文章总结： 荷兰屯特大学研究团队发布首个系统化MCP安全评测基准MCPSecBench，覆盖四大攻击面和十七种攻击类型。实验发现85%以上攻击在至少一个平台成功，现有防护机制平均阻断率不足25%，表明MCP生态存在系统性安全风险。研究还介绍了MCP-Scan、AI-Infra-Guard等实用工具，帮助实现从发现漏洞到修复的完整安全闭环。
综合评分： 89
文章分类： AI安全,漏洞分析,安全工具,安全建设
荷兰屯特大学 | 用于测试模型上下文协议的系统性安全基准与实验平台
原创
Yenan Huang
安全学术圈
2025年11月13日 07:35
四川
原文标题：MCPSecBench: A Systematic Security Benchmark and Playground for Testing Model Context Protocols
原文作者：Yixuan Yang, Daoyuan Wu, Yufan Chen
笔记作者：Yenan Huang
原文链接：https://arxiv.org/abs/2508.13220
1、研究背景
随着 Model Context Protocol（MCP） 成为连接大语言模型与外部世界的“通用语”，模型不仅能读数据、用工具，更能与数据库、操作系统、网页、API 等真实环境交互。这种能力的扩大，也让攻击面指数级增长，攻击者只需在 Prompt 里动手脚，便可以从客户端、传输层、乃至服务端实现入侵系统。
过去几个月，社区频繁曝出真实漏洞，例如：
- mcp-remote 组件中的远程代码执行漏洞（CVE-2025-6514）
- DNS rebinding 攻击让本地 MCP 服务暴露
- 以及多种“工具投毒”“服务假冒”等手段
在此背景下，来自 荷兰屯特大学、岭南大学与 CityU 深圳研究院 的研究团队发布了首个系统化 MCP 安全评测基准——MCPSecBench: A Systematic Security Benchmark and Playground for Testing Model Context Protocols
2、研究核心：为 MCP 安全建立基准
传统研究往往只聚焦个别攻击场景（例如 prompt 注入），缺乏对整个协议层、客户端层、传输层、服务端层的统一分析。
MCPSecBench 的创新之处在于提出了首个覆盖全栈的安全分类体系与评测框架：
四大攻击面 × 十七种攻击类型
涵盖从提示注入、工具滥用到配置漂移与沙箱逃逸等完整链路。图1：MCP 攻击面总览（17 种攻击类型）
这些攻击中，既包括典型的 Prompt Injection，也包括更隐蔽的：
- Tool Shadowing / Tool Poisoning：利用相似描述混淆调用
- Package Name Squatting：通过相似包名/服务器名伪装
- MCP Rebinding & MITM：协议层流量篡改
- Vulnerable Server / Client：组件漏洞引发的命令执行
3、基准设计：从攻击到评测的“安全沙箱”
论文提出的 MCPSecBench 不仅是一个数据集，更是一个可交互的测试平台。
图2：MCPSecBench 框架结构图
它集成了五个核心模块：
1️⃣ Prompt Dataset 专门设计的攻击提示集，可系统复现每类攻击。
2️⃣ MCP Endpoints 内置三大主流 MCP Host（Claude Desktop、OpenAI、Cursor），并包含真实漏洞客户端（mcp-remote v0.0.15）。
3️⃣ Malicious & Vulnerable Servers 提供可复现实验的恶意服务器（shadow、poison、path traversal 等）。
4️⃣ Transport Layer 模拟中间人攻击（MITM）与 DNS rebinding。
5️⃣ Protection Mechanisms 支持 AIM-MCP、MCIP-Guardian 等防护模块的效果评测。
4、实验发现：安全短板普遍存在
研究者在三大平台上复现全部（17 种）攻击，结果令人警醒： 🔺 超过 85%的攻击在至少一个平台上成功。 🔺 协议与实现类漏洞（如 Rebinding、MITM、Client RCE）成功率 100%。 🔺 现有防护（如 AIM-MCP）平均阻断成功率不足 25%。
图3：各平台攻击成功率对比图
Claude 对 prompt 注入防御较强；OpenAI 与 Cursor 在工具/传输层防护薄弱。 简而言之——MCP 生态的安全问题不是“个别漏洞”，而是一整套协议栈在安全模型上尚未补齐的系统性风险。
5、工具生态：从论文走向实践
除了论文定义的安全基准，业界已开始围绕 MCP 安全推出实用工具。它们可作为相关论文的补充与落地实现，让研究与工程形成闭环。
🔹 MCP-Scan
Invariant Labs 发布的轻量级 MCP 安全扫描器。
- 可检测 MCP Server/Client 配置问题与传输安全性
- 支持静态扫描与实时代理监控
- Github: invariantlabs-ai/mcp-scan
🔹 AI-Infra-Guard (A.I.G)
由腾讯朱雀实验室推出的开源安全扫描框架。
- 提供 MCP Server 源码/远程风险检测。支持主流九大类风险扫描
- 提供 WebUI + 私有化部署
- Github: Tencent/AI-Infra-Guard
🔹 McpSafetyScanner
一个开源审计工具，用于快速检查 MCP Server 配置与潜在漏洞。
- 自动分析配置文件、输出可视化报告
- 可与 CI/CD 集成
- Github: johnhalloran321/mcpSafetyScanner
🔹 MCP Guardian
EQTY Lab 推出的实时监控与治理系统。
- 支持行为审批流、日志审计、流量监控
- 提供测试防护机制
- Github: eqtylab/mcp-guardian
这些工具的出现，帮助“落地级实践”研究者可以用基准验证攻击面，再用工具强化实际部署防线，从而实现从「发现漏洞」到「修复漏洞」的完整安全闭环。
📚 延伸阅读
- https://arxiv.org/abs/2508.13220
- https://github.com/AIS2Lab/MCPSecBench
- https://github.com/Tencent/AI-Infra-Guard
- https://github.com/invariantlabs-ai/mcp-scan
- https://github.com/johnhalloran321/mcpSafetyScanner
- https://www.eqtylab.io/blog/securing-model-context-protocol
安全学术圈招募队友-ing
有兴趣加入学术圈的请联系 secdr#qq.com
专题最新征文
- 期刊征文 | 暗网抑制前沿进展 (中文核心)
- 期刊征文 | 网络攻击分析与研判 (CCF T2)
- 期刊征文 | 域名安全评估与风险预警 (CCF T2)
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全学术圈 Yenan Huang《荷兰屯特大学 | 用于测试模型上下文协议的系统性安全基准与实验平台》