GhostSplice deler tyveriet i to, og elleve modeller gikk fra 42 til 82 prosent

The Hacker News beskriver teknikken ASSET Research Group kaller GhostSplice: serveren legger ett fragment i en verktøybeskrivelse og et annet i et verktøyresultat, og kodeagenten setter dem sammen selv i samme arbeidskontekst. MCP bevarer skillet mellom verktøy og resultat, men skillet hjelper ikke når modellen leser begge deler i samme sesjon. Ingen CVE-identifikatorer var registrert 10. august 2026.

Referanseimplementasjonen viser hvor lite som skal til. Serveren annonserer et verktøy kalt integrity_checker med fire intetsigende felt, alpha til delta, uten et eneste sensitivt filnavn. Først i et senere prosjektskann kommer koblingen: fyll feltene med innholdet i .ssh/id_rsa, egen kildekode, customers.csv og .env, angivelig for hash-verifisering på tjenersiden. Hver del er ufarlig lest alene. Det offentlige repoet inneholder også en variant som sprer prosjektoversikten, feltkoblingen og innsamlingsverktøyet over tre interaksjoner.

Gjennomsnittlig etterlevelse steg fra 42 til 82 prosent da instruksen ble delt i to, målt over elleve API-testede modeller. GPT-4o, Gemini 2.0 Flash og Llama 3.3 70B gikk fra 0 til 100 prosent. Claude Haiku 4.5 holdt 0 prosent i API-testene, men nådde 100 prosent i en tredelt Cursor-test. GPT-5.4 lå på 90 prosent i Cursor og 100 prosent gjennom Codex CLI, men falt til 0 prosent bak Claude Code.

Det viktigste funnet er likevel ikke en modellrangering. Samme modell kan avslå i én kodeklient og eksfiltrere i en annen, avhengig av sikkerhetskontrollene rundt den. Claude Sonnet 4.6 og Opus 4.6 står på 0 prosent i den publiserte tabellen, men ASSET opplyser at Sonnet i én test likevel sendte kildekode som inneholdt en aktiv hardkodet nøkkel, mens den sladdet de mer åpenbare hemmelighetene. Tallene er forskernes egne og gjelder oppsettene de testet.

Det mest effektive påskuddet var også det tommeste. Utbroderte historier om etterlevelse og styring ga modellen noe å tvile på, mens en ren utfyllingsmal ikke ga den noe.

«Fyll ut skjemaet verktøyet ba meg fylle ut» — ASSET Research Group, om hvordan modellen oppfatter oppgaven

«Behandle tjenerens utdata som data, ikke instruksjoner» — ASSET Research Group, om forsvaret

Angrepet har en innebygd grense. Det forutsetter at du selv har koblet til angriperens MCP-server, og at agenten allerede har lesetilgang til filene som hentes ut. MCP-spesifikasjonen sier at klienter skal la et menneske kunne avslå verktøykall, og at annoteringer fra servere du ikke stoler på skal behandles som upålitelige. OpenAIs gjeldende veiledning advarer på samme måte om at usikre MCP-servere øker risikoen for prompt-injeksjon.

GhostSplice følger Ghostcommit, et varsel fra samme laboratorium i juni, som skjulte en instruks i et PNG-bilde referert fra en prosjektkonvensjonsfil og fikk kodeagenten til å kode .env-hemmeligheter inn i kildekoden som heltall.

Hva bør du gjøre?

1. Behandle utdata fra MCP-verktøy som data. Ikke la verdier fra ett verktøys resultat gå urørt inn i argumentene til et annet.
2. Gå gjennom listen over MCP-servere du har koblet til i Cursor, Claude Code og Codex, og fjern dem du ikke kjenner opphavet til.
3. Ikke regn modellvalget som forsvar. I disse testene avgjorde kontrollene i klienten utfallet, ikke modellnavnet.