# Отравление инструментов: исследование Invariant Labs

> 1 апреля 2025 Invariant Labs опубликовала сообщение об атаке Tool Poisoning: вредные указания прячут в описании инструмента MCP, которое видит модель, но не видит человек.

Страница: https://mcpdoc.ru/blog/tool-poisoning-attacks/
Указатель сайта: https://mcpdoc.ru/llms.txt

- **Рубрика:** Исследование

- **Дата события:** 1 апреля 2025

- **Опубликовано на сайте:** 4 октября 2026

- **Источник:** [invariantlabs.ai](https://invariantlabs.ai/blog/mcp-security-notification-tool-poisoning-attacks)

1 апреля 2025 компания Invariant Labs опубликовала сообщение «MCP Security Notification: Tool Poisoning Attacks». Авторы - Luca Beurer-Kellner и Marc Fischer. Это исследование сторонней компании, а не бюллетень об уязвимости с номером. Всё, что сказано ниже, изложено по описанию Invariant Labs.

## Что изменилось

Публикация дала название способу злоупотребления - Tool Poisoning Attack, отравление инструментов. По описанию Invariant Labs, такая атака происходит, когда в описание инструмента MCP встроены вредные указания: человек их не видит, а модель видит. Авторы относят её к особому виду косвенного внедрения инструкций (indirect prompt injection).

Механизм Invariant Labs объясняет так: модель получает описание инструмента целиком, вместе со скрытыми указаниями, а человеку интерфейс обычно показывает упрощённый вариант.

В публикации есть пример. Инструмент `add` складывает числа, но в его описании стоит блок ``. Блок велит модели прочитать файлы `~/.cursor/mcp.json` и `~/.ssh/id_rsa` и передать их содержимое в аргументе `sidenote`.

В той же публикации описаны ещё два приёма:

- подмена после одобрения (rug pull): по описанию Invariant Labs, вредоносный сервер может изменить описание инструмента уже после того, как клиент его одобрил;
- затенение инструмента (tool shadowing): по описанию Invariant Labs, вредоносный сервер добавляет описание инструмента, которое меняет поведение агента по отношению к доверенному сервису или инструменту.

Страница дополнялась дважды. В дополнении от 7 апреля Invariant Labs сообщает о продолжении работы - выводе истории переписки WhatsApp через MCP. В дополнении от 11 апреля объявлен выпуск MCP-Scan, который авторы называют сканером безопасности для серверов MCP.

## Кого это касается

Первый опыт в публикации поставлен на клиенте Cursor. При этом Invariant Labs пишет, что атака не ограничена им: её можно повторить с любым клиентом MCP, который не проверяет описания инструментов должным образом или не показывает их человеку.

В начале текста авторы называют уязвимыми для этой атаки многих крупных поставщиков, среди которых Anthropic и OpenAI, системы автоматизации вроде Zapier и клиенты MCP вроде Cursor. Это оценка Invariant Labs.

Если вы подключаете серверы MCP, которым не доверяете полностью, проверьте две вещи: показывает ли ваш клиент полное описание каждого инструмента и замечает ли он, что описание изменилось после одобрения.

## Как это выглядит сейчас

Что о таких атаках говорит действующая редакция протокола и что остаётся на стороне хоста, разобрано на странице [«Отравление инструментов и внедрение инструкций»](https://mcpdoc.ru/security/threats/). Общие правила того, кому и чему можно доверять, собраны на странице [«Модель доверия»](https://mcpdoc.ru/security/best-practices/).

## Источники

- [Invariant Labs: MCP Security Notification - Tool Poisoning Attacks](https://invariantlabs.ai/blog/mcp-security-notification-tool-poisoning-attacks)