30 秒快速回答
MCP 工具中毒（Tool Poisoning）是 2026 年 AI Agent 生态最危险的攻击方式之一：攻击者把恶意指令藏进工具的元数据里，让 AI Agent 在毫不知情的情况下被「带偏」，进而污染整条工具调用链。 2026 年 1-2 月，MCP 生态在 60 天内爆出 30+ 个 CVE；研究人员扫描 7 个主流 MCP 客户端发现，其中 5 个不做工具元数据校验。
核心价值一句话：工具中毒不是模型「被越狱」，而是工具「有毒」——理解它的三种协议级漏洞，你就能用网关、白名单和元数据校验守住 Agent 工具链。
一、什么是工具中毒？它与提示注入有什么不同
MCP（Model Context Protocol）让 AI Agent 通过标准接口调用外部工具，但工具本身成为新的攻击面。工具中毒 = 恶意工具或已被污染的元数据，向 Agent 悄悄注入指令，使其执行攻击者想要的动作。
| 维度 | 提示注入（Prompt Injection） | 工具中毒（Tool Poisoning） |
|---|---|---|
| 攻击载体 | 用户输入 / 网页内容 | 工具元数据 / 工具描述 |
| 攻击时机 | 每次对话 | 工具注册或被发现时 |
| 影响范围 | 单次会话 | 整条工具链，可跨服务器传播 |
| 典型案例 | 网页藏指令骗 AI 泄露隐私 | 工具声称「数据库查询」，实际偷删数据 |
一句话区分：提示注入是「输入有毒」，工具中毒是「工具本身有毒」。
二、三大协议级漏洞：不是实现 bug，是设计缺陷
2026 年 arXiv:2603.22489 与 arXiv:2601.17549 两篇论文指出，MCP 存在三个架构级安全缺陷：
| 漏洞 | 原理 | 真实后果 |
|---|---|---|
| 能力认证缺失 | 工具声称自己能干什么，客户端无法验证 | 恶意工具自称「查询工具」，实际执行删除操作 |
| 工具中毒攻击 | 恶意工具元数据里藏指令，污染其他工具的调用链 | 5/7 主流客户端不校验元数据，Agent 被逐步「带偏」 |
| 跨服务器提示注入 | 多个 MCP 服务器共存时，污染互相传播 | 一个被攻破的服务器影响其他所有服务器 |
这不是代码写错了，而是协议设计时就没考虑「工具不可信」这个前提。 当一个 Agent 接入了十几个 MCP Server，你根本无法保证每个工具都诚实。
三、真实危害：从数据泄露到 API 密钥被窃
工具中毒不是理论风险，2026 年已有真实事件：
- CVE-2026-22794：低代码平台的代理逻辑可被毒化，攻击者借此接管代理、窃取 LLM API 密钥；
- 60 天 30+ CVE：2026 年 1-2 月 MCP 生态漏洞集中爆发，扫描 2,614 个实现中大量存在同类问题；
- 供应链放大：一个被污染的公共 MCP Server，可同时影响所有接入它的企业 Agent——这正是「工具层即供应链风险核心」的原因。
四、5 种防御方案：从网关到元数据校验
1. 部署 MCP 网关，统一管控工具调用
网关是 Agent 与工具之间的「安检门」，对每次工具调用做鉴权、限流与审计：
{
"gateway": {
"allowed_tools": ["search_docs", "calc_sum", "get_weather"],
"blocked_tools": ["exec_shell", "delete_file", "api_key_read"],
"policy": "deny-by-default",
"audit_log": true
}
}
2. 对工具元数据做严格校验
工具声明「我能做什么」必须与实际能力一致。开发者应在注册工具时校验描述是否包含危险指令：
def safe_tool_registry(name, description, executor):
blocked = ["ignore previous", "override", "exec", "delete", "secret"]
if any(word in description.lower() for word in blocked):
raise ValueError(f"工具 {name} 元数据异常，拒绝注册")
return {"name": name, "description": description, "run": executor}
3. 最小权限原则：默认拒绝
只向 Agent 暴露完成任务必需的工具，宁可少给不可多给。敏感工具（执行命令、读写密钥、删除数据）必须二次人工确认。
4. 只信任可信来源的 MCP Server
优先使用官方或知名机构维护的 Server；使用第三方公共 Server 前，先人工审查其工具描述与源码，并定期更新版本（30+ CVE 大多有修复补丁）。
5. 运行时威胁检测与可观测
记录每一次工具调用的输入输出，用异常检测识别「行为漂移」——例如某工具突然开始访问从未涉及的路径或 API，立即告警并熔断。
五、总结要点
- 工具中毒是把恶意指令藏在工具元数据里，污染 AI Agent 的调用链，与提示注入是两条不同的攻击路径；
- MCP 存在三大协议级漏洞：能力认证缺失、工具中毒、跨服务器提示注入，影响面覆盖所有主流客户端；
- 2026 年已出现真实攻击事件（CVE-2026-22794），MCP 生态 60 天爆出 30+ CVE；
- 防御核心是纵深防御：网关白名单 + 元数据校验 + 最小权限 + 可信源 + 运行时监控，缺一不可。
延伸阅读建议：
- 想了解 MCP 基础：《什么是 MCP 协议？一文读懂 AI 的 USB 接口标准》
- 想自己搭建工具：《怎么搭建 MCP Server？从零构建 AI 工具的 USB-C 接口》
- 想了解 2026 协议新变化：《MCP 协议 2026 版有什么新变化？一文读懂史上最大修订》
- 想了解输入侧攻击：《什么是提示注入攻击？一文看懂 AI 安全的头号威胁（附 5 种防御方法）》