都承认存在可被利用的相关漏洞。它们彼此之间几乎毫无共同点，唯一的交集是——都用了 MCP。

MCP（Model Context Protocol，模型上下文协议）是 AI 应用与 Agent 在企业内网里互相通信的标准。问题恰恰出在这套“互相通信”的信任假设上。

漏洞怎么运作：一种“会传染”的提示注入

Mohiuddin 把这种攻击命名为 “protocol pivoting”（协议支点）。它本质上是一类特殊的提示注入（prompt injection），但目标不是大语言模型本身，而是某个特定职能的 Agent——比如负责翻译或数据分析的那个。

攻击链条通常是这样：

1. 攻击者在某段内容里埋入恶意指令；
2. 一个内部 Agent 读到这段内容，由于自身护栏薄弱（甚至没有），把它当成正常的委派任务转交给下游 Agent；
3. 下游 Agent 因为“明确信任上游 Agent”，便照做了。

Rapid7 漏洞情报总监 Douglas McKee 对 Ars Technica 打了个比方：“有人把文字种进内容，一个 Agent 读完后把它当作正常委派任务传给另一个 Agent，第二个 Agent 因为信任派活的人就执行了。链条里每一环都只做了它被设计要做的事——这正是它难抓的原因。每个协议都假设自己独处，于是各自看自家前门，却没人看走廊。”

在许多情况下，精心构造的提示会进一步导致服务端请求伪造（SSRF）——让 Web 服务器发出本不该发出的网络请求。

两个具体案例

Rapid7：CVE-2026-97228，严重度评分仅 2.7/10。 上月已修复。

Google：评分 8/10，更严重。 根源在 Google 开源的数据库 MCP 工具箱（googleapis/mcp-toolbox）：其 HTTP 客户端初始化时既没有启用 CheckRedirect 策略（控制服务器如何处理错误/重定向），也没有校验目标 IP 地址。Mohiuddin 解释，构造的路径参数可让工具箱跟随重定向指向内网端点，并代表攻击者发出请求。Google 的修复方式是应用 IP 段白名单与黑名单，“在启动时而非首次请求时拒绝不安全的 base URL——这才是真正的 SSRF 防护，也比大多数 MCP 服务器做的要多”。

争议：这到底算不算新攻击？

X41 D-Sec 的研究员 Markus Vervier 认为更准确的叫法还是“间接提示注入（indirect prompt injection）”，Mohiuddin 的技术只是它的一个简单子类。但 Mohiuddin 强调，恶意提示可以经由不同协议（例如 Google 的 A2A、或新兴的 Agent Network Protocol）进入、并在另一种协议上发作，这种“跨协议”特性让它在一般意义上更难缓解。

无论命名如何，一个事实被反复印证：MCP 还很新，却已经在被充分测试和加固之前“无处不在”。组织一窝蜂搭建庞大的 agentic 架构时，悄然放弃了“零信任”（zero trust）这条核心安全原则。

对构建 Agent 的人意味着什么

专家给出的建议很朴素：

• 把 LLM 传给任何工具的内容，都当作“来自陌生人的输入”来对待；
• 对 Agent 间的每一次委派都做严格权限校验；
• 用 zero trust 思路设计——每一步都要能证明自己有权限。

对普通用户而言，结论同样朴素：当你把多个 Agent 串起来自动跑流程时，别忘了它们彼此“盲目信任”可能成为攻击者的横向移动通道。本站 Agent 工具集 收录了众多 Agent 平台，选型与自建时，安全护栏应被列为硬指标而非可选项。

本文基于 Ars Technica 2026-10-05 报道及多位安全研究员公开表述整理，技术细节以各厂商官方公告为准。

常见问题（FAQ）

Q1：MCP 是什么？ 模型上下文协议（Model Context Protocol），是 AI 应用与 Agent 在企业内网互相通信的标准。

Q2：普通用户会受影响吗？ 直接受影响的是部署了多 Agent 系统的企业；但使用相关产品的用户，其数据可能因供应链漏洞被间接波及。

Q3：Google 修了吗？ 据报道已修复，方式是 IP 白/黑名单 + 启动时拒绝不安全地址。