En sidokanal som ingen konstruerat
När en AI-agent använder externa verktyg via ett protokoll som Model Context Protocol lämnar den ett spår: vilket verktyg den anropade, med vilka argument och vad som kom tillbaka. En artikel som lades upp på arXiv den 30 oktober frågar vad en iakttagare skulle kunna få veta om användaren enbart av det spåret, utan att någonsin se samtalet.
Svaret är: mer än slumpen, konsekvent. Författarna byggde PrivacyTrace, en testuppsättning med 1 000 syntetiska användarprofiler och 4 000 agentbanor i fyra domäner, framställda med riktiga MCP-verktyg från 25 servrar. Fyra vanliga språkmodeller sattes sedan att sluta sig till användarattribut utifrån spåren.
Siffrorna
Över dessa angripare lyckades slutsatser om en användares profil utifrån protokollgiltiga verktygsanropsspår i 26,25 procent av fallen. Jämförelsen författarna ger är gissning utifrån enbart förhandssannolikheter — det man får av att satsa på basfrekvenser utan något spår alls — som lyckades i 17,97 procent av fallen.
Det är åtta enheters övertag från data som ingen del av systemet behandlar som känsliga. Verktygsanrop är inte utskrifter; de är rörsystemet, och de loggas, proxas och iakttas rutinmässigt av infrastruktur som aldrig skulle ges tillgång till en användares meddelanden.
Var signalen finns
Artikeln lokaliserar läckan precist. Verktygens argument och de returnerade resultaten bär merparten av bevisningen — de parametrar en agent skickar och det verktyget lämnar tillbaka. Verktygsnamnen i sig avslöjar mindre än det som passerar genom dem.
Det andra fyndet handlar om ackumulering. Att länka spår mellan sessioner förstärker profileringsrisken ytterligare. En enskild session är en svag signal; samma användare iakttagen upprepade gånger är det inte.
Vad upplägget avgör och inte avgör
Profilerna är syntetiska och banorna genererade, vilket är det som gör en kontrollerad mätning möjlig och också det som begränsar den. 26,25 procent på en konstruerad testuppsättning visar att kanalen bär signal, inte hur stor den verkliga exponeringen är. Angriparna är standardmodeller och inte en motiverad motståndare med domänkunskap, vilket drar åt andra hållet.
Författarna har släppt kod och data, vilket är det som gör resultatet kontrollerbart och inte bara citerbart.
Varför det kommer nu
MCP har blivit standardvägen för agenter att nå externa verktyg, och det driftmönster som följer med placerar verktygstrafiken på ställen dit användarnas samtal aldrig når: gatewayloggar, observerbarhetskedjor, verktygsservrar hos tredje part. Var och en av dem är en utkikspunkt som artikelns hotmodell beskriver.
Vad man ska följa
Den praktiska frågan är om någon behandlar verktygsanropsloggar som personuppgifter. Inget i protokollet kräver det, lagringsreglerna för agenttelemetri är till stor del oskrivna, och fyndet att länkning mellan sessioner förstärker slutledningen pekar rakt på de loggar som sparas längst. Håll utkik efter integritetsmekanismer på protokollnivå i stället för på applikationsnivå — och efter den första tillsynsmyndighet som frågar en agentleverantör vad som finns i dess spår.
