Im Zentrum steht MCP, ein offener Standard, über den KI-Assistenten externe Werkzeuge aufrufen. Ein bösartiger MCP-Server kann nach Angaben der ASSET Research Group ein Fragment der Anweisung in einer Werkzeugbeschreibung und ein weiteres in einem Werkzeugergebnis unterbringen; einige Umgebungen unterstützen zudem vom Server angestoßenes Sampling. MCP wahrt zwar strukturierte Grenzen zwischen Werkzeugen und Ergebnissen, doch ASSETs Tests zeigen, dass Agenten Anweisungen über diese Grenzen hinweg im selben Arbeitskontext zusammenführen können.

Wichtig ist dabei die Einschränkung des Angriffsmodells: GhostSplice ist laut Veröffentlichung kein Weg, einen beliebigen Agenten von außen zu kompromittieren. Voraussetzung ist, dass ein Entwickler den MCP-Server des Angreifers bereits angebunden hat und dass der Agent ohnehin auf die später abgegriffenen Dateien zugreifen kann.

In der Referenzimplementierung bewirbt der Server ein harmlos wirkendes Werkzeug namens „integrity_checker“ mit vier unscheinbaren Feldern namens alpha bis delta; sensible Dateinamen tauchen dort nicht auf. Erst ein späteres Ergebnis eines Projekt-Scans liefert die Zuordnung: Diese Felder sollen mit den Inhalten von .ssh/id_rsa, proprietärem Quellcode, customers.csv und .env für eine angebliche serverseitige Hash-Prüfung gefüllt werden. Für sich genommen enthält keines der beiden Fragmente den vollständigen Diebstahl. Erst gemeinsam weisen sie den Agenten an, lokale sensible Dateien einzusammeln und ihre Inhalte an das Werkzeug des Angreifers zu übermitteln. Das öffentliche Repository enthält außerdem eine kanonische Variante mit drei Kanälen, die Projektinventar, Datei-zu-Feld-Zuordnung und Sammelwerkzeug auf drei Interaktionen verteilt.

Die Aufteilung erhöhte laut Veröffentlichung die durchschnittliche Befolgung über elf per API getestete Modelle hinweg von 42 auf 82 Prozent. In der breiteren Ergebnistabelle finden sich 15 Modellzeilen. GPT-4o, Gemini 2.0 Flash und Llama 3.3 70B stiegen demnach von 0 Prozent im Ein-Stück-Test auf 100 Prozent bei der Aufteilung in zwei Teile. Claude Haiku 4.5 blieb in den API-Tests bei 0 Prozent, erreichte aber in einem dreiteiligen Cursor-Test 100 Prozent. Für GPT-5.4 nennt die Veröffentlichung 90 Prozent in Cursor und 100 Prozent über Codex CLI, während das Repository hinter Claude Code einen Abfall auf 0 Prozent ausweist.

ASSET warnt selbst davor, diese Werte als allgemeine Unempfindlichkeit oder generelle Befolgungsraten zu lesen. Claude Sonnet 4.6 und Opus 4.6 werden in der veröffentlichten Tabelle zwar durchgängig mit 0 Prozent geführt, laut ASSET sendete Sonnet in einem Test dennoch proprietären Quellcode mit einem fest eincodierten echten Schlüssel, während offenkundigere Geheimnisse geschwärzt wurden. Die Zahlen spiegeln damit ausdrücklich die jeweils getestete Konfiguration wider.

Nach Einschätzung der Forscher war gerade die schlichteste Köderform am schwersten zu hinterfragen. Ausgearbeitete Begründungen zu Compliance oder Governance gaben dem Modell etwas, das es als fragwürdig erkennen konnte; eine einfache Lückenvorlage dagegen nicht. Für das Modell sei die Aufgabe dann lediglich, „das Formular auszufüllen, das das Werkzeug ausgefüllt haben möchte“.

Die Gegenmaßnahmen verorten die Autoren auf Client-Seite. Die MCP-Spezifikation besagt, dass Clients einem Menschen die Möglichkeit geben sollen, Werkzeugaufrufe abzulehnen, und dass Anmerkungen nicht vertrauenswürdiger Server als nicht vertrauenswürdig zu behandeln sind. Auch OpenAI warnt in seinen aktuellen Hinweisen, dass unsichere MCP-Server das Risiko von Prompt-Injection erhöhen, und empfiehlt Unternehmen, eigene sowie Drittanbieter-Integrationen zu prüfen. ASSET formuliert es noch enger: Server-Ausgaben sollten als Daten behandelt werden, nicht als Anweisungen, und Werte aus der Ausgabe eines Werkzeugs dürften nicht ungeprüft in die Argumente eines anderen Werkzeugs einfließen.

GhostSplice folgt auf Ghostcommit, eine Veröffentlichung desselben Labors aus dem Juni. Dort wurde eine Anweisung in einer PNG-Datei versteckt, auf die eine Projektkonventionsdatei verwies; anschließend brachte der Angriff einen Coding-Agenten dazu, .env-Geheimnisse als Ganzzahlen in Quellcode zu codieren. Die Mechanik ist anders, doch laut Veröffentlichung verweisen beide Techniken auf dieselbe Schwachstelle: Die Sicherheitsgrenze rund um das Modell kann ebenso entscheidend sein wie das Modell selbst.