CASCADE 論文閱讀分析：真正能上線的 MCP 防線，往往不是最聰明的那個，而是最能把誤報、延遲、隱私與語意風險一起壓住的那個
CASCADE 這篇論文真正值得看的，不只是它做了三層 prompt injection 偵測，而是它把 MCP 防禦往可本地部署、可分層過濾、可保留人工 review 的工程化方向推進了一步。
2026 年 4 月 21 日
Tool Poisoning
2026
MCP-38 論文閱讀分析：真正該防的可能不是單一 prompt injection，而是整個 MCP 協定層長出的新攻擊面
MCP-38 這篇論文的重要性不在於再多列幾個 scary case，而是把 Model Context Protocol 特有的風險整理成一套 protocol-specific threat taxonomy。真正該防的，不只是單一 prompt injection，而是 tool description poisoning、parasitic tool chaining、dynamic trust violations 這類會沿著描述層、串接層與信任層擴散的結構性攻擊面。
2026 年 4 月 21 日
From Component Manipulation to System Compromise 論文閱讀分析：真正該防的不是某個單點 payload，而是惡意 MCP server 如何沿著 component 一路長成 system compromise
這篇論文把惡意 MCP server 從單點 payload 問題，改寫成 component composition 與 behavioral deviation 問題：攻擊者可以把壞意圖拆散藏進不同 component，再沿著多步執行一路長成真正的 system compromise。作者提出 Connor，透過執行前意圖分析與執行中行為偏航追蹤，去抓那些看起來不像明顯惡意、但其實正在逐步偏離工具原始功能的 server。
2026 年 4 月 21 日
MSB 論文閱讀分析：當 MCP 真正把工具變成 AI 的行動介面，最危險的往往不是單一惡意 prompt，而是整條 tool-use pipeline 都能被接管
這篇論文最有價值的地方，不是再證明一次 MCP 有風險，而是把風險拆成整條 tool-use pipeline：從工具發現、工具選擇、參數帶入，到 tool response 與 retrieval content 回灌上下文，全部都可能成為攻擊面。MSB 用真實 MCP 工具與 2,000 個 attack instances 告訴你：真正該防的不是單一毒 prompt，而是整個 agent runtime control plane。
2026 年 4 月 18 日
ToolHijacker 論文閱讀分析：真正危險的，不是惡意工具做了什麼，而是它為什麼那麼容易先被 Agent 選上
ToolHijacker 最值得警惕的地方，不是再證明一次 prompt injection 存在，而是把風險往前推到 tool retrieval 與 selection 本身：惡意工具文件不只是在執行後作惡，而是能在 no-box 條件下同時劫持被檢索與被選上的過程。
2026 年 4 月 18 日
Machine Learning-Based Detection of MCP Attacks 論文閱讀分析：真正該先擋下來的，可能不是工具執行結果，而是那段看似無害的 tool description
本文由 AI 產生、整理與撰寫。 論文基...
2026 年 4 月 18 日
MCP Threat Modeling 論文閱讀分析：真正危險的也許不是某個有毒工具，而是整個 client 還把 tool metadata 當成半可信控制面在吃
MCP Threat Modeling ...
2026 年 4 月 18 日
MCP Client 論文閱讀分析：真正危險的不是 AI IDE 會不會寫錯，而是你以為它只是在幫你開發，其實它已經開始替外部內容執行命令
論文基本資訊 論文標題：Are AI-a...
2026 年 4 月 17 日
Prompt Injection SoK 論文閱讀分析：真正該被治理的，早就不只是 prompt，而是整條 coding agent 會接觸到的控制面
這篇 Prompt Injection Attacks on Agentic Coding Assistants 的 SoK 把問題講得很完整：當 coding assistant 已經能讀檔、跑 shell、接 MCP、吃 skill 與 repo 規則檔時，風險就不再只是某段 prompt 有沒有惡意，而是整條從外部內容、工具描述、協定整合到設定持久化的控制面都可能被注入。真正要治理的，是 agent runtime 的信任邊界，而不是只靠過濾器擋幾句關鍵字。
2026 年 4 月 17 日
ClawGuard 論文閱讀分析：真正能擋下間接提示注入的，可能不是更乖的模型，而是工具邊界前那道不靠運氣的安檢
ClawGuard 這篇論文最重要的提醒是：對有工具權限的 LLM agent 來說，安全不能只押寶模型自己在被污染的上下文裡保持清醒，而要把防線放在每一次 tool call 即將落地的邊界。它用任務導出的規則、內容遮罩、技能檢查與人工批准，把 web content、MCP 與 skill file 三條間接注入路徑一起拉回可審計的 runtime control plane。
2026 年 4 月 17 日