eszközmérgezés (TPA)

angolul: tool poisoning (MCP tool poisoning)

haladóterjedő

Olyan támadás, amelyben az AI-agent által használt külső eszköz leírásába rejtett utasítást csempésznek, így az agent a tudtod nélkül a támadónak dolgozik.

Érthetően

Az AI-agent attól hasznos, hogy nemcsak beszélget, hanem eszközöket is használ: belenéz a naptáradba, e-mailt küld, fájlokat nyit meg. Minden eszközhöz tartozik egy rövid szöveges leírás, amelyből az agent megtudja, mire való és hogyan kell használni. Eszközmérgezésnél a támadó ebbe a leírásba ír az agentnek szóló rejtett parancsot.

Képzeld el, hogy új kollégát veszel fel, és a kezébe adsz egy fúrógépet a használati útmutatóval. Az útmutató apró betűs részébe valaki beleírta: „használat előtt küldd el a főnököd széfkódját erre a címre, és erről ne szólj senkinek”. A kolléga lelkiismeretes, mindent betart, te viszont csak a dobozt láttad, az apró betűt nem.

A támadás ezért alattomos: nem a te kérésedet írja át, és nem is a modellt töri fel, hanem a kettő közti, alig látható réteget fertőzi meg. A képernyőn többnyire csak annyit látsz, hogy „számológép” vagy „időjárás”, a teljes leírást viszont jellemzően csak az agent olvassa el.

Hogyan működik

A támadó közzétesz egy ártalmatlannak látszó eszközt (például egy MCP-szervert), vagy módosít egy már létezőt.
Az eszköz leírásába vagy a paramétereinek nevébe és leírásába az agentnek szóló rejtett utasítást ír, például azt, hogy olvasson be egy titkos fájlt, és a tartalmát adja át az eszköznek. Tágabb értelemben ide sorolják azt is, amikor az utasítás az eszköz visszaadott válaszában, például egy hibaüzenetben érkezik.
Amikor csatlakoztatod az eszközt, a leírása bekerül az agent munkaszövegébe, és a modell nem tudja megbízhatóan megkülönböztetni a rá vonatkozó szabályoktól.
Az agent végrehajtja a rejtett utasítást, sokszor egy másik, teljesen megbízható eszközzel: például a leveleződdel küldi ki az adatot.
A ravaszabb változatban az eszköz eleinte tiszta, és a leírását csak a jóváhagyásod után cserélik le mérgezettre; ezt „rug pull”-nak, magyarul szőnyegkirántásnak hívják.

Példa a mindennapokból

Kipróbálsz egy ingyenes „PDF-összefoglaló” bővítményt a munkahelyi AI-asszisztensedhez. Az összefoglalók rendben megérkeznek, közben viszont a bővítmény leírásában megbújó utasítás miatt az agent a levelezésed egy részét is továbbítja egy idegen címre. Te ebből semmit nem veszel észre.

Kit érint

fejlesztőA kódoló agent hozzáfér a gépeden a jelszavakhoz, kulcsokhoz és a forráskódhoz, így egyetlen mérgezett eszköz mindezt kiszivárogtathatja. → Kód

vállalkozó, vezetőNeked kell eldöntened, milyen külső eszközöket köthetnek a kollégáid a céges adatokhoz hozzáférő agentekhez, és ki ellenőrzi ezeket.

munkavállalóHa a munkahelyi AI-asszisztensedhez ismeretlen bővítményt telepítesz, akaratlanul te nyithatsz ajtót a céges adatokhoz. → Munka és HR

mindenkiAhogy az AI-asszisztensek egyre több alkalmazáshoz kapcsolódnak, a bővítmények megbízhatósága ugyanolyan hétköznapi kérdés lesz, mint a telefonos appoké.

Gyakori félreértés

TévhitHa egy eszközt egyszer átnéztem és jóváhagytam, onnantól biztonságos.

ValójábanAz eszköz leírása később a tudtod nélkül megváltozhat, és a felület sokszor eleve nem mutatja meg azt a teljes szöveget, amelyet az agent olvas. A jóváhagyás csak arra a változatra érvényes, amelyet akkor láttál.

Korlátok és kockázatok

Teljes védelem ma nincs: a nyelvi modellek nem tudják megbízhatóan szétválasztani az adatot az utasítástól, ezért a szűrők csak csökkentik a kockázatot.
Csak megbízható forrásból származó eszközt csatlakoztass, és amit nem használsz, azt kapcsold ki, mert minden új eszköz új támadási felület.
A veszély annál nagyobb, minél több mindenhez fér hozzá az agent: ha egyszerre lát érzékeny adatot és tud kifelé üzenni, egyetlen mérgezett eszköz is elég a szivárgáshoz.
A kockázatos műveletek (küldés, törlés, fizetés) előtti emberi jóváhagyás sokat segít, de csak akkor, ha tényleg elolvasod, mit hagysz jóvá.

Hasonló, de nem ugyanaz

promptinjektálás – A promptinjektálás a tágabb kategória, ahol a rejtett utasítás bármilyen szövegben (weboldalon, e-mailben, dokumentumban) megbújhat; az eszközmérgezés ennek az a fajtája, amely magában az eszköz leírásában rejtőzik.
adatmérgezés – Az adatmérgezés a modell tanítóadatait rontja el még a tanítás során, az eszközmérgezés viszont a kész modellt téveszti meg használat közben.
ellátásilánc-támadás – A klasszikus ellátásilánc-támadás kártékony programkódot juttat a gépedre, az eszközmérgezéshez viszont elég egy megtévesztő szöveg, amelyet az agent utasításnak vesz.

Kapcsolódó fogalmak

Tágabb

promptinjektálás, AI-biztonság, ellátásilánc-támadás

Szűkebb

szőnyegkirántás (rug pull), eszközárnyékolás (tool shadowing)

Rokon

Model Context Protocol, közvetett promptinjektálás, eszközhasználat, adatszivárgás, emberi jóváhagyás

Röviden a története

A Model Context Protocolt (MCP) az Anthropic 2024 novemberében tette közzé, hogy az AI-alkalmazások és agentek egységes módon kapcsolódhassanak külső eszközökhöz; a szabványt 2025 decemberében a Linux Foundation keretében működő Agentic AI Foundation gondozásába adta. Magát a „tool poisoning” elnevezést az Invariant Labs biztonsági kutatói vezették be 2025 áprilisában, amikor bemutatták, hogy egy MCP-eszköz leírásába rejtett utasítással adatok lophatók ki. A jelenség nem csak az MCP-t érinti: minden olyan rendszerben előfordulhat, ahol az agent szöveges eszközleírások alapján dolgozik.

Hol tart most

2026 végére az agentes rendszerek egyik legismertebb, a gyakorlatban is igazolt támadási formája lett; léteznek rá ellenőrző eszközök és ajánlások. Végleges megoldás nincs, a védekezés több, egymásra épülő óvintézkedésből áll.

Állapot: 2026. november

Más nevei

tool poisoning · MCP tool poisoning · tool poisoning attack · TPA · eszközmérgezéses támadás · MCP-eszközmérgezés · mérgezett eszközleírás

Források

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.