ChainWatch: A Kill Chain-Aligned Sequential Detection Framework for Multi-Step Attacks in MCP-Based AI Agent Systems (2026)
论文重点
本文提出ChainWatch框架，针对MCP（Model Context Protocol）协议下AI智能体系统的多步攻击检测问题，通过六阶段杀伤链建模与隐马尔可夫模型（HMM）相结合的方式，对工具调用序列进行序贯检测。研究指出，现有按调用逐一检查的防御机制无法识别"单步合规、整体系列恶意"的攻击模式，而ChainWatch通过序列级分析填补了这一关键空白。
核心研究内容
问题定义
MCP是由Anthropic于2024年11月发布的开源标准，允许AI智能体连接外部工具、数据库和服务。但这一连接能力也引入了严重的安全隐患：攻击者可以将一系列单独看来无害的工具调用组合成恶意序列，绕过逐调用检查。数据显示，在未防御的系统中，这类链式攻击对GPT-4.1的成功率超过90%。STAC的研究进一步表明，36个已记录的AI智能体攻击中有21个跨越四个或以上攻击阶段。尽管已有MCPShield、MCP-Guard和MindGuard等防御方案，但它们均针对单调用或单服务器威胁模型设计，缺乏对整个会话序列的建模能力。
创新方法
ChainWatch的核心创新体现在三个方面：
第一，六阶段MCP杀伤链。 论文将多步MCP攻击抽象为六个可观测阶段：侦查（Reconnaissance）、信任建立（Trust Building）、注入（Injection）、提权（Escalation）、横向移动（Lateral Movement）和渗漏（Exfiltration）。这一模型扩展了已有的Promptware杀伤链，增加了两个MCP特有的前置阶段。
第二，HMM-based阶段分类器。 将阶段分配建模为隐状态推理问题，通过HMM对20维特征向量序列进行状态推断。转移矩阵设计遵循三条约束：前向转移概率高于后向、跳跃超过两个阶段的转移概率较低、保留少量后向转移概率以应对攻击者重复早期行为的场景。
第三，五条会话级检测规则。 通过长度为k=10的滑动窗口观察阶段标签流，触发五类检测规则，涵盖侦查后敏感数据访问、多服务器跨域访问、读取后外传、快速杀伤链加速和后期配置写入等攻击模式。
研究成果
论文通过五个来自安全文献的攻击场景进行了框架追踪验证，涵盖三类攻击------直接序贯攻击（DSA）、间接注入链（IIC）和混合多阶段攻击（HMSA）：
- 金融欺诈（DSA） ：
get_balance→list_payees→add_payee→transfer_funds，R4和R3规则触发，CRITICAL告警 - GitHub数据窃取（IIC） ：通过恶意GitHub issue注入指令，R3触发CRITICAL告警
- WhatsApp Rug-Pull（HMSA） ：工具定义在批准后被静默替换，R4触发CRITICAL告警
- 跨智能体提权（HMSA） ：通过配置写入实现跨智能体持久化，R5触发并阻断调用
- 凭据收割（DSA） ：
list_tools→read_env→read_ssh_config→post_to_webhook，R1和R3触发CRITICAL告警
所有五个场景中的攻击链均能通过现有逐调用防御的检查，但被ChainWatch成功检测。
实际落地应用的可能性
ChainWatch作为透明代理部署于MCP客户端与服务器之间，不修改模型、主机或服务器本身。这种架构设计使其可与现有逐调用防御（如MCPShield）并行部署，而非替代关系。框架的参数------窗口大小k=10、步长阈值m=5等------均为可配置项，可根据具体部署环境的误报容忍度进行调整。
技术细节
20维特征提取方案
ChainWatch将原始MCP工具调用转换为固定20维数值向量，分为五组：
| 特征组 | 维度 | 描述 |
|---|---|---|
| 工具类别（TC） | 5 | One-hot编码：READ, WRITE, EXECUTE, NETWORK, CONFIGURE |
| 参数敏感性（PS） | 1 | 加权和：凭据、路径、URL、编码数据 |
| 数据流（DF） | 4 | 二进制：内部读取、外部写入、链式传递、跨服务器 |
| 时序特征（TF） | 3 | 调用间隔、k次调用速率、会话时长 |
| 输出特征（OC） | 7 | 指令性文本、XML标签、描述-输出不匹配、容量异常、哈希变化、编码数据、外部URL |
最终特征向量为 v = TC, PS, DF, TF, OC ∈ ℝ²⁰。
HMM形式化定义
HMM定义为 λ = (S, Σ, A, B, π)：
- S：六个杀伤链阶段的集合
- Σ：20维特征向量的观测空间
- A：状态转移矩阵
- B：发射分布
- π：初始状态分布
该设计借鉴了Holgado等人将HMM与Viterbi解码用于APT杀伤链阶段预测的方法，但将离散IDS告警类型替换为连续20维特征向量作为观测。
五条检测规则
| 规则 | 触发条件 | 严重级别 |
|---|---|---|
| R1 | 侦查后直接访问敏感数据 | WARNING |
| R2 | 两个以上服务器访问且敏感数据流标志激活 | WARNING |
| R3 | 高阶段READ后m步内NETWORK调用携带该数据 | CRITICAL |
| R4 | 杀伤链加速：跳跃两个或以上阶段 | WARNING |
| R5 | 阶段4及以上进行配置写入 | CRITICAL |
R3和R5触发CRITICAL告警并阻断待处理调用；R1、R2、R4触发WARNING告警供人工审核。
研究设定
部署架构
ChainWatch作为透明代理层部署于MCP客户端与MCP服务器之间。在这种架构中，MCP客户端和宿主应用被视为受信任方，而MCP服务器默认被视为潜在对抗性实体。ChainWatch以非公开监控层的形式运行，攻击者无法获知其检测阈值和窗口参数。
威胁模型假设
攻击者能够：注册或攻陷MCP服务器以控制智能体可见的工具；在工具描述和输出中嵌入对抗内容；在用户批准后替换工具定义；通过多个服务器协调攻击步骤。攻击者无法：访问MCP客户端内部、改变底层模型行为、获知ChainWatch的检测配置。
待验证的设计参数
论文明确指出，HMM转移概率的具体数值和检测阈值的校准需要基于实际MCP轨迹数据进行Baum-Welch估计。R2规则在多服务企业工作流中可能产生误报，需要根据实际部署环境调优。MCP-SafetyBench被列为进行实证验证的自然起点。
综合分析
方法论贡献
ChainWatch的最大贡献在于将传统网络安全领域成熟的"序列检测"思想移植到了AI智能体安全这一新兴领域。传统IDS领域的HMM-based多步攻击检测已有丰富积累，但将其应用于MCP工具调用序列，需要重新定义"攻击阶段"的语义------从网络数据包层面抽象到工具调用语义层面。论文提出的六阶段杀伤链完成了这一抽象，使HMM这一成熟工具得以在全新领域发挥作用。
设计选择的合理性
窗口大小k=10 的选择基于已记录攻击的4-7次调用跨度，留有足够余量。步长阈值m=5 意味着在首个可疑信号出现后半窗口内触发规则。转移矩阵的三条约束------前向偏好、限制大跳跃、保留少量后向------反映了对真实攻击行为模式的合理先验。
20维特征的设计值得关注：工具类别和参数敏感性直接来自调用内容；数据流和时序特征捕获调用间关系；输出特征则专门针对服务器端被攻陷的信号（如注入标记、定义哈希变化）。这种分层设计使得特征既覆盖了单次调用的属性，也编码了跨调用的上下文信息。
局限性
论文在方法论上的主要局限在于缺乏实证验证。诚如作者坦诚指出的，当前工作"是一个设计规范"而非运行中的系统。HMM的转移概率仍是设计选择而非经Baum-Welch估计的实际值。现有MCP安全基准（MCP-Tox、MCP-AttackBench）均为逐调用测试设计，不包含链式序列数据。这一数据集的缺失是阻碍该领域发展的共性问题，而非本文独有的缺陷。
从攻击者视角看，一个精明的 adversary 可能会尝试混淆阶段边界------例如在侦查阶段混入看似合法的低敏感度操作，或在信任建立阶段插入少量看似良性的跨服务器调用以规避R2。ChainWatch对此类"边界模糊"攻击的鲁棒性尚待检验。
与现有工作的关系
ChainWatch并非要替代MCPShield、MCP-Guard或MindGuard，而是定位于与其互补。MCPShield通过累积历史轨迹校准对单个服务器的信任；MCP-Guard应用级联逐调用过滤；MindGuard通过检查LLM内部注意力模式检测单次调用是否受毒化元数据影响。ChainWatch则在序列层面补充了这些单点防御的盲区。
实践应用
对AI智能体平台开发者的建议
-
分层防御策略：不要依赖单一防御机制。将ChainWatch类的序列检测与现有逐调用防御（输入过滤、工具定义监控、行为基线）结合部署，形成纵深防御。
-
会话级日志的强制要求：MCP规范本身不要求工具调用的审计日志。在实际部署中，建议在代理层强制记录完整的工具调用会话轨迹------这是实施任何序列检测的前提。
-
敏感操作的多步验证 ：对于涉及资金转移、凭据读取、配置写入等高敏感操作，可参考ChainWatch的杀伤链思想，要求操作必须经过多个阶段的上下文验证。例如，
transfer_funds不应在add_payee后短时间内直接执行。
对安全研究者的建议
-
构建链式攻击基准数据集：这是推动该领域从"设计规范"走向"实证验证"的关键瓶颈。可考虑在MCP-SafetyBench基础上扩展链式场景。
-
探索替代序列建模方法：HMM假设观测独立且状态转移遵循一阶马尔可夫性质，这可能不足以捕捉复杂的多步攻击模式。图神经网络、Transformer-based序列模型或时序逻辑方法值得探索。
-
红队视角的对抗评估：在框架部署前，建议进行红队演练，专门测试攻击者通过混淆阶段边界、插入噪声调用等方式规避检测的能力。
部署注意事项
- 性能开销：20维特征提取和HMM推断在代理层引入的延迟需要评估，特别是在高吞吐量场景下。
- 误报管理：R2（多服务器访问+敏感数据流）在企业级合法工作流中可能频繁触发，需要建立有效的告警分级和人工审核流程。
- 透明度权衡：ChainWatch被设计为非公开监控层------攻击者不知其存在可提升检测效果，但这也意味着系统管理员需独立维护和调优该层。