従者、ストーカー、捕食者：正直で役立ち、無害（3H）なエージェントが敵対的スキルを解き放つ方法

Servant, Stalker, Predator: How An Honest, Helpful, And Harmless (3H) Agent Unlocks Adversarial Skills

August 27, 2025

著者: David Noever

cs.AI

要旨

本論文は、モデルコンテキストプロトコル（MCP）ベースのエージェントシステムにおける新たな脆弱性クラスを特定し、分析する。この攻撃連鎖は、個別に承認された良性のタスクがどのように調整されて有害な創発的挙動を生み出すかを記述し、実証する。MITRE ATLASフレームワークを用いた体系的な分析を通じて、ブラウザ自動化、財務分析、位置追跡、コードデプロイメントなど複数のサービスにアクセス可能な95のエージェントが、正当な操作を連鎖させて、個々のサービスのセキュリティ境界を超える高度な攻撃シーケンスを生成する方法を示す。これらのレッドチーム演習は、現在のMCPアーキテクチャが、大規模なカテゴリの合成攻撃を検出または防止するために必要なクロスドメインセキュリティ対策を欠いているかどうかを調査する。具体的な攻撃連鎖の実証例として、データ流出、財務操作、インフラストラクチャの侵害などを通じて標的型の危害を達成する事例を提示する。これらの発見は、エージェントが複数のドメインにわたって行動を調整できる場合、サービスの分離という基本的なセキュリティ前提が崩れ、追加される能力ごとに指数関数的に拡大する攻撃面が生じることを明らかにする。本研究は、エージェントがMCPベンチマークタスクを完了できるかどうかではなく、それらを過剰に最適化し、人間の期待や安全制約に違反する形で複数のサービスを横断する際に何が起こるかを評価するための最小限の実験的フレームワークを提供する。既存のMCPベンチマークスイートを使用した3つの具体的な実験方向性を提案する。

English

This paper identifies and analyzes a novel vulnerability class in Model Context Protocol (MCP) based agent systems. The attack chain describes and demonstrates how benign, individually authorized tasks can be orchestrated to produce harmful emergent behaviors. Through systematic analysis using the MITRE ATLAS framework, we demonstrate how 95 agents tested with access to multiple services-including browser automation, financial analysis, location tracking, and code deployment-can chain legitimate operations into sophisticated attack sequences that extend beyond the security boundaries of any individual service. These red team exercises survey whether current MCP architectures lack cross-domain security measures necessary to detect or prevent a large category of compositional attacks. We present empirical evidence of specific attack chains that achieve targeted harm through service orchestration, including data exfiltration, financial manipulation, and infrastructure compromise. These findings reveal that the fundamental security assumption of service isolation fails when agents can coordinate actions across multiple domains, creating an exponential attack surface that grows with each additional capability. This research provides a barebones experimental framework that evaluate not whether agents can complete MCP benchmark tasks, but what happens when they complete them too well and optimize across multiple services in ways that violate human expectations and safety constraints. We propose three concrete experimental directions using the existing MCP benchmark suite.