أمّن نظام MCP الخاص بك: 11 خطرًا شائعًا وكيفية الحماية منها

تندرج مخاطر MCP عمومًا ضمن ثلاث فئات: التلاعب بالنماذج اللغوية الكبيرة (LLM)، وأمن البيانات والوصول، وثغرات البنية التحتية.

نظرًا إلى أن خوادم MCP كثيرًا ما توفّر الوصول إلى مجموعة واسعة من الأنظمة الداخلية، فإن المخاطر الأمنية المحتملة مرتفعة. ومع ذلك، تعتمد احتمالية وقوعها اعتمادًا كبيرًا على طريقة الإعداد.

هناك خطوات كثيرة يمكن للأفراد والمؤسسات اتخاذها لضمان حماية أنظمتهم، وينبغي دائمًا أن تتناسب البروتوكولات مع القدرات والبيانات التي قد تكشفها خوادم MCP المتصلة.

ما هو MCP وما هو أمن MCP؟

بروتوكول سياق النموذج (MCP) هو معيار مفتوح أنشأته Anthropic لربط التطبيقات المستندة إلى النماذج اللغوية الكبيرة (أو التطبيقات المضيفة) بالأنظمة الخارجية.

يتكوّن نظام MCP من ثلاثة مكونات أساسية: المضيف، والعميل، والخادم. يتصل المضيف، الذي يكون غالبًا مساعدًا يعمل بالذكاء الاصطناعي، بخادم MCP خارجي عبر عميل. ويمكنه بعد ذلك إرسال طلبات لتشغيل وظائف خارجية (الأدوات) أو استرداد بيانات (الموارد) أو مطالبات لإضافتها إلى نافذة سياق النموذج اللغوي الكبير.

تكبير

يشير أمن MCP إلى البروتوكولات التي تحمي الاتصالات والمكونات في نظام MCP. وهناك عدة تحديات رئيسية ينفرد بها MCP، منها أن تطبيقات الذكاء الاصطناعي غالبًا ما تمتلك قدرات تتيح لها العمل كوكلاء مستقلين، وأنه يمكن تضمين تعليمات خبيثة في الرسائل.

وتُشكّل المشكلات المعروفة التي لا تقتصر على MCP، مثل حقن المطالبات وضعف المصادقة وعمليات التكامل غير الآمنة مع جهات خارجية، مصدرًا آخر للمشكلات. وكما هو الحال مع أي نظام حاسوبي، يعتمد MCP في الحماية على مزيج من البروتوكولات الإجرائية، مثل الاقتصار على استخدام الخوادم الموثوقة، والضوابط التقنية، مثل بوابات API.

ما مدى خطورة تهديدات MCP؟

سرعان ما أصبح MCP تقنية شائعة في مجال النماذج اللغوية الكبيرة، وتستخدمه مؤسسات كثيرة وتطبيقات موجهة إلى المستهلكين. ولأن خوادم MCP برامج مكتوبة بالشيفرة البرمجية، فإنها تحتوي على ثغرات مثل أي تطبيق آخر.

ومع ذلك، عندما تستخدم المؤسسات MCP في عمليات نشر خاضعة للرقابة، فإنه يكون آمنًا بوجه عام. فهناك فرق شاسع بين بناء نظام يضم خوادم موثوقة وأذونات جرى التحقق منها، وبين ربط وكيل مستقل باثني عشر خادمًا لم يخضع أيٌّ منها للفحص.

التهديد رقم 1: حقن المطالبات غير المباشر

يمكن للمهاجم وضع تعليمات تستهدف النموذج اللغوي الكبير داخل مستند أو صفحة ويب أو مخرجات أداة يعيدها خادم MCP. وإذا أضاف المضيف هذه المادة إلى نافذة السياق، فهناك احتمال أن يظنها النموذج اللغوي الكبير تعليمات حقيقية.

والأدهى من ذلك أن هذه التعليمات قد تبدو مناسبة في ظاهرها. فعلى سبيل المثال، قد تطلب تذكرة دعم مستردة من النموذج اللغوي الكبير تصدير سجلات عملاء حساسة قبل إنشاء إجابة.

كيفية الحماية من حقن المطالبات غير المباشر

ينبغي عادةً التعامل مع حقن المطالبات على مستوى المضيف. إذ يجب تصنيف المحتوى الخارجي على أنه غير موثوق، وأن تتطلب طلبات المعلومات الحساسة موافقة مستنيرة من إنسان مشارك في عملية المراجعة. كما يمكن أن تفيد اختبارات الأمان التي تتضمن استدعاء مستندات أو بيانات خبيثة لمعرفة كيفية استجابة المضيف والنموذج اللغوي الكبير.

التهديد رقم 2: تسميم الأدوات وهجمات سحب البساط (Rug Pull)

في هجوم تسميم الأدوات، تُضاف شيفرة خبيثة إلى وصف أداة MCP أو مخططها. ومن شأن ذلك التأثير في النموذج اللغوي الكبير خلال مرحلة الاكتشاف، عندما يكشف MCP لأول مرة عن الأدوات المتاحة.

تكبير

هجوم سحب البساط نوع خاص من تسميم الأدوات تُغيَّر فيه البيانات الوصفية المعتمدة. وقد يغيّر هذا الشكل من تسميم الأدوات الطريقة التي يستخدم بها النموذج الأدوات الموثوقة، بدلًا من استدعاء أداة خبيثة مباشرةً.

كيفية الحماية من تسميم الأدوات وهجمات سحب البساط

ينبغي للمضيف فحص التعريف الكامل لكل أداة قبل استخدامها ومقارنته بقائمة الأدوات الموثوقة المعتمدة، ومن ثم اكتشاف أي تغييرات. ويمكن أن تساعد عمليات التحقق من المعلمات في تحديد احتمال وجود قدرات خطيرة والإبلاغ عنها.

التهديد رقم 3: الأذونات المفرطة

من الشائع أن يمنح المستخدمون خوادم MCP والنماذج اللغوية الكبيرة المتصلة (عبر المضيف) أذونات تفوق ما تتطلبه المهمة. ومن أمثلة ذلك منح أذونات الكتابة في حين تكفي أذونات القراءة فقط، أو منح وصول كامل إلى نظام ملفات داخلي (مثل Google Drive).

يمكن أن يؤدي هذا التوسع الكبير في الأذونات إلى زيادة نطاق الضرر الناتج عن ثغرات أخرى، مثل استدعاءات الأدوات الخبيثة. ومن الشائع أن “تتراكم” الأذونات مع منح المستخدمين صلاحيات في أثناء عملهم اليومي باستخدام أدوات الذكاء الاصطناعي في المؤسسة (تراكم الصلاحيات).

كيفية الحماية من الأذونات المفرطة

الطريقة الأكثر مباشرةً للحماية من هذه المشكلة هي تقييد الأذونات ونطاقات OAuth (القراءة، والكتابة، والوصول الكامل، وغيرها). وتُعدّ موافقات المستخدمين، لا سيما للعمليات الحساسة، جزءًا مهمًا من ذلك، لكن ينبغي أيضًا التحكم في الأذونات على مستوى النظام (نظام التشغيل، ومضيف MCP، والخادم).

التهديد رقم 4: ضعف المصادقة والتفويض

المصادقة تتحقق من هويات المستخدمين أو التطبيقات التي تتصل بخادم MCP. أما التفويض فيحدد الأدوات والموارد التي يمكنهم الوصول إليها.

قد تقبل خوادم MCP سيئة التهيئة طلبات أو رموزًا مميزة دون مصادقة المستخدمين بشكل صحيح أو فرض قيود الوصول. وبالإضافة إلى ذلك، يمكن أن تتيح بيانات الاعتماد المسروقة للجهات الخبيثة الحصول على الوصول إذا كان التحقق ضعيفًا.

كيفية الحماية من ضعف المصادقة والتفويض

تُعدّ المصادقة المستندة إلى OAuth لخوادم MCP البعيدة، والرموز المميزة قصيرة الأجل، والتحكم في الوصول المستند إلى الأدوار (RBAS) جميعها إجراءات تساعد في الحد من ضعف التفويض. ويُعدّ الوصول المستند إلى الأدوار مفيدًا لأنه يمنع المستخدمين من الوصول إلى البيانات والأدوات التي تتجاوز أذوناتهم، حتى إن كان الخادم نفسه يملك صلاحية الوصول إليها.

التهديد رقم 5: تسريب بيانات الاعتماد وإساءة استخدامها

تستخدم خوادم MCP بشكل روتيني بيانات اعتماد مثل مفاتيح API ورموز الوصول المميزة الخاصة بـ OAuth للاتصال بالخدمات الخارجية. وإذا كُشفت هذه البيانات أو أُسيء استخدامها، يمكن للمهاجمين الوصول إلى بيانات ووظائف حساسة.

ومن الأمثلة على ذلك تمرير الرموز المميزة (token passthrough)، حيث يعيد خادم MCP توجيه رمز وصول مميز إلى خدمة أخرى دون التحقق من أنه مخصص فعلًا للخدمة المستقبِلة. وقد يؤدي ذلك بدوره إلى التسريب إذا كانت وسائل الحماية لدى الخدمة المستقبِلة غير كافية.

كيفية الحماية من تسريب بيانات الاعتماد وإساءة استخدامها

تُعدّ الرموز المميزة قصيرة الأجل ومحدودة النطاق، وتدوير بيانات الاعتماد، وسائل فعالة للحد من مدى قدرة الجهات الخبيثة على استخدام البيانات المسربة. وينبغي دائمًا تخزين مفاتيح API وبيانات الاعتماد بأمان باستخدام أداة لإدارة الأسرار.

التهديد رقم 6: هجمات النائب المرتبك (Confused Deputy)

يقع هجوم النائب المرتبك عندما يخدع المهاجم تطبيقًا موثوقًا فيستخدم أذوناته لتنفيذ إجراء لم يفوضه مستخدم شرعي. وفي هذه الحالة، يكون خادم MCP هو النائب.

تكبير

يستغل المهاجم ثغرة في خادم MCP (مثل ضعف عمليات التحقق في OAuth) لتنفيذ عملية خبيثة، مثل استدعاء أداة أو استرداد بيانات.

كيفية الحماية من هجمات النائب المرتبك

يساعد التحقق من التفويض، الذي يجري فيه التأكد من أن كل استدعاء أداة يعود إلى مستخدم محدد، في الحد من هجمات النائب المرتبك. وبالإضافة إلى ذلك، ينبغي أن تتطلب الإجراءات الحساسة، مثل تصدير البيانات، تفويضًا صريحًا.

التهديد رقم 7: الخوادم الخبيثة والتبعيات المخترقة

يمكن أن تحتوي خوادم MCP على شيفرة خبيثة (فهي في الأساس برامج خارجية) أو تعتمد على تبعيات مخترقة، مثل مكتبات الجهات الخارجية. وهذه مشكلة تتعلق بسلسلة توريد البرمجيات، وليست مشكلة ينفرد بها MCP.

ومن الطرق البسيطة التي قد يحدث بها ذلك أن يوزّع المهاجم أداة تكامل تبدو شرعية. وبمجرد إعدادها، يمكنها سرقة بيانات الاعتماد وإعادة استخدامها، والوصول إلى البيانات الحساسة، وتنفيذ عمليات غير مصرح بها.

كيفية الحماية من الخوادم الخبيثة والتبعيات المخترقة

لا تثبّت خوادم MCP إلا من مصادر موثوقة وخاضعة للفحص. وإن أمكن، راجع شيفرتها البرمجية، وتحقق دائمًا من أي تبعيات خارجية. واحرص على تحديث الخوادم وتصحيحها بانتظام.

التهديد رقم 8: تزوير الطلبات من جانب الخادم (SSRF)

تزوير الطلبات من جانب الخادم (SSRF) هو أن يخدع المهاجم خادم MCP لإرسال طلبات شبكة إلى عناوين داخلية لم يقصد المستخدم الوصول إليها.

قد يحدث ذلك عندما يكشف خادم MCP عن أداة تسترد المعلومات من عنوان URL. فإذا تمكّن المهاجم من التأثير في معلمة URL، فيمكنه تغييرها إلى عنوان الشبكة الذي يريده، مثل واجهة API داخلية أو خدمة سحابية. وقد يؤدي ذلك إلى استرداد بيانات حساسة وربما إتاحة الوصول إليها

كيفية الحماية من تزوير الطلبات من جانب الخادم (SSRF)

ينبغي لخوادم MCP دائمًا التحقق من صحة عناوين URL، وحظر الوصول إلى عناوين الشبكة الداخلية المقيدة، ومنع الوصول إلى الشبكة الصادرة. وينبغي أن تخضع عمليات إعادة التوجيه لهذا البروتوكول أيضًا.

التهديد رقم 9: اختطاف الجلسة

ينطوي اختطاف الجلسة على سيطرة المهاجم على اتصال نشط بين عميل MCP وخادم.

على سبيل المثال، قد يسرق المهاجم معرّف جلسة من تطبيق MCP ضعيف التأمين (مثل مضيف أو خادم). وإذا قبل خادم MCP هذا المعرّف، فيمكن للمهاجم أن يستدعي الأدوات باستخدام أذونات المستخدم الشرعية.

كيفية الحماية من

يمكن الحد من خطر اختطاف الجلسات من خلال التحقق الصارم من الهوية في جميع التطبيقات ضمن نظام MCP. كما يُعدّ التشفير بين عملاء MCP والخوادم البعيدة أمرًا ضروريًا لمنع كشف معرّفات الجلسات.

التهديد رقم 10: هجمات الخلط (Mix-up)

في هجوم الخلط، يخدع المهاجم عميل MCP لإرسال رمز تفويض إلى خادم تفويض خبيث يقع بين العميل وخادم MCP. وخادم التفويض هو تطبيق يُصدر رموز الوصول المميزة الخاصة بـ OAuth بعد التحقق من أن الوصول المطلوب مصرّح به.

تكبير

إذا اتصل مضيف MCP بخدمات متعددة يستخدم كلٌّ منها خادم تفويض مختلفًا، فقد يتمكن المهاجم من السيطرة على أحدها (ربما عن طريق تسجيل خدمة خبيثة) ودفع العميل إلى إرسال رمز تفويض صادر عن خادم شرعي إلى الخادم الخبيث. وقد يتيح هذا الخلط للمهاجم انتحال صفة التطبيق المفوَّض والوصول إلى الخدمات المحمية.

كيفية الحماية من هجمات الخلط

ينبغي لعملاء MCP التحقق من هوية خادم التفويض طوال عملية OAuth. وتحديدًا، ينبغي لهم مطابقة معرّف المُصدِر (iss) الخاص بالخادم مع الهوية المتوقعة ورفض أي حالات عدم تطابق.

التهديد رقم 11: اختراق خادم MCP المحلي

تعمل خوادم MCP كثيرة على الجهاز المحلي للمستخدم. وقد يثبّت المستخدم الخادم من جهة خارجية أو ينشئه بنفسه. وإذا تمكن المهاجم من اختراق خادم MCP المحلي هذا، فقد يتمكن من الوصول إلى أجزاء كبيرة من النظام المحلي.

هناك طرق مختلفة قد يحصل بها المهاجم على الوصول. فقد يوزّع خادمًا خبيثًا متنكرًا في هيئة أداة تكامل شرعية، أو يعدّل تهيئة مضيف MCP بحيث يُصدر أمرًا خبيثًا، أو يصل إلى خادم MCP يعمل في بيئة تفتقر إلى ضوابط أمنية كافية، كأن يستخدم إعادة ربط DNS (DNS rebinding)، التي تخدع المتصفح لإرسال طلبات إلى خدمة على localhost.

كيفية الحماية من اختراق خادم MCP المحلي

يُعدّ التشغيل في بيئة Sandbox معزولة وبروتوكولات الموافقة الصارمة أمرين مهمين عند استخدام خوادم MCP المحلية. ولا ينبغي تثبيت خوادم MCP إلا من مزوّدين موثوقين، كما ينبغي أن تقيّد أذونات نظام التشغيل المجلدات التي يمكنها الوصول إليها.

ثغرات MCP غالبًا ما تكون تهديدات قديمة في ثوب جديد

كثيرًا ما تنشأ ثغرات MCP من تطبيقات جديدة لمخاطر وأساليب هجوم معروفة. ويتيح MCP للمهاجمين طرقًا جديدة لاستغلال هذه الثغرات من خلال التفاعلات بين النماذج اللغوية الكبيرة وخوادم MCP والخدمات الخارجية.

بالطبع، توجد تهديدات خاصة بـ MCP. ومع ذلك، تجدر الإشارة إلى أن بروتوكولات الأمان القياسية، مثل فرض تفويض صارم، واستخدام مزوّدين موثوقين، والحماية من حقن المطالبات، ستسهم إلى حد كبير في حماية أي تنفيذ لـ MCP.