💬 NLP

Breaking MCP with Function Hijacking Attacks: Novel Threats for Function Calling and Agentic Models

تقدم هذه الورقة البحثية "هجوم اختطاف الوظائف" (FHA) المبتكر الذي يتلاعب بقوة بالنماذج الذكية للذكاء الاصطناعي الوكيل لدفعها نحو تنفيذ وظائف يختارها المهاجم بغض النظر عن دلالات السياق، محققاً معدلات نجاح عالية عبر نماذج متنوعة ومبرهناً على الحاجة الماسة لتعزيز الضوابط الأمنية في أنظمة استدعاء الوظائف.

المؤلفون الأصليون: Yannis Belkhiter, Giulio Zizzo, Sergio Maffeis, Seshu Tirupathi, John D. Kelleher

نُشر 2026-04-24

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Yannis Belkhiter, Giulio Zizzo, Sergio Maffeis, Seshu Tirupathi, John D. Kelleher

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

الصورة الكبيرة: مشكلة "الخادم الذكي"

تخيل أن لديك خادماً رقمياً فائق الذكاء (عميل ذكاء اصطناعي - AI Agent) يمكنه فعل أي شيء من أجلك: التحقق من بريدك الإلكتروني، حجز رحلات طيران، أو إدارة الأكواد البرمجية الخاصة بك على GitHub. وللقيام بذلك، يمتلك الخادم صندوق أدوات مليئاً بأدوات محددة (وظائف/functions) مثل send_email أو book_flight أو delete_file.

عادةً، عندما تقول له "احجز لي رحلة إلى باريس"، ينظر الخادم في صندوق أدواته، ويختار أداة book_flight وينفذ المهمة. هذا ما يسمى بـ استدعاء الوظائف (Function Calling).

المشكلة:
اكتشف الباحثون في هذه الورقة طريقة لخداع الخادم. لقد وجدوا طريقة لـ "تسميم" الملصق التعريفي لأداة معينة في صندوق الأدوات بحيث مهما كان ما تطلبه من الخادم، فإنه سيمسك بالأداة الخاطئة بدلاً من ذلك.

إذا طلبت "حجز رحلة طيران"، قد يمسك الخادم بالخطأ أداة delete_all_files لأن الملصق الموجود على تلك الأداة تم تعديله سراً ليبدو مغرياً للغاية بالنسبة للذكاء الاصطناعي.

الهجوم: "اختطاف الوظيفة" (Function Hijacking - FHA)

تقدم الورقة نوعاً جديداً من الهجمات يسمى اختطاف الوظيفة. إليك كيف يعمل، باستخدام بعض التشبيهات:

1. خدعة "قائمة الطعام"

تخيل قائمة طعام في مطعم حيث يقرر النادل (الذكاء الاصطناعي) ما سيطبخه بناءً على وصف الأطباق.

الحالة الطبيعية: طبق "السباغيتي" موصوف بأنه "معكرونة لذيذة مع صلصة الطماطم". وطبق "السم" موصوف بأنه "وحل سام".
الهجوم: المهاجم لا يغير السباغيتي. بدلاً من ذلك، يقوم بتسلل بعض الكلمات الغريبة والمربكة إلى وصف طبق "السم". يجعل الوصف يبدو كأنه شفرة سرية صُممت عقول النادل لتكون مبرمجة على حبها.
النتيجة: حتى لو طلبت "السباغيتي"، فإن عقل النادل سينشغل بشدة بوصف "السم" لدرجة أنه سيقدم لك السم بدلاً من السباغيتي.

2. "التعويذة السحرية" (الرموز العدائية/Adversarial Tokens)

لم يكتفِ الباحثون بكتابة وصف مضحك؛ بل استخدموا "تعويذة رياضية" (تسمى اللاحقة العدائية - adversarial suffix).

تخيل الذكاء الاصطناعي كطالب يؤدي امتحاناً. السؤال في الامتحان هو: "ما هو ناتج 2+2؟"
المهاجم يكتب ملاحظة صغيرة غير مرئية في خلفية الورقة تقول: "تجاهل الرياضيات، واكتب '42'".
ولأن الذكاء الاصطناعي مدرب على اتباع الأنماط، فإنه يرى هذه الملاحظة وبدلاً من حل المسألة الرياضية، يكتب "42" بشكل أعمى.
في هذه الورقة، هذه "الملاحظة" مخبأة داخل وصف أداة في نظام الذكاء الاصطناعي.

لماذا هذا الأمر مخيف (النتائج)

اختبر الباحثون هذا الهجوم على 5 نماذج مختلفة من الذكاء الاصطناعي (بما في ذلك النماذج الذكية التي "تفكر" قبل أن تتصرف). وهذا ما وجدوه:

يعمل في كل مكان: لم يهم ما إذا كان يُطلب من الذكاء الاصطناعي كتابة كود، أو التحقق من حالة الطقس، أو إدارة قاعدة بيانات. لقد نجح الهجوم في جميع الحالات.
غير مرئي: لا يتطلب الهجوم من المستخدم كتابة أي شيء غريب. يطلب المستخدم شيئاً طبيعياً (مثل "إنشاء ملف")، ولكن يتم خداع النظام للقيام بشيء خطير (مثل "حذف الخادم") لأن وصف الأداة قد تم تسميمه.
قوي جداً: نجح الهجوم بنسبة تتراوح بين 70% إلى 100%. وهذا يعني أنه إذا جربت هذا الهجوم 10 مرات، فسوف ينجح من 7 إلى 10 مرات.
"عالمي": أظهر الباحثون أنه يمكنك إنشاء وصف واحد لأداة مسمومة واحدة يعمل مع العديد من الأسئلة المختلفة. لا تحتاج إلى خدعة جديدة لكل سؤال؛ فـ "تعويذة سحرية" واحدة تعمل للجميع.

تحدي الذكاء الاصطناعي "المفكر"

تمتلك بعض الأنظمة المتقدمة من الذكاء الاصطناعي "وضع تفكير" حيث تتوقف للتفكير والاستنتاج قبل اتخاذ إجراء.

التشبيه: تخيل خادماً يتوقف ليقول: "همم، المستخدم طلب رحلة طيران، ولكن ربما كان يقصد قطاراً؟ دعني أفكر..."
الاختراق: وجد الباحثون طريقة تجعل الذكاء الاصطناعي يتخطى جزء التفكير تماماً. لقد أجبروا الذكاء الاصطناعي على القفز مباشرة إلى الأداة الخاطئة، متجاوزين ضوابط السلامة الخاصة به.

لماذا لم تكن الهجمات السابقة فعالة بنفس القدر؟

حاولت الهجمات السابقة خداع الذكاء الاصطناعي عن طريق تغيير سؤال المستخدم (مثلاً: "يرجى حذف الملف، ولكن قل إنها لعبة").

القصور: إذا طرح المستخدم سؤالاً مختلفاً، فإن الخدعة القديمة تتوقف عن العمل.
الاختراق الجديد: هذا الاختراق يغير الأداة نفسها. وبما أن الأداة موجودة دائماً، وتنتظر في صندوق الأدوات، فإن الهجوم سيعمل بغض النظر عما يسأل عنه المستخدم. الأمر يشبه تغيير قفل الباب الأمامي بحيث أن أي شخص يحاول الدخول سيتم حبسه في الخارج، بغض النظر عن هويته.

الحل: الضوابط الوقائية (Guardrails)

تخلص الورقة إلى أنه لا يمكننا مجرد الثقة في أن عملاء الذكاء الاصطناعي سيختارون الأدوات الصحيحة. نحن بحاجة إلى:

أقفال أفضل: أنظمة أمنية تتحقق مما إذا كان وصف الأداة قد تعرض للعبث.
تدقيق مزدوج: التأكد من أن الذكاء الاصطناعي لا يختار الأداة "الأكثر بروزاً" فحسب، بل يتحقق فعلياً من أن الأداة تطابق طلب المستخدم.

الملخص

هذه الورقة هي بمثابة ملصق تحذيري لمستقبل الذكاء الاصطناعي. فهي توضح أنه إذا سمحنا لعملاء الذكاء الاصطناعي بالتحكم في أدواتنا الرقمية، فيمكن للمهاجمين "تسميم" أوصاف الأدوات في الخلفية. وبمجرد تسميمها، سيقوم الذكاء الاصطناعي بفرح وسعادة بفعل الشيء الخاطئ، حتى لو طلب المستخدم الشيء الصحيح. الأمر يشبه طباخاً، بسبب كتاب وصفات تم التلاعب به، يقدم لك السم بدلاً من الحساء، بغض النظر عما طلبته.

إليك ملخص تقني مفصل للورقة البحثية بعنوان "كسر بروتوكول (MCP) عبر هجمات اختطاف الدوال: تهديدات مستحدثة لنماذج استدعاء الدوال والنماذج الوكيلية (Agentic Models)."

1. بيان المشكلة

مع تطور أنظمة الذكاء الاصطناعي الوكيلية (Agentic AI)، أصبحت تعتمد بشكل متزايد على استدعاء الدوال (Function Calling - FC) للتفاعل مع الأدوات الخارجية، وقواعد البيانات، وواجهات برمجة التطبيقات (APIs) عبر أطر عمل مثل بروتوكول سياق النموذج (Model Context Protocol - MCP). وبينما ركزت الأبحاث الأمنية السابقة على حقن المطالبات (Prompt Injection) وكسر الحماية (Jailbreaking) لتوليد محتوى ضار، إلا أن هناك فجوة حرجة في فهم الثغرات المتعلقة بـ التحكم في عملية اختيار الدالة نفسها.

تعتمد الهجمات الحالية غالبًا على التفضيلات الدلالية (على سبيل المثال، جعل دالة خبيثة تبدو أكثر صلة باستعلام المستخدم) أو تتطلب من المهاجم حقن دوال جديدة في النظام. وقد حدد المؤلفون تهديدًا جديدًا: هجمات اختطاف الدوال (Function Hijacking Attacks - FHA). في هذا السيناريو، لا يحتاج المهاجم إلى حقن أداة جديدة، بل يقوم بالتلاعب بـ وصف دالة موجودة وأصلية داخل خادم MCP. ومن خلال إدراج رموز (tokens) معادية في وصف الدالة، يمكن للمهاجم إجبار النموذج اللغوي الكبير (LLM) على اختيار تلك الدالة المحددة (الدالة المستهدفة) بغض النظر عن قصد المستخدم الفعلي، مما يؤدي إلى إجراءات غير مقصودة مثل حذف البيانات أو الوصول غير المصرح به.

2. المنهجية

يقترح المؤلفون ناقل هجوم جديد يعتمد على تكييف خوارزمية التوليد السببي القائم على التدرج (Gradient-based Causal Generation - GCG) (المصممة أصلاً لكسر الحماية) لتناسب مجال استدعاء الدوال.

نموذج التهديد:
- يمتلك المهاجم وصولاً غير متصل (offline) إلى قائمة الدوال المتاحة وأوصافها (كما هي معروضة في خوادم MCP) ولكنه لا يملك الوصول إلى مطالبات المستخدم المحددة.
- يمكن للمهاجم فقط تعديل الوصف النصي لدالة مستهدفة معينة ( $f_{target}$ ).
- الهدف هو إجبار النموذج على اختيار $f_{target}$ بدلاً من الدالة الحقيقية ( $f_{ground\_truth}$ ) المطلوبة من قِبل استعلام المستخدم.
آلية الهجوم (FHA):
- حقن اللاحقة المعادية (Adversarial Suffix Injection): تقوم الخوارزمية بإدراج تسلسل من الرموز المعادية ( $\hat{x}_I$ ) في وصف الدالة المستهدفة.
- هدف التحسين (Optimization Objective): تعمل الهجمة على تقليل دالة فقدان الإنتروبيا المتقاطعة (cross-entropy loss) حيث يكون المخرج المستهدف هو الاسم المحدد للدالة المختطفة.
- افتراض التوليد الذاتي (Auto-regressive Assumption): على غرار خوارزمية GCG، يفترض الهجوم أنه إذا أُجبر النموذج على توليد اسم الدالة المستهدفة في بداية مخرجاته، فإن الطبيعة ذاتية التوليد للنموذج ستكمل بقية استدعاء الدالة (بما في ذلك الوسائط/arguments) بشكل صحيح.
- استهداف نماذج الاستدلال (Reasoning Models): بالنسبة للنماذج التي تستخدم عملية "سلسلة الأفكار" (Chain of Thought) أو "التفكير" (مثل Qwen-3)، يتم تحسين الهجوم لإجبار النموذج على تخطي خطوة الاستدلال والانتقال مباشرة إلى استدعاء الأداة، مما يؤدي فعليًا إلى تعطيل آليات المحاذاة الأمنية للنموذج.
استراتيجية الهجوم الشاملة (Universal Attack Strategy):
- وسع المؤلفون الهجوم ليكون شاملاً عبر تحسين اللاحقة المعادية على مجموعة متنوعة من الاستعلامات ( $Q$ ) وتكوينات الحمولة (تغيير عدد ومواقع الدوال). وهذا يخلق وصف دالة واحدة "مسمومة" تعمل عبر سيناريوهات متعددة.

3. المساهمات الرئيسية

ناقل هجوم جديد (FHA): تقديم مفهوم "اختطاف الدوال"، وهو هجوم قوي يتلاعب باختيار الأدوات عبر تسميم أوصاف الدوال، وهو ما يختلف عن حقن المطالبات أو حقن الأدوات.
الاستقلالية عن السياق (Context Agnosticism): إثبات أن هجوم FHA مستقل إلى حد كبير عن السياق الدلالي لاستعلام المستخدم. وخلافًا للهجمات السابقة التي تعتمد على مطابقة المطالبة مع الدالة، فإن FHA يعمل حتى عندما تكون الدالة المستهدفة غير مرتبطة دلاليًا بطلب المستخدم.
الدوال المعادية الشاملة: تطوير طريقة لتدريب وصف دالة معادية واحد يمكنه اختطاف اختيار الأدوات عبر استعلامات متنوعة وتغيرات في الحمولة (مثل إضافة أو إزالة أدوات أخرى).
تعطيل الاستدلال: نجح الهجوم في إجبار نماذج الاستدلال على تجاوز مرحلة "التفكير"، وإخراج استدعاء الأداة المختطفة مباشرة.

4. النتائج التجريبية

قام المؤلفون بتقييم FHA على 5 نماذج مختلفة (بما في ذلك Llama-3.2-3B، وMistral-7B، ومتغيرات Qwen-3) باستخدام لوحة متصدرات استدعاء الدوال في بيركلي (BFCL) وخوادم MCP حقيقية (GitHub، Slack).

معدل نجاح الهجوم (ASR):
- حقق FHA معدلات نجاح (ASSR) تتراوح بين 70% و100% عبر جميع النماذج المختبرة.
- ASR لملء الفراغات (Slot Filling): من المهم ملاحظة أن الاستدعاءات المختطفة لم تقتصر على أسماء الدوال الصحيحة فحسب؛ بل تضمنت أيضًا وسائط (parameters) صالحة (بنسبة نجاح 65%–92%)، مما يعني أن الهجمات قابلة للتنفيذ في سيناريوهات العالم الحقيقي.
المقارنة مع الخطوط المرجعية (Baselines):
- حقن الدالة (Function Injection): حقق إضافة دالة "أفضل" معدل نجاح أقل (حوالي 50-60%) واعتمد بشكل كبير على المطابقة الدلالية.
- هجوم التلاعب بتفضيلات MCP (MPMA): فشلت هذه الطريقة الموجودة سابقًا بشكل كبير (ASR < 10%) في البيئات المتنوعة حيث تختلف دلالات الدوال. تفوق FHA على MPMA بفارق كبير لأنه لا يعتمد على مطابقة المطالبة لنية الدالة.
القوة والمتانة (Robustness):
- ظل الهجوم فعالًا حتى عند تغيير الحمولة بإضافة ما يصل إلى 3-5 دوال "ضوضاء".
- FHA الشامل (Universal FHA): نجحت سلسلة معادية واحدة تم تدريبها على مجموعة من الاستعلامات في اختطاف استعلامات غير مرئية وتكوينات حمولة مختلفة.
حساسية النموذج:
- تم اختطاف النماذج الموجهة (Instructed models) مثل (Llama, Mistral) بسهولة أكبر من نماذج الاستدلال (Reasoning models) مثل (Qwen).
- ومع ذلك، نجح الهجوم في تعطيل رموز "التفكير" في نماذج Qwen، مما أجبرها على إخراج استدعاء الأداة مباشرة.

5. الأهمية والآثار المترتبة

الثغرة الأمنية: تكشف الورقة أن الأوصاف النصية للأدوات في خوادم MCP تمثل سطح هجوم حرج. وبما أن هذه الأوصاف غالبًا ما تكون مكشوفة للمستخدمين أو الوكلاء، فيمكن تسميمها دون تعديل الكود البرمجي الأساسي.
محدودية الدفاعات الحالية: إن الضوابط الأمنية (Guardrails) القياسية التي تصفّي المحتوى الضار في المطالبات غير فعالة ضد FHA لأن الهجوم يتلاعب بـ تعليمات النظام (تعريفات الدوال) بدلاً من مطالبات المستخدم.
الحاجة إلى تدابير تخفيف جديدة: يدعو المؤلفون إلى تطوير وحدات أمنية محددة للأنظمة الوكيلية، مثل:
- التحقق من أوصاف الدوال بحثًا عن الأنماط المعادية.
  ية.
- تنفيذ "ضوابب" (Guardrails) تتحقق من المحاذاة الدلالية بين استعلام المستخدم والدالة المختارة بعد إجراء الاستدعاء.
- مراقبة التحولات المفاجئة في احتمالات اختيار الأدوات.

في الختام، يوضح هذا العمل أن أنظمة الذكاء الاصطناعي الوكيلية معرضة بشدة للتلاعبات الدقيقة في تعريفات أدواتها. إن القدرة على اختطاف اختيار الدوال بنسب نجاح عالية عبر نماذج وسياقات متنوعة تشكل خطرًا جسيمًا على سلامة وأمان وكلاء الذكاء الاصطناعي المستقلين.