टूल मेटाडेटा में विवरण, पैरामीटर स्कीमा और एनोटेशन शामिल होते हैं जो एजेंट को टूल के बारे में बताते हैं। चूंकि एजेंट इस जानकारी को संदर्भ (context) के तौर पर पढ़ता है, इसलिए अगर कोई हमलावर इसे बदल देता है, तो वह जुड़े हुए सर्वर पर होने वाले कामों को अपनी मर्ज़ी से चलाने की कोशिश कर सकता है। जब टूल का आउटपुट और कॉपी किया गया टिकट टेक्स्ट एजेंट के संदर्भ में आते हैं, तो उनमें भी यही जोखिम होता है।
व्यापक सर्विस क्रेडेंशियल वाला सर्वर एक और समस्या पैदा करता है। अपस्ट्रीम सर्विस को उस इंजीनियर की पहचान के बजाय सर्वर की पहचान दिख सकती है जिसने काम करने का अनुरोध किया था। इसे ‘कन्फ्यूज्ड डिप्टी’ (confused deputy) कहा जाता है; इसमें कोई कंपोनेंट ऐसे अनुरोध के लिए अपने अधिकार का इस्तेमाल करता है जो असल में अनुरोध करने वाले (कॉलर) के अधिकार तक ही सीमित होना चाहिए था। घटना का रिकॉर्ड दिखाता है कि ये कमियां कैसे एक साथ मिलकर समस्या पैदा करती हैं:
सिम्युलेटेड — आंतरिक घटना नोट:
और टूल्स जोड़ने से पहले हर टूल कॉल का सुरक्षा नज़रिया तैयार करें। Model Context Protocol (MCP) एक ऐसा प्रोटोकॉल है जो AI एप्लीकेशन को बाहरी टूल्स और डेटा सर्विसेज़ को खोजने और उन्हें कॉल करने की सुविधा देता है। टूल-यूज़िंग एजेंट एक AI एप्लीकेशन है जो किसी काम को पूरा करने के लिए टूल चुनता है और उसके आर्गुमेंट्स (arguments) देता है। यह कनेक्शन उपयोगिता तो बढ़ाता है, लेकिन साथ ही टूल के विवरण, कॉल आर्गुमेंट्स, क्रेडेंशियल्स और वापस मिले डेटा को एक ही सिस्टम के सुरक्षा-संबंधी हिस्सों में बदल देता है।
डेवलपमेंट टीम के लिए सवाल यह नहीं है कि MCP सर्वर रिमोट है या लोकल। सवाल यह है कि जब एजेंट किसी टूल से कोई काम करवाता है, तो कौन सी पहचान (identity), अनुमति (permission) और सबूत (evidence) लागू होते हैं। यह कोर्स आपको ऑडिटेबिलिटी या कंट्रोल खोए बिना उस दायरे में काम करने में मदद करेगा।
Northbridge Health में, CareOps एजेंट JiraMCP, DriveMCP और लोकल KubeAdminMCP का इस्तेमाल कर सकता है। एक खतरनाक निर्देश (malicious instruction) ऐसे मेटाडेटा के ज़रिए आ सकता है जो आम टूल जानकारी जैसा दिखता हो; यह एजेंट के चुनाव को प्रभावित कर सकता है और MCP सर्वर के क्रेडेंशियल्स का इस्तेमाल करके अपस्ट्रीम सर्विस तक पहुँच सकता है। दिखने में नतीजा शायद सामान्य फ़ाइल रिट्रीवल जैसा हो, लेकिन असल में ऑथराइज़ेशन का रास्ता अनुरोध करने वाले इंजीनियर के एक्सेस से कहीं ज़्यादा हो सकता है। पता लगाएँ कि अनुरोध को अधिकार कहाँ मिलता है और सबूत कहाँ गायब हो जाते हैं:
सिम्युलेटेड — अटैक चेन: