أفضل الممارسات الأمنية في مواصفة MCP الرسمية ليست كتالوجًا للخيارات، بل متطلبات ملموسة. نترجمها إلى بنية أمنية قابلة للتحقق لخوادم MCP وعملائه لديكم.
يربط Model Context Protocol (MCP) تطبيقات الذكاء الاصطناعي بالأدوات والبيانات والأنظمة، ويفتح بذلك سطح هجوم جديدًا. وتعالج مواصفة MCP الرسمية ذلك في أفضل الممارسات الأمنية الخاصة بها (modelcontextprotocol.io، المراجعة 2025-11-25) بمتجهات هجوم ملموسة وإجراءات حماية؛ وتنظّمها VamiSec في ثمانية متجهات وثلاث مجموعات. وتثبت حوادث موثقة أن المخاطر حقيقية، مثل CVE-2025-6514 (CVSS 9.6، حقن أوامر نظام التشغيل عبر mcp-remote). وتكمّل National Security Agency ذلك بورقة معلومات الأمن السيبراني (مايو 2026) بتوصيات عملية لبيئات الإنتاج. ونحوّل هذه المتطلبات إلى بنية متينة، بدلًا من الاعتماد على حسن سلوك النموذج.
تتطلب المواصفة موافقة لكل عميل قبل إعادة التوجيه إلى أطراف ثالثة، وفحصًا دقيقًا لـ redirect_uri عبر المطابقة النصية بدلًا من أحرف البدل؛ وإلا يُخشى هجوم Confused Deputy. ويسري كذلك حظر تمرير الرموز: إذ يجب رفض الرموز التي لم تُصدَر صراحةً لخادمكم. وتُقلَّص النطاقات وفق مبدأ الحد الأدنى من الصلاحيات، لإبقاء نطاق ضرر الرمز المسروق صغيرًا.
لا يجوز أبدًا استخدام معرّفات الجلسات للمصادقة، ويجب توليدها بشكل غير حتمي (UUID، CSPRNG). اربطوا كل جلسة بالمستخدم، على سبيل المثال بصيغة المفتاح <user_id>:<session_id>، وتحققوا من كل طلب وارد، ودوّروا المعرّفات أو اجعلوها تنتهي صلاحيتها. وبذلك تسحبون الأساس من تحت اختطاف الجلسات وانتحال الهوية.
أوصاف الأدوات ومخططات المعاملات مسار هجوم مستقل (Tool Poisoning): فإذا جرى التلاعب بها، نفّذ النموذج تعليمات أجنبية. افحصوا معاملات الإدخال بصرامة مقابل المخطط، وأمّنوا مصدر تعريفات الأدوات وسلامتها. وتوصي إرشادات NSA في هذا الصدد صراحةً بالتحقق من المعاملات وبتوقيع رسائل MCP والتحقق منها.
تعمل خوادم MCP المحلية بصلاحيات العميل؛ وبذلك تصيب الشيفرة المخترَقة نظامكم مباشرةً. ويجب أن يكون الاحتواء جزءًا من البنية: حاويات أو chroot أو بيئة معزولة للتطبيق بأدنى الصلاحيات، وعمليات فرعية معزولة، وحيثما أمكن نقل stdio. وتتوافق توصية NSA «Constrain and sandbox tool execution» مع هذا المتطلب.
دون مسارات تدقيق كاملة يبقى تسريب البيانات دون اكتشاف وينقطع نسب الإجراءات. سجّلوا كل إجراء بما في ذلك استخدام stdio، وحلّلوه بحثًا عن الحالات الشاذة؛ وينبغي فحص «Lethal Trifecta» (Simon Willison، 2025) لكل وكيل. وتعتبر NSA غياب سجلات التدقيق مشكلة أمنية مستقلة، وتوصي بأدوات قياس للتسجيل والاكتشاف.
لا تدمجوا إلا خوادم MCP تم التحقق منها؛ فالإدراج في سجل (Registry) ليس دليلًا على الثقة. ويجب أن تعرض حوارات الموافقة أمر التشغيل الكامل دون اختصار وأن تبرز الأنماط الخطرة، كما يجب تتبع الثغرات الأمنية وترقيعها باستمرار. وتنصح NSA باختيار مشاريع MCP مدعومة وتجنّب مسارات الاعتماد الضعيفة («Poor approval workflows»).
يستند محتوى هذه الصفحة إلى الأدلة والدراسات التالية المتاحة للعموم.
جزء رسمي من مواصفة MCP، المراجعة 2025-11-25؛ يصف متجهات الهجوم وإجراءات الحماية (منها Confused Deputy وToken Passthrough وSSRF وSession Hijacking). والتجميع في ثمانية متجهات وثلاث مجموعات إعداد خاص بـ VamiSec.
مايو 2026، الإصدار 1.0 (U/OO/6030316-26، PP-26-1834). توصيات عملية لبيئات الإنتاج: التحقق من المعاملات، وعزل تنفيذ الأدوات، وتوقيع رسائل MCP والتحقق منها، والتسجيل والاكتشاف.
نموذج ذهني: الوصول إلى البيانات الخاصة والمحتوى غير المفحوص والاتصال الخارجي تشكّل معًا مسارًا لتسريب البيانات. يُستخدم كإطار تقييم لكل وكيل.
CVSS 9.6؛ حقن أوامر نظام التشغيل عبر mcp-remote عند الاتصال بخوادم MCP خبيثة (يوليو 2025). يثبت الأهمية العملية لمتطلبات المواصفة.
تقيّم VamiSec خوادم MCP وعملاءه لديكم وفق المواصفة الرسمية وإرشادات NSA - من تفويض OAuth مرورًا بالعزل وحتى التسجيل. تقييم أو اختبار اختراق أو ندوة إلكترونية: تواصلوا معنا.
