Peneliti tunjukkan serangan Log-To-Leak yang bocorkan data agen AI lewat MCP

Sebuah pracetak di arXiv memaparkan serangan terhadap agen kecerdasan buatan yang memakai Model Context Protocol (MCP). Makalah berjudul Log-To-Leak itu ditulis Yuepeng Hu bersama tiga peneliti lain dari Duke University, Michigan State University, dan TikTok. Serangan ini membuat agen memanggil satu alat tambahan milik penyerang, berupa pencatatan log, setelah agen menyelesaikan panggilan alat yang sah.

MCP adalah protokol yang memungkinkan model bahasa besar (LLM) memakai alat eksternal, seperti layanan pengembangan perangkat lunak, peta, atau keuangan, lewat antarmuka terstruktur. Setiap alat dijelaskan dengan teks berbahasa alami, dan model membaca deskripsi itu untuk menentukan alat yang dipakai. Injeksi perintah (prompt injection) adalah teknik menyisipkan instruksi ke dalam teks yang dibaca model agar model mengikuti instruksi penyerang, bukan maksud penggunanya.

Cara kerja serangan

Menurut abstrak, Log-To-Leak adalah serangan pencatatan tambahan pasca-eksekusi. Setelah panggilan alat sah yang terakhir, instruksi yang tertanam di deskripsi alat mengarahkan agen melakukan satu panggilan terpisah yang dikendalikan penyerang. Muatan yang disasar mencakup empat hal: kueri pengguna, nama server MCP, respons server, dan respons agen.

Penulis menyusun instruksi itu dari empat komponen. Trigger menentukan kapan pencatatan terjadi, Tool Binding mengarahkan agen ke alat pencatat, Justification memberi alasan yang bernada formal, dan Pressure membingkai tindakan itu sebagai kewajiban. Gambar di makalah menunjukkan panggilan tambahan bernama save_logs pada jejak eksekusi, sementara respons yang tampil kepada pengguna serupa dengan alur normal.

Menurut pendahuluan makalah, penelitian tentang injeksi perintah tidak langsung dan peracunan alat (tool poisoning) sudah menunjukkan pemilihan alat berbahaya, tindakan lintas alat, dan pencurian data. Log-To-Leak mengambil fokus yang lebih sempit: tindakan tidak sah berupa panggilan pencatatan tambahan setelah panggilan sah terakhir. Keberhasilannya diukur tanpa menganggap selesainya tugas utama sebagai bukti keamanan.

Model yang diuji dan hasilnya

Peneliti menguji lima server MCP, yaitu GitHub, Mapbox, PayPal, YFinance, dan Playwright, dengan empat agen LLM: GPT-4o, GPT-5, Claude-Sonnet-4, dan GPT-OSS-120B. Pilihan itu mencakup model komersial dan model terbuka. Mereka memakai lima metrik yang mencakup efektivitas, kegunaan, dan efisiensi.

Pada 18 pasangan model-server dengan eksekusi alat yang valid, tingkat keberhasilan serangan (attack success rate, ASR) berkisar 62,64 sampai 100 persen. Akurasi pencatatan bersyarat (logging accuracy, LA) berkisar 76,55 sampai 95,64 persen. Pada 16 pasangan, perubahan absolut penyelesaian tugas target paling besar 6,63 poin persentase; abstrak tidak merinci dua pasangan lainnya.

Penulis menyimpulkan bahwa penyelesaian tugas yang berhasil dapat berjalan bersamaan dengan pengungkapan data tanpa izin. Artinya, hasil akhir yang tampak benar tidak serta-merta menunjukkan tidak ada pengiriman data tambahan.

Pertahanan yang diuji

Penulis mengevaluasi tiga pertahanan. Menurut abstrak, ketiganya masih menyisakan ASR di atas 55 persen pada server GitHub MCP dengan GPT-4o. Angka itu hanya berlaku untuk satu kombinasi model dan server. Selain itu, sebuah detektor instruksi menandai 85,53 persen deskripsi alat yang jinak.

Dari hasil tersebut, penulis menyatakan perlunya otorisasi yang dikendalikan host untuk panggilan alat sekunder. Maksudnya, aplikasi yang menjalankan agen, bukan model, yang memutuskan apakah panggilan tambahan boleh dilakukan. Makalah di bahan yang ada tidak merinci desain atau pengujian mekanisme itu.

Status pracetak

Makalah ini berstatus pracetak di arXiv; versi pertama tercatat pada 26 Oktober 2026. Versi HTML mencantumkan makalah ini untuk lokakarya 1st Workshop on Security, Privacy, and Safety of Agentic AI Systems (AGENT-SEC ’26) di Den Haag pada 15–19 November 2026. Bahan yang ada tidak memuat keterangan bahwa telaah sejawat telah selesai, sehingga temuan ini perlu dibaca sebagai hasil awal.

Abstrak juga tidak merinci daftar tugas pengujian maupun ambang keberhasilan yang dipakai. Makalah ini berbeda dari pracetak MCP lain karena berfokus pada satu perilaku: panggilan pencatatan tambahan setelah panggilan sah terakhir.

Yang belum diketahui

Belum ada informasi dalam bahan tentang tanggapan penyedia server MCP atau pengembang model terhadap temuan ini. Penulis juga belum menyebut rilis kode uji dalam bahan yang ada. Bagi pengembang agen berbasis MCP, makalah ini menyoroti risiko dari deskripsi alat yang berasal dari pihak lain dan perlunya kontrol atas panggilan alat tambahan.