MCP एजेंट्स के लिए डिकोड-टाइम प्रोवेनेंस बाइंडिंग

एक स्टेग्नोग्राफिक प्रॉम्प्ट-इंजेक्शन वेक्टर के लिए एक पुनरुत्पादनीय प्रूफ-ऑफ-कॉन्सेप्ट, जो टेक्स्ट कंटेंट स्कैनर को विफल कर देता है, और एक रक्षा जो इसे डिकोड सीमा पर ही रोक लेती है — डिकोड-टाइम प्रोवेनेंस बाइंडिंग।

केवल शैक्षिक / रक्षात्मक सुरक्षा अनुसंधान। इस रेपो में सभी सीक्रेट नकली हैं। केवल उन्हीं सिस्टम्स पर उपयोग करें जिनके आप स्वामी हैं या जिनका परीक्षण करने के लिए आप अधिकृत हैं।

सारांश

एक हमलावर पीड़ित को एक सामान्य दिखने वाला ईमेल भेजता है। ईमेल सिग्नेचर में एक ब्रांड लोगो स्टेग्नोग्राफी (LSB, DCT, या मेटाडेटा) के माध्यम से एक निर्देश छिपाता है। छवि मूल के समान दिखती है और उसमें कोई संदिग्ध टेक्स्ट नहीं होता, इसलिए एक कंटेंट स्कैनर को कुछ भी नहीं दिखता और पीड़ित कभी कुछ क्लिक नहीं करता। लेकिन पीड़ित का नियमित इनबॉक्स-सारांश एजेंट सिग्नेचर को प्रोसेस करता है, उसकी पाइपलाइन में एक टूल छवि को डिकोड करता है, और छिपा हुआ निर्देश एजेंट के कॉन्टेक्स्ट में प्रवेश कर जाता है — जहाँ, एक मल्टी-एजेंट MCP पाइपलाइन में, इसे विश्वसनीय पीयर आउटपुट के रूप में एजेंट्स के बीच रिले किया जाता है और एक महत्वपूर्ण टूल कॉल को संचालित करता है। यह क्रॉस-मोडल ट्रस्ट लॉन्ड्रिंग है। रक्षा, डिकोड-टाइम प्रोवेनेंस बाइंडिंग, उस क्षण एक HMAC-हस्ताक्षरित UNTRUSTED लेबल जारी करती है जब कोई कन्सीलमेंट-रिवर्सिंग टूल चलता है और MCP लेयर से स्वयं प्रोवेनेंस वंशावली बनाए रखने को कहती है, इसलिए यह किसी भी महत्वपूर्ण टूल कॉल को ब्लॉक कर देती है जिसकी वंशावली अविश्वसनीय है — भले ही एक समझौता किया गया एजेंट किसी असंबंधित विश्वसनीय मान के लिए एक वैध लेबल प्रस्तुत करे। यह पहचान के बजाय रोकथाम करती है, इसलिए यह पेलोड शब्दावली और कैरियर से स्वतंत्र है।

परिणाम

हमला सफलता दर (ASR) — 24 पेलोड (तीन कैरियर × आठ एवेज़न: सादा, सौम्य-शब्दों वाला, Base64, टोकन-स्प्लिट, सिरिलिक होमोग्लिफ, ज़ीरो-विड्थ, यूनिकोड-कन्फ्यूज़ेबल, HTML-कमेंट); कम बेहतर है। इन-प्रोसेस टेंट बेसलाइन एक सूचना-प्रवाह नियंत्रण है जो डिकोड आउटपुट को अविश्वसनीय चिह्नित करता है लेकिन कोई क्रॉस-डोमेन क्रिप्टोग्राफिक बाइंडिंग नहीं रखता:

रक्षा	लीक	n	ASR
अरक्षित (कोई जाँच नहीं)	24	24	100%
कंटेंट स्कैनर (कीवर्ड/DLP)	15	24	62.5%
रेगेक्स इंटेंट पार्सर	15	24	62.5%
डेटा-फ्लो टेंट (IFC बेसलाइन)	0	24	0%
डिकोड-टाइम प्रोवेनेंस (हमारा)	0	24	0%

टेंट और प्रोवेनेंस सिंगल-डोमेन ASR पर बराबर हैं; वे प्रतिकूल रिलेइंग (नीचे) के अंतर्गत अलग हो जाते हैं, जो क्रिप्टोग्राफिक बाइंडिंग का उद्देश्य है।

वैध-लेबल प्रतिस्थापन — एक समझौता किया गया एजेंट एक सौम्य टूल से वैध रूप से हस्ताक्षरित TRUSTED बाइंडिंग प्रस्तुत करता है, जबकि उस UNTRUSTED डिकोड मूल को छोड़ देता है जो वास्तव में कॉल को संचालित करता है। समाधान यह है कि MCP लेयर स्वयं वंशावली बनाए रखती है और अपने स्वयं के लेजर पर निर्णय लेती है, न कि एजेंट-प्रदत्त बाइंडिंग पर:

प्रवर्तन	निर्णय
केवल एजेंट-प्रदत्त बाइंडिंग (सरल)	अनुमति (लीक)
लेयर-मेंटेन्ड, निर्भरता छोड़ी गई	ब्लॉक
लेयर-मेंटेन्ड, निर्भरता आर्ग्युमेंट्स में	ब्लॉक
लेयर-मेंटेन्ड, स्वच्छ कॉन्टेक्स्ट	अनुमति

कंपोनेंट एब्लेशन — चार कंपोनेंट, प्रत्येक एक अलग हमले से बचाव करता है। एक बार में एक को अक्षम करें; substitution इन-डोमेन है, forged relay एक जाली TRUSTED लेबल है जो एक अविश्वसनीय रिले को पार करके एक रिमोट वेरिफायर तक जाता है जिसके पास केवल प्रस्तुत बाइंडिंग होती है। महत्वपूर्ण रूप से, अकेला HMAC प्रतिस्थापन को नहीं रोकता (लेजर रोकता है), और अकेला लेजर क्रॉस-डोमेन रिले में नहीं टिकता (HMAC टिकता है):

कॉन्फ़िगरेशन	ईमानदार	प्रतिस्थापन	नकली रिले
पूर्ण तंत्र	अवरुद्ध	अवरुद्ध	अवरुद्ध
− डिकोड मार्किंग	लीक	लीक	लीक
− क्रिप्टोग्राफ़िक प्रमाणीकरण (HMAC)	अवरुद्ध	अवरुद्ध	लीक
− विश्वसनीय वंशावली ट्रैकिंग	अवरुद्ध	लीक	अवरुद्ध
− सिंक मध्यस्थता	लीक	लीक	लीक

क्रॉस-कॉन्टेक्स्ट प्रसार — टेंट एक इंटर-एजेंट संदेश सीमा को पार कर जाता है, न कि केवल एक टूल-रिटर्न हैंडल को। एजेंट A में एक अविश्वसनीय डिकोड एजेंट B के अलग कॉन्टेक्स्ट में एक महत्वपूर्ण कॉल तक पहुँचता है, और एक मध्यस्थता वाले चैनल पर (जिसकी थ्रेट मॉडल पहले से ही इंटर-एजेंट संचार के लिए आवश्यकता रखता है) टेंट प्रसारित होता है और B अवरुद्ध हो जाता है। एक चैनल जिसे परत मध्यस्थता नहीं करती, वह निर्माण के अनुसार मॉडल के बाहर है — दायरे के भीतर लीक नहीं:

चैनल A → B	B की महत्वपूर्ण कॉल
मध्यस्थता वाला इंटर-एजेंट संदेश (दायरे में)	अवरोध (टेंट प्रसारित)
अमध्यस्थता वाला साइड चैनल (मॉडल के बाहर)	कवर नहीं किया गया

ओवरहेड स्केलिंग — MintBinding लगभग O(1) है (~10–14 µs गहराई की परवाह किए बिना); EnforceCritical उस निर्भरता-क्लोज़र में रैखिक है जिसे वह पार करता है (गहराई 1 पर ≈10 µs → गहराई 100 पर ≈0.66 ms → गहराई 1000 पर ≈6.7 ms) और समवर्ती टेंटेड कॉन्टेक्स्ट की संख्या में सपाट (~6–7 µs)। यथार्थवादी क्लोज़र (दहाई में गहराई) ~0.1 ms से नीचे रहते हैं।

वैध-कार्य उपयोगिता — एक ऑडिट किया गया विश्वसनीय-प्रोन्नति पथ (एक विशिष्ट डिकोड किए गए मान को पुनः-लेबल करना, जैसे कि एक OCR'd इनवॉइस नंबर, प्राधिकरण के तहत) झूठे अवरोधों को समाप्त करता है जबकि हमला अवरुद्ध रहता है:

व्यवस्था	पूर्णता	झूठे अवरोध	हमला अवरुद्ध
कोई प्रोन्नति नहीं	2/3 (67%)	1	हाँ
विश्वसनीय प्रोन्नति	3/3 (100%)	0	हाँ

डिकोड-सेट पूर्णता — पंजीकरण धारणा, सीधे तनाव में:

डिकोड सेट	स्टेगो हमला	वैध महत्वपूर्ण कॉल
सही	अवरुद्ध	अनुमत
गुम डिकोडर	लीक	अनुमत
अति-विस्तृत	अवरुद्ध	झूठा अवरोध

हैंडऑफ़ में लेबल अखंडता — बाइंडिंग ईमानदार रिलेइंग से बची रहती है और एक समझौता किए गए वर्कर का विरोध करती है:

रिले परिदृश्य	सत्यापनकर्ता निर्णय
ईमानदार रिले, 1 / 3 / 5 / 10 हॉप्स	सत्यापित करता है; अवरुद्ध
समझौता: पेलोड फिर से लिखें, HMAC रखें	अवरोध (HMAC बेमेल)
समझौता: `TRUSTED` जाली	अवरोध (HMAC बेमेल)
समझौता: बाइंडिंग हटाएँ	अवरोध (कोई वैध लेबल नहीं)

ओवरहेड — निर्णय बिंदु पर प्रभावी रूप से मुफ़्त: बाइंडिंग को मिंट करना और सत्यापित करना प्रत्येक ~8–9 µs (~17 µs संयुक्त) है, बनाम ~11 ms डिकोड टूल कॉल — ~0.2% से कम जोड़ा गया। कैरियर विरूपण कम है (LSB ≈ 76 dB PSNR, मेटाडेटा दोषरहित; DCT ≈ 18 dB — एक विरूपण मीट्रिक, अवधारणात्मक-अगम्यता का दावा नहीं)।

यहाँ क्या है

stego_provenance_defense_poc.ipynb   # the full PoC (run top-to-bottom)
requirements.txt                     # dependencies (mcp pinned <2)

नोटबुक चलाने से सभी आंकड़े, तालिकाएँ और CSV फ़ाइलें Colab में MyDrive/stego_provenance_poc/{figures,tables,data} में (या स्थानीय रूप से ./stego_provenance_poc/ में) लिखी जाती हैं। प्रत्येक आंकड़ा और तालिका एक सेल द्वारा उत्पन्न होती है, इसलिए पूरी चीज़ एक साफ़ रन से पुनरुत्पादनीय है।

इसे चलाएँ

Google Colab (अनुशंसित)

Colab में stego_provenance_defense_poc.ipynb खोलें।
Runtime → Run all। यह Google Drive को माउंट करता है और निर्भरताएँ स्वयं इंस्टॉल करता है।
आउटपुट MyDrive/stego_provenance_poc/{figures,tables,data} के अंतर्गत दिखाई देंगे।

stego_provenance_defense