为什么 MCP 在协议层会有 prompt injection的问题：工具描述如何劫持 agent 上下文

MCP（Model Context Protocol）当初被设计成 AI agent 的通用集成层，但它的架构有一个根本缺陷：

你接入的每一个 MCP 服务器，都会把它的工具描述原样放进 agent 的上下文窗口，每加一个就扩大一次攻击的可能性。

这就是Context Poisoning —— 即恶意或臃肿的工具描述污染 agent 推理过程 —— 已被 OWASP 列为 LLM 应用的头号漏洞，2025 年已经超过 100,000 个站点被攻击。

为什么 MCP 重要

2024 年 Anthropic 推出 MCP的目的是通过 JSON-RPC 2.0 标准化工具调用，让服务器以结构化 schema 声明能力，让 Claude Desktop、Cursor 或者你自己的 agent 都能以同样方式消费这些能力。

几个月内官方 MCP GitHub 仓库 star 数突破 27,000；Stripe、Slack、OpenAI、Microsoft Copilot、IBM Watson 都给出了官方集成；几百个开源服务器跟进。

 

 

https://avoid.overfit.cn/post/af4872ef39bb43e48ca90c3755038774