ES
Una defensa al decodificar frena instrucciones ocultas en llamadas críticas
Agentic AI Defense: Decode-Time Provenance Binding for MCP · arXiv:2610.31974
En palabras sencillas
Un agente puede no detectar una instrucción escondida en la imagen de un correo hasta que una herramienta la descifra. Después, la instrucción puede pasar entre agentes como si fuera una salida normal.
El artículo presenta una defensa que marca el contenido descifrado como no confiable y comprueba su recorrido registrado antes de permitir llamadas a herramientas críticas. En una prueba con 24 ataques, la defensa los bloqueó todos, al igual que una referencia que rastreaba datos dentro del proceso. El resultado se limita a la configuración probada.
La investigación
¿Cómo puede una instrucción escondida en la imagen de un correo convertirse en entrada de control confiable después de que un agente la descifra y transmite el texto? El artículo estudia esta brecha de las defensas centradas en el texto: la instrucción solo se vuelve legible durante la decodificación.
Los autores presentan una defensa en tiempo de ejecución que marca como no confiable el contenido decodificado y comprueba su recorrido registrado antes de las llamadas críticas a herramientas.
Los autores presentan la vinculación de procedencia durante la decodificación, una defensa en tiempo de ejecución para agentes que usan herramientas a través de Model Context Protocol.
Marca la salida decodificada como no confiable y permite que la capa del protocolo compruebe su recorrido registrado antes de una llamada crítica a una herramienta.
En una prueba con 24 ataques, la defensa y una referencia de seguimiento dentro del proceso evitaron filtraciones; los escáneres de texto permitieron filtraciones en el 62.5% de los ataques cada uno.
La comparación respalda las comprobaciones de procedencia para este conjunto de ataques, pero no demuestra una ventaja general frente a otros sistemas de procedencia.
Los resultados proceden de un entorno de prueba controlado con 24 ataques, un logo señuelo y un modelo local pequeño. La garantía de seguridad también depende de que la capa MCP medie todas las llamadas críticas y registre la procedencia completa; las instrucciones parafraseadas fuera de esa ruta no quedan cubiertas.
Qué muestran las pruebas
- Cuando las imágenes llevan instrucciones
La vinculación de procedencia durante la decodificación es una defensa en tiempo de ejecución para agentes que usan herramientas a través de Model Context Protocol (MCP, el protocolo que conecta modelos con herramientas).
El artículo pregunta cómo una instrucción escondida en la imagen de una firma de correo puede convertirse en entrada de control confiable cuando una herramienta la descifra y los agentes transmiten su texto. En el ataque descrito, los escáneres de texto no encuentran palabras sospechosas en la imagen; la instrucción solo entra en el contexto del agente cuando se ejecuta la decodificación.
- Rastrear el momento de la decodificación
La defensa marca como no confiable la salida de las herramientas de decodificación registradas en cuanto se produce. La capa MCP firma un registro de la salida y sus dependencias, conserva el historial de procedencia y comprueba ese registro y el contexto antes de una llamada a una herramienta crítica.
Así, actúa en el momento en que el contenido oculto se vuelve legible, en lugar de juzgar si la imagen parece sospechosa.
- Comparar las defensas probadas
En un entorno de prueba MCP real, los investigadores contaron las filtraciones en 24 ataques con tres tipos de imágenes portadoras y ocho técnicas de evasión. La canalización sin defensa permitió filtraciones en todos los ataques; un escáner de palabras clave y un analizador de expresiones regulares las permitieron, cada uno, en el 62.5% de los casos.
La defensa propuesta y una referencia que rastreaba datos dentro del proceso evitaron filtraciones en este conjunto de ataques, lo que muestra que ambas bloquearon los casos probados dentro de una misma zona de confianza.
- Comprobar dos protecciones distintas
Una etiqueta de confianza válida por sí sola no impidió que un agente ocultara la decodificación no confiable que había influido en una llamada crítica: el verificador basado solo en la etiqueta permitió la llamada, mientras que el control de procedencia de la capa la bloqueó.
En una prueba de tres escenarios, quitar las comprobaciones de firma permitió una retransmisión falsificada entre zonas de confianza; quitar el seguimiento de procedencia permitió sustituir una etiqueta. Los resultados distinguen las funciones de ambas protecciones en esos escenarios probados.
- Permitir el trabajo autorizado
Considerar no confiable todo valor decodificado bloqueó por error una de tres tareas legítimas: un pago autorizado que usaba un número de factura leído de una imagen. Una ruta auditada de autorización permitió tratar ese valor como confiable: se completaron las tres tareas sin bloqueos erróneos y el ataque no autorizado siguió bloqueado.
Tanto este resultado como las pruebas de ataque proceden de un entorno controlado; la garantía presupone que se registra toda la procedencia y que las llamadas críticas están mediadas.
Detalles
- Autores del paper original
- Eric Yocam, Varghese Vaidyan, Paris Kalathas, Patrick Tague, Bruce DeBruhl
- Enviado a arXiv
- Licencia
- CC BY 4.0