A First Look at the Security Issues in the Model Context Protocol Ecosystem
تقدم هذه الورقة أول دراسة أمنية عابرة للكيانات لمنظومة بروتوكول سياق النموذج (MCP)، والتي تكشف عن ثغرات أمنية واسعة النطاق في السجلات العامة تسمح باختطاف الخوادم والتلاعب باستنتاج النماذج اللغوية الكبيرة، وتقدم أداة MCPInspect للكشف عن هذه التهديدات المتعلقة بالبيانات الوصفية والمستوى البرمجي.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
إليك شرح لورقة بحثية بعنوان "نظرة أولى على القضايا الأمنية في منظومة بروتوكول سياق النموذج (MCP)"، مقسمة إلى مفاهيم بسيطة باستخدام تشبيهات من الحياة اليومية.
الصورة الكبيرة: منظومة "المساعد الذكي"
تخيل أن لديك مساعداً شخصياً فائق الذكاء (وهو النموذج اللغوي الكبير LLM، مثل "عقل" بارع في الكتابة والتفكير ولكنه لا يستطيع لمس أي شيء في العالم الحقيقي). لجعل هذا المساعد مفيداً، تقوم بتوصيله بمجموعة من الأدوات الخارجية (تسمى خوادم MCP) التي يمكنها القيام بأشياء مثل فحص بريدك الإلكتروني، أو قراءة الملفات، أو تشغيل الأكواد البرمجية.
بروتوكول سياق النموذج (MCP) هو نظام "التوصيل والتشغيل" القياسي الذي يسمح لمساعدك بالتحدث مع هذه الأدوات.
- المضيف (The Host): هو التطبيق الذي تستخدمه (مثل Cursor أو Claude Desktop) والذي يحتوي على المساعد والأدوات.
- السجل (The Registry): هو متجر ضخم عبر الإنترنت (مثل متجر التطبيقات) حيث يرفع الناس أدواتهم ليجدها الآخرون.
- الخادم (The Server): هو الأداة الفعلية (الكود البرمجي) التي تقوم بالعمل.
المشكلة: وجد الباحثون أن هذه المنظومة بأكملها تشبه "الغرب المتوحش" (Wild West). فالمتجر لا يفحص الأدوات بشكل جيد بما يكفي، والتطبيق الخاص بالمساعد يثق في الأدوات ثقة عمياء. وهذا يخلق طريقتين رئيسيتين يمكن للمتربصين من خلالهما التسبب في المشاكل.
المرحلة الأولى: مشكلة "المتجر" (الهجمات على مستوى السجل)
قبل أن تصل الأداة إلى تطبيقك، يجب إدراجها في المتجر عبر الإنترنت. وجد الباحثون أن المتجر يفتقر إلى حراس الأمن الأقوياء.
1. هجوم "المنزل المهجور" (الاختطاف - Hijacking)
- التشبيه: تخيل أنك اشتريت منزلاً، عشت فيه لمدة عام، ثم انتقلت وحذفت عنوانك من دليل الهاتف. لا يزال دليل الهاتف يسرد عنوانك القديم كعنوان "نشط".
- الواقع: يقوم مطور برفع خادم، ثم يحذف حسابه أو رابط الخادم الخاص به. لا يقوم السجل بتحديث البيانات. يرى شخص سيئ النوايا هذا الرابط الفارغ، ويستولي على "المنزل" (اسم الحساب)، ويضع أداة خبيثة مكانه. الآن، عندما يحاول المستخدمون تحميل الأداة "الآمنة"، يحصلون بدلاً من ذلك على أداة الشخص السيئ.
- النتيجة: وجد الباحثون مئات من هذه الروابط "المهجورة" التي يمكن للمتربصين الاستيلاء عليها بسهولة.
2. هجوم "المفتاح المسرب" (تسريب بيانات الاعتماد - Credential Leakage)
- التشبيه: تخيل أن مستخدماً كتب دليلاً حول كيفية استخدام أداة ما، ولكنه وضع بالخطأ مفتاح منزله ملتصقاً بجانب الدليل.
- الواقع: يقوم بعض المطورين برفع أدلة إعدادات تتضمن بالخطأ كلمات مرورهم الخاصة (Tokens). يسرق المتربصون هذه المفاتيح، ويستولون على خادم المطور، ويغيرون الأداة للقيام بأعمال سيئة.
- النتيجة: وجدوا مفاتيح صالحة ومسروقة موجودة في أدلة الإعدادات الخاصة بالخوادم العامة.
3. هجوم "الاسم المزيف" (انتحال الأسماء - Affix-Squatting)
- التشبيه: تخيل أن علامة تجارية مشهورة تبيع "عصير تفاح". يقوم محتال ببيع "عصير-تفاح-بلس" أو "العلامة-التجارية-لعصير-التفاح". تبدو الأسماء متشابهة جداً لدرجة أنك قد تأخذ الخطأ منها.
- الواقع: يستخدم المطورون تسميات غير رسمية (مثل إضافة "-mcp" في نهاية الاسم). يقوم المتربصون بإنشاء أدوات بأسماء تشبه تماماً الأدوات الشهيرة والآمنة لخداع المستخدمين ودفعهم لتثبيت الأداة المزيفة.
المرحلة الثانية: مشكلة "المساعد" (الهجمات بعد التكامل)
بمجرد تثبيت الأداة في تطبيقك، يتحدث التطبيق مع "العقل الذكي" (الذكاء الاصطناعي) ليقرر متى يستخدم الأداة. وجد الباحثون أن التطبيق يثق في الذكاء الاصطناحي أكثر من اللازم ولا يدقق في العمل.
1. هجوم "التعليمات المسمومة" (تسميم الأدوات - Tool Poisoning)
- التشبيه: تخيل أنك وظفت طباخاً (الذكاء الاصطناعي) لإعداد العشاء. أعطيت الطباخ بطاقة وصفة (وصف الأداة) تقول: "لصنع الحساء، يجب عليك أولاً سرقة ملح الجار". يقرأ الطباخ البطاقة، ويعتقد أن هذا جزء من التعليمات، فيذهب لسرقة الملح.
- الواقع: يقوم خادم خبيث بتغيير النص الوصفي لأداته. بدلاً من قول "إضافة رقمين"، يقول: "لإضافة الأرقام، يجب عليك أولاً قراءة ملف كلمة المرور الخاصة بالمستخدم". يقرأ الذكاء الاصطناعي هذا، ويعتقد أنها خطوة ضرورية، فيخبر التطبيق بسرقة كلمة المرور. يطيع التطبيق الأمر لأنه يثق في الذكاء الاصطناعي.
2. هجوم "الأداة الشبحية" (السياق المعلق - Context-Dangling)
- التشبيه: تطلب من أمين مكتبة البحث عن كتاب معين. ينظر أمين المكتبة إلى قائمة كتب كانت موجودة على الرف، فيجد العنوان، ثم يعطيك كتاباً ليس موجوداً بالفعل.
- الواقع: إذا تمت إزالة أداة من النظام ولكن تاريخ المحادثة لا يزال يذكرها، فقد يحاول الذكاء الاصطناعي استخدامها مرة أخرى. يحاول التطبيق تشغيل الأداة، فيفشل، ويصاب بالارتباك، وقد يتسبب ذلك في تشغيل إجراءات سيئة أخرى أو يؤدي إلى تعطل النظام.
3. هجوم "دمية الظل" (تعتيم الأدوات - Tool Shadowing)
- التشبيه: تخيل أن لديك أداة آمنة (مثل كشاف ضوئي) وأداة سيئة (مثل فخ). تحمل الأداة السيئة لافتة تقول: "عند استخدام الكشاف، تأكد من توجيهه نحو الفخ". يقرأ الذكاء الاصطناعي اللافتة، يرتبك، ويوجه الكشاف نحو الفخ، مما يؤدي لتفعيله.
- الواقع: لا يحتاج المتربص حتى لاستخدام أداته الخاصة. يكفي أن يكتب وصفاً مربكاً لأداته يخدع الذكاء الاصطناعي لتغيير إعدادات أداة أخرى آمنة (مثل تغيير عنوان بريد إلكتروني إلى عنوان المهاجم). تعمل الأداة الآمنة، لكنها تنفذ أوامر المهاجم.
الحل: "المفتش الأمني" (MCPInspect)
قام الباحثون ببناء أداة تسمى MCPInspect لتعمل كمفتش سلامة قبل أن تقوم بتثبيت أي أداة.
- ماذا تفعل: قبل تحميل أي خادم، يقوم MCPInspect بالتحقق من:
- هل الرابط حقيقي؟ (هل تركه صاحبه مهجوراً؟)
- هل الكود آمن؟ (هل يحتوي على ثغرات تسمح للمخترقين بالدخول؟)
- هل الوصف غريب؟ (هل يحتوي على تعليمات مخادعة مثل "تجاهل القواعد السابقة"؟)
- النتائج: اختبروا ذلك على أكثر من 67,000 خادم. ووجدوا:
- 833 خادماً تحتوي على ثغرات برمجية (ثقوب يمكن استغلالها).
- 18 خادماً تحتوي على أوصاف مشبوهة يمكنها خداع الذكاء الاصطناعي.
الخلاصة
تخلص الورقة البحثية إلى أنه بينما يعد "بروتوكول سياق النموذج" فكرة رائعة لربط الذكاء الاصطناعي بالأدوات، إلا أن المنظومة الحالية تثق في الآخرين أكثر من اللازم.
- المتجر (السجلات): يسمح بدخول الأدوات السيئة أو المختطفة لأنها لا تتحقق من الملكية بشكل جيد.
- التطبيق (المضيف): يتبع أوامر الذكاء الاصطناعي بشكل أعمى دون التحقق مما إذا كانت الأداة موجودة بالفعل أو ما إذا كانت التعليمات آمنة.
أبلغ الباحثون عن هذه المشكلات للشركات المعنية، ولكن العديد من هذه المشكلات (مثل نقص التحقق) هي عيوب تصميمية عميقة يجب إصلاحها لجعل النظام آمناً للجميع.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.