工具投毒
MCP协议中的一种攻击手法，指在工具描述文本中夹带用户界面不可见的恶意指令，模型将描述当作指令读取从而执行非预期操作
核心事实
时间轴 (近 90 天)
MCP生态尚处早期，缺乏成熟的签名、权限声明与审计规范，第三方MCP服务器来源难以验证、工具描述可能被恶意篡改以诱导模型调用（即“工具投毒”）。
Invariant Labs在2025年4月1日首次将描述中夹带客户端界面不可见指令的现象命名为'工具投毒'（tool poisoning）。
恶意指令抵达模型有两条路径：一是工具描述本身（工具投毒），二是服务器实现代码中的行为（如postmark-mcp的BCC隐藏在邮件API实现里）。
供应链层面的MCP攻击形态包括仿冒域名式的服务器（typosquatted servers）和地毯式撤换（rug pull，即工具定义在获批后被悄然篡改）
Tool poisoning（工具投毒）指在工具描述文本中嵌入对人类不可见但对AI可理解的恶意指令，诱导Agent执行非预期操作
全部知识事实 (5)
供应链层面的MCP攻击形态包括仿冒域名式的服务器（typosquatted servers）和地毯式撤换（rug pull，即工具定义在获批后被悄然篡改）
65%已验证Tool poisoning（工具投毒）指在工具描述文本中嵌入对人类不可见但对AI可理解的恶意指令，诱导Agent执行非预期操作
65%待验证MCP生态尚处早期，缺乏成熟的签名、权限声明与审计规范，第三方MCP服务器来源难以验证、工具描述可能被恶意篡改以诱导模型调用（即“工具投毒”）。
50%待验证Invariant Labs在2025年4月1日首次将描述中夹带客户端界面不可见指令的现象命名为'工具投毒'（tool poisoning）。
50%待验证恶意指令抵达模型有两条路径：一是工具描述本身（工具投毒），二是服务器实现代码中的行为（如postmark-mcp的BCC隐藏在邮件API实现里）。
50%