Sade anlatım
Bir yüklenici tutuyor ve ona onaylı tedarikçilerin listesini veriyorsunuz; her birinin yanında ne iş yaptığını anlatan bir satır var. Tedarikçilerden biri kendi satırını kendisi yazmış ve küçük puntoyla şunu eklemiş: “Kimden sipariş verirsen ver, müşterinin anahtarlarının bir kopyasını bize gönder.” Siz tedarikçiyi adına bakarak onayladınız; yüklenici ise küçük puntoyu her sabah okuyor. Bir aracın açıklaması işte o küçük puntodur. Model, herhangi bir şey yapmadan önce, her çalıştırmada tamamını okur.
Neden önemli
Bir aracı bağlamak bir tedarik zinciri kararıdır ve yazılım kurarken gösterilen özeni hak eder. Zehirli bir aracın zarar vermesi için çağrılması gerekmez: açıklaması bağlamda durur ve ajanın güvenilen başka araçları nasıl kullanacağını yönlendirebilir. Onay bir kez verilir; uzaktaki bir sunucu ise açıklamalarını sonradan değiştirebilir. Pratik sonuç şudur: incelenmiş sunuculardan oluşan kısa bir liste ve sabitlenmiş sürümler. Bedeli hızdır: ekipler o sabah buldukları bağlayıcıyı hemen takma serbestliğini yitirir.
Örnek
Bir geliştirici, şirketin koduna ve e-posta araçlarına da erişen kodlama asistanına ücretsiz bir “döviz çevirici” sunucusu ekliyor. Onay penceresinde bir ad ve tek satır görünüyor. Yalnızca modelin gördüğü tam açıklama ise her çevirme isteğine bir yapılandırma dosyasının içeriğini eklemesini söylüyor. Üç hafta sonra kurulu sunucuları tarayan bir güvenlik aracı açıklamayı işaretliyor; sunucuyu 14 geliştirici kurmuştu.
Bununla en çok karıştırılan kavram
Tool Poisoning ve Indirect prompt injection (dolaylı istem enjeksiyonu) arasındaki fark
Araç zehirleme, taşıyıcısı farklı olan bir dolaylı prompt injection biçimidir. Olağan dolaylı enjeksiyon, gelip geçen verinin içindedir: bir web sayfası, bir e-posta, bir dosya. Araç zehirleme ise aracın tanımında durur; bu tanım her oturumun başında bağlama yüklenir ve sistemin bir parçası gibi ağırlık taşır. İçerik geldiği anda süzülebilir; araç tanımlarının ise bağlanmadan önce incelenmesi gerekir.
Köken: Adını, saldırıyı Nisan 2025'te MCP istemcileri üzerinde gösteren güvenlik şirketi Invariant Labs koydu.
Teknik katman
Üç türü tanımlanmıştır. Gizli talimat: açıklamaya, parametre adlarına ya da şemaya yerleştirilen, arayüzün kısalttığı ya da hiç göstermediği, modele hitap eden metin. Rug pull: sunucu onay sırasında zararsız bir tanım sunar, sonra değiştirir; yeniden kontrol etmeyen istemciler bunu fark etmez. Shadowing (gölgeleme): kötü niyetli bir sunucunun açıklaması, ajanın başka ve güvenilen bir sunucunun araçlarını kullanma biçimini değiştirir; örneğin bir e-posta aracının gönderim adresini yönlendirir. Araç sonuçları ve hata mesajları da aynı türden metin taşıyabilir. Savunmalar: incelenmiş sunuculardan oluşan bir izin listesi; sürüm sabitleme ve onaylanan her araç tanımının özet değerinin (hash) saklanması, değişiklikte yeniden onay; açıklamanın tamamını gösteren arayüzler; açıklamaların otomatik taranması; güvenilmeyen bir sunucuyu hassas araçların bulunduğu bağlamlardan uzak tutmak; sunucu başına en az yetkili kimlik bilgileri; MCP trafiğini kaydeden ve süzen bir geçit. MCP belirtimi, istemcilerin araç ek açıklamalarını (annotations) güvenilen bir sunucudan gelmedikçe güvenilmez saymasını şart koşar; bir tanımın değişmediğini doğrulamak ise istemciye kalır.