العودة إلى المكتبة
الأمن والحوكمة

قائمة مرجعية لتقوية أمان MCP: 1,467 خادمًا مكشوفًا وعناصر التحكم التي تغلقها

بقلم آخر تحديث: 2026年7月27日

تحديث — 2026-08-18: OWASP GenAI MCP Server Security Baseline، MCP Project Sandboxing Baseline، أخطاء MCP Ruby SDK وخادم الملفات — ثلاثة معايير جديدة وفئات CVE جديدة

ثلاثة تطورات تضيف معيارين جديدين لأمان MCP وفئات CVE جديدة: أساس تطوير OWASP GenAI، أساس نشر MCP Project، ونقاط ضعف Ruby SDK وخادم الملفات.

  1. OWASP GenAI MCP Server Security Baseline (18 أغسطس) — ضوابط التطوير. دليل عملي لتطوير خوادم MCP الآمنة. مع OWASP MCP Top 10 (كتالوج المخاطر) و MCP Project Sandboxing Baseline (ضوابط النشر) يشكل إطار أمان MCP متعدد الطبقات.

  2. MCP Project Sandboxing Baseline (16 أغسطس) — ضوابط النشر من مؤلفي المواصفات. نشر مشروع MCP أفضل ممارسات أمان تتطلب عزل أو حاوية العمليات المولدة.

  3. أخطاء MCP Ruby SDK وخادم الملفات (16 أغسطس) — فئات CVE جديدة. DoS في Ruby SDK و كشف الملفات بسبب التحقق غير الكافي من المسار. كتالوج CVE لـ MCP يغطي الآن Python و TypeScript و Java و Ruby و C# SDKs. راجع معيار كود وحدة MCP.

تحديث — 2026-08-17: CVE-2026-75011 NetForensicMCP وبُعد التحكم في تعرض البيانات من Forcepoint

تطوران يوسعان هذه القائمة: ثغرة CVE جديدة لحقن أوامر STDIO وبُعد تحكم جديد — تعرض البيانات — الذي أعادت Forcepoint تأطيره كاهتمام أمني من الدرجة الأولى لـ MCP.

  1. CVE-2026-75011 — NetForensicMCP 2.1.0 حقن أوامر. السبب الجذري: نفس فئة حقن أوامر STDIO مثل CISA KEV CVE-2026-42271 والعائلة 1 من OX Security. يُغلق بالتحكم 1 (تسجيل الأدوات — تعقيم جميع المدخلات) والتحكم 7 (تقوية STDIO — لا إدخال يتحكم به المستخدم في سلاسل الأوامر).

  2. إعادة تأطير تعرض البيانات من Forcepoint — بُعد تحكم جديد. "المصادقة تصلح الباب، وليس البيانات." الباب الخلفي لـ Postmark MCP يُعاد تأطيره كحادث تعرض بيانات. أربعة أسئلة حوكمة: (1) هل يحمل الوكيل بيانات اعتماد مباشرة أم وساطة؟ (2) هل الإنفاذ على مستوى الحقل أم التطبيق؟ (3) هل الإجراءات عالية المخاطر محكومة بإنسان؟ (4) هل يوجد مسار إسناد كامل؟

قام Trend Micro بمسح الإنترنت ووجد 1,467 خادم MCP مكشوفاً — بلا مصادقة ولا تشفير، وفي متنا أي شخص. ووجد Practical DevSecOps أن 82% من أصل 2,614 خادماً تم فحصها عرضة لاجتياز المسار. صدر بروتوكول صُمم لربط وكلاء الذكاء الاصطناعي بأنظمة المؤسسات دون خط أساس أمني للإنتاج، وأنماط النشر تثبت ذلك: معظم الفرق عرّضت MCP للإنترنت قبل تحصينه. هذه القائمة المرجعية هي خط الأساس الذي كان ينبغي أن يأتي أولاً — 12 ضابطاً تغطي النقل والمصادقة وتسجيل الأدوات ووقت التشغيل والتدقيق، كل منها قابل للتحقق في أقل من خمس دقائق قبل أن يتعرض خادم MCP لحركة الإنتاج.

النقاط الرئيسية

  • 1,467 خادم MCP يمكن الوصول إليه علنًا دون مصادقة أو تشفير — المسح المصحح من Trend Micro، يوليو 2026. 1,227 منها تشغل نقل SSE المهجور الذي تقاعد مواصفات 2026-07-28 بساعة إيقاف مدتها 12 شهرًا.
  • 82% من 2,614 خادم MCP تم مسحها معرضون لاجتياز المسار، و8.5% فقط يستخدمون OAuth — Practical DevSecOps MCP Security Statistics 2026 Report. فئات الهجوم منتشرة في الخوادم المنشورة، وليست نظرية.
  • 3 CVEs هبطت في SDK الرسمي لـ Python الخاص بـ MCP في يوليو 2026 — CVE-2026-59950 (DNS rebinding/CSRF)، CVE-2026-52869 (طلبات جلسة غير موثقة)، CVE-2026-52870 (معالجات مهام مفتوحة). التطبيق المرجعي شحن نفس فئة العيب مثل الخوادم المجتمعية.
  • 78.3% معدل نجاح الهجوم عندما تتصل 5 خوادم MCP بوكيل واحد — Palo Alto Networks Unit 42. خمسة خوادم هي نشر نموذجي، وليس كبيرًا. حدد OX Security RCE معماري يؤثر على 150M+ تنزيلًا، وصنّفت Cloud Security Alliance أمان MCP كمشكلة عيب تصميم منهجي.
  • مواصفات MCP 2026-07-28 تُنشر كنهائية في 28 يوليو 2026 — جميع أربعة SDKs من Tier 1 (TypeScript، Python، Go، C#) تتحدث النواة الجديدة عديمة الحالة، مع سياسة إيقاف مدتها 12 شهرًا لنقل SSE. الترحيل والتقوية هما نفس العمل.
  • يحوّل Deadbugz وقت التشغيل إلى سطح الهجوم: تسمم البيانات الوصفية ينتظر حتى تثق بالخادم — أفصحت Pillar Security في 23 سبتمبر 2026 عن حملة نشطة في سلسلة توريد MCP: 23 طلب سحب (pull requests) في 74 دقيقة قدّمت خادم "productivity-suite" يعمل بشكل طبيعي عبر ثلاث استدعاءات أدوات، ثم يعيد كتابة بياناته الوصفية للأدوات بحثًا عن مفاتيح SSH وبيانات اعتماد AWS وسجل الـshell وتكوين Kubernetes (Pillar Security). المسح في وقت الموافقة لا يمكنه رؤيته — راجع تحديث 2026-09-30 أدناه.

نشر MCP إنتاجي يجتاز عناصر التحكم الـ 12 في قائمة المرجعية هذه ليس منيعًا — لا يوجد نظام كذلك — لكنه لم يعد في المجتمع الذي وجدته Trend Micro، أو الذي مسحه Practical DevSecOps، أو الذي أمسك به موجة CVE لشهر يوليو. قائمة المرجعية ترسم كل عنصر تحكم إلى فئة OWASP MCP Top 10 التي يعالجها، وCVE أو التعرض الذي يمنعه، وخطوة التحقق التي يمكن للمشغل تنفيذها في أقل من خمس دقائق. Microsoft Agent Governance Toolkit — أول تشغيل حوكمة مفتوح المصدر شحنه منظف гипер-scaler بتغطية 10/10 لـ OWASP MCP Top 10 — هو التطبيق المرجعي. هذه المقالة هي المكمل التشغيلي: مراجعة تقوية قابلة للمسح لمدير هندسة أو قائد منصة يستعد لتعريض خادم MCP لحركة مرور الإنتاج.

تحديث — 2026-08-07: منتجات اكتشاف خوادم MCP في Black Hat 2026 — Cyera وSailPoint وCheck Point

قائمة منتجات Black Hat 2026 الكاملة (crn.com، 4 أغسطس 2026) تضيف ثلاثة منتجات تعالج مباشرةً الضابط 12 (اكتشاف الخوادم الظلية) وبُعد اكتشاف وحوكمة خوادم MCP في قائمة المراجعة هذه.

  1. Cyera Agent Guardian — اكتشاف خوادم MCP الظلية. أطلقت Cyera منتج Agent Guardian لاكتشاف خوادم MCP الظلية ووكلاء الذكاء الاصطناعي غير المعتمدين عبر المؤسسة. بالنسبة للضابط 12، Cyera هو النسخة المنتجة من نمط الجرد ومراقبة الانحراف: يكتشف Cyera تلقائيًا خوادم MCP في الإنتاج — بما في ذلك تلك التي لم تُسجل قط. 1,467 خادمًا مكشوفًا هي المجموعة الموجهة للإنترنت؛ Cyera يعالج المجموعة الداخلية.

  2. SailPoint Identity Security — حوكمة هوية خوادم MCP. وسّعت SailPoint منصة Identity Security لتشمل هويات خوادم MCP. بالنسبة للضابط 4، تضيف SailPoint خوادم MCP كنوع هوية مُدار — كل خادم MCP لديه دورة حياة تُدار بنفس البنية التحتية لحوكمة الهوية التي تتعامل مع الهويات البشرية.

  3. Check Point AI Network Firewall — مراقبة اتصالات MCP. أطلقت Check Point جدار حماية شبكي يراقب حركة MCP للكشف عن انتهاكات السياسة وإخراج البيانات. بالنسبة للضابط 9، تضيف Check Point التنفيذ على مستوى الشبكة: خادم أدوات يحاول إخراج البيانات عبر استجابات MCP يُكتشف عند جدار الحماية.

فئة منتجات أمان MCP لديها الآن موردين مخصصين لاكتشاف الخوادم الظلية (Cyera)، وحوكمة الهوية (SailPoint)، والمراقبة على مستوى الشبكة (Check Point) — ثلاثة أسطح يعالجها الضوابط الـ 12 ولكنها كانت تتطلب سابقًا بناءً مخصصًا.

سطح الهجوم، بالأرقام

OWASP MCP Top 10 (Beta Release v0.1، Phase 3 of 5) يفهرس 10 فئات مخاطر مسماة عبر دورة حياة نظام الممكّن بـ MCP. الأرقام وراءها هي ما يحوّل "الحوكمة ممارسة جيدة" إلى "الحوكمة بوابة إنتاج":

  • 1,467 خادم مكشوف — المسح المصحح من Trend Micro وجد 1,467 خادم MCP يمكن الوصول إليه علنًا دون مصادقة أو تشفير، ارتفاعًا من عدد أولي قدره 492. 1,227 تشغل نقل SSE المهجور. ثلاثة على الأقل تعرض سجلات المرضى الطبية عبر أداة progress_note. أداة execute_sql تظهر على 70 مضيفًا.
  • 82% تعرض لاجتياز المسار — Practical DevSecOps قاس 82% ضعف اجتياز المسار و8.5% اعتماد OAuth عبر 2,614 خادمًا تم مسحها. 97M+ تنزيل MCP شهري يعني أن التعرض يتوسع مع الاعتماد.
  • 150M+ تنزيل متأثر بـ RCE معماري — OX Security أطر السبب الجذري لحقن أوامر STDIO كعيب على المستوى المعماري، وليس CVEs معزولة. Cloud Security Alliance صنّفته كمشكلة عيب تصميم منهجي في بنية تحتية لوكيل الذكاء الاصطناعي.
  • 3 CVEs في SDK في يوليو 2026 — CVE-2026-59950 (غياب التحقق من Host/Origin، DNS rebinding/CSRF)، CVE-2026-52869 (طلبات جلسة غير موثقة)، CVE-2026-52870 (معالجات مهام مفتوحة). SDK الرسمي لـ Python — التطبيق المرجعي الذي يرث منه كل خادم Python MCP — شحن نفس فئة العيب مثل الخوادم المجتمعية التي يدعمها.
  • 3 أسطح هجوم جديدة في المواصفات النهائية — backslash.security حدد ثلاث أسطح هجوم جديدة أدخلها إعادة التصميم عديم الحالة في مواصفات 2026-07-28. القدرات الجديدة تخلق نقاط دخول جديدة لا يزال مجتمع الأمن يرسمها.

تحليل cataam.com يحدد حالة أمان MCP بدقة: "أمان MCP يقع تقريبًا حيث كان أمان الويب قبل خمسة عشر عامًا — الهجمات قديمة، فقط الهدف جديد." قائمة مرجعية التقوية أدناه هي مجموعة عناصر التحكم التي نقلت أمان الويب من 82% تعرض لاجتياز المسار إلى خط أساس حيث يُتوقع من أنظمة الإنتاج اجتيازها. نفس عناصر التحكم تنطبق هنا.

عناصر التحكم الـ 12 للتقوية

قائمة المرجعية تنظم حول خمس طبقات ترسم إلى OWASP MCP Top 10 وتغييرات مواصفات MCP 2026-07-28:

MCP Security Hardening Checklist 12 controls across 5 layers — maps to OWASP MCP Top 10 1 Transport & Network Spec 2026-07-28 + OWASP MCP07 2 controls CONTROL 1 SSE to Streamable HTTP migration 12-month deprecation — 1,227 servers affected CONTROL 2 Network isolation & origin validation CVE-2026-59950 — DNS rebinding defense 2 Authentication & Identity OAuth 2.1 + OIDC — spec mandate 2 controls CONTROL 3 OAuth 2.1 + OIDC enforcement RFC 8707 + RFC 9207 — 8.5% baseline CONTROL 4 Agent identity separation NIST OAuth 2.0 + SPIFFE/SPIRE 3 Tool Registration & Supply Chain OWASP MCP03 + MCP04 3 controls CONTROL 5 Tool poisoning scan MCP03 — injection + typosquatting CONTROL 6 Signed provenance MCP04 — AIBOM inventory CONTROL 7 STDIO hardening 150M+ downloads — OX Security 4 Runtime & Execution OWASP MCP05 + MCP06 + MCP10 3 controls CONTROL 8 Rate limiting Per-agent, per-tool, per-window CONTROL 9 Context boundary MCP10 — scoped per tool, no oversharing CONTROL 10 Kill-switch per module Feature-flag disable, no redeploy 5 Audit & Telemetry OWASP MCP08 + MCP09 2 controls CONTROL 11 Per-call audit logging MCP08 — immutable, structured JSON CONTROL 12 Shadow server detection MCP09 — registry vetting, drift monitoring OWASP MCP TOP 10 MAPPED OWASP MCP01-10 Spec 2026-07-28 Microsoft AGT NIST AI Agent CSA 1,467 exposed servers, zero auth 82% path traversal exposure 78.3% attack rate at 5 servers 8.5% use OAuth today 12 controls across 5 layers — ideabosque.com/library

الطبقة 1 — النقل والشبكة

عنصر التحكم 1: الترحيل من SSE إلى Streamable HTTP. مواصفات MCP 2026-07-28 تُنشر كنهائية في 28 يوليو 2026، مع سياسة إيقاف مدتها 12 شهرًا لنقل HTTP+SSE. جميع أربعة SDKs من Tier 1 (TypeScript، Python، Go، C#) تتحدث النواة الجديدة عديمة الحالة اعتبارًا من يوم النشر، مع ملاحظات ترحيل للأجزاء المكسورة. 1,227 خادم SSE المهجور في مسح Trend Micro هم المجتمع الأكثر تأثرًا — هم يشغلون نقلًا تقوم المواصفات بإيقافه. التحقق: افحص تكوين نقل الخادم. إذا كان يخدم SSE، فهو على ساعة الإيقاف. رحّل إلى Streamable HTTP قبل أن تغلق نافذة الـ 12 شهرًا.

عنصر التحكم 2: عزل الشبكة والتحقق من المصدر. CVE-2026-59950 — مؤكد في National Vulnerability Database — هو عيب غياب التحقق من Host/Origin في SDK الرسمي لـ Python الخاص بـ MCP. صفحة ويب يزورها الضحية يمكن أن تقود خادم MCP المحلي عبر DNS rebinding وCSRF. المتصفح يصبح وكيل المهاجم إلى خادم loopback اعتقد المشغل أنه خاص. التحقق: أكد أن الخادم يتحقق من ترويسات Host وOrigin في كل طلب. إذا كان الخادم مواجهًا للإنترنت، أكد أنه خلف حدود شبكة تمنع الوصول المباشر من مصادر غير موثوقة. خادم لم يكن يجب أن يكون قابلًا للوصول من الإنترنت العام لا يجب أن يكون قابلًا للوصول من الإنترنت العام.

الطبقة 2 — المصادقة والهوية

عنصر التحكم 3: تطبيق OAuth 2.1 + OIDC. مواصفات 2026-07-28 تجعل OAuth 2.1 مع OpenID Connect إلزاميًا — تحول عن نهج "أحضر رمزك المميز الخاص" السابق. دليل ترحيل المصادقة من WorkOS يفصل المتطلبات: RFC 8707 (Resource Indicators) لمنع إعادة تشغيل الرموز المميزة بين الخوادم، Client ID Metadata Documents يستبدل Dynamic Client Registration، التحقق من المُصدر (RFC 9207). النتيجة من Practical DevSecOps — 8.5% فقط من الخوادم التي تم مسحها تستخدم OAuth — هي خط الأساس الذي يرفعه هذا التحكم. التحقق: افحص تكوين مصادقة الخادم. إذا كان يقبل طلبات غير مصادق عليها أو يستخدم مفاتيح API ثابتة دون OAuth، فهو يفشل. أكد أن الخادم ينفذ RFC 8707 resource indicators.

عنصر التحكم 4: فصل هوية الوكيل. NIST AI Agent Standards Initiative (فبراير 2026) تقترح معاملة الوكلاء كهويات غير بشرية متميزة بدورة حياة خاصة بهم: التزويد، الإثبات، الإلغاء. معظم عمليات النشر تصادق المستخدم البشري وتمرر تلك الهوية إلى الوكيل. عندما يتخذ الوكيل إجراءً، يقول سجل التدقيق أن الإنسان قام به. التحقق: أكد أن كل وكيل لديه بيانات اعتماد خاصة (رمز OAuth مميز، SPIFFE SVID) متميزة عن بيانات المشغل البشري. إلغاء هوية الوكيل يجب أن يوقف جميع نداءات الوكيل دون التأثير على وصول الإنسان.

الطبقة 3 — تسجيل الأدوات وسلسلة التوريد

عنصر التحكم 5: مسح تسمم الأدوات. OWASP MCP03 يسمي تسمم الأدوات مخاطرة top-10: عمليات السحب الـ rug (أداة موثوقة تُحدَّث إلى نسخة خبيثة بعد التثبيت)، تسمم الـ schema (تعريف الواجهة نفسه يُفسد لتضليل النموذج)، ظل الأدوات (أداة وهمية تعترض نداءات موجهة للأداة الحقيقية). McpSecurityScanner من Microsoft Agent Governance Toolkit يكتشف تسمم الأدوات، typosquatting، والتعليمات المخفية — أداة عرض اسمها read_flie (typosquatting لـ read_file) مع حقن في وصفها سجلت 85/100 مخاطرة. التحقق: افحص عملية تسجيل الأدوات. إذا كانت الأدوات مسجلة دون مسح أمني، فهو يفشل. يجب أن يغطي المسح أنماط حقن prompt في الأوصاف، typosquatting ضد أسماء أدوات معروفة، وتوجيهات النظام المخفية.

عنصر التحكم 6: المنشأ الموقّع ومراقبة الاعتماديات. OWASP MCP04 يغطي هجمات سلسلة التوريد والتلاعب بالاعتماديات. باب خلفي Postmark MCP — أول خادم MCP خبيث تم الإمساك به في البرية — كان حزمة npm تبدو شرعية تعترض رسائل البريد الإلكتروني بصمت وتنفيذها. اجتاز مراجعة السجل. بحث UpGuard وجد أن واحدًا من كل 15 خادم MCP هو مقلد مصمم لانتحال خدمة شرعية. التحقق: أكد أن كل خادم MCP في النشر لديه سجل منشأ موقّع ومخزون AIBOM (AI Bill of Materials). أكد أن مراقبة الاعتماديات نشطة وتنبه عند CVEs جديدة في شجرة الاعتماديات.

عنصر التحكم 7: تقوية STDIO. إفصاح OX Security حدد RCE معماري في تكوينات STDIO يؤثر على 150M+ تنزيل. السبب الجذري: shell: true في TypeScript SDK مكن حقن الأوامر عبر سلاسل التكوين. Cloud Security Alliance صنّف هذا كمشكلة عيب تصميم منهجي. التحقق: إذا كان الخادم يستخدم نقل STDIO، أكد أن shell: false أو التقوية المعادلة مضبوطة. أكد أن قوائم الأوامر المسموح بها تتحقق من الوسائط، وليس فقط أسماء الثنائيات — تجاوزات Upsonic وFlowise (CVE-2026-30625، CVE-2026-40933) أظهرت أن npx -c <أمر-خبيث> يمر عبر قائمة مسموح بها تتحقق فقط من الثنائي.

الطبقة 4 — وقت التشغيل والتنفيذ

عنصر التحكم 8: تحديد المعدل. كل أداة تعلن حد معدل خاص بها في نداء التسجيل. العمود الفقري يفرض الحدود لكل-وكيل، لكل-أداة، لكل-نافذة. عند الوصول إلى حد، يستقبل الوكيل استجابة 429 مع ترويسة Retry-After. وكيل مخترق لا يمكنه استنزاف حصص API المنبع لأن حد المعدل يُفرض عند حدود الوحدة. التحقق: أكد أن كل أداة مسجلة لديها حد معدل. أكد أن الحد يُفرض عند حدود الوحدة، وليس عند API المنبع. أداة دون حد معدل هي أداة يمكن لوكيل مخترق استدعاؤها بلا حدود.

عنصر التحكم 9: حدود السياق. OWASP MCP10 يسمي حقن السياق والإفراط في المشاركة مخاطرة top-10. وكيل لديه وصول واسع للسياق يسرب المعلومات عبر المستأجرين أو الجلسات أو المستخدمين — مصدر قلق حاد بشكل خاص لعمليات نشر B2B حيث يخدم نفس الوكيل عملاء متعددين بحقوق وصول بيانات مختلفة. التحقق: أكد أن كل أداة تتلقى فقط السياق الذي تحتاجه لعملها المحدد. أكد أن نافذة السياق محددة لكل-أداة، وليست مشتركة عالميًا عبر جميع الأدوات. أداة تتلقى سياق الجلسة الكامل عندما تحتاج فقط حقلًا واحدًا هي سطح تسرب بيانات.

عنصر التحكم 10: مفتاح إيقاف لكل وحدة. كل وحدة MCP يجب أن تكون قابلة للتعطيل بشكل مستقل دون لمس عمود التنسيق الفقري. مفتاح الإيقاف هو تغيير تكوين، وليس نشر كود. عندما يُكشف عن ثغرة — كما كشفت موجة CVE لشهر يوليو عن 3 CVEs في SDK و7+ CVEs في الخوادم خلال أسبوعين — السؤال الأول للمشغل هو: هل يمكنني تعطيل هذه الوحدة دون إسقاط الوكيل؟ في نشر محوكَم، الإجابة هي نعم. التحقق: أكد أن كل وحدة يمكن تعطيلها عبر علم ميزة أو تغيير تكوين. أكد أن مسار التعطيل قد تم اختباره — ليس فقط تكوينه. مفتاح إيقاف لم يُستخدم قط هو مفتاح إيقاف سيفشل عند الحاجة إليه.

الطبقة 5 — التدقيق والقياس عن بُعد

عنصر التحكم 11: تسجيل التدقيق لكل نداء. OWASP MCP08 يسمي غياب التدقيق والقياس عن بُعد مخاطرة top-10. دون سجلات استدعاءات الأدوات وتغييرات السياق، تبقى سرقة الرموز المميزة والحقن غير مرئية. كل نداء أداة يجب أن يسجل الطابع الزمني، معرف الوكيل، اسم الأداة، تجزئة المدخلات (ليس المدخلات الخام — حدود PII)، حالة المخرجات، المدة، والنظام المنبع. السجلات هي JSON منظم يُرسل إلى خط أنابيب القابلية للملاحظة. التحقق: أكد أن كل نداء أداة ينتج إدخال سجل منظم. أكد أن السجل يتضمن تجزئة المدخلات، وليس المدخلات الخام. أكد أن السجل غير قابل للتغيير — مهاجم يخترق الخادم لا يمكنه إعادة كتابة مسار التدقيق.

عنصر التحكم 12: كشف الخوادم الظل. OWASP MCP09 يغطي خوادم MCP الظل — عمليات نشر غير معتمدة أو غير خاضعة للإشراف غير مرئية للحوكمة. UpGuard وجد أن واحدًا من كل 15 خادم MCP هو مقلد. مهندس يثبت mcp-server-postgress الخطأ (لاحظ الخطأ المطبعي) يحصل على حزمة تنفيذ بصمت مفاتيح SSH وملفات .env. التحقق: أكد أن هناك مخزون لكل خادم MCP في النشر. أكد أن المخزون يُتحقق منه مقابل سجل حزم معروفة-جيدة. أكد أن مراقبة الانحراف تنبه عندما يظهر خادم جديد لم يكن في المخزون.

كيف تُرسم الأطر إلى قائمة المرجعية

التحكم OWASP MCP Spec 2026-07-28 Microsoft AGT NIST CSA
1. ترحيل SSE — إيقاف 12 شهرًا — — —
2. عزل الشبكة MCP07 التحقق من المصدر — — —
3. OAuth 2.1 + OIDC MCP07 مصادقة إلزامية — OAuth 2.0 —
4. هوية الوكيل MCP07 — AgentMesh Identity SPIFFE/SPIRE —
5. مسح تسمم الأدوات MCP03 — MCP Security Gateway — —
6. المنشأ الموقّع MCP04 — — — —
7. تقوية STDIO MCP05 — — — عيب تصميم منهجي
8. تحديد المعدل — — Policy Engine — —
9. حدود السياق MCP10 — Response sanitizer — —
10. مفتاح إيقاف لكل وحدة — — Hypervisor kill switch — —
11. تسجيل التدقيق لكل نداء MCP08 — Audit + metrics — —
12. كشف الخوادم الظل MCP09 — — — —

لا يغطي أي إطار واحد جميع عناصر التحكم الـ 12. قائمة المرجعية هي تقاطع OWASP والمواصفات وMicrosoft وNIST وCSA — كل إطار يساهم بعناصر التحكم التي يفتقر إليها الآخرون. Microsoft Agent Governance Toolkit يغطي 10/10 من فئات OWASP MCP Top 10 (7/10 كاملة، 3/10 جزئية مع خارطة طريق) وهو أول تشغيل مفتوح المصدر شحنه منظف гипер-scaler مع تعيينات OWASP صريحة — 68 اختبارًا في Agent OS Policy Engine، 127 اختبارًا في MCP Security Gateway، 80 اختبارًا في Agent Hypervisor Execution Control بما في ذلك مفتاح الإيقاف.

تسجيل قائمة المرجعية

خادم MCP جاهز للإنتاج يجتاز جميع عناصر التحكم الـ 12. خادم جاهز جزئيًا يجتاز 8–11. خادم يجتاز أقل من 8 لا يجب أن يُعرض لحركة مرور الإنتاج دون خطة معالجة موثقة وتاريخ مستهدف لكل عنصر تحكم فاشل.

النتيجة الحالة الإجراء
12/12 جاهز للإنتاج النشر مع المراقبة
8–11/12 جاهز جزئيًا النشر مع استثناءات موثقة وجدول زمني للمعالجة
<8/12 غير جاهز لا تنشر. عالج عناصر التحكم الفاشلة أولاً

نمط الفشل الأكثر شيوعًا هو اجتياز عناصر التحكم 1–4 (النقل، المصادقة، الهوية) مع الفشل في عناصر التحكم 5–12 (سلسلة التوريد، وقت التشغيل، التدقيق). الأربعة الأولى معمارية وتحظى بالاهتمام في مراجعات التصميم. الثمانية الأخيرة تشغيلية وتُفوت حتى يُظهر حادث أو تدقيق لها. موجة CVE لشهر يوليو 2026 — 3 CVEs في SDK و7+ CVEs في الخوادم خلال أسبوعين — هي ما يحدث عندما تكون عناصر التحكم التشغيلية غائبة.

تحديث — 2026-08-08: Skill/Plugin Security Scanning — تخفيف سلسلة التوريد من جانب المزوّد

أطلقت Anthropic خدمة Skill/Plugin Security Scanning في 6 أغسطس 2026 — أول تخفيف لسلسلة التوريد من جانب مزوّد النموذج لخوادم أدوات الطرف الثالث. يفحص المسح تحميلات Claude Code من الطرف الثالث (المهارات والإضافات) بحثاً عن محتوى ضار قبل وصولها إلى السوق. هذا هو المكمل من جانب المزوّد للمسح الذي يجريه المشغّل على تعريفات أدواته الخاصة: التحكم 10 (الدفاع ضد تسميم الأدوات) يحكم المسح الذي تجريه؛ Skill/Plugin Scanning يحكم ما يفعله مزوّد النموذج في سوقه.

إطار digitalapplied.com (6 أغسطس 2026) يكمّن فجوة الإنتاج: 88% من مشاريع وكلاء الذكاء الاصطناعي لا تصل أبداً إلى الإنتاج، بمتوسط تكلفة مشروع فاشل قدره 340,000 دولار. سبعة أنماط فشل تمثل 94% من التوقفات — توسع النطاق (34%)، جودة البيانات (27%)، حواجز الأمان (14%)، تعقيد التكامل (9%)، تجاوز التكاليف (7%)، فجوات الحوكمة (5%)، ومقاومة المؤسسة (4%). الـ 12% الذين يصلون إلى الإنتاج يشتركون في أربع خصائص: نطاق أضيق، استثمار في جاهزية البيانات، بنية أمان متزامنة، والحوكمة قبل النشر. المؤسسات التي تطبق تقييماً منظماً لأنماط الفشل تقلل معدلات الفشل إلى أقل من 15% — تحسن بـ 4 أضعاف.

تحديث — 2026-09-30: تسمم البيانات الوصفية المُقيَّد بوقت التشغيل في Deadbugz — فئة الهجوم الرابعة لـ MCP تُحبط المسح في وقت الموافقة

أفصحت Pillar Security عن Deadbugz في 23 سبتمبر 2026 — حملة نشطة في سلسلة توريد MCP قدمت 23 طلب سحب على GitHub في 74 دقيقة، كل منها يعرض خادم MCP من نوع "productivity-suite". يعمل الخادم بشكل طبيعي عبر ثلاث استدعاءات أدوات؛ بعد الثالثة، يقلب عدّاد الاستدعاءات لكل-عميل الذي يحتفظ به بياناته الوصفية الخاصة: استجابات tools/list وprompts/get اللاحقة توجّه وكيل الذكاء الاصطناعي المتصل إلى البحث عن مفاتيح SSH وبيانات اعتماد AWS وسجل الـshell وتكوين Kubernetes — وإخفاء النشاط عن المشغل. يعلن الخادم عن tools.listChanged، فيجلب العميل التعريفات المسمومة دون إعادة اتصال. تُلاحظ Cloud Security Alliance التقارب الميكانيكي مع حملة "Miasma" السابقة عبر 73 مستودع GitHub. تحليل الآلية الكامل في مقال Deadbugz.

هذه هي فئة هجوم MCP المتميزة الرابعة — بعد حقن أوامر STDIO، وتسمم الأدوات، وتجاوز تثبيت SHA — وهي الفئة التي تُحبط تحديدًا ضوابط وقت الموافقة في الطبقة 3 من قائمة المرجعية هذه. أدوات Deadbugz حميدة حقًا عندما يعتمدها المشغل؛ الحمولة الخبيثة تنتظر خلف بوابة وقت التشغيل. لا يمكن لأي مسح في وقت الموافقة رؤيتها، لأنه في وقت الموافقة لا شيء يُرى. ينتقل سطح الكشف من التثبيت إلى وقت التشغيل.

تضيف هذه القائمة المرجعية ذات الـ 12 ضابطًا بندًا في الطبقة 4: كشف انحراف بيانات الأدوات الوصفية بعد التثبيت. سجّل بصمة تجزئة لكل تعريف أداة يعيده الخادم عند اعتماده — الاسم، والوصف، ومخطط الإدخال، والتعليقات التوضيحية. عندما يشير الخادم إلى tools.listChanged (أو وفق جدول زمني)، اجلب التعريفات الجديدة وقارنها بالبصمة، واعتبر أي اختلاف حدث أمان لانحراف البيانات الوصفية يتطلب موافقة جديدة من المشغل قبل أن تتمكن الأداة المتغيرة من التأثير على إجراءات حساسة. المقارنة نفسها بالبصمة تصطاد فئة تسمم الأدوات السابقة، لأن الهجومين يتشاركان آلية تعريف أداة يتغير بعد الاعتماد. التحقق: اتصل بالخادم المعتمد، ونفّذ ثلاثة استدعاءات أدوات عادية أو أكثر، ثم أعد جلب tools/list وقارنها بالبصمة المسجلة في وقت الموافقة — مصمم Deadbugz ليجتاز كل مراجعة تتوقف قبل ذلك الاستدعاء الرابع.

تحديث — 2026-10-02: مكتب المساعدة بوصفه مركّزًا لبيانات الاعتماد — اختراق DIVD عبر ATA

النظير المهجمي لضوابط الطبقة-2 (المصادقة) والطبقة 3/4 (وقت التشغيل) في قائمة المرجعية هذه وصل إلى الواقع: يوثّق تحليل Sysdig في 2 أكتوبر جهة تهديد وكيلية تخترق المعهد الهولندي للإفصاح عن الثغرات (DIVD) في 21 سبتمبر 2026 بسلسلة ثغرتين يوم الصفر في مكتب مساعدة Zammad — CVE-2026-102489 (تنفيذ عن بُعد للأوامر، CVSS 8.7) وCVE-2026-102490 (رفع صلاحيات محلي، CVSS 8.5) — من جلسة مختطفة إلى صلاحية الجذر في ثوانٍ (Sysdig). تضيف قائمة الـ12 ضابطًا هذه بندًا لجرد الأنظمة: مكتب المساعدة يركّز ملفات تعريف الجلسات، وتدفقات إعادة تعيين كلمات السر، ورموز التكامل — بالضبط الأصول التي يحتاجها وكيل يُسلسل طريقه إلى الجذر. ارسم أي من أنظمتك المتاحة للوكلاء يركّز بيانات الاعتماد بهذه الطريقة، وتحقق من وضعية اختطاف الجلسات فيها (الفئة نفسها التي كشفها Terraform MCP Server بثغرة CVE-2026-16496)، واعتبر «وكيلًا يملك رمزًا لنظام كثيف بيانات الاعتماد» فئة مخاطر متميزة في ضابط الجرد — لأن حالة DIVD بدأتها كامل سلسلة التصعيد من واحدٍ منها.

تحديث — 2026-10-04: عزل قواعد البيانات لكل وكيل بوصفه ضبطة طبقة التخزين

تضيف القائمة الضابطة طبقة جديدة إلى جوار احتواء بوابة النموذج وضبط نطاق الأدوات: قاعدة البيانات لكل وكيل. جمعت Supabase 150 مليون دولار واستحوذت على Turso لتوفير قواعد بيانات لكل وكيل — نمو 600% يُنسب لوكلاء الذكاء الاصطناعي — وهي تصنيع لما كانت قائمة هذا الفصل في تسرب البيانات تعامله بوصفه افتراضاً. مع قاعدة لكل وكيل، تفشل الحركة الجانبية بين مستويات بيانات الوكلاء عند طبقة بيانات الاعتماد لا طبقة الشبكة، ويُحل سؤال التدقيق («أي وكيل كتب هذا السطر؟») بالبناء ذاته. الثمن هو الاتساق بين الوكلاء: الوصلات وبيانات المرجع المشتركة تتقدم إلى طبقة التنسيق.

تحديث — 2026-10-04: اشتراكات MCP Events بيانات اعتماد — والإلغاء غير متماثل

تكتسب فئة جديدة من الأشياء المُدارة في فصل إدارة بيانات الاعتماد في القائمة: اشتراكات MCP Events. تضيف آلية OpenAI اشتراكات أحداث عبر ويب هوك موقعة إلى خوادم MCP — ينشئ events/subscribe اشتراكاً يحمل وضع التسليم، ورابط الاستدعاء، وسر التوقيع HMAC، والمؤشر. تأطير WorkOS هو التأطير العملي: الاشتراك نفسه بيانات اعتماد، ويحتاج إلغاءً وتدويراً وضابط وصول كأي بيانات اعتماد. الجزء غير المتماثل يُكتب في القائمة صراحة: يدعم ChatGPT وضع التسليم عبر الويب هوك لكنه لا يدعم قناصة terminated — إذن «الاشتراك الملغى» قد يستمر في الإطلاق حتى انتهاء صلاحيته Zeit؛ تحقق من وضع التسليم الذي تنفذه منصة وكلائك قبل أن تعامل الإلغاء كأنه فوري.

تحديث — 2026-10-04: تجاوزات Sandbox في CrewAI — أول عائلة ثغرات لإطار عمل مفتوح المصدر منذ Semantic Kernel

يمتد أطروحة الوحدات المحوظمة في هذه الدورة إلى أطر وكلاء مفتوحة المصدر: امتصت CrewAI خمس ثغرات CVE — على رأسها CVE-2026-37008، تنفيذ تعسفي بتجاوز صندوق Python عبر التلاعب بمخطط الكائنات، يليها CVE-2026-2275 (تطبيق تعسفي في CodeInterpreter، صندوق Docker والبديل SandboxPython)، وCVE-2026-2285 (SSRF)، وCVE-2026-2286 وCVE-2026-2287 (قراءة ملفات محلية) — تحت إرشاد CERT/CC VU#221883. وإصلاح CrewAI هو المفسر: أُزيلت أداة CodeInterpreterTool كلياً وأعلن allow_code_execution مهجوراً. سلسلة البديل SandboxPython — تمتد يدها إلى Docker ثم تسقط إلى تنفيذ محلي غير آمن عند الفشل — هي ذات نمط الافتراضات غير الآمنة الذي سجّلته ملاحظة مفتاح المدير الافتراضي في LiteLLM، لكنها الآن في طبقة الإطار: بند الصندوق في القائمة يجب أن يتحقق من أن البديل ينتهي بالرفض لا بالتنازل.

  • تحديد نطاق المصادقة في حزم SDK للوكلاء (سابقة CVE-2026-104873). أصبحت أسطح المصادقة في حزم SDK للأطر فئة ثغرات متكررة — عائلة الصندوق في CrewAI وثغرة langgraph-sdk في LangGraph المعنونة CVE-2026-104873 (أُصلحت في 0.4.4) وصلتا في الأسبوع ذاته. سمح العيب بمعمم معالجات المصادقة المحدودة بنطاق actions، فوصل مستخدم مسجّل إلى خيوط مستخدمين آخرين. بند القائمة: تحقق من عزل المستخدم على مستوى الخيط/الجلسة أولاً بأول من افتراضات معالجات المصادقة في الإطار، وثبّت إصدارات SDK المحملة للإصلاح.

تحديث — 2026-10-06: ثلاث فئات CVE جديدة لـ MCP تدخل قائمة الفحص — قراءة ملفات Confluence، وكشف رموز ArcadeDB، وSSRF في Facebook Ads

يكتسب مخزون ثغرات MCP الذي تتابعه قائمة الفحص هذه ثلاثة أسطح هجوم على مستوى الأداة (bonfy.ai، إحصاءات أمن MCP 2026): CVE-2026-73498 (Atlassian Confluence MCP) — مرّر confluence_upload_attachment مسارات ملفات يقدمها العميل مباشرة إلى استدعاءات فتح الملفات دون تحقق، ما يتيح قراءة تعسفية للملفات عبر معامل المسار في الأداة؛ CVE-2026-67357 (ArcadeDB MCP) — كشفت أداة الإعدادات رمز مجموعة التوافر العالي HA بنص صريح، وهو ما يكفي لـانتحال root عبر ترويسات طلب محددة — فئة فرعية جديدة: تسرب الأسرار عبر استجابة الأداة؛ CVE-2026-19956 (خادم Facebook Ads MCP) — ثغرة SSRF في دالة الترقيم؛ طرف استدعائي بعيد مصادق يقود طلبات من موقع الشبكة للخادم. الترجمة إلى قائمة الفحص: أضيفوا التحقق من المسارات لكل أداة تتعامل مع الملفات (التحقق من الخادم، أبداً من العميل)، ورواوا استجابات الأدوات بحثاً عن تسرب الأسرار — لا المكالمات بحثاً عن الحقن فقط — وقيّدوا مخرجات الشبكة للوحدة حتى لا تحوّل SSRF داخل موصل إلى نقاط وصفية داخلية. كل واحدة تقابل عائلة ضوابط قائمة (تحقق المدخلات، تدقيق الاستجابات، عزل الشبكة) — وهذا هو جدال قائمة الفحص نفسها: الفئات تتغير أسبوعياً، وعائلات الضوابط لا تتغير.

تحديث — 2026-10-11: AgentCorruption — سطح بيانات اعتماد IMDS يصل إلى منصة الوكلاء المُدارة

كشف Zenity Labs عن AgentCorruption (8 أكتوبر 2026، SecTor تورونتو) هو فئة تعريض بيانات الاعتماد التي وُجدت لأجلها ضوابط وقت التشغيل في قائمة الفحص هذه، وقد وُثّق هذه المرة على منصة وكلاء مُدارة. موجّه واحد أُرسل إلى وكيل Amazon Bedrock AgentCore متاح للجمهور وجّه أداة قادرة على HTTP إلى 169.254.169.254، فأعادت خدمة بيانات تعريف المثيل بيانات الاعتماد المؤقتة لدور التنفيذ الافتراضي الخاص بذلك الوكيل — كان نطاق دور التنفيذ الافتراضي لا يقتصر على ذلك الوكيل وحده، بل امتد إلى كل وكلاء AgentCore في حساب AWS نفسه ومنطقته. كانت السلسلة التي تلَت IAM خالصًا: DescribeLogGroups سردت معرّف كل وكيل، وInvokeAgentRuntime وصلت إلى وكلاء داخليين لم يكن المستخدم مخوّلًا لهم قط، وListEvents قرأت كل المحادثات الخاصة، وGetSecretValue استخرجت مفاتيح API ورموز OAuth، وصلاحية كتابة في الذاكرة بين الوكلاء زرعت تغييرات سلوك مستمرة نجت من الجلسة. وهي الفئة ذاتها من بيانات الاعتماد التي وثّقها مقال KEV الخاص بـ LiteLLM في طبقة البوابة — توجيه العبور الذي يحول حدًّا ضعيفًا واحدًا إلى اختراق لحساب السحابة كله — وها هي تصل الآن إلى طبقة المنصة، حيث زوّد الافتراضي الخاص بالمنصة نفسها بيانات الاعتماد مفرطة الامتياز. ترجمة قائمة الفحص لفصيلة ضوابط وقت التشغيل: منع نقاط نهاية بيانات التعريف المحلية (169.254.169.254) عن كل مسار خروج للوحدة، وقراءة سياسة دور التنفيذ صلاحيةً بصلاحية قبل دخول الوكيل حيز الإنتاج، والتحقق من أن الدور لا يستطيع سرد موارد الوكلاء الآخرين في الحساب أو استدعاءها أو قراءتها أو الكتابة فيها. حصّنت AWS الدور الافتراضي في 29 سبتمبر 2026 — أي بعد 278 يومًا من الإفصاح الأول — وهذه هي الدرس الثاني: النافذة بين المُبلَّغ والمُصلَح تقع على عاتق العميل، على أي منصة مُدارة. التحليل الكامل للحادثة في مقال AgentCorruption.

تحديث — 2026-10-20: Splunk CVE-2026-76286 — الرابط المُعدّ داخل الأداة هو بذاته حد ثقة

كشف Splunk في 7 أكتوبر 2026 عن CVE-2026-76286 في خادم MCP الخاص بها (CWE-918، درجة CVSS 5.3، أُصلح في 1.2.1) — تزوير طلبات من جهة الخادم يرسل رمز المنصة الخاص بالمستخدم الجاري إلى الرابط المُعدّ داخل أداة API مخصصة (الإفادة). يلحق هذا المعثور بسجل (صنف جلسات CVSS 10.0 في CVE-2026-16496، وSSRF في Spring AI بعُدّة CVE-2026-45609، وإدراجَي KEV) بدرس تحكم مختلف: الرابط المُعدّ داخل الأداة هو بذاته حد ثقة. ثبّت روابط الأدوات المُعدّة ووثّقها، ولا تقبل أبدًا روابط خام مزوّدة من المستخدمين في إعداد الأدوات، وعامل كل جلب خارجي قامت به الأداة كحامل لبيانات اعتماد الخادم نفسها.

قراءة ذات صلة

بناء تمثيلي: موزع متوسط الحجم ينشر وحدة MCP تقرأ كتالوج NetSuite، وتولد عروض أسعار، وتحتفظ بتوافر المخزون، وتكتب الطلب المقبول مرة أخرى إلى ERP. عناصر التحكم 1–4 (ترحيل SSE، عزل الشبكة، OAuth، هوية الوكيل) هي البنية. عناصر التحكم 5–8 (مسح تسمم الأدوات، المنشأ الموقّع، تقوية STDIO، تحديد المعدل) هي طبقة سلسلة التوريد ووقت التشغيل. عناصر التحكم 9–12 (حدود السياق، مفتاح الإيقاف، تسجيل التدقيق، كشف الظل) هي الطبقة التشغيلية التي تحدد ما إذا كانت الوحدة تعمل لمدة أسبوع أو عام. مرحلة Discovery لمدة أسبوع تنتج مخزون النظام وخريطة سير العمل التي تجعل كل عنصر تحكم قابلًا للتحقق قبل أن تلمس الوحدة حركة مرور الإنتاج.

Discovery لمدة أسبوع. تحصل على مخزون نظام، خريطة سير عمل، ونطاق ثابت — سواء تبني معنا أم لا.

هل تريد هذا مبنياً لأنظمتك؟

كل وثيقة هنا من عمل إنتاجي حقيقي. إذا كان لديك نظام مُستهدَف وسير عمل في الذهن، نستطيع تحديد نطاق بناء في أسبوع واحد.

اطلب بناءً محدد النطاق

اكتشاف مدته أسبوع واحد. تحصل على جرد للأنظمة وخريطة لسير العمل ونطاق ثابت — سواء بنيت معنا أم لا.