TRUSTDESC：从代码反推工具描述，从根源化解工具投毒

这是什么？

一个 LLM 可以调用的工具有两部分：执行实际工作的可执行代码，以及一段自然语言描述，告诉模型该工具的功能以及何时使用它。模型从不查看代码——只看到被载入其上下文的描述。因此，这段描述构成一条信任边界，而它恰恰是几乎无人核验的那一条。

工具投毒攻击（tool poisoning attacks，TPA）正是滥用这一缺口。该攻击类别由 Invariant Labs 于 2025 年 4 月针对 Model Context Protocol 公开披露，此后又在描述符层面得到研究（例如 arXiv 2512.06556，2025 年 12 月）。TRUSTDESC: Preventing Tool Poisoning in LLM Applications via Trusted Description Generation（Ye、Zhang、Jia 与 Hu，宾夕法尼亚州立大学；arXiv 2604.07536，2026 年 4 月）提出了一种从根源消除该缺口而非监控它的防御：从实现生成描述，使 LLM 读到的文本忠实于真正将要运行的代码。

工作原理

论文将 TPA 分为两类。

显式 TPA 把恶意指令直接嵌入工具描述——例如一段隐藏文本，命令模型读取某个配置文件并将其内容传给另一个工具。它们看起来异常，是现有大多数提示注入防御的目标。

隐式 TPA 不携带任何指令。攻击者撰写一段看似无害却经过夸大的描述——掺入诸如*“最佳”、“最高效”、“务必优先选用”之类的词——以将模型的工具选择*环节引向攻击者控制的工具。没有任何东西可供指令检测器标记，但模型依旧被引导。正如作者所言，判断一段描述是否诚实，需要推理它是否与实现相符——这即便对人类专家而言，若不检查代码也很困难。

TRUSTDESC 的前提是：源代码是可信的基准事实（攻击者很少投放恶意代码，因为现代恶意软件检测有效；他们转而攻击廉价且未经核验的描述层）。它分三阶段重建每段描述：

代码库
   │
   ▼
[ SliceMin ]   可达性感知的静态分析为每个工具构建调用图；由 LLM
   │           剪除不可达/无关逻辑，得到最小且与该工具相关的代码切片
   ▼
[ DescGen ]    从切片合成描述；剥离注释与 docstring，截断具误导性的
   │           标识符，缓解代码中的对抗性构件
   ▼
[ DynVer ]     将草稿拆解为可验证的断言，逐一执行，并用一个 LLM 裁判
   │           审阅执行日志，剔除任何执行未能确认的陈述
   ▼
可信描述

DescGen 之所以剥离注释、docstring 与冗长标识符名，是因为它们本身就是攻击者可控的通道；随后 DynVer 只保留代码真正演示出来的行为，从而化解被臆造或夸大的断言。

为何重要

工具描述是智能体生态的结缔组织，而 MCP 已将其变成一条共享的第三方供应链：你安装一个服务器，它自撰的描述便以完全信任进入你模型的上下文。隐式 TPA 是其中令人担忧的一半，因为整个行业的第一道防线——扫描看似恶意的指令——根本看不见它们。一段语法正确、措辞讨好、没有祈使句的描述会畅通无阻。

从代码重新反推描述还有论文测得的第二个效果：它提升了诚实的工具使用。在覆盖 12 个 MCP 服务器中 52 个工具的 208 项任务上，TRUSTDESC 生成的描述较原始描述将任务成功率平均提高了 4.3%；而当低质量工具变体（移除了安全检查或一两项关键功能）参与竞争被选时，可信描述降低了模型选中较弱工具的频率。忠实的描述既是安全控制，也是质量控制。

诚实地说明其局限：面对刻意植入误导性标识符以扰乱生成的自适应攻击，攻击成功率在 15 轮迭代中在 44.7% 至 67.4% 之间波动——没有稳定的上升趋势，但远不为零。这是缓解，而非根除，并且依赖于能够访问可读的源代码（原型覆盖 Python 与 TypeScript 的 MCP 服务器）。

防御

无论你是否采用这一具体框架，都有的可落地要点：

1. 将作者提供的工具描述视为不可信输入。 它们以与系统指令相同的权限被载入模型上下文，却毫无审查。像锁定依赖版本那样，锁定并复核描述的确切文本。

2. 防御工具选择，而不仅是执行。 隐式 TPA 从不直接触发不安全动作；它们扭曲规划器选择哪个工具。记录并约束选择——允许列表、对敏感能力采用确定性路由——能关上指令过滤器留下的那扇门。

3. 将描述与实现对照。 根因是断言与行为之间的落差。从代码生成或校验描述（TRUSTDESC 的方法）能抓住任何关键词扫描器都看不到的夸大。在无法获取源代码时，对行为断言进行动态验证是退而求其次的办法。

4. 为自适应对手留出预算。 自适应攻击下约 45–67% 的残余成功率意味着描述忠实性只是一层。其下仍需保留最小权限的工具范围、对高影响调用的人工把关，以及出站控制。

状态

项目	参考	日期	备注
TRUSTDESC 框架	arXiv:2604.07536	2026-04	SliceMin / DescGen / DynVer；52 个工具，12 个 MCP 服务器
描述符层面的语义攻击	arXiv:2512.06556	2025-12	对 MCP 描述符操纵的较早研究
工具投毒攻击（起源）	Invariant Labs	2025-04	针对 MCP 的 TPA 类别首次公开披露

值得记住的提法最为简单：在一个使用工具的智能体里，描述是代码的求职信，而如今任何人都能伪造它。缩小工具声称所做与其实际所做之间的落差，能把描述从最薄弱的一环变成可验证的一环。