COPEX: come si manipolano i modelli linguistici nei sistemi MCP
COPEX misura la vulnerabilità dei modelli linguistici agli attacchi nei sistemi MCP, distinguendo i rischi del modello da quelli dell’intera infrastruttura.
👁 113 letture
L’articolo è stato pubblicato su arXiv e accettato come poster al workshop NeurIPS 2026 Workshop on Agents in the Wild. Gli autori sono sei: Nahom Birhan, Mehrdad Rostamzadeh, Sidhant Narula, Mahmoud Nazzal, Mohammad Ghasemigol e Daniel Takabi.
Che cos’è MCP e qual è il problema
Il Model Context Protocol (MCP) è uno standard che permette ai modelli linguistici di usare strumenti esterni: richiamare funzioni, recuperare dati e comunicare con server. In un sistema di questo tipo, il modello agisce da client MCP: riceve istruzioni dall’utente, schemi degli strumenti disponibili, risultati delle operazioni e messaggi del protocollo. Ognuno di questi canali può diventare un punto attraverso cui qualcuno cerca di influenzare il modello in modo indesiderato.
Gli autori evidenziano un problema metodologico specifico: finora i test di sicurezza degli agenti AI valutano l’intero sistema distribuito, non il solo modello. Di conseguenza, è difficile capire se il modello sia vulnerabile a un attacco oppure se a proteggerlo o esporlo siano l’infrastruttura circostante, i meccanismi di sicurezza, l’orchestrazione o le capacità generali necessarie per svolgere i compiti. COPEX nasce per affrontare questo problema.
Che cos’è COPEX e come funziona
COPEX (COntext Provider EXploitation) è un benchmark progettato per isolare il modello nel ruolo di client MCP. Il resto dello stack dell’agente rimane invariato: cambia soltanto il modello sottoposto al test. In questo modo, i risultati riguardano la vulnerabilità del singolo modello, non quella dell’intero sistema.
Il benchmark comprende 25 tipi di attacco, organizzati in 125 scenari. Gli attacchi sono suddivisi in base a quattro superfici d’ingresso:
- modello e agente;
- client;
- server e strumento;
- trasporto.
I test sono stati condotti su nove modelli, per un totale di 3375 prove.
Risultati: i numeri
Il tasso medio di successo degli attacchi è stato del 64,4%. Considerando le diverse superfici d’ingresso, le medie variano dal 58,3% al 71,4%. Gli autori precisano che alcuni attacchi a livello di client e di trasporto riescono, almeno in parte, al di fuori dell’osservazione o del controllo del modello. Per questo è importante distinguere la vulnerabilità del modello dall’esposizione dell’intero sistema.
È stata valutata anche l’efficacia delle difese. La scansione combinata degli input e del contesto ha ridotto il tasso medio di successo degli attacchi del 49,6%. Il risultato riguarda però soltanto un sottoinsieme di otto attacchi ed è calcolato rispetto alla variante senza alcuna protezione. Il documento non spiega nel dettaglio come funzioni questa difesa né quali attacchi fossero inclusi nel sottoinsieme testato.
Che cosa non specifica il documento
L’abstract non indica i nomi dei nove modelli testati: non è quindi possibile sapere quali sistemi siano stati valutati né quanto differiscano i loro risultati. Non descrive neppure i dettagli dei 25 tipi di attacco o la metodologia di scansione usata come difesa. Il benchmark è disponibile pubblicamente all’indirizzo indicato nell’articolo, ma i suoi contenuti non sono riportati nel testo esaminato.
Google · Le tue fontiPiù in alto su Google con un solo clicAggiungi alle fonti preferite →Che cosa indicano questi risultati
Un tasso di successo degli attacchi del 64,4% in assenza di difese è un dato difficile da ignorare: indica che, in media, i modelli usati come client MCP sono vulnerabili alla manipolazione nella maggior parte delle prove. È importante anche la distinzione proposta dagli autori: alcuni attacchi riescono non perché il modello sia debole, ma perché agiscono al di fuori del suo raggio d’azione. Questo dovrebbe influenzare il modo in cui si attribuisce la responsabilità della sicurezza di questi sistemi: il solo modello non può essere l’unica linea di difesa. Il benchmark offre uno strumento per confrontare i modelli con maggiore precisione, anche se, senza l’elenco dei sistemi testati, è difficile valutare quanto i risultati permettano di distinguerli nella pratica.
Fonte: arXiv cs.AI: COPEX: Benchmarking LLM Robustness to Adversarial Context Across Model Context Protocol (MCP) Layers (documento del 2026-10-20). Questa analisi si basa sul testo completo del documento, non sui resoconti di altri media.
More on this from NITIDO
