テーマ： mcp
-
MCP tool definitions as an attack surface: poisoned descriptions, shadowing and silent changes
An MCP server's tool names, descriptions and annotations are text the model reads before any tool is called. A malicious or compromised server can use them to steer the agent, imitate another server's tools, or change behaviour after approval. Clients should pin, diff and review definitions like code.
-
Token passthrough and the confused deputy in MCP servers that call other APIs
An MCP server that forwards a client's token to a downstream API, or that uses its own broad credentials on behalf of whoever asks, lets callers act with authority they were never granted. The MCP security guidance forbids token passthrough and describes the confused-deputy flow for proxy servers.
-
MCP-Werkzeuge gestalten, die Agenten sicher benutzen können
Werkzeuge nach dem Model Context Protocol brauchen einen engen Zweck, typisierte Eingabe- und Ausgabeschemata, wahrheitsgemässe Annotationen (nur lesend, destruktiv), begrenzte Ergebnisse und Fehler, die die Ursache nennen; Beschreibungen gehören in den Code, nicht in Inhalte, die Nutzende bearbeiten können. Die Spezifikation verlangt zudem, dass Clients Annotationen als nicht vertrauenswürdig behandeln und ein Mensch Aufrufe ablehnen kann.
-
Designing MCP tools that agents can use safely
Model Context Protocol tools should have narrow purposes, typed input and output schemas, honest annotations (read-only, destructive), bounded results and errors that name the cause; descriptions belong in code, not in user-editable content.
機械可読： JSON