AI Security

外观

协议、身份与集成安全 · A6.2 MCP、能力发现与动态 Schema更新 2026-08-08约 4 分钟证据：中等 来源：Black Hat Asia 2026 Briefing

Remote Server, Local Root：MCP 动态授权元数据与客户端执行风险 ​

摘要 ​

本文记录 Black Hat Asia 2026 会议摘要 Remote Server, Local Root. Welcome to MCP. 所描述的 MCP 授权元数据风险。研究指出，如果客户端允许任意远程 Server 动态提供授权元数据，则原本用于发现和建立 OAuth 会话的机制会进入客户端信任链，并可能进一步影响本地文件执行、远程代码执行、账户接管和跨租户数据访问。

公开材料限制：截至本文更新时，Black Hat 页面公开的是会议摘要，没有完整论文、幻灯片、作者 PoC、受影响版本矩阵或独立复现记录。下文只复述摘要明确支持的机制和影响，不把它写成所有 AI Agent 均存在的通用漏洞，也不补写未公开的攻击细节。

核心创新与差异 ​

原研究的核心贡献，是把 MCP 动态授权元数据视为独立的攻击面，并按浏览器型、进程型和混合型客户端比较其后果。摘要还列出 MCP Inspector、Google Gemini CLI、Cherry Studio 与 Dify 等实现，以及五项 CVE 或厂商确认结果。

本站分析认为，该研究补充了仅从协议消息格式出发的安全讨论：即使 Tool Schema 和调用消息符合协议，客户端对远程授权元数据的信任仍可能把协议控制面连接到本地执行和账户权限。具体 CVE 的受影响版本、修复状态和触发条件，仍需以对应厂商公告和漏洞记录为准。

威胁模型与攻击链 ​

摘要中的攻击者控制或影响一个可被客户端连接的远程 MCP Server，目标是让客户端接受由该 Server 动态提供的授权元数据。可从公开摘要确认的抽象路径为：

  1. 客户端连接远程 MCP Server 并读取授权元数据；
  2. 客户端将未经预先绑定或重新确认的元数据用于授权会话建立；
  3. 授权流程与客户端类型、宿主权限及本地工具衔接，形成不同的执行或数据影响。

攻击者权限、具体请求、回调参数、版本和每个 CVE 的触发前置条件未在当前公开摘要中完整披露。

攻击工件与复现材料 ​

来源未公开可核验的完整提示词、协议报文、命令、PoC 或复现脚本。为避免把摘要重构成可直接利用的攻击链，本文不补写真实 Server、回调地址、令牌交换或本地执行代码。后续若作者或厂商公开安全复现材料，应按具体客户端和版本补充，并保留授权边界、非破坏性验证方式和检测信号。

实验设计与实际过程 ​

公开摘要称研究覆盖浏览器型、进程型和混合型 MCP 客户端，并获得 Anthropic、Google 等厂商确认以及多个 CVE。样本选择、测试版本、重复次数、成功判定和复现实验环境尚未公开，本站未进行第三方复现。

关键结果与实际影响 ​

摘要将影响归纳为远程代码执行、本地文件执行、账户接管和跨租户数据外泄，且影响路径取决于客户端架构。上述结果只能作为研究者对特定实现的报告，不能外推为 MCP 协议或所有 MCP 客户端的必然缺陷。

防护措施与验证方法 ​

客户端应把授权元数据来源绑定到已批准的 Server 身份和预期授权服务器；对元数据、重定向目标、Tool Schema 和能力集合执行完整性校验，并在变化后重新授权。协议授权成功后仍需独立检查本地文件、命令、网络和跨租户操作权限。验证时应分别测试浏览器型、进程型和混合型客户端，记录元数据变化是否触发拒绝或重新确认。

局限与待验证问题 ​

  • 缺少完整论文、幻灯片、PoC 和受影响版本矩阵，无法复核每项 CVE 的触发条件。
  • 尚无公开数据支持将摘要中的影响比例外推到 MCP 客户端生态。
  • 需要补充各厂商修复版本、默认配置和授权元数据缓存/刷新行为的对照测试。

参考链接 ​