REA MCP工具曝零点击间接提示词注入风险，攻击者或可诱导 AI 智能体执行远程命令

原创

tuto
tuto

杂杂咱谈

2026年10月14日 00:06
福建

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、漏洞概述

REA(Reverse Engineering Assistant，逆向工程助手) MCP工具被指出存在严重的架构设计缺陷: 攻击者可能通过网页、代码仓库、PDF文档等外部内容植入恶意提示词，诱导AI智能体调用具备高权限的系统命令执行工具，形成从间接提示词注入到远程代码执行的潜在攻击链。

该问题的核心在于，系统未能有效区分不可信外部数据与可信指令，同时将外部内容分析工具与高权限命令执行工具置于同一智能体调用环境中。如果模型受到恶意内容影响并发起未经授权的工具调用，攻击者就可能借助智能体自身的执行权限访问本地资源，甚至导致敏感凭据泄露。

在符合相关利用条件的情况下，受害者可能仅需让智能体处理包含恶意指令的内容，就触发后续风险，而不一定需要手动执行恶意命令。

二、核心技术问题

1. 不可信内容与高权限工具缺乏隔离

架构将以下工具注册在同一智能体或工具调用环境中：

• analyze\_web\_bundle: 负责读取和分析外部网页等不可信内容。
• capture\_process\_scenario: 具备执行系统命令的能力，可能访问本地系统资源。

两类工具的安全属性存在明显差异。前者接触攻击者可控制的数据，后者则可能执行具有实际系统影响的操作。

当缺乏有效的权限边界和调用限制时，恶意网页内容就可能影响模型的后续决策，形成从读取外部内容到执行本地命令的潜在攻击路径。

2. 间接提示词注入绕过语义信任边界

在特定的\"裸工具模式\"(bare tool mode)下，名为COMMON\_DISCIPLINE的安全约束规则可能未被调用。

这会增加模型将不可信内容误判为可信指令的风险。

例如，攻击者可以在网页或文档中嵌入类似SYSTEM: Urgent task...的文本，试图让模型将普通网页内容误认为系统级指令。

这类文本并不会因为包含SYSTEM字样而自动获得系统指令权限。但如果智能体缺少有效的输入隔离、上下文约束和工具调用校验，模型就可能受到恶意内容影响，并产生不安全的工具调用。

3. 命令执行缺少沙箱隔离

相关执行机制没有充分隔离子进程，并通过Node.js的process.env继承当前进程的环境变量。

如果智能体运行环境中保存了敏感凭据，且命令执行进程能够访问这些信息，可能暴露的内容包括：

• AWS等云平台访问密钥；
• SSH身份凭据；
• GitHub、GitLab等代码托管平台Token；
• CI/CD流水线密钥；
• 内部服务API Key；
• 数据库连接参数及其他敏感配置。

这意味着攻击者可能不需要直接突破独立的权限提升漏洞，而是借助智能体已经拥有的权限访问其运行环境中的资源。

4. 过度依赖客户端警告机制

相关架构依赖客户端对destructiveHint标记的处理，以提示或阻止具有破坏性的工具调用。

但该标记本身并不等同于强制访问控制机制。

如果客户端运行在无界面模式、自动批准工具调用，或者用户忽略安全提示，相关防护就可能失效。因此，高风险操作必须通过服务端授权、权限检查和执行隔离来控制，不能仅依赖客户端警告。

三、攻击链路

在相关缺陷存在且利用条件满足的情况下，攻击过程包括以下阶段：

1. 恶意内容投递: 攻击者将提示词注入内容嵌入网页、GitHub Issue、博客文章、PDF或其他待分析资料。
2. 外部内容读取: AI智能体通过analyze\_web\_bundle获取并处理相关内容。
3. 模型决策受到影响: 智能体未能正确识别不可信指令，产生非预期的工具调用。
4. 高权限工具执行: 智能体调用capture\_process\_scenario等具备命令执行能力的工具。
5. 敏感资源访问: 如果执行环境权限过大且缺乏沙箱隔离，相关命令可能访问本地文件、环境变量及凭据。
6. 后续攻击扩展: 如果获得有效凭据且权限允许，攻击者可能进一步访问代码仓库、云服务、CI/CD系统或内部网络。

四、安全影响

1. 本地命令执行

在缺乏有效执行隔离的情况下，恶意输入可能诱导智能体执行未经授权的系统操作。实际影响取决于运行账户的权限及工具的具体实现。

2. 敏感凭据泄露

如果子进程能够访问包含云凭据、代码仓库Token或CI/CD密钥的环境变量，相关信息可能面临读取、滥用或外传风险。

3. 持久化与横向移动

在具备相应权限的情况下，攻击者可能尝试修改SSH授权配置、计划任务或Shell启动配置，也可能利用泄露的凭据访问其他系统。

4. 企业研发环境面临连带风险

如果此类智能体部署在逆向分析工作站、软件研发环境或自动化构建服务器中，风险可能进一步延伸至源代码、云基础设施、内部API和持续集成系统。

五、为什么该漏洞值得关注？

与传统攻击依赖恶意程序或直接利用软件漏洞不同，间接提示词注入可能借助正常的内容分析工作流触发后续操作。

其主要风险特征包括：

• 入口隐蔽: 恶意指令可能藏在看似正常的网页、文档或代码仓库内容中。
• 利用合法工具: 实际操作可能由智能体自身注册的工具执行。
• 权限风险集中: 外部数据读取与系统命令执行之间缺少有效隔离，会扩大单次输入被滥用的影响。
• 凭据暴露面广: 不必要的环境变量继承可能使云平台和研发凭据面临风险。
• 审计难度增加: 如果日志未完整记录输入来源、授权决策和实际执行行为，调查人员可能难以还原完整攻击。

六、修复与安全加固建议

1. 隔离不可信内容与高权限工具

避免让网页分析、文档解析等工具与高权限命令执行工具共享不受约束的调用环境。建议将外部内容处理与系统操作拆分至不同的执行上下文，并通过明确的授权机制控制数据流转。

2. 为命令执行建立强制安全边界

• 使用容器、虚拟机或其他隔离环境执行不可信任务；
• 采用低权限专用账户运行子进程；
• 限制文件系统、网络和进程访问范围；
• 对命令、参数及目标资源进行服务端校验；
• 对高风险操作实施独立授权或人工审批；
• 禁止未经授权的任意命令执行。

3. 限制环境变量与敏感凭据暴露

避免将宿主机完整的process.env直接传递给子进程。仅提供任务必需的环境变量，并通过专门的密钥管理机制保护云凭据、代码仓库Token和CI/CD密钥。

同时，应遵循最小权限原则，限制凭据的有效期、访问范围和可操作资源。

4. 强化MCP工具调用授权

工具调用权限应由服务端策略决定，而不是仅依赖模型的判断、客户端界面或destructiveHint标记。

涉及命令执行、文件写入、网络访问和敏感信息读取的操作，应实施独立的权限检查、参数验证和审计。

5. 加强提示词注入防护

始终将网页、PDF、代码仓库内容及工具返回结果视为不可信数据。即使这些内容包含看似权威的系统指令，也不应因此获得更高的指令权限。

提示词约束和上下文隔离可以降低风险，但不能代替实际的权限控制与沙箱机制。

6. 开展安全审计与异常监控

• analyze\_web\_bundle与capture\_process\_scenario的注册及调用关系；
• COMMON\_DISCIPLINE在不同运行模式下是否始终生效；
• 子进程是否继承完整环境变量；
• 命令执行是否具有独立的沙箱与授权机制；
• 高风险工具调用是否需要明确批准；
• 是否存在异常凭据访问、文件修改及外部数据传输行为。

七、总结

REA MCP工具所揭示的核心风险，是不可信外部内容能够影响拥有高权限工具的AI智能体，而系统又缺乏足够的权限隔离和执行约束，导致提示词注入可能进一步演变为本地命令执行和敏感凭据泄露风险。

MCP是连接AI模型与外部工具的协议，并不会自动为工具提供沙箱、权限隔离或提示词注入防护。

对于部署MCP服务和AI智能体的组织，检查工具调用边界、命令执行权限、环境变量继承方式及客户端授权机制，防止智能体将不可信内容转化为未经授权的系统操作。

核心建议: 不要让不可信数据直接决定高权限操作。应通过最小权限、执行隔离、独立授权和纵深防御，降低AI智能体被提示词注入滥用的风险。

已关注

关注

重播 分享 赞

关闭

观看更多

更多

退出全屏

切换到竖屏全屏退出全屏

杂杂咱谈已关注

分享视频

，时长00:37

0/0

00:00/00:37

切换到横屏模式

继续播放

[ ]

进度条，百分之0

播放

00:00

/

00:37

00:37

倍速

全屏

倍速播放中

0.5倍0.75倍1.0倍1.5倍2.0倍

超清流畅

继续观看

REA MCP工具曝零点击间接提示词注入风险，攻击者或可诱导 AI 智能体执行远程命令

观看更多

转载

,

REA MCP工具曝零点击间接提示词注入风险，攻击者或可诱导 AI 智能体执行远程命令

杂杂咱谈已关注

分享点赞在看

已同步到看一看写下你的评论

视频详情

Simple #REA #RCE