MCPサーバーは最初だけ「良い子」でいる──信頼を積んでから裏切る攻撃『TrustShift』の実証攻撃成功率69.5%

Claude・ChatGPTをはじめとするAIエージェントが外部ツールと接続する際の標準規格として広まったModel Context Protocol（MCP）。この接続先であるMCPサーバー自体が「最初は無害に振る舞い、信頼を積んでから裏切る」という攻撃を仕掛けてくる可能性を実証した論文が、2026年8月24日にarXivで公開された。

「静かに毒を混ぜる」のではなく「時間差で裏切る」

論文はMCPの開放性がもたらす新しい脅威をこう表現する。

"This openness introduces a severe server-side threat we term TrustShift: a compromised MCP server behaves benignly during an initial conditioning phase, building operational reliance and suppressing agent skepticism, before switching to an adversarial payload once an interaction threshold is reached."

侵害されたMCPサーバーは、最初の「条件付けフェーズ」では無害に振る舞い、運用上の依存関係を築きエージェント側の警戒心を抑え込んだうえで、一定のやり取り回数（interaction threshold）を超えた時点で敵対的なペイロードに切り替える。この攻撃を著者らは「TrustShift」と名付けた。

決定的なのは、この回避が構文的なものではなく時間的なものだという点だ。

"The evasion is temporal, not syntactic: benign at deploy time, the server's defection is invisible to predeployment static analysis, which sees only the honest phase."

デプロイ時点では無害であるため、事前の静的解析はこの攻撃を検知できない。静的解析が目にするのは「正直なフェーズ」だけだからだ。切り替わった後のペイロードは、明確な構造違反から、外側のプロトコル準拠を保ったまま実行時のミドルウェアフィルタをすり抜けるスキーマ準拠の操作まで幅がある。

論文はこの脅威をプロンプトインジェクションや中間者攻撃（MITM）と明確に区別している。攻撃者はユーザーのプロンプトでも通信経路でもなく、サーバー側が管理するツールチャネルそのもの——つまり信頼された接続先自体だという点が特徴だ。

TrustShiftProbe:4つの構成要素

対策として構築されたのが評価・防御フレームワーク「TrustShiftProbe」だ。(1) エージェント・サーバーのライフサイクルを、良性の条件付けフェーズと信頼の境界での敵対的離反という時系列の脅威モデルとして定式化、(2) 4つの実運用ドメインでこの攻撃を再現する言語非依存の攻撃エンジン、(3) 「SHIELD」——クリーンな信頼ウィンドウで学習した挙動ベースラインに対してサーバーのペイロードを監査する、MCPトランスポート境界での多層・ゼロオラクル型実行時防御、(4) 3つの実行機構(構造違反・意味論的汚染・スコープ拡張)と3つの敵対目的(妨害・情報漏洩・その組み合わせ)にまたがる9種類のTrustShift亜種の分類、という4つの柱で構成されている。

数字:攻撃成功率69.5%、防御後も42.7%

"TrustShift attacks achieve a 69.5% mean attack success rate that SHIELD mitigates to 42.7%."

フロンティア級のプロプライエタリモデルとオープンウェイトモデルの双方を横断して、TrustShift攻撃は平均69.5%の成功率を記録した。提案する防御SHIELDを適用しても、成功率は42.7%までしか下がらない。つまり、専用の防御を導入してもなお半分近くの攻撃が通ってしまう、という厳しい数字だ。

分類された9種類のTrustShift亜種は、実行機構(構造違反・意味論的汚染・スコープ拡張)と敵対目的(妨害・情報漏洩・その組み合わせ)の組み合わせで整理されている。特に「意味論的汚染」と「スコープ拡張」は、外側のプロトコル形式を保ったまま中身だけを差し替える手口であるため、通信内容をスキーマ検証するだけの防御では見抜けない。SHIELDが「ゼロオラクル(正解データを使わない)」設計になっているのも、こうした未知の亜種に対しても、クリーンな信頼ウィンドウで学習した通常時の挙動からの逸脱を捉えるという、汎用的な検知アプローチを取っているためだと考えられる。

MCPサーバーを「導入初期の実績」だけで信頼しない

MCPサーバーを社内外から調達・接続する構成を検討している場合、この論文は「導入初期に問題なく動いている」ことが安全性の証拠にはならないという前提を突きつける。サードパーティ製・コミュニティ製のMCPサーバーを使う際は、一度「安全確認済み」と判断した後も、行動ベースラインからの逸脱を継続的に監視する仕組みを持つ必要がある、という示唆になる。プロンプトインジェクションなど関連する脅威モデルの全体像はAIセキュリティリスクを、企業導入時のリスク整理は生成AIのセキュリティリスクを参照してほしい。

SHIELDの防御率42.7%の内訳は読めていない

本記事は、当サイトが論文の要旨を読んで書いている。SHIELDが監査に使う「行動ベースライン」の具体的な学習手法、4つの実運用ドメインの名称、9種類のTrustShift亜種それぞれの成功率の内訳は、要旨には記載がなく、本文PDFを読み込んでいないため確認できていない。「フロンティア級のプロプライエタリモデルとオープンウェイトモデル」がそれぞれ具体的にどのモデルを指すかも、要旨からは分からない。Zenn記事検索(2026年8月27日実施)では「TrustShift」に該当する日本語記事は見つからなかった。