يربط Model Context Protocol وكلاء الذكاء الاصطناعي أثناء التشغيل بأيّ أدوات ومصادر بيانات — ويجعل بذلك كل خادم MCP يمكن الوصول إليه حدًّا مستقلًا للثقة. تصنّف هذه الصفحة مسارات الهجوم الموثقة والحوادث المثبتة، وتبيّن ما يجب أن يراعيه الاكتشاف والتحكم عبر البوابة والتشغيل.
قدّمت Anthropic بروتوكول MCP في نوفمبر 2024، وتحوّل خلال أشهر قليلة إلى المعيار الفعلي لربط تطبيقات LLM بمصادر البيانات والأدوات الخارجية — بدعم واسع من جهات منها OpenAI وMicrosoft وGoogle. وآلاف خوادم MCP العامة قيد الاستخدام بالفعل، بينما لا تزال المواصفة في طور النضج. ونماذج الأمن الكامنة معروفة: فتشغيل خادم MCP محلي يعني وفقًا لـ Wiz تشغيل شيفرة عشوائية على الجهاز الخاص، وتجلب السجلات (Registries) المخاطر المألوفة لمنظومات الحزم. ويبرز دليل NSA كذلك أن MCP يعكس نمط العميل والخادم المعتاد: إذ تستعلم الخوادم وتنفّذ أحيانًا إجراءات للعملاء المتصلين، مما يفتح مسارات هجوم جديدة يصعب تتبعها. وتلخّص النقاط التالية المخاطر المثبتة والحوادث الموثقة ومناهج الاكتشاف استنادًا إلى أبحاث Wiz ودليل NSA.
تُبنى خوادم MCP في الغالب على أيدي مطورين مستقلين وتوزَّع عبر سجلات غير رسمية؛ ووفقًا لـ Wiz فإن سجلًا رسميًا مخطط له لكنه غير متاح بعد. وبذلك تسري الأنماط المعروفة لمنظومات الحزم: Typosquatting وانتحال الهوية وRug Pulls والاستيلاء على الحسابات. ولا تؤكد تسميات مثل «official» أو «verified» هوية المطور ولا صلة قابلة للإثبات بالمنتج المذكور — كما تفيد Wiz بأن نحو 100 من بين قرابة 3,500 خادم مُدرج في أحد السجلات المفحوصة كانت تشير إلى مستودعات غير موجودة.
ينفّذ كثير من عملاء MCP الأدوات تلقائيًا (Auto-Run)؛ ويعني ذلك ثقة ضمنية في ردود الأدوات ويوسّع نطاق تأثير الخادم المخترَق — وهو وفقًا لـ Wiz مخالف صراحةً لمواصفة MCP. ويُضاف إلى ذلك تعارض أسماء الأدوات، حيث تتجاوز أدوات ذات أسماء متطابقة عمدًا الوظائف المشروعة، واختطاف أوامر الشرطة المائلة المتداخلة مثل /deploy أو /scan، وحقن الموجّهات غير المباشر عبر محتوى غير موثوق، كأن يكون من ملف README أو رسالة Commit. ووفقًا لـ Wiz فإن الضوابط الوقائية الموجودة في العملاء غير متسقة ولم تُطوَّر مع مراعاة أمن MCP.
من الحوادث الموثقة الوصول عبر خادم GitHub-MCP إلى مستودعات خاصة ونشرها، وتسريب رسائل WhatsApp عبر خادم MCP خبيث لم يتحول إلى السلوك الضار إلا بعد الاستخدام الثاني (وصفتهما Invariant Labs، واستشهد بهما دليل NSA). وكثغرة أمنية ذات معرّف تُعدّ CVE-2025-49596 في MCP Inspector: تنفيذ شيفرة عن بُعد مصنّف حرجًا عبر مدخلات غير مفحوصة، عولج وفقًا لـ NSA في الإصدار 0.14.1. كما تصف Wiz إثبات مفهوم خاصًا بها (Gal Nagli)، أدى فيه خادم MCP لتحليل توثيق GitHub إلى تنفيذ شيفرة عن بُعد على مضيف MCP.
يوصي دليل NSA بفحص الشبكات بانتظام بحثًا عن خوادم MCP مفتوحة أو غير مصرح بها أو معرّضة للثغرات — لأسباب منها أنها قد تغيّر منافذها ديناميكيًا، مما يجعل تقارير الفحص التفاضلية قيّمة؛ ومن الأدوات المذكورة MCP Scanner وRamparts وCyberMCP وProximity. وينبغي تسجيل جميع استدعاءات الأدوات والنماذج مع المعاملات والهويات، ودمجها في المراقبة القائمة (كنظام SIEM)، لاكتشاف أنماط الاستدعاء اللافتة. ويُستكمل ذلك بعملية رسمية لتتبع الثغرات الأمنية المتعلقة بـ MCP عبر CVEs والنشرات الاستشارية، مع جرد محدَّث للخوادم المستخدمة.
توصي Wiz بمركزة استخدام خوادم MCP عبر وكيل (Proxy) أو بوابة MCP، لإنشاء نقطة تحكم واحدة لتسجيل التدقيق والمراقبة وضوابط الحماية (Guardrails) والحوكمة. ويساعد إضافةً إلى ذلك إدراج الملفات التنفيذية والخوادم في قوائم السماح (Allowlisting) داخل مضيف MCP على تقييد تشغيل الخوادم غير المعروفة، وكذلك العزل (Sandboxing) عبر الحاويات والتحكم في حركة البيانات الصادرة ومرشحات استدعاءات النظام — مع تأكيد Wiz أن ذلك لا يمنع انتقال الهجوم إلى خوادم وأدوات أخرى. وتذكر NSA أيضًا وكلاء خروج مُرشِّحة (مثل Squid أو tinyproxy) أو حلول DLP، إضافةً إلى العزل على مستوى نظام التشغيل باستخدام seccomp أو AppArmor أو SELinux أو AppContainer.
نحصر خوادم MCP وعملاءها المستخدمة، ونفحص مصدر السجلات (Registries) المستخدمة وإشارات الثقة فيها، ونقيّم الصلاحيات ونطاقات الرموز (Token Scopes) وسلوك التشغيل التلقائي وفق مبدأ الحد الأدنى من الصلاحيات. ويشمل ذلك عمليات مسح للشبكة بحثًا عن خوادم MCP مفتوحة أو غير مصرّح بها، وفحص العزل والبوابة وقوائم السماح، والربط بأنظمة التسجيل وSIEM. وعلى هذا الأساس نقدّم قائمة إجراءات مرتّبة حسب الأولوية؛ وللتعمق نقدّم الاستشارات والتقييمات التقنية واختبارات الاختراق وصيغ التوعية مثل الندوات الإلكترونية.
يستند محتوى هذه الصفحة إلى الأدلة والدراسات التالية المتاحة للعموم.
المصدر الرئيسي للمحتوى: مخاطر سلسلة التوريد والسجلات، ومخاطر العملاء والتشغيل التلقائي، والبوابة وقوائم السماح، إضافةً إلى إثبات مفهوم (Gal Nagli) ونتائج Guy Goldenberg بشأن خادمَي MCP لـ PostgreSQL وPuppeteer من Anthropic.
الإصدار 1.0، مايو 2026 (U/OO/6030316-26). حالات واقعية (GitHub-MCP وWhatsApp-MCP)، وCVE-2025-49596، إضافةً إلى توصيات بشأن مسح الشبكة والعزل والتسجيل وSIEM وتتبّع CVE.
ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) مصنّفة حرجة عبر مدخلات غير مُتحقَّق منها؛ أُصلحت في MCP Inspector الإصدار 0.14.1.
حادثتان موثّقتان في MCP (الوصول إلى مستودعات خاصة وتسريب رسائل على التوالي) تستشهد بهما NSA كأمثلة واقعية.
نقيّم خوادم MCP وعملاءها وتكاملاتها لديكم، ونرتّب المخاطر حسب الأولوية، ونرافقكم من الاكتشاف حتى التشغيل الآمن. تواصلوا معنا لإجراء تقييم أو تنظيم ندوة إلكترونية.
