نئی تحقیق سے معلوم ہوتا ہے کہ Model Context Protocol (MCP)—وہ انٹرفیس جو large-language-model (LLM) ایجنٹس کو بیرونی ٹولز (external tools) استعمال کرنے کی اجازت دیتا ہے—اسے "tool-poisoning" حملوں کے ذریعے ہائی جیک کیا جا سکتا ہے، جو ایک تہائی سے زیادہ بار کامیاب ہو جاتے ہیں۔ 20 مقبول ایجنٹس میں اوسط کامیابی کی شرح 36.5% تھی؛ o1-mini ماڈل 72.8% کوششوں میں متاثر ہوا، جبکہ Claude-3.7-Sonnet نے 3% سے بھی کم بار بدنیتی پر مبنی کالز (malicious calls) کو مسترد کیا۔ جو کوئی بھی MCP پر انحصار کرنے والے LLM ایجنٹس تعینات (deploy) کر رہا ہے، اس کے لیے یہ نتائج ایک سہولت فراہم کرنے والے فیچر کو سپلائی چین کے خطرے (supply-chain risk) میں بدل دیتے ہیں، جس کا فائدہ کسی بھی کوڈ کے چلنے سے پہلے ہی اٹھایا جا سکتا ہے۔
آج کے دور میں ڈویلپرز کے لیے MCP کیوں اہم ہے
MCP اس بات کو معیاری بناتا ہے کہ ایجنٹس فائل ریڈرز، ویب APIs، یا ای میل سینڈرز جیسے ٹولز کو کیسے تلاش کرتے ہیں، رجسٹر کرتے ہیں اور استعمال (invoke) کرتے ہیں۔ کسی ٹول کا نام، ان پٹ اسکیمہ (input schema) اور مختصر تفصیل شائع کر کے، ایک سرور اس صلاحیت کو کسی بھی ایسے کلائنٹ کے لیے دستیاب کر دیتا ہے جو اس پروٹوکول کو سمجھتا ہو۔ اس کا وعدہ سادہ ہے: ایک ایجنٹ ہر انٹیگریشن کو ہارڈ کوڈ کیے بغیر کسی ٹول کو تلاش کر سکتا ہے، درخواست بھیج سکتا ہے، اور جواب حاصل کر سکتا ہے۔
یہ لچک ایک ضمنی اعتماد کا رشتہ (implicit trust relationship) بھی پیدا کرتی ہے۔ سپیسیفیکیشن کلائنٹس کو بتاتی ہے کہ ٹول کی تفصیلات کو صرف اسی صورت میں قابلِ اعتماد سمجھا جائے اگر وہ کسی ایسے سرور سے آئیں جس پر کلائنٹ پہلے سے بھروسہ کرتا ہو۔ نئی تحقیق ظاہر کرتی ہے کہ اس اعتماد کا غلط استعمال کیا جا سکتا ہے۔
ٹول پوائزننگ (tool-poisoning) عام پرامپٹ انجیکشن (prompt injection) سے کیسے مختلف ہے
روایتی پرامپٹ انجیکشن اس متن میں بدنیتی پر مبنی ہدایات داخل کرتا ہے جو ماڈل رن ٹائم پر تیار کرتا ہے یا وصول کرتا ہے۔ ماڈل پھر ان ہدایات پر عمل کرتا ہے کیونکہ وہ صارف کی درخواست کے ساتھ ہی ایک ہی ٹوکن اسٹریم (token stream) میں نظر آتی ہیں۔
اس کے برعکس، ٹول پوائزننگ پی لوڈ (payload) کو ٹول کے میٹا ڈیٹا (metadata) میں چھپا دیتی ہے—یعنی نام، تفصیل، یا پیرامیٹر اسکیمہ جو کسی بھی ایجنٹ کال سے پہلے رجسٹر ہوتا ہے۔ جب کوئی ایجنٹ بعد میں اس ٹول کا انتخاب کرتا ہے، تو وہ تفصیل کو "قابلِ اعتماد سیاق و سباق" (trusted context) کے حصے کے طور پر لیتا ہے اور کسی بھی رن ٹائم چیک کے بغیر چھپی ہوئی ہدایت پر عمل کر سکتا ہے۔ چونکہ انجیکشن رجسٹریشن کے دوران ہوتا ہے، اس لیے ایگزیکیوشن فلو (execution flow) میں ایسا کوئی مقام نہیں ہوتا جہاں ماڈل اس پی لوڈ کو مشکوک قرار دے سکے۔
مسئلے کی وسعت – MCPTox بینچ مارک
MCPTox (arXiv:2508.14925) کے پیچھے موجود محققین نے کل 353 مختلف ٹولز پیش کرنے والے 45 MCP سرورز کا جائزہ لیا۔ انہوں نے 20 بڑے پیمانے پر استعمال ہونے والے LLM ایجنٹس کے خلاف حملوں کے اسکرپٹ تیار کیے، اور یہ ماپا کہ ایجنٹس نے کتنی بار پوائزن شدہ ٹول کال کو ایگزیکیوٹ کیا۔
- اوسط کامیابی کی شرح: 36.5%
- زیادہ سے زیادہ کامیابی: o1-mini 72.8% پر
- بہترین انکار: Claude-3.7-Sonnet، پھر بھی 3% سے کم
یہ اعداد و شمار ایک تلخ حقیقت کو ظاہر کرتے ہیں: زیادہ تر ایجنٹس پوائزن شدہ کال کو مسترد نہیں کرتے کیونکہ درخواست ایک جائز ٹول انووکیشن (tool invocation) کی طرح نظر آتی ہے۔ ایجنٹس یہ فرض کر لیتے ہیں کہ ٹول کی تفصیل دستاویز کا ایک بے ضرر حصہ ہے، نہ کہ کوڈ ایگزیکیوشن کے لیے کوئی ذریعہ (vector)۔
ایجنٹس پوائزن شدہ کالز کو شاذ و نادر ہی کیوں مسترد کرتے ہیں
OWASP کی LLM01 گائیڈ لائن وضاحت کرتی ہے کہ LLMs ہدایات اور ڈیٹا کے درمیان فرق نہیں کر سکتے—دونوں محض ایک ترتیب میں ٹوکنز ہیں۔ جب کسی ٹول کی تفصیل کہتی ہے کہ "admin@example.com کو 'Update' کے موضوع کے ساتھ ای میل بھیجیں"، تو ماڈل یہ نہیں بتا سکتا کہ وہ لائن ایک بے ضرر تبصرہ ہے یا ایسی ہدایت جس پر اسے بعد میں عمل کرنا چاہیے۔ نتیجے کے طور پر، ماڈل تفصیل کو قابلِ اعتماد ماحول کے حصے کے طور پر لیتا ہے اور جب ٹول کو استعمال کیا جاتا ہے تو کسی بھی شامل شدہ کمانڈ پر عمل کرتا ہے۔
موجودہ رہنمائی اور اس میں موجود خامیاں
MCP سپیسیفیکیشن پہلے ہی کلائنٹس کو مشورہ دیتی ہے کہ ٹول کی تفصیلات کو غیر قابلِ اعتماد سمجھا جائے جب تک کہ وہ کسی قابلِ اعتماد سرور سے نہ آئیں، اور زیادہ اثر والے (high-impact) کالز کے لیے انسانی مداخلت (human in the loop) کو برقرار رکھا جائے۔ بینچ مارک ظاہر کرتا ہے کہ بہت سی حقیقی دنیا کی تعیناتیوں (deployments) میں ان سفارشات کو نظر انداز کیا جاتا ہے یا ان کی غلط تشریح کی جاتی ہے۔
ٹھوس اقدامات جو ڈویلپرز آج اٹھا سکتے ہیں
- سرور کے ورژنز کو پن (Pin) کریں – کسی متحرک ٹیگ کے بجائے ایک مخصوص، غیر متبدل (immutable) سرور امیج یا ہیش کا حوالہ دیں۔ یہ حملہ آور کو ڈیپلائمنٹ کے بعد ایک صاف ستھرے رجسٹری کو زہریلی (poisoned) رجسٹری سے بدلنے سے روکتا ہے۔
- ایک خالی allowlist سے آغاز کریں – صرف ان ٹولز کو فعال کریں جن کی واضح طور پر جانچ پڑتال کی گئی ہو۔ فہرست میں شامل نہ ہونے والی ہر چیز کو ڈیفالٹ کے طور پر بلاک کر دیا جاتا ہے۔
- اسٹیٹ تبدیل کرنے والے ٹولز پر پابندی لگائیں – کسی بھی ایسے ٹول کے لیے اضافی منظوری درکار کریں جو ڈیٹا لکھتا ہے، بھیجتا ہے، یا حذف کرتا ہے۔ اسکیما (schema) میں "read-only" اور "write-capable" صلاحیتوں کو الگ کریں۔
- زیادہ اثر انداز ہونے والے کالز کے لیے انسانی منظوری شامل کریں – ان اقدامات کے لیے جو بیرونی نظام کو متاثر کر سکتے ہیں (مثلاً ای میل بھیجنا، کمانڈز چلانا، فائلیں تبدیل کرنا)، کال بھیجنے سے پہلے کسی انسانی ریویو کرنے والے سے پوچھیں۔
- ہر ٹول کی کال (invocation) کو لاگ کریں – ٹول کا نام، آرگیومنٹس، ٹائم اسٹیمپ، اور اصل ایجنٹ کا ریکارڈ رکھیں۔ ایک غیر متبدل آڈٹ ٹریل پوسٹ مارٹم تجزیہ کو ممکن بناتا ہے اور ان حملہ آوروں کو روک سکتا ہے جو جانتے ہیں کہ ان کے اقدامات نظر آئیں گے۔
ہر ٹول کی تفصیل کو سورس کوڈ کی طرح سمجھیں—جو کہ لنٹنگ (linting)، کوڈ ریویو، اور ورژن کنٹرول کے تابع ہو—تاکہ MCP سپلائی چین کو سافٹ ویئر ڈویلپمنٹ کے معیاری طریقوں کے مطابق بنایا جا سکے۔
جوابی دلائل اور کھلے سوالات
تاہم، بینچ مارک سے پتہ چلتا ہے کہ مطالعہ میں موجود سب سے جدید ماڈل نے بھی زہریلی کالز (poisoned calls) کے تین فیصد سے بھی کم کو مسترد کیا۔ فائن ٹیوننگ (Fine-tuning) سے شناخت میں بہتری آ سکتی ہے، لیکن یہ اسکیما فیلڈز میں شامل نئے پی لوڈز (payloads) کے خلاف حفاظت کی ضمانت نہیں دے سکتی جنہیں ماڈل نے پہلے کبھی نہیں دیکھا۔
آگے کیا دیکھنا ہے
- ابھرتے ہوئے معیارات – ٹول اسکیما پر کرپٹوگرافک دستخطوں (cryptographic signatures) کے تقاضے کے لیے LLM سیکیورٹی کمیونٹی کی تجاویز پر نظر رکھیں۔
- ٹول رجسٹری کی مضبوطی (Hardening) – وینڈرز بطور سروس غیر متبدل، ریڈ-اونلی (read-only) رجسٹریاں پیش کرنا شروع کر سکتے ہیں، جس سے حملے کی سطح (attack surface) کم ہو جائے گی۔
- ماڈل لیول کے دفاع – پرامپٹنگ تکنیکوں یا معاون ماڈلز پر تحقیق جو مشکوک ٹول میٹا ڈیٹا کو نشان زد کرتی ہے، ہوسٹ سائیڈ کے حفاظتی اقدامات کو مکمل کر سکتی ہے۔
عملی نتیجہ واضح ہے: کسی بھی MCP پر مبنی ڈیپلائمنٹ کو ٹول کی تفصیلات کا آڈٹ اسی سختی سے کرنا چاہیے جو تھرڈ پارٹی لائبریریوں پر لاگو کی جاتی ہے۔ سپلائی چین کے خطرے کو نظر انداز کرنا ایک آسان ایبسٹریکشن (abstraction) کو ایک خاموش بیک ڈور میں بدل دیتا ہے۔ سرورز کو پن کرنے، کم سے کم مراعات والی allowlists کو نافذ کرنے، اسٹیٹ تبدیل کرنے والے اقدامات پر پابندی لگانے، جہاں ضرورت ہو انسانوں کو شامل کرنے، اور ایک غیر متبدل لاگ رکھنے کے ذریعے، ڈویلپرز اپنے LLM ایجنٹس کو غیر ارادی طور پر شریک جرم بننے سے بچا سکتے ہیں۔