--- id: CP-264 slug: agenci-ai-narzedzia-mcp lang: pl title: Agenci AI, narzędzia i protokół MCP description: "Agent AI wywołuje narzędzia w Państwa imieniu: poczta, pliki, API. Co może pójść nie tak i jak ograniczyć jego uprawnienia." canonical_url: https://startbrain.io/cyberpedia/pl/articles/agenci-ai-narzedzia-mcp/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/agenci-ai-narzedzia-mcp.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Agenci AI, narzędzia i protokół MCP”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/agenci-ai-narzedzia-mcp/ (CC BY 4.0) wing: 4 theme: master_ai reflex: air-048 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/agenci-ai-narzedzia-mcp/ fr: https://startbrain.io/cyberpedia/fr/articles/agents-ia-outils-mcp/ en: https://startbrain.io/cyberpedia/en/articles/ai-agents-tool-use-mcp/ de: https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp/ es: https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp/ it: https://startbrain.io/cyberpedia/it/articles/agenti-ia-strumenti-mcp/ nl: https://startbrain.io/cyberpedia/nl/articles/ai-agents-tools-mcp-protocol/ pt: https://startbrain.io/cyberpedia/pt/articles/agentes-ia-ferramentas-mcp/ sources: - "n": 1 title: "Toolformer: Language Models Can Teach Themselves to Use Tools" publisher: arXiv url: https://arxiv.org/abs/2302.04761 published: "2023-02-09" accessed: "2026-11-03" - "n": 2 title: "ReAct: Synergizing Reasoning and Acting in Language Models" publisher: arXiv url: https://arxiv.org/abs/2210.03629 published: "2022-10-06" accessed: "2026-11-03" - "n": 3 title: LLM06:2025 Excessive Agency publisher: OWASP url: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ accessed: "2026-11-03" - "n": 4 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 5 title: "Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection" publisher: arXiv url: https://arxiv.org/abs/2302.12173 published: "2023-02-23" accessed: "2026-11-03" - "n": 6 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 7 title: "Technical Blog: Strengthening AI Agent Hijacking Evaluations" publisher: NIST url: https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations published: "2025-01-17" accessed: "2026-11-03" - "n": 8 title: Security and governance - Microsoft Copilot Studio publisher: Microsoft url: https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance accessed: "2026-11-03" --- # Agenci AI, narzędzia i protokół MCP Agent AI to model językowy wyposażony w narzędzia: odczyt poczty, otwieranie plików, przeglądanie stron, wywoływanie API. Prace badawcze z lat 2022 i 2023 opisują modele wytrenowane do decydowania, jakie API wywołać, kiedy to zrobić i z jakimi argumentami [1], oraz modele, które po kilku przykładach na przemian rozumują i działają oraz korzystają z zewnętrznych źródeł [2]. OWASP, który prowadzi listę głównych zagrożeń dla aplikacji opartych na modelach językowych, mówi o „agency”: zdolności do wywoływania funkcji lub współdziałania z innymi systemami za pomocą rozszerzeń, które dostawcy nazywają też narzędziami, umiejętnościami lub wtyczkami. Wybór rozszerzenia do uruchomienia można powierzyć samemu agentowi, który decyduje na podstawie polecenia albo wyniku wcześniejszego wywołania [3]. Dla pracownika pytanie staje się proste: co ten agent może zrobić w jego imieniu i kto to sprawdza, zanim do tego dojdzie? ## W 30 sekund - Gdzie to się zdarza: w każdym asystencie, który czyta Państwa wiadomości e-mail, dokumenty lub strony internetowe i może działać (wysyłać lub usuwać) bez klikania na każdym etapie [3]. - Czego chce atakujący: podrzucić polecenie w treści, którą agent przeczyta, żeby działał w jego imieniu, na przykład przekazując dalej poufne wiadomości [3]. - Odruch: dać agentowi absolutne minimum uprawnień, wymagać Państwa zatwierdzenia przed każdym działaniem o skutkach (wysłanie, usunięcie, publikacja) i sprawdzać to, co agent przygotował [3]. - Jeśli to już się stało: proszę powiadomić zespół bezpieczeństwa, podając datę i narzędzia połączone wtedy z agentem. Dzienniki aktywności narzędzi służą do wykrywania nietypowych działań [3]. ## Pytania wprost ### Czym agent różni się od zwykłego asystenta rozmowy? Asystent rozmowy odpowiada. Agent działa: wielokrotnie odwołuje się do modelu, opierając się na wynikach wcześniejszych wywołań przy kierowaniu kolejnymi [3]. Każde podłączone narzędzie zwiększa skutki, jakie może mieć błąd lub manipulacja. ### Czym jest protokół MCP? Źródła zebrane dla tej karty nie opisują MCP. Dotyczą narzędzi, rozszerzeń i konektorów w ogólności, a opisane poniżej zagrożenia odnoszą się do każdego sposobu podłączenia agenta do narzędzia. Sam protokół nie jest więc tutaj omawiany szczegółowo. ### Czym jest pośrednie wstrzyknięcie promptu? To sytuacja, w której model otrzymuje instrukcje ukryte w zewnętrznej treści, takiej jak strona internetowa lub plik, i zmienia przez nie swoje zachowanie [4]. Badacze pokazali w 2023 roku, że ta droga pozwala atakować zdalnie, bez bezpośredniego interfejsu, aplikacje zawierające model, przez umieszczenie instrukcji w danych, które mogą zostać pobrane [5]. Atakujący nie potrzebuje dostępu do AI: pisze coś, co ostatecznie zostanie przez nią odczytane [6]. Tekst może być nawet niewidoczny dla człowieka, o ile model go interpretuje [4]. ### Czy te ataki można zablokować filtrem? Nie całkowicie. OWASP uważa za niepewne, czy istnieje niezawodna prewencja [4]. Brytyjskie NCSC wyjaśnia, że obecne modele nie odróżniają instrukcji od danych: przewidują tylko następne słowo. Ocenia, że wstrzyknięcie promptu może nigdy nie zostać całkowicie usunięte, inaczej niż SQL injection, i zaleca ograniczanie ryzyka oraz jego skutków [6]. Ostrzega też przed produktami, które obiecują „zatrzymać” wstrzyknięcie promptu [6]. ### Co należy sprawdzić, zanim pozwoli się agentowi działać? Wszystko, co wychodzi poza Państwa zakres: wysłane wiadomości e-mail lub udostępnione pliki. OWASP podaje przykład wysyłania poczty, w którym użytkownik czyta i zatwierdza każdą wiadomość napisaną przez agenta [3]. ## Jak to działa Aplikacja daje modelowi zestaw narzędzi, a potem pozwala mu wybierać, które wywołać [3]. Polecenia programisty i treść do przetworzenia (e-mail, strona, plik) trafiają do modelu w jednym wejściu. Obecni agenci zwykle opierają się na tym pomieszaniu zaufanych poleceń z niewiarygodnymi danymi [7]. NCSC wyciąga stąd praktyczny wniosek. Gdy agent wywołuje narzędzia lub API na podstawie tego, co mówi model, atakujący, który nim manipuluje, uzyskuje odpowiednik bezpośredniego dostępu do tych narzędzi, wraz z najgorszym scenariuszem, jaki z tego wynika [6]. ## Co należy zrobić OWASP wymienia środki, które zmniejszają nadmierną władzę agenta. Nie zawsze mają Państwo wpływ na ich konfigurację, ale mogą o nie poprosić zespół wdrażający narzędzie. - Ograniczyć narzędzia: jeśli agent nie musi czytać adresu internetowego, nie daje mu się tej funkcji [3]. - Ograniczyć funkcje: rozszerzenie streszczające e-maile potrzebuje tylko je czytać, a nie usuwać ani wysyłać [3]. - Wybierać narzędzia precyzyjne zamiast otwartych, takich jak „wykonaj polecenie”: w tych drugich można uruchomić dowolne inne polecenie [3]. - Ograniczyć uprawnienia: narzędzie do odczytu bazy danych nie powinno łączyć się z tożsamością, która może też modyfikować lub usuwać [3]. - Działać z własnymi uprawnieniami, a nie z ogólnym kontem o bardzo wysokich uprawnieniach. Dla repozytorium kodu OWASP wskazuje połączenie OAuth z minimalnym zakresem [3]. - Wymagać zatwierdzenia przez człowieka dla działań o dużym wpływie [3]. - Rejestrować aktywność narzędzi, by wykrywać nietypowe działania, i ograniczać przepustowość, by zmniejszyć liczbę niepożądanych działań możliwych w danym czasie [3]. NCSC proponuje prostą zasadę: gdy model przetwarza informacje pochodzące od osoby trzeciej, jego uprawnienia spadają do poziomu tej osoby. Agent czytający e-maile od osób z zewnątrz nie powinien więc mieć dostępu do narzędzi uprzywilejowanych [6]. Po stronie platformy Microsoft opisuje dla Copilot Studio kontrole zarezerwowane dla administratorów: zasady dotyczące danych w konektorach, akcjach i żądaniach HTTP, analizę zależności konektorów przed wdrożeniem, dzienniki audytu oraz możliwość wyłączenia publikowania agentów korzystających z generatywnej AI. Projektanci agentów mogą też skonfigurować narzędzia tak, by działały z poświadczeniami użytkownika [8]. ## Pułapki - Agent z nadmiernymi uprawnieniami. OWASP wyróżnia trzy przyczyny: zbyt wiele funkcji, zbyt wiele uprawnień, zbyt dużo autonomii [3]. Rozszerzenie wypróbowane podczas tworzenia, a potem porzucone, może pozostać dostępne dla agenta [3]. Rozszerzenie zewnętrzne wybrane do czytania dokumentów może też umieć je modyfikować i usuwać [3]. - Polecenie ukryte w e-mailu. W przykładzie OWASP spreparowany e-mail przychodzący skłania asystenta poczty do przeszukania skrzynki odbiorczej i przekazania poufnych informacji atakującemu [3]. - Obraz, który wycieka rozmowę. Użytkownik prosi AI o streszczenie strony zawierającej ukryte instrukcje, które każą jej wstawić obraz wskazujący na pewien adres: prywatna rozmowa wycieka w ten sposób [4]. - Zmieniony dokument w bazie wiedzy. Jeśli atakujący zmodyfikuje dokument używany przez aplikację z wyszukiwaniem wspomaganym, odpowiedź AI może stać się myląca [4]. - Łańcuch między narzędziami. Wstrzyknięcie może pochodzić z wcześniejszego wywołania skompromitowanego rozszerzenia albo od innego skompromitowanego agenta w systemie wieloagentowym [3]. - Pojedynczy test, który uspokaja niesłusznie. NIST zauważa, że model może opierać się znanym atakom, a ulec atakom zaprojektowanym specjalnie pod niego [7]. ## Rzeczywiste przypadki ### Luty 2023: demonstracja na Bing Chat i asystentach kodu Badacze, w tym Kai Greshake i Sahar Abdelnabi, złożyli 23 lutego 2023 roku artykuł pokazujący ataki przez pośrednie wstrzyknięcie na rzeczywiste systemy, w tym Bing Chat oparty na GPT-4 i silniki uzupełniania kodu. Według nich przetworzenie pobranego promptu może być równoznaczne z wykonaniem dowolnego kodu oraz pozwalać kontrolować, czy i jak wywoływane są inne API. Zauważają brak skutecznych zabezpieczeń w tamtym czasie [5]. ### Styczeń 2025: ocena przejmowania agentów przez NIST 17 stycznia 2025 roku Center for AI Standards and Innovation w NIST opublikowało swoje testy przejmowania agentów w środowisku AgentDojo. Ataki zaprojektowane specjalnie pod testowany model zwiększyły skuteczność z 11% (najlepszy atak odniesienia) do 81% [7]. W pięciu zadaniach wstrzyknięcia, w tym wysłaniu kodu uwierzytelniającego osobie trzeciej i uruchomieniu złośliwego skryptu, średnia skuteczność wyniosła 57% przy jednej próbie i 80% przy 25 próbach na atak [7]. Były to środowiska symulowane, a nie incydenty w firmie [7]. ## Źródła 1. arXiv, „Toolformer: Language Models Can Teach Themselves to Use Tools”, 9 lutego 2023. https://arxiv.org/abs/2302.04761 (dostęp 3 listopada 2026) 2. arXiv, „ReAct: Synergizing Reasoning and Acting in Language Models”, 6 października 2022. https://arxiv.org/abs/2210.03629 (dostęp 3 listopada 2026) 3. OWASP, „LLM06:2025 Excessive Agency”. https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (dostęp 3 listopada 2026) 4. OWASP, „LLM01:2025 Prompt Injection”. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (dostęp 3 listopada 2026) 5. arXiv, „Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection”, 23 lutego 2023. https://arxiv.org/abs/2302.12173 (dostęp 3 listopada 2026) 6. NCSC (Royaume-Uni), „Prompt injection is not SQL injection (it may be worse)”, 8 grudnia 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (dostęp 3 listopada 2026) 7. NIST, „Technical Blog: Strengthening AI Agent Hijacking Evaluations”, 17 stycznia 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (dostęp 3 listopada 2026) 8. Microsoft, „Security and governance - Microsoft Copilot Studio”. https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/agenci-ai-narzedzia-mcp/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.