問題不只是「模型選錯工具」
MCP（Model Context Protocol）讓 AI 代理以統一介面發現並呼叫外部工具。官方規格明確指出，MCP 工具可由模型依使用者提示與情境自動選用；工具清單則包含名稱、描述、輸入結構等資訊。這種設計降低整合成本，卻也把工具描述變成模型決策的一部分。規格原文可見：https://github.com/modelcontextprotocol/modelcontextprotocol/blob/main/docs/specification/2026-07-28/server/tools.mdx
新研究 A2M（Attraction-to-Manipulation）探討的，正是攻擊者能否利用這個語意決策層。論文於 2026 年 9 月 22 日提交 arXiv，並在頁面註明獲 AACL-IJCNLP 2026 接受。作者將風險稱為「語意供應鏈」攻擊：惡意工具未必利用軟體漏洞，而是讓代理覺得它最適合目前任務，再透過工具回傳內容影響後續推理與行動。原始研究與完整數據以論文為準：https://arxiv.org/abs/2609.26761
A2M 如何把一次工具呼叫變成兩階段劫持
來源事實：A2M 是黑箱攻擊框架，不要求取得目標模型權重。第一階段「Attraction」調整惡意工具的中繼資料，使其在語意配對時更容易被代理選中；第二階段「Manipulation」利用代理的執行軌跡，反覆改良工具回傳內容，把模型導向攻擊者指定的結果。
兩階段分工很關鍵。工具被安裝或列入候選清單，只代表它有參賽資格；攻擊者仍須贏得模型的選擇。成功獲得呼叫後，回傳內容又會進入模型上下文，成為下一步推理的材料。因此，工具描述負責「搶入口」，工具輸出負責「改路線」。
合理推論：傳統套件簽章、雜湊與傳輸加密可以確認程式來自誰、途中是否被竄改，卻不能證明一句工具描述是否刻意迎合模型，也不能保證合法工具輸出的文字不含操控指令。A2M 所揭示的不是簽章失效，而是簽章沒有回答「內容在語意上是否誠實」這個問題。
數字很醒目，但必須讀懂測量範圍
來源事實：研究在 LiveMCPBench 上，以 GLM-4.6 進行最佳化與評估。在四種情境中，惡意工具呼叫率的總體平均為 93.6%；「認知型阻斷服務」使加權 token 成本增至良性基準的 32.4 倍；資訊外洩、環境完整性破壞與推理偏離三類攻擊的平均成功率為 74.4%。未重新最佳化、直接轉移至另外四個模型時，三項對應結果降為 63.6%、2.7 倍與 24.5%。
這組落差同時支持兩個結論：攻擊具跨模型轉移性，但效果高度受模型與最佳化條件影響。93.6% 不能直接解讀成「所有 MCP 代理都有九成以上機率遭入侵」，32.4 倍也不是任意正式環境都會出現的固定成本。它們是特定基準、工具集合、模型與攻擊設定下的實驗結果。
為何現在值得企業注意
MCP 的價值來自工具可以自由組合，但風險也由組合產生。讀取檔案的工具、可接觸外部內容的工具，以及能發送資料或修改環境的工具，單獨看來可能都有正當用途；一旦被同一代理串接，攻擊輸出的影響就可能跨越伺服器邊界。
MCP 官方安全政策也確認，模型依工具描述決定呼叫、甚至做出使用者未逐項要求的工具操作，是既定運作模式，而非自動被視為協定漏洞。官方將伺服器選擇、同意機制、最小權限與沙箱隔離分別交由伺服器開發者、客戶端與營運者負責：https://github.com/modelcontextprotocol/modelcontextprotocol/blob/main/SECURITY.md
作者觀點：這表示企業不能把「支援 MCP」當成單純的相容性功能。真正需要治理的是完整執行鏈：哪些伺服器能加入、哪些工具能同場出現、模型看見了什麼，以及呼叫結果接下來能影響哪些資料與動作。
容易忽略的限制與防線
首先，這是一篇以基準測試驗證攻擊框架的研究，不等於已證實特定工具市集或台灣企業遭到同型攻擊。其次，研究展示的是語意層弱點；實際損害仍取決於代理取得的權限、是否有人工作業確認、工具之間能否交換敏感資料，以及執行環境有無隔離。
官方工具規格建議：敏感操作要求使用者確認、呼叫前顯示輸入、將結果交給模型前先驗證、設定逾時並保留稽核紀錄；伺服器端則應驗證輸入、控管存取、限制呼叫頻率並清理輸出。這些措施無法單獨判斷所有語意操控，卻能限制攻擊從「影響模型」擴大成「讀走資料或改動環境」。
對台灣導入者的實際意義
對採用生成式 AI 的金融、製造、醫療、政府與軟體團隊，MCP 清冊不應只記錄套件版本，還應記錄工具來源、可讀資料、可寫範圍、外連能力與核准人。內部自建、可信合作夥伴與公開網路取得的 MCP 伺服器，也不宜共用同一信任等級。
- 以白名單與版本鎖定限制可連線伺服器，工具描述變更也要觸發複核。
- 把讀取、寫入、對外傳送及執行程式分成不同權限層，高風險組合要求人工確認。
- 隔離工具執行環境，避免代理直接取得整份主機憑證、檔案系統或正式資料庫權限。
- 監測異常 token 成本、重複呼叫、工具選擇率突增，以及原任務無關的跨工具資料流。
後續應觀察什麼
接下來值得追蹤的，不只是更多模型能否抵抗 A2M，而是攻擊在真實企業工具組合、人工確認介面與最小權限環境中的成功率；客戶端能否驗證工具來源與描述版本；市集是否建立撤銷、簽署及持續審查機制；以及工具輸出進入模型前，能否依資料敏感度與執行軌跡套用政策。A2M 最重要的提醒是：代理安全的邊界已不再停在程式碼與網路連線，連「模型為何相信這個工具」都必須成為可稽核的控制面。