أصبح Model Context Protocol طبقة التكامل بين النماذج اللغوية وأنظمة المؤسسات – وبذلك حدًّا جديدًا للثقة غالبًا ما يكون غير مفحوص. وتحدد OWASP MCP Top 10 المخاطر العشرة لهذه الطبقة.
في غضون أرباع سنوية قليلة، ترسّخ Model Context Protocol (MCP) كمعيار فعلي تصل عبره وكلاء الذكاء الاصطناعي إلى المستودعات وصناديق البريد وقواعد البيانات وأنظمة CRM. وتُحصي الاستطلاعات العامة أكثر من 10,000 خادم MCP عام نشط، لا يستخدم منها OAuth سوى نحو 8.5 بالمئة؛ وتفيد 88 بالمئة من المؤسسات المستطلَعة بوقوع حوادث مؤكدة أو مشتبه بها مع وكلاء الذكاء الاصطناعي. وتصنّف أعمال OWASP حول MCP Top 10 (الإصدار v0.1، Beta) سطح الهجوم هذا لأول مرة بشكل منظّم في عشرة مخاطر. وتلخّص VamiSec فيما يلي هذه المخاطر العشرة في مجموعات موضوعية، وتكمّل كل مجموعة بضوابط ملموسة وبتصنيفها وفق المعايير واللوائح الشائعة. وتتبع التسميات الإنجليزية للمخاطر منهجية OWASP؛ أما الصياغات المركّزة والعروض والتوصيات العملية فهي من VamiSec.
تطرح المجموعة الأولى السؤال: من يحق له فعل ماذا هنا أصلًا؟ وتشمل MCP01 Token Mismanagement & Secret Exposure، وMCP02 Privilege Escalation via Scope Creep، وMCP07 Insufficient Authentication & Authorization. وجوهرها أن الرموز طويلة العمر ينتهي بها المطاف في سياق النموذج، وأن الصلاحيات تتنامى عبر الإصدارات، وأن هويات الوكلاء والخوادم لا تُفحص بشكل كافٍ.
يندرج هنا MCP03 Tool Poisoning – بأنواعه الفرعية Rug Pull وSchema Poisoning وTool Shadowing – إضافةً إلى MCP04 Software Supply Chain Attacks & Dependency Tampering. إذ يغيّر المهاجمون أوصاف الأدوات أو المخططات أو التبعيات التي يقرؤها النموذج ولا يراها الإنسان أبدًا. ويكفي تحديث فرعي واحد أو مخطط مُزوَّر كي تفعل الوكلاء الخطأ ملتزمةً بالعقد.
تجمع مجموعة «ما الذي يُنفَّذ؟» بين MCP05 Command Injection & Execution وMCP06 Prompt Injection via Contextual Payloads. إذ يبني الوكيل أوامر نظام أو يتبع تعليمات من سياق غير موثوق – مثل المستندات المسترجعة أو البلاغات (Issues) العامة. ويقلل تحصين النموذج من حقن الموجّهات لكنه لا يقضي عليه؛ والفعال هو الضوابط المعمارية مثل الفصل حسب المصدر وقوائم السماح لحركة الخروج (Egress-Allowlists).
تبدأ مجموعة الحوكمة بـ MCP08 Lack of Audit and Telemetry وMCP09 Shadow MCP Servers. فدون سجلات استدعاء كاملة، لا يمكن عند وقوع حادث إعادة بناء أيّ وكيل استدعى أيّ أداة وبأيّ معاملات. كما تفلت نسخ MCP غير المعتمدة، التي تُشغَّل محليًا في الغالب، من أيّ رقابة رسمية.
يتعلق MCP10 Context Injection & Over-Sharing بالذاكرة العاملة للوكلاء: السياقات المشتركة أو الدائمة أو غير المحددة بشكل كافٍ عبر الجلسات والمستأجرين. فإذا شُورك السياق من باب الراحة، نشأ تسرب للبيانات – قد يصل إلى الانكشاف بين المستأجرين (Cross-Tenant). والسياق الدائم هو في الوقت ذاته معالجة بالمعنى الوارد في DSGVO، ويحتاج إلى نطاق ومدة صلاحية (TTL) ومسار للحذف.
تربط VamiSec كل خطر من المخاطر العشرة بضوابط ملموسة وبمتطلبات ISO/IEC 27001 وISO/IEC 42001 وEU AI Act وNIS2 وDORA وCyber Resilience Act. وتُستخدم كبنية مستهدفة بنية حماية متعددة الطبقات وبوابة MCP كنقطة تحكم إلزامية. وتحوّل خارطة طريق لمدة 30/60/90 يومًا التحليل إلى مخرجات قابلة للتدقيق.
يستند محتوى هذه الصفحة إلى الأدلة والدراسات التالية المتاحة للعموم.
إدارة المشروع: Vandana Verma Sehgal؛ مرخّص بموجب CC BY-NC-SA 4.0. مرحلة Beta مبكرة (مرحلة Pilot Testing في خارطة الطريق)، ليس معيارًا نهائيًا؛ ويوفّر التسميات الإنجليزية للمخاطر.
تتناول من بين أمور أخرى Confused Deputy وToken Passthrough وOAuth 2.1؛ ونقل المنظومة إلى Agentic AI Foundation تحت مظلة Linux Foundation.
حقن أوامر نظام التشغيل عبر حقول اكتشاف OAuth؛ أكثر من 437,000 بيئة يُحتمل تأثرها (نُشرت في 09 يوليو 2025).
24,008 سرًّا في ملفات إعدادات MCP عامة على GitHub، منها 2,117 لا تزال صالحة.
حقن الموجّهات بوصفه نوع التهديد الأسرع نموًا في أمن الذكاء الاصطناعي (ارتفاع البلاغات بنسبة 540 بالمئة).
تقيّم VamiSec بيئة MCP والوكلاء لديكم وفق OWASP MCP Top 10 – من تحليل الرموز والصلاحيات مرورًا بفحص الأدوات والبوابة وحتى اختبار الاختراق. احجزوا استشارة أولية.
