أمن MCP: تأمين Model Context Protocol

يربط Model Context Protocol تطبيقات الذكاء الاصطناعي عبر واجهة موحّدة بالأدوات ومصادر البيانات وواجهات API؛ وتعمل خوادم MCP في ذلك كجسر وغالبًا بصلاحيات مستخدمين مفوَّضة. ويؤدي الدمج الديناميكي للأدوات وقت التشغيل، وعلاقات الثقة الضمنية بين المكونات، والسياقات المشتركة إلى مسارات هجوم لا يغطيها أمن API التقليدي. يضاف إلى ذلك أن البروتوكول لا يحدد تحكمًا إلزاميًا في الوصول ولا إدارة لدورة حياة الرموز – فالتنفيذ الآمن يقع بالكامل على عاتق المطوّرين المنفّذين.

من أبرز المخاطر Tool Poisoning (تعليمات مخفية في أوصاف الأدوات)، وRug Pulls (استبدال لاحق لتعريفات أدوات سبقت الموافقة عليها)، وحقن الشيفرة عبر مدخلات النموذج المُمرَّرة دون فحص. ويُنشئ Token Passthrough خطر «النائب المرتبك» (Confused Deputy): إذ يُساء استخدام خادم MCP لتنفيذ إجراءات غير مصرّح بها بصلاحيات مستخدمين آخرين؛ كما تتيح مفاتيح API ورموز OAuth المخزّنة بشكل غير آمن سرقة بيانات الاعتماد. وتثبت حوادث حقيقية – من تسريب مستودعات GitHub الخاصة مرورًا برسائل WhatsApp المسرّبة وصولًا إلى ثغرة RCE ذات المعرّف CVE-2025-49596 في MCP Inspector – أن هذه الهجمات تنجح عمليًا.

يشترط دليل OWASP استخدام OAuth 2.1/OIDC لجميع خوادم MCP البعيدة، ورموزًا قصيرة العمر وضيقة النطاق، والتحقق من المخطط لجميع المدخلات والمخرجات. ويجب عزل المستخدمين والجلسات بصرامة، ومكان تنفيذ الأدوات هو البيئات المعزولة المحصّنة (حاويات، seccomp/AppArmor) بأدنى الصلاحيات وشبكة مجزّأة. وتُحفظ الأسرار في خزائن (Vaults) ويجب ألا تكون متاحة لـ LLM في أي وقت.

يوصي Wiz Research باستخدام خوادم MCP من مصادر موثوقة فقط وتدقيقها قبل الاستخدام كحزم برمجية ذات صلاحيات مرتفعة – فالتثبيت التلقائي والتشغيل التلقائي للأدوات أنماط عالية المخاطر. ويحدّ عميل MCP ناضج مزوّد بحوارات الموافقة وإدارة الصلاحيات وHuman-in-the-Loop للإجراءات الحرجة من ضرر الخوادم المخترَقة. وتجمع بوابة MCP مركزية وقائمة السماح في المضيف سجلات التدقيق وحواجز الحماية وإنفاذ السياسات في نقطة تحكم واحدة.

ينبغي تسجيل جميع استدعاءات الأدوات والنماذج بما في ذلك المعاملات والهويات المعنية، ودمجها في مسارات SIEM والكشف القائمة. وتوصي NSA أيضًا بفحص الشبكة الخاصة بانتظام بحثًا عن خوادم MCP غير مصادَق عليها أو معرّضة للثغرات أو غير معتمدة – ولأن خوادم MCP قد تغيّر المنافذ ديناميكيًا، فإن الفحوص الدورية مع تقارير الفروقات مجدية. وتكميلًا لذلك تنتمي عملية رسمية لرصد الثغرات الأمنية المتعلقة بـ MCP (CVEs، وتنبيهات الشركات المصنِّعة) إلى التشغيل الاعتيادي.

ينبغي ألا تدخل أي أداة أو تعديل على أداة إلى بيئة الإنتاج دون عملية موافقة رسمية: فحص الشيفرة (SAST)، وتحليل التبعيات (SCA)، والمراجعة الأمنية اليدوية إلزامية. وتضمن بيانات الأدوات الموقّعة مع تثبيت الإصدارات السلامة؛ ويجب التحقق من الوظائف المعلنة في وصف الأداة مقابل السلوك الفعلي وقت التشغيل. ويسرّع جرد محدَّث لجميع خوادم وأدوات MCP المستخدمة مع الإصدارات وسجل التصحيحات عمليات الفرز والاستجابة عند الكشف عن ثغرات جديدة.