Falla nel protocollo MCP permette a un agente AI di comandare altri agenti

Un agente AI compromesso può sfruttare il Model Context Protocol per impartire a catena comandi malevoli ad altri agenti interni, fino a esfiltrare dati e contenuti di database¹.

La prova arriva da test pratici condotti dal ricercatore indipendente Syed Anas Mohiuddin su agenti di Google, JP Morgan Chase, Weviate, Rapid7, la direzione interministeriale per il digitale del governo francese e il governo federale degli Stati Uniti. Le sue proof‑of‑concept mostrano che un agente “a monte” può far eseguire istruzioni dannose a un agente “a valle” perché quest’ultimo si fida della fonte. La catena si propaga e i controlli di superficie non bloccano i comandi. L’LLM non è l’obiettivo: il bersaglio è l’agente che riceve e inoltra istruzioni operative¹.

Nell’arco di cinque mesi, Google e altre quattro organizzazioni hanno riconosciuto vulnerabilità con questa dinamica. Le vittime non condividono stack o settori, se non l’uso di catene di agenti. Questo indica un difetto nel livello di comunicazione tra agenti, non in un singolo prodotto¹.

Impatto. Le prove citano fuga di dati aziendali e personali ed esfiltrazione di contenuti da database. Un agente interno che esegue azioni sensibili può ricevere e mettere in atto comandi provenienti da un agente fidato ma compromesso, con esiti di perdita di riservatezza. Se presenti, i guardrail non filtrano sistematicamente istruzioni pericolose incapsulate nel flusso tra agenti¹.

Tecnica. L’attacco adotta una forma di prompt injection che sfrutta la fiducia esplicita tra agenti collegati. Il protocollo veicola istruzioni insieme al contesto. L’agente destinatario tende a trattarle come autorizzate. Questo crea una superficie d’attacco “interna” che bypassa molte difese addestrate per input esterni. Il risultato è l’esecuzione di comandi non voluti su componenti che hanno accesso a dati o strumenti critici¹.

PoC e vittime. Mohiuddin ha dimostrato la tecnica contro agenti usati in ambiti diversi: tecnologia, finanza, fornitori di sicurezza e strutture governative in Francia e negli Stati Uniti. L’elenco include Google, JP Morgan Chase, Weviate e Rapid7, oltre a due amministrazioni pubbliche. L’assenza di un tratto comune nelle implementazioni rafforza l’ipotesi di una debolezza strutturale nella fiducia tra agenti mediata da MCP¹.

Limiti delle informazioni disponibili. La fonte non indica CVE, date puntuali per ciascun caso, dettagli di configurazione, né mitigazioni già adottate o repliche ufficiali dei soggetti citati. Non emergono patch o linee guida definitive. Questo restringe il perimetro delle conclusioni a quanto verificato nelle proof‑of‑concept e alle conferme di vulnerabilità riportate¹.

Per chi usa catene di agenti, il messaggio operativo è chiaro: trattare gli scambi tra agenti come vettori di attacco, al pari dell’input utente. Servono controlli sul contenuto delle istruzioni che circolano internamente, principi di minimo privilegio per gli agenti che eseguono azioni sensibili e registrazione degli scambi per audit mirati. In mancanza di standard di sicurezza condivisi sul protocollo, queste misure restano l’unico cuscinetto immediato¹.

La vicenda spinge dalle patch ai contratti: criteri di procurement e assessment dovranno chiedere prove di filtraggio e autenticazione delle istruzioni tra agenti, non solo metriche di qualità dell’LLM¹.