据 Ars Technica 高级安全编辑 Dan Goodin 2026 年 10 月 5 日报道，过去五个月里，Google 和另外四家机构确认了一类涉及 AI 智能体的漏洞：攻击者可利用目标网络中的一个智能体，将恶意指令传给其他内部智能体。独立研究员 Syed Anas Mohiuddin 的概念验证攻击利用了 MCP（Model Context Protocol）中的信任缺口，暴露出任务在智能体之间流转时的安全问题。
报道称，这类攻击针对的是翻译、数据分析等专用智能体。它们的防护往往较弱，甚至没有相应防护，可能将恶意指令继续交给下游智能体；下游因为信任上游而执行指令。
Syed 将这类攻击称为“协议跳板”（protocol pivoting）：攻击者先通过一种协议取得初始访问，再利用不同协议之间的信任假设，获得只有经由另一种协议才能使用的能力。他表示，当任务从 MCP 转交到 Google 的 A2A 等通信协议时，信任或授权信息可能在转换过程中丢失。
据 Ars 报道，Syed 在 Rapid7 网络中发现的漏洞编号为 CVE-2026-97228，严重度评分为 2.7 分，满分为 10 分。Rapid7 已于 2026 年 9 月修复该漏洞。
影响 Google 的漏洞评分则为 8 分，问题出在 MCP 数据库工具箱 googleapis/mcp-toolbox：其 HTTP 客户端初始化时没有设置 CheckRedirect 重定向策略，也没有校验目标 IP 地址。
据报道援引 Syed 的说明，攻击者可构造路径参数，让工具箱跟随重定向访问内部端点，并代其发送请求。Google 的修复加入了 IP 段允许列表和阻止列表，同时将不安全基础 URL 的拒绝时机提前到启动阶段，而非等到首次请求时再处理。
X41 D-Sec 研究员 Markus Vervier 对 Ars 表示，这仍属于间接提示注入，Syed 的技术是其中一个简单子类。他认为，恶意提示跨越不同协议，并不是此类攻击成立的必要条件。
Rapid7 漏洞情报总监 Douglas McKee 则强调，从大模型传给工具的任何内容，都应像来自互联网陌生人的输入一样对待。他指出，在提示注入场景中，这些输入实际上就可能来自攻击者。
