# A33: Отравление инструментов агента и MCP-серверов (MCP/tool poisoning)

> Инструмент, подключённый к AI-агенту, может нести вредоносные указания в собственном описании. Исследования средств AI-разработки показывают риск внедрения инструкций (prompt injection) через такие инструменты в средах на основе MCP. В результате агент разработчика способен изменить код или раскрыть секреты.

- Канонический HTML: [/threats/a33-mcp-tool-poisoning](https://ai-first.tech/threats/a33-mcp-tool-poisoning)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Безопасность AI-агентов

## Как проявляется риск

Средство AI-разработки подключает набор инструментов и читает их описания, чтобы понять, когда и как их вызывать. Агент воспринимает эти описания как доверенные сведения. Если инструмент или его метаданные содержат вредоносные указания, они влияют на поведение агента. Граница доверия нарушается в момент подключения: сторонний компонент получает возможность управлять агентом. Пользователь при этом видит не все параметры вызова.

## Влияние на бизнес

- **Безопасность.** Агент вызывает инструменты без разрешения и передаёт скрытые параметры.
- **Данные.** Секреты из рабочей среды разработчика могут быть раскрыты.
- **Операции.** Несанкционированные изменения кода попадают в репозиторий и требуют разбора.

## Где риск наиболее вероятен

- AI-ассистенты программирования с подключаемыми инструментами
- Агенты, использующие сторонние MCP-серверы
- Общие каталоги инструментов для команд разработки
- Автоматизация сборки и выпуска с участием агента

## Кому и что решать

- **ИТ-директор.** Утвердить порядок подключения инструментов к средствам AI-разработки через проверенный реестр.
- **Директор по кибербезопасности.** Обеспечить проверку инструментов до подключения, изолированное исполнение и полный журнал вызовов.
- **Владелец бизнес-процесса.** Учитывать, что сторонние расширения агента — это часть цепочки поставки продукта.

## Признаки для службы мониторинга

- Агент вызывает инструмент, не связанный с задачей разработчика
- В вызовах присутствуют параметры, скрытые от пользователя
- Описание или метаданные инструмента изменились без объявленного обновления
- Вызовы проходят без предупреждений и записей в журнале
- Подключён инструмент из неподтверждённого источника

## Меры защиты

- **Порядок допуска инструментов** (организационная). Разрешить подключение только согласованных инструментов. Это убирает самовольную установку расширений.
- **Реестр инструментов с проверкой подлинности** (техническая). Подключать инструменты только из реестра, где подтверждён источник и неизменность описания.
- **Статическая проверка описаний** (техническая). Анализировать метаданные инструментов до подключения, выявляя посторонние указания для агента.
- **Изолированное исполнение и видимость параметров** (техническая). Запускать инструменты в изолированной среде и показывать пользователю все параметры вызова.
- **Подтверждение действий пользователем** (техническая). Требовать явного согласия на значимые вызовы, чтобы скрытое действие не прошло незамеченным.
- **Журнал вызовов инструментов** (мониторинг). Записывать каждый вызов с параметрами и оповещать о неожиданных обращениях.

## Вопросы команде и поставщику

- Какие инструменты подключены к нашим AI-ассистентам разработки и кто их одобрил?
- Проверяются ли описания инструментов перед подключением и после обновлений?
- Видит ли разработчик все параметры вызова?
- Есть ли у агента доступ к секретам?

## Показатели контроля

- Доля подключённых инструментов, прошедших проверку и внесённых в реестр
- Доля вызовов инструментов, попадающих в журнал
- Число выявленных изменений метаданных без согласования

## Первые 30 дней

- Собрать перечень инструментов и MCP-серверов в командах разработки
- Отключить инструменты из неподтверждённых источников
- Включить журналирование и подтверждение значимых вызовов

## Классы решений

- Защита AI-агентов
- Безопасная разработка (DevSecOps)
- Шлюз AI

## Сопоставления

- OWASP: LLM06
- MITRE: ATLAS: Agent Tool Misuse
- NIST: NIST AI RMF: Manage

## Первоисточники

- [arXiv: Are AI-assisted Development Tools Immune to Prompt Injection?](https://arxiv.org/abs/2603.21642) — MCP/tool poisoning в AI development tools.
- [CISA / NSA: Careful Adoption of Agentic AI Services](https://www.cisa.gov/news-events/news/cisa-us-and-international-partners-release-guide-secure-adoption-agentic-ai) — Контроли для agentic AI.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.