Cyberpediaod Brain
PLDEENESFRITNLPT

Agenci AI, narzędzia i protokół MCP

Agent AI wywołuje narzędzia w Państwa imieniu: poczta, pliki, API. Co może pójść nie tak i jak ograniczyć jego uprawnienia.

W 30 sekund

Gdzie to się zdarza
W każdym asystencie, który czyta Państwa wiadomości e-mail, dokumenty lub strony internetowe i może działać (wysyłać lub usuwać) bez klikania na każdym etapie3.
Czego chce atakujący
Podrzucić polecenie w treści, którą agent przeczyta, żeby działał w jego imieniu, na przykład przekazując dalej poufne wiadomości3.
Odruch
Dać agentowi absolutne minimum uprawnień, wymagać Państwa zatwierdzenia przed każdym działaniem o skutkach (wysłanie, usunięcie, publikacja) i sprawdzać to, co agent przygotował3.
Jeśli to już się stało
Proszę powiadomić zespół bezpieczeństwa, podając datę i narzędzia połączone wtedy z agentem. Dzienniki aktywności narzędzi służą do wykrywania nietypowych działań3.

O co chodzi

Agent AI to model językowy wyposażony w narzędzia: odczyt poczty, otwieranie plików, przeglądanie stron, wywoływanie API. Prace badawcze z lat 2022 i 2023 opisują modele wytrenowane do decydowania, jakie API wywołać, kiedy to zrobić i z jakimi argumentami1, oraz modele, które po kilku przykładach na przemian rozumują i działają oraz korzystają z zewnętrznych źródeł2.

OWASP, który prowadzi listę głównych zagrożeń dla aplikacji opartych na modelach językowych, mówi o „agency”: zdolności do wywoływania funkcji lub współdziałania z innymi systemami za pomocą rozszerzeń, które dostawcy nazywają też narzędziami, umiejętnościami lub wtyczkami. Wybór rozszerzenia do uruchomienia można powierzyć samemu agentowi, który decyduje na podstawie polecenia albo wyniku wcześniejszego wywołania3. Dla pracownika pytanie staje się proste: co ten agent może zrobić w jego imieniu i kto to sprawdza, zanim do tego dojdzie?

Pytania wprost

Czym agent różni się od zwykłego asystenta rozmowy?

Asystent rozmowy odpowiada. Agent działa: wielokrotnie odwołuje się do modelu, opierając się na wynikach wcześniejszych wywołań przy kierowaniu kolejnymi3. Każde podłączone narzędzie zwiększa skutki, jakie może mieć błąd lub manipulacja.

Czym jest protokół MCP?

Źródła zebrane dla tej karty nie opisują MCP. Dotyczą narzędzi, rozszerzeń i konektorów w ogólności, a opisane poniżej zagrożenia odnoszą się do każdego sposobu podłączenia agenta do narzędzia. Sam protokół nie jest więc tutaj omawiany szczegółowo.

Czym jest pośrednie wstrzyknięcie promptu?

To sytuacja, w której model otrzymuje instrukcje ukryte w zewnętrznej treści, takiej jak strona internetowa lub plik, i zmienia przez nie swoje zachowanie4. Badacze pokazali w 2023 roku, że ta droga pozwala atakować zdalnie, bez bezpośredniego interfejsu, aplikacje zawierające model, przez umieszczenie instrukcji w danych, które mogą zostać pobrane5. Atakujący nie potrzebuje dostępu do AI: pisze coś, co ostatecznie zostanie przez nią odczytane6. Tekst może być nawet niewidoczny dla człowieka, o ile model go interpretuje4.

Czy te ataki można zablokować filtrem?

Nie całkowicie. OWASP uważa za niepewne, czy istnieje niezawodna prewencja4. Brytyjskie NCSC wyjaśnia, że obecne modele nie odróżniają instrukcji od danych: przewidują tylko następne słowo. Ocenia, że wstrzyknięcie promptu może nigdy nie zostać całkowicie usunięte, inaczej niż SQL injection, i zaleca ograniczanie ryzyka oraz jego skutków6. Ostrzega też przed produktami, które obiecują „zatrzymać” wstrzyknięcie promptu6.

Co należy sprawdzić, zanim pozwoli się agentowi działać?

Wszystko, co wychodzi poza Państwa zakres: wysłane wiadomości e-mail lub udostępnione pliki. OWASP podaje przykład wysyłania poczty, w którym użytkownik czyta i zatwierdza każdą wiadomość napisaną przez agenta3.

1Jak to działa1 min

Aplikacja daje modelowi zestaw narzędzi, a potem pozwala mu wybierać, które wywołać3. Polecenia programisty i treść do przetworzenia (e-mail, strona, plik) trafiają do modelu w jednym wejściu. Obecni agenci zwykle opierają się na tym pomieszaniu zaufanych poleceń z niewiarygodnymi danymi7.

NCSC wyciąga stąd praktyczny wniosek. Gdy agent wywołuje narzędzia lub API na podstawie tego, co mówi model, atakujący, który nim manipuluje, uzyskuje odpowiednik bezpośredniego dostępu do tych narzędzi, wraz z najgorszym scenariuszem, jaki z tego wynika6.

2Co należy zrobić2 min

OWASP wymienia środki, które zmniejszają nadmierną władzę agenta. Nie zawsze mają Państwo wpływ na ich konfigurację, ale mogą o nie poprosić zespół wdrażający narzędzie.

  • Ograniczyć narzędzia: jeśli agent nie musi czytać adresu internetowego, nie daje mu się tej funkcji3.
  • Ograniczyć funkcje: rozszerzenie streszczające e-maile potrzebuje tylko je czytać, a nie usuwać ani wysyłać3.
  • Wybierać narzędzia precyzyjne zamiast otwartych, takich jak „wykonaj polecenie”: w tych drugich można uruchomić dowolne inne polecenie3.
  • Ograniczyć uprawnienia: narzędzie do odczytu bazy danych nie powinno łączyć się z tożsamością, która może też modyfikować lub usuwać3.
  • Działać z własnymi uprawnieniami, a nie z ogólnym kontem o bardzo wysokich uprawnieniach. Dla repozytorium kodu OWASP wskazuje połączenie OAuth z minimalnym zakresem3.
  • Wymagać zatwierdzenia przez człowieka dla działań o dużym wpływie3.
  • Rejestrować aktywność narzędzi, by wykrywać nietypowe działania, i ograniczać przepustowość, by zmniejszyć liczbę niepożądanych działań możliwych w danym czasie3.

NCSC proponuje prostą zasadę: gdy model przetwarza informacje pochodzące od osoby trzeciej, jego uprawnienia spadają do poziomu tej osoby. Agent czytający e-maile od osób z zewnątrz nie powinien więc mieć dostępu do narzędzi uprzywilejowanych6.

Po stronie platformy Microsoft opisuje dla Copilot Studio kontrole zarezerwowane dla administratorów: zasady dotyczące danych w konektorach, akcjach i żądaniach HTTP, analizę zależności konektorów przed wdrożeniem, dzienniki audytu oraz możliwość wyłączenia publikowania agentów korzystających z generatywnej AI. Projektanci agentów mogą też skonfigurować narzędzia tak, by działały z poświadczeniami użytkownika8.

3Pułapki1 min
  • Agent z nadmiernymi uprawnieniami. OWASP wyróżnia trzy przyczyny: zbyt wiele funkcji, zbyt wiele uprawnień, zbyt dużo autonomii3. Rozszerzenie wypróbowane podczas tworzenia, a potem porzucone, może pozostać dostępne dla agenta3. Rozszerzenie zewnętrzne wybrane do czytania dokumentów może też umieć je modyfikować i usuwać3.
  • Polecenie ukryte w e-mailu. W przykładzie OWASP spreparowany e-mail przychodzący skłania asystenta poczty do przeszukania skrzynki odbiorczej i przekazania poufnych informacji atakującemu3.
  • Obraz, który wycieka rozmowę. Użytkownik prosi AI o streszczenie strony zawierającej ukryte instrukcje, które każą jej wstawić obraz wskazujący na pewien adres: prywatna rozmowa wycieka w ten sposób4.
  • Zmieniony dokument w bazie wiedzy. Jeśli atakujący zmodyfikuje dokument używany przez aplikację z wyszukiwaniem wspomaganym, odpowiedź AI może stać się myląca4.
  • Łańcuch między narzędziami. Wstrzyknięcie może pochodzić z wcześniejszego wywołania skompromitowanego rozszerzenia albo od innego skompromitowanego agenta w systemie wieloagentowym3.
  • Pojedynczy test, który uspokaja niesłusznie. NIST zauważa, że model może opierać się znanym atakom, a ulec atakom zaprojektowanym specjalnie pod niego7.
4Rzeczywiste przypadki1 min

Luty 2023: demonstracja na Bing Chat i asystentach kodu

Badacze, w tym Kai Greshake i Sahar Abdelnabi, złożyli 23 lutego 2023 roku artykuł pokazujący ataki przez pośrednie wstrzyknięcie na rzeczywiste systemy, w tym Bing Chat oparty na GPT-4 i silniki uzupełniania kodu. Według nich przetworzenie pobranego promptu może być równoznaczne z wykonaniem dowolnego kodu oraz pozwalać kontrolować, czy i jak wywoływane są inne API. Zauważają brak skutecznych zabezpieczeń w tamtym czasie5.

Styczeń 2025: ocena przejmowania agentów przez NIST

17 stycznia 2025 roku Center for AI Standards and Innovation w NIST opublikowało swoje testy przejmowania agentów w środowisku AgentDojo. Ataki zaprojektowane specjalnie pod testowany model zwiększyły skuteczność z 11% (najlepszy atak odniesienia) do 81%7. W pięciu zadaniach wstrzyknięcia, w tym wysłaniu kodu uwierzytelniającego osobie trzeciej i uruchomieniu złośliwego skryptu, średnia skuteczność wyniosła 57% przy jednej próbie i 80% przy 25 próbach na atak7. Były to środowiska symulowane, a nie incydenty w firmie7.

Karta

Identyfikator
CP-264
Skrzydło
4. Sztuczna inteligencja
Kompetencja Brain
Opanować AI (master_ai)
Odruch Brain
air-048
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 8
ŹródłaŹródła: 8
  1. arXiv, „Toolformer: Language Models Can Teach Themselves to Use Tools”, 9 lutego 2023. https://arxiv.org/abs/2302.04761 (dostęp 3 listopada 2026)
  2. arXiv, „ReAct: Synergizing Reasoning and Acting in Language Models”, 6 października 2022. https://arxiv.org/abs/2210.03629 (dostęp 3 listopada 2026)
  3. OWASP, „LLM06:2025 Excessive Agency”. https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (dostęp 3 listopada 2026)
  4. OWASP, „LLM01:2025 Prompt Injection”. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (dostęp 3 listopada 2026)
  5. arXiv, „Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection”, 23 lutego 2023. https://arxiv.org/abs/2302.12173 (dostęp 3 listopada 2026)
  6. NCSC (Royaume-Uni), „Prompt injection is not SQL injection (it may be worse)”, 8 grudnia 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (dostęp 3 listopada 2026)
  7. NIST, „Technical Blog: Strengthening AI Agent Hijacking Evaluations”, 17 stycznia 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (dostęp 3 listopada 2026)
  8. Microsoft, „Security and governance - Microsoft Copilot Studio”. https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Agenci AI, narzędzia i protokół MCP”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/agenci-ai-narzedzia-mcp/

BibTeX 
@misc{brain_cp264_pl_2026,
  author = {Brain},
  title = {Agenci AI, narzędzia i protokół MCP},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/agenci-ai-narzedzia-mcp/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0