最初は正直に働く MCPサーバーが信頼を貯めてから裏切る

3行まとめ

• N回目までは正常に応答し、それ以降だけ結果を書き換えるサーバーを論文が示しました
• 6モデルの平均で攻撃成功率69.5%。防御機構ShieldShield論文が提案した防御。正直な期間の応答から基準を作り、後の応答を照らし合わせます用語集でこの語を見るを挟むと42.7%まで下がります
• 情報の持ち出し指示は拒めるのに、道具が返した値の書き換えは素通りします

何が起きたか

論文は、MCP サーバーが起こす攻撃を TrustShift と名づけました。MCP（Model Context Protocol）MCP（Model Context Protocol）LLMエージェントと外部の道具をつなぐ標準の層。JSON-RPC 2.0 でやりとりします用語集でこの語を見るは、LLMエージェントと外部の道具をつなぐ標準の層です。乗っ取られたサーバーは最初のN回まで正しい結果を返し、N回目から書き換えを始めます。

研究チームは書き換え方を9種類に整理しました。4つの業務領域（財務分析・経路案内・ブラウザ操作・リポジトリ管理）で各90件、合計360件の課題を用意しています。対象は GPT-5・Claude-Opus-4-8・Grok-4.3 を含む6モデルです。

論文は IEEE に投稿した段階の原稿で、査読は通っていません。

なぜ難しい・何がすごいか

論文が新しいと主張する点は1つです。サーバーの回避は構文ではなく時間で行われます。 導入前の静的検査には、正直に働く期間しか映りません。

検査を通った時点のサーバーは、本当に正常に動いています。エージェント側も、正しい結果が続くほど応答を疑わなくなります。論文はこの期間を、攻撃者が信頼を貯める工程として形式化しました。

実際の事例が2件あります。2025年に公開された postmark-mcp は、15版まで正常に動きました。その後の更新で、処理済みメッセージのデータを未許可の宛先へ送り始めました。

CVE-2025-54136（MCPoison）では、IDE のエージェントが承認後の書き換えを見逃しました。承認した時点の設定を信じ続け、実行定義が変わっても再確認しません。

たとえ話

レジを1台思い浮かべてください。15回続けて正しい釣り銭が出ます。店員はもう金額を数えません。

16回目に、足りない釣り銭が出ます。誰も気づきません。納入時の検品では、このレジは正常でした。

用語ミニ辞典

• MCP（Model Context Protocol）: LLMエージェントと外部の道具をつなぐ標準の層。JSON-RPC 2.0 でやりとりします
• TrustShift: 正直な期間で信頼を貯めた後、決めた呼び出し回数で応答を書き換えるサーバー側の攻撃
• 攻撃成功率（ASR）: エージェントの最終回答が、サーバーの偽の値を採用した割合
• Shield: 論文が提案した防御。正直な期間の応答から基準を作り、後の応答を照らし合わせます

技術者向けの深掘り

結果には非対称があります。データを壊す攻撃は通り、持ち出しは失敗します。

論文はこう説明します。指示追従の学習は、道具の出力に混ざった命令を拒むよう働きます。いっぽう認証済みの道具が返した内容は、事実として素通りします。

Shield は MCP の通信境界に置く3段の検査器です。正解データを持たず、正直な期間のセッション履歴だけを基準にします。第1段は構造を0.1ミリ秒未満、第2段は統計差を1ミリ秒未満で調べます。

第3段は LLM 呼び出し1回で内容の妥当性を判定します。

効きにはドメイン差が出ます。財務分析では、防御なしの73.8%が Shield ありで28.9%まで下がります。リポジトリ管理では70.0%から64.7%にとどまります。

Shield が届かない範囲もあります。サーバーが最初から返さなかったデータは復元できません。空の応答で処理を止める攻撃について、論文は検知はできても復元は不可能だと書いています。

これは自分に関係ある？

• AIツールを使う人: 導入時に検査を通ったサーバーが、後から挙動を変える経路が整理されました。検査の通過は、その後の振る舞いを保証しません
• エージェントを組む人: 論文は防御を通信境界に置きました。モデル側の学習だけでは、道具が返す値の書き換えは止まりません
• セキュリティを見る人: 実在の事例は2件とも公表済みです。論文の360件は疑似の宛先と目印の文字列で動き、実際の秘密情報には触れません