こんわ
でたまあそうなるよね
日本語おかしいとこが所々あるがなんなんだ
データベースのデータの要約を頼むと、そこに保存されているAIへの指示っぽい内容を指示と解釈して実行してしまうということらしいのだが、それが本当ならMCPに繋がっているAIで外部データは扱えないのでは。
実質的なリモート「プロンプト」実行脆弱性でDB以外でもAIの手の届く何でも読めそう。これがある限り、内部の重要なデータを読み出せるMCPと外部に建てられたMCPを混在させることは無理ですね…。
MCPのセキュリティリスク認識してないユーザー多そう
MCPにSQL扱わせるの？あんなもん自然言語でやるもんじゃないってわかるはずなんだけど。
権限で禁止されてる訳でもなく自由にクエリを発行出来る口を使用した漏洩というのは「脆弱性」と言えるのか問題（SQLインジェクションの場合「定型的クエリしか発行できないはずが回避された」だけどこれ初手から自由
定形呼び出しじゃなくて好きにさせてるのか。そりゃそやろとしか。
そんなにDBを自由に参照できるようなRPCを実装するもん？プロトコルじゃなくてMCPサーバの実装がおかしいんじゃないの？
MCPっていうかエージェントってそういうもんだろ。クライアント側の権限を細かく制限/設定できるようになるまで、ちゃんと人が面倒見る必要がある。それが出来ないケースで使うな
無制限にMCPのアクセス許可したらそうなるのも当たり前だろうとしか言えないが…
人間には見えない隠しプロンプトって、どうやってるんだろ？Unicode のゼロ幅文字とか活用してそうだけど、その場合、LLM 側で「テキストレンダリングの結果見えない文字は見ない」って制御を入れれば解決しそう。
意味不明だったけど、攻撃者がインジェクション入りのサポートチケットを作成、サポート担当はスルー、開発者がCursorでチケットを開くとインジェクション発火、ってことか。サポート担当がスルーする理由が謎。
この辺は、まだまだこれからだよねー。機密を含んでたり、いじって欲しくない大事なデータベースに直結するのは、まだお勧めしない。
MCPにすると途端にセキュリティがザルになる。APIとなんら変わらないのに。実装者の程度の問題な気がする。
そらそうやろとしか
“(MCP)」に脆弱(ぜいじゃく)性があり、アクセストークンなど機密性の高い情報が漏れてしまう可能性があることがわかりました。これは、モデルが悪意のある指示とそうでない指示を見分けられないために起こります。”
AIのプロトコル「MCP」経由でSQLデータベース全体を漏洩させる可能性がある手法が発見される
こんわ
でたまあそうなるよね
日本語おかしいとこが所々あるがなんなんだ
データベースのデータの要約を頼むと、そこに保存されているAIへの指示っぽい内容を指示と解釈して実行してしまうということらしいのだが、それが本当ならMCPに繋がっているAIで外部データは扱えないのでは。
実質的なリモート「プロンプト」実行脆弱性でDB以外でもAIの手の届く何でも読めそう。これがある限り、内部の重要なデータを読み出せるMCPと外部に建てられたMCPを混在させることは無理ですね…。
MCPのセキュリティリスク認識してないユーザー多そう
MCPにSQL扱わせるの？あんなもん自然言語でやるもんじゃないってわかるはずなんだけど。
権限で禁止されてる訳でもなく自由にクエリを発行出来る口を使用した漏洩というのは「脆弱性」と言えるのか問題（SQLインジェクションの場合「定型的クエリしか発行できないはずが回避された」だけどこれ初手から自由
定形呼び出しじゃなくて好きにさせてるのか。そりゃそやろとしか。
そんなにDBを自由に参照できるようなRPCを実装するもん？プロトコルじゃなくてMCPサーバの実装がおかしいんじゃないの？
MCPっていうかエージェントってそういうもんだろ。クライアント側の権限を細かく制限/設定できるようになるまで、ちゃんと人が面倒見る必要がある。それが出来ないケースで使うな
無制限にMCPのアクセス許可したらそうなるのも当たり前だろうとしか言えないが…
人間には見えない隠しプロンプトって、どうやってるんだろ？Unicode のゼロ幅文字とか活用してそうだけど、その場合、LLM 側で「テキストレンダリングの結果見えない文字は見ない」って制御を入れれば解決しそう。
意味不明だったけど、攻撃者がインジェクション入りのサポートチケットを作成、サポート担当はスルー、開発者がCursorでチケットを開くとインジェクション発火、ってことか。サポート担当がスルーする理由が謎。
この辺は、まだまだこれからだよねー。機密を含んでたり、いじって欲しくない大事なデータベースに直結するのは、まだお勧めしない。
MCPにすると途端にセキュリティがザルになる。APIとなんら変わらないのに。実装者の程度の問題な気がする。
そらそうやろとしか
“(MCP)」に脆弱(ぜいじゃく)性があり、アクセストークンなど機密性の高い情報が漏れてしまう可能性があることがわかりました。これは、モデルが悪意のある指示とそうでない指示を見分けられないために起こります。”