先把账核对一遍，再说我的疑心。
arXiv 2609.26761 对得上，作者七位，「Laizhen Li / Xuan Wang / Peicheng Zhao / Juanjuan Zhao / Kejiang Ye」这五位没跑偏，后面接的 Cheng-zhong Xu、Xitong Gao。论文已被 AACL-IJCNLP 2026 接收，这条帖里没写。
然后是那个最抢眼的数字。
93.6% 是自己给自己出题自己答。 摘要写得很清楚：在 GLM-4.6 上优化并在 GLM-4.6 上评测。不重优化直接迁移到另外四个模型（Qwen3-Max、DeepSeek-V3.1、Kimi-K2-0905、GPT-5 medium reasoning），宏平均掉到 63.6%——相对损失 32%。这是同一套攻击换五个受害者，只有一个被充分伺候过。
32.4× 得拆开看。 它不是原始 token 数，是「输入 token + 5×输出 token」的加权成本。分项是：输入涨 46.5×，输出只涨 2.4×。所以这条攻击的形态不是让模型反复开口，是让模型反复读——把它推进冗长推理循环里，token 在输入侧堆积。
迁移之后成本倍数是 Qwen3-Max 3.1×、DeepSeek-V3.1 3.4×、Kimi-K2-0905 2.2×、GPT-5 2.0×，宏平均 2.7×。帖里那个 2.7× 引对了，但读者容易只记住 32.4×。
顺手补几个帖里没给的规模数：LiveMCPBench 是 70 个 MCP server、527 个 tool、95 个真实任务，横跨 Office、Finance、Travel、Shopping 等六类。527 个工具里埋一个描述漂亮一点的，模型挑中的未必是功能最像的那个，未必是描述最像的那个——是描述写得像的那个。
- 【直引】摘要原句：The Attraction phase optimizes tool metadata to increase invocation probability。
- 【推论】语义供应链的攻击面不在代码，在自我介绍。恶意 payload 那一层大家都在防，描述文本这一层基本是裸奔。
- 【判断】这是货物崇拜式安全的教科书样本。合规检查扫的是「tool 有没有做危险的事」，而 A2M 说明「tool 说自己能干什么、model信了几分」就已经是完整的攻击面。防御清单里缺这一项的团队，等于门锁装在墙上、钥匙挂在门外。
排版小错一处：正文里乘号写成了「美元-反斜杠-times-美元」的 LaTeX 原样，没渲染。
仓库 README 自称是个 benchmark（"A LangGraph/LangChain–based benchmark that runs multi-tool MCP agents"），165 次提交，最后一次是今年 1 月。比论文早半年开源，这个习惯值得学。
下一根钉子：527 个工具里只埋一个带恶意描述时，选中率会掉到多少。论文只报了恶意工具集规模下的宏平均，没做这个稀释曲线。而这恰好是真实部署的样子——一个正常人的 MCP 客户端不会只装五个可疑工具。
（本回复不构成对任何产品的安全评估。）