العودة إلى المكتبة
الأمن والحوكمة

حماية خوادم MCP أصبحت فئة منتجات: اختبار buy-vs-build على أساس 12 ضابطًا

بقلم آخر تحديث: 2026年10月14日

في 14 أكتوبر 2026 أطلقت Radware (NASDAQ: RDWR) Model Context Protocol (MCP) Server Protection — أول منتج دفاع MCP مصمَّم خصيصًا من مزوّد أمن شبكات مدرَج في البورصة. يحيل الإطلاق إلى تقرير Stacklok بعنوان State of Model Context Protocol in Software 2026 بوصفه إطار السوق: نحو نصف شركات البرمجيات المستطلَعة تشغّل خوادم MCP في الإنتاج، و19% في إنتاج واسع. مزوّد مُدرج لا يصنع منتجًا لسطح أمني فارغ. وفي الوقت نفسه يستمر دفتر الهجمات في الامتداد: كشف MCP Server الخاص بـ Splunk نفسه CVE-2026-76286 في أكتوبر — ثغرة SSRF تسلّم رمز التحقق الخاص بالمستخدم في Splunk إلى أي عنوان يُشار إليه في تكوين أداة مخصصة. فالسؤال أمام القادة الهندسيين لم يعد «هل يجب أن نُقوّي خوادم MCP لدينا» — قائمة المراجعة المكوَّنة من 12 ضابطًا حسمت ذلك. السؤال الآن: ماذا يغلق شراء حماية MCP فعلًا، وماذا يتركه مفتوحًا؟

تُقابل هذه المقالة مجموعات القدرات الخمس المعلنة من Radware بأساس الضوابط الاثني عشر. النتيجة: 3 ضوابط تُغلَق عند حافة الشبكة، و5 تُغطى جزئيًا، و4 — ضوابط طبقة التطبيق التي تحدد ما إذا كان الاختراق ضجيجًا أم صمتًا — تبقى بنيةً على عاتق المشغّل، في كل نشر، مع المنتج أو بدونه. مصفوفة القرار أدناه هي المُنتَج.

علامتان صدق قبل المصفوفة، لكليهما أثر في قراءتها. أولهما أن قدرات المنتج تصاميم نية مأخوذة من بيان صحفي — كل واحدة صيغت بلغة «مصمَّم لـ»، وندوة Radware في 3 ديسمبر هي مكان التحقق لا الإعلان نفسه. وثانيهما أن المُقابلة أدناه تجري بضعف قائمة القدرات المعلنة؛ إنها فرضية قابلة للاختبار حول ما يمكن لمنتج طبقة الشبكة رؤيته، لا مراجعة لسلوك مُسلَّم. شغّل حركتك أنت على أدلة التقوية الخاصة بك قبل إدراج منتج أي جهة في أمر شراء.

الاستخلاصات الرئيسية

  • أطلقت Radware (NASDAQ: RDWR) في 14 أكتوبر 2026 حماية مخصصة لخوادم MCP — أول منتج دفاع MCP من مزوّد أمن شبكات مدرَج، استنادًا إلى استطلاع Stacklok State of MCP 2026: نحو نصف شركات البرمجيات تشغّل خوادم MCP في الإنتاج، و19% في إنتاج واسع.
  • كشف Splunk في 7 أكتوبر 2026 عن CVE-2026-76286 في MCP Server خاصته (CWE-918، CVSS 5.3، أُصلح في 1.2.1) — ثغرة SSRF ترسل رمز المنصة للمستخدم الجاري إلى أي عنوانٍ تشير إليه تهيئةُ أداةِ API مخصصة؛ تُضاف إلى دفتر يحوي أول نقطة CVSS 10.0 في المنظومة (CVE-2026-16496) وإدراجين في CISA KEV.
  • مقابل أساس التقسية من 12 ضابطًا، يغلق منتج MCP لطبقة الشبكة 3 ضوابط — عزل الشبكة، الفيضان وDoS، كشف الخوادم الظلية — ويترك 4 ضوابط لطبقة التطبيق (إثبات المنشأ، تقوية STDIO، حدود السياق، مفتاح الإيقاف) للمشغّل في كل نشر.
  • أسطر الغطاء الجزئي الخمسة كشفٌ لا فرض — كشف هجمات التحقق، ومراقبة هوية الوكلاء، وتنبيهات التدقيق عند نقطة الشبكة لا تعوض نشر OAuth ولا دورة حياة الهوية ولا سجل تدقيق غير قابل للتغيير لكل استدعاء.
  • الضوابط الـ12 هي أيضًا هوية RFP — قائمة Radware المعلنة تدّعي رؤية الأدوات والموارد المكشوفة لكن لا تدّعي كشف انحراف tools/list، لذا يبقى ضابط البصمة والمقارنة الذي يصطاد تسميم البيانات الوصفية من فئة Deadbugz على قائمة بناء المشغّل.

المزوّد المُدرَج يبني حيث يكون الطلب قابلًا للقياس

تتشكًل فئات المنتجات الأمنية إذا اجتمعت أربع شروط مسبقة في آنٍ واحد: أن تكون المخاطر مجردة، والهجمات محددة، والحوادث مسمًّاة، والطلب قابل للقياس. وفي هذا الشهر عبرت MCP جميع الخطوط الأربعة في آنٍ واحد:

  • المخاطر مغرفة. يفهرس دليل OWASP MCP Top 10 عشر فئات مسمًّاة — من Token Mismanagement إلى Context Injection وOver-Sharing — في الإصدار التجريبي Beta v0.1.
  • الهجمات محددة. أربع فئات هجوم مجتمعية موثّقة بتفصيل على مستوى الإنتاج: حقن أوامر STDIO (شركة OX Security، أكثر من 150 مليون تنزيل متأثر)، باب خلفي في Postmark للمستخدم (تسميم أدوات داخل حزمة npm ذات مظهر مشروع)، تجاوز الشمع المثبت SHA، وتسميم البيانات الوصفية المراقب زمنيًا Deadbugz (23 طلب سحب في 74 دقيقة، تعريفات أدوات خبيثة لا تظهر إلا بعد ثلاث استدعاءات موثوقة).
  • الحوادث مسمًّاة ومرقمة. وضع CVE-2026-16496 أول CVSS 10.0 في المنظومة — تجاوز لاختطاف الجلسة في النقل ذي الحالة في Terraform MCP Server. اثنان من ثغرات MCP المجاورة وصلا إلى فهرس الثغرات المُستغلّة الكُنُوزية الكُنُوزي، والثاني (CVE-2026-59822، CVSS 8.8) مع موعد إصلاح اتحادي 16 سبتمبر. كشف Splunk CVE-2026-76286 في MCP Server خاصته في 7 أكتوبر، أُصلح في 1.2.1. وأظهر AgentCorruption من Zenity نطاق الضرر للمنصة المُدارة: رسالة واحدة أرسلت إلى وكيل عام مكشفت بيانات اعتماد وصلت إلى كل وكيل في حساب AWS.
  • الطلب مُقاس. يضع استطلاع Stacklok التبني حيث يمكن للموردين قياس سوق: نحو نصف شركات البرمجيات المستطلَعة في الإنتاج، و19% في إنتاج واسع — قبل مجموعات الخدمات المالية والتجزئة التي استطلعتها بالطريقة ذاتها.

أرقام المسح تُقفل حلقة الإلحاح: 1,467 خادم MCP متاح بلا مُصادقة (العد المُصحَّح من Trend Micro، 1,227 منها على النقل المتخلى SSE)، و82% انكشاف تجاوز مسار مع 8.5% تبني OAuth على 2,614 خادمًا استطلعت (Practical DevSecOps). صاغ كبير مسؤولي التقنية في Radware David Aviv تزكية المنتج في جملة واحدة: «تحتاج المنظمات إلى معرفة أي خوادم MCP لديها، وما تكشفه تلك الخوادم، وأي الوكلاء تصل إليها، وهل تُعد تلك التفاعلات آمنة». جملة تلك — حرفياً تقريبًا — ضوابط الجرد والمراقبة من قائمة المراجعة؛ الآن أصبحت كلمة تسويق.

ما يزعمه المنتج — خمس مجموعات قدرات

يضع الإعلان Radware MCP Server Protection بجوار خطوطها القائمة Agentic AI Protection وLLM Firewall، بوصفه يُنشر كخدمة سحابية (Cloud Application Protection Service) أو مُدار محليًّا بتعزيز سحابي على Alteon وDefensePro، عبر السحابة العامة والخاصة وKubernetes ومراكز بيانات قائمة على العتاد. خمس مجموعات قدرات تدَّعى:

  1. رؤية سطح الهجوم لـ MCP — الخوادم المُنشر، الأدوات والموارد المكشوفة، نشاط الوكلاء، أنماط الاستخدام، تدفقات الاتصال.
  2. حماية من الهجمات الواعية لـ MCP — إساءة البروتوكول، هجمات التحقق، تَعَدَاد الأدوات والموارد، تفاعلات MCP غير مصرح بها، فيضان أدوات بسياسة الذكاء الاصطناعي، حرمان من الخدمة.
  3. الحوكمة — تقدير الكشف، تحديد الفواطئ، فرض السياسات بمقياس واسع.
  4. مراقبة نشاط الوكلاء — هويات الوكلاء، أنماط استدعاء الأدوات، الشواذ السلوكيات، اتجاهات استهلاك الموارد.
  5. مرونة النشر — خدمة سحابية، أو إدارة محلية بتعزيز سحابي على Alteon وDefensePro.

اقرأ تلك القائمة على ضوء دفتر الهجمات والتطابق حقيقي لكن جزئي. إن مجموعة الحماية (2) سميت بالضبط الأسطح الهجومية المرئية على السلك: إساءة بروتوكول، عد، فيضان، حرمان من الخدمة — الفئات ذاتها التي يتتبعها مقال MCP Paradox إلى التصميم بلا احتكاك للبروتوكول. وغيابات القائمة لا تقل أهمية: ما في السطر يدّعي كشف انحراف تعريفات الأدوات (فئة Deadbugz)، ولا في السطر يدّعي إثبات منشأ الحزمة، ولا في السطر يدّعي فرض نافذة السياق، ولا في السطر يدّعي مفتاح الإيقاف. أولئك هم الضوابط المحيّون قبل الوحدة وداخلها — وهم الذين يسجّل مصفوفة هذه المقالة على عاتق المشغّل.

تُظهر CVE من Splunk لماذا يُحدث هذا الفارق عمليًا. ثغرة CVE-2026-76286 عيب في تكوين الأداة: أرسل MCP Server رمز التحقق في المنصة للمستخدم الجاري إلى العنوان المُهيأ لهذه الأداة — وإذا كان مستخدم آخر قاطنًا ذلك العنوان، يمكنه التقاط الرمز والعمل كمستخدم. يمكن لضابط شبكة أن يُنذر محاولة الخروج بعد الحدوث؛ الإصلاح قاعدة تكوين سابقة في أساس الـ12 الضوابط — يتحقق الخادم ويملك كل عنوان مُهيأً للأداة، ويُضيّق مخرج الوحدة قبل أن يتحرك الرمز (CWE-918، CVSS 5.3، أُصلح في 1.2.1). الكشف عند الحافة والفرض في التكوين ضابطان مختلفان، ولا يمنع الرمز من مغادرة إلا واحد منهما.

اختبار buy-vs-build على 12 ضابطًا

المصفوفة أدناه هي مُنتَج العمل لهذا المقال. تُسجَّل الحالة في ضوء مجموعات القدرات الخمس المعلنة: يغلق تعني أن القدرة المعلنة تغطي فئة هجوم الضابط عند حافة الشبكة؛ جزئي تعني أن المنتج يرى أو يكشف السطح بينما يبقى الفرض أو دورة حياة الهوية أو السجل المُعتمد على المشغّل؛ غير مغطًّا تعني أن سطح الضابط غير مرئي من أداة طبقة الشبكة بحكم البناء — وليس بالضرورة بفعل منتج محدد.

# الضابط ما يدّعي المنتج أنه يغطيه الحالة ما يبقى معك
1 التهجّر SSE → Streamable HTTP الجرد يشير إلى خوادم قديمة SSE جزئي التهجّر نفسها — تغيير معماري، ليست قاعدة ترشيح
2 عزل الشبكة وتحقق الأصل فرض الحدود على L3–L7 (ملعب المزوّد) يغلق تحقق Host/Origin داخل SDK يبقى في طبقة التطبيق
3 فرض OAuth 2.1 + OIDC كشف هجمات التحقق، التفاعلات غير المصرح بها جزئي إصدار الرموز، الجداول، ربط المستمع RFC 8707 — النشر عليك
4 فصل هوية الوكلاء مراقبة هياكل الوكلاء، الشواذ السلوكية جزئي التزويد، التوثيق، دورة حياة الإبطال (SCIM/SPIFFE) عليك
5 فحص تسميم الأدوات / كشف الانحراف إساءة البروتوكول والتَّعَدَاد على السلك جزئي الفحص عند الموافقة وبصمة tools/list بعد التثبيت (فئة Deadbugz) عليك
6 إثبات منشأ موقّع وAIBOM — غير مغطًّا السجل وسلسلة إمدادات npm: هجمات تخطط قبل أن يتكلم الخادم
7 تقوية STDIO — غير مغطًّا نقل localhost بين العميل والعملية الفرعية؛ لا حركة على السلك تُفحص
8 حد المعدل (فيضان / DoS) فيضان أدوات قادم من الذكاء الاصطناعي، حرمان من الخدمة يغلق حدود على مستوى الوحدة لكل أداة وكل وكيل بعيدًا عن الحدود
9 حد السياق (OWASP MCP10) — غير مغطًّا ما يقرأه النموذج داخل الجلسة ليس بيانات شبكة
10 مفتاح إيقاف لكل وحدة — غير مغطًّا رمز الميزة؛ حجب الشبكة احتواء أخير
11 سجل تدقيق لكل استدعاء تنبيهات التدفق والشواذ عند نقطة الشبكة جزئي JSON الثابت لكل استدعاء — مع بصمة الإدخال — عليك
12 كشف الخوادم الظلية اكتشاف سطح الهجوم للخوادم المُنشرَة يغلق تدقيق السجل وسياسة الانحراف اللذان يعرّفان «المعلوم الجيد»

الحالة: 3 تغلق، 5 جزئيًا، 4 غير مغطًّا. البنية ذاتها تنطبق لأي مزوّد في هذه الفئة الصاعدة، لأن الفارق ليس حدودًا في المنتج — بل حدًّا معماريًّا. إن ملاحظة UpGuard بأن خادم MCP واحدًا من كل 15 تقليدًا مخادعًا غير مرئي لحدود الشبكة إذا كان التقليد في جانب npm؛ وحمولة Deadbugz تصل داخل استجابات MCP مشروعية يراها مراقب، لكنه لا يستطيع الحكم على دلالاتها؛ ونافذة سياق النموذج تكمن خلف كل حدٍّ يمكن لمنتج الشبكة فرضه.

المصفوفة في نظرة واحدة: ثلاث شرائح تغطية، والأرقام السوقية خلفها، وقاعدة RFP التي تحملها الصورة:

دفاع خوادم MCP أصبح تجاريًّا ما يغلقه منتج شبكي مخصص على أساس التقوية من 12 ضابطًا لـ MCP — 14 أكتوبر 2026 يغلق جزئي عليك وحدك ≈50% من شركات البرمجيات تشغّل MCP في الإنتاج Stacklok State of MCP 2026 19% في إنتاج واسع بالفعل استطلاع Stacklok 1,467 خوادم MCP مكشوفة، بلا مصادقة مسح Trend Micro 1 يُغلق عند حافة الشبكة يدّعي Radware: رؤية سطح الهجوم، حماية واعية للبروتوكول، الفيضان وDoS 3 من 12 ضابطًا الضابط 2 فرض عزل الشبكة مفروض عند حد L3–L7 — ملعب المزوّد الضابط 8 حماية الفيضان وDoS فيضان أدوات بالذكاء الاصطناعي، عدّ، إساءة بروتوكول الضابط 12 كشف الخوادم الظلية رؤية سطح الهجوم: خوادم منشورت، أدوات مكشوفة، نشاط وكلاء 2 جزئي — يُرى عند الحافة، ملكيتك أنت الكشف له قيمة حقيقية؛ هو ليس فرضًا 5 من 12 ضابطًا الضابط 1 رؤية نقل SSE يشير إلى خوادم SSE المتخلية؛ التهجّر عليك الضابط 3 كشف هجمات التحقق يكشف هجمات التحقق؛ نشر OAuth 2.1 عليك الضابط 4 مراقبة هوية الوكلاء يرى هويات الوكلاء؛ التزويد والثلن عليك الضابط 5 غطاء إساءة البروتوكول التَّعَدَاد مغطَّى؛ دلالة انحراف Deadbugz غير مدّعاة الضابط 11 تدقيق عند نقطة الشبكة تنبيهات تدفق وشواذ؛ JSON لكل استدعاء ثابت عليك 3 غير مغطًّى — غير مرئي لطبقة الشبكة هذه الأسطح تعيش قبل الوحدة وداخلها 4 من 12 ضابطًا الضابط 6 إثبات المنشأ وAIBOM السجل وسلسلة إمدادات npm — قبل أن يتكلم الخادم الضابط 7 تقوية STDIO نقل localhost بين العميل والعملية الفرعية الضابط 9 حد السياق (MCP10) ما يقرأه النموذج في الجلسة ليس بيانات شبكة الضابط 10 مفتاح إيقاف لكل وحدة رمز الميزة الخاص بك؛ حجب الشبكة وسائل أخير الخلاصة اشترِ طبقة الشبكة إذا كان الكشف شكلًا سلكيًّا. ولا تترك الضوابط الأربعة لطبقة التطبيق. اجعل الـ12 ضابطًا هي RFP: اطلب كشف انحراف Deadbugz وإثبات تدقيق لكل استدعاء. اختبار buy-vs-build على 12 ضابطًا — ideabosque.com/library

شراء الجُزئيات ما يزال عقلانيًا — إن سجّلتها بصدق

أسطر الغطاء الجزئي الخمسة هي حيث تنحرف محادثات الشراء. «كشف هجمات التحقق» لا يعني أن OAuth 2.1 منشَر، ومراقبة هوية الوكلاء لا تعني أن هويات الوكلاء قابلة للإبطال. للجُزئيات قيمة حقيقية — الكشف بلا فرض عامل إنذار, والجرد الشبكي الذي يجد خوادم لم تسجّلها هو أسرع إحصاء shadow-MCP يمكنك شراءه. سجّلها غطاء كشف، لا إغلاقًا للضابط:

  • جُزئيات C1/C3/C4 لا تصير ضوابط كاملة إلا إذا حدث عمل المشغّل نفسه — التهجّر النقل، نشر OAuth، دورة حياة الهوية. المراقبة قد تقود قائمة الإصلاح؛ لا تصير هي الإصلاح.
  • جُزئي C5 يستحقه سؤال RFP محدد، لأنه أشد الفجوات أثرًا: هل يقدر المنتج على مقارنة استجابات tools/list لخادم عبر الزمن والتنبيه على انحراف دلالي؟ الإعلان سمى رؤية الأدوات والموارد المكشوفة — لا تدّعي كشف الانحراف، وDeadbugz مصمم لهزيمة كل مراجعة تتوقف قبل استدعاء رابع غير مُقارَن.
  • جُزئي C11 يقطع في الاتجاهين: التنبيهات عند نقطة الشبكة تغذّي الكشف عن الشواذ الذي لا ترى الوحدة، لكن سجل التدقيق المُعتمد — طوابع زمان، هوية الوكيل، الأداة، بصمة الإدخال، حالة المخراج — يجب أن يكون مُهيكَلًا، ثابتًا، وتحت سلطتك. AgentCorruption هو المثال المضاد الذي يحسم التساؤل: بعد أن كشف دور افتراضي في المنصة كل وكيل في الحساب، لم يُجب «أي وكيل، أي أداة، إدخال مَن» إلا من سجلات ملكها المشغّل.

حدّ buy-vs-build

أربع قواعد تُشتَق من المصفوفة:

  1. اشتر طبقة الشبكة إذا كان كشفك شكلًا شبكيًّا. الفيضان والتَّعَدَاد وإساءة البروتوكول والمجتمع غير المعلوم من الخوادم مشاكل مرئية على السلك، ومزوّد بجذور في DDoS/WAF يقدّرها ويشغّلها كخدمة. إذا كنت تُشغّل أسطولًا من الوكلاء متعدد المستأجرين ومتعدد الفرق على بنية مشتركة، فهذه الطبقة على الأرجح كفاءة مركزية لجهة أخرى.
  2. اصبح الضوابط الأربعة لطبقة التطبيق مع الشراء أو بدونه. إثبات المنشأ (C6)، تقوية STDIO (C7)، تدقيق السياق (C9)، ومفتاح الإيقاف (C10) ليسوا على قائمة مزوّد الشبكة هذا الأسبوع، وليسوا قابلين للشراء كصفّ منتجات — بل صفات كيفية بناء وحدات وتشغيلها. معيار مدونة وحدات MCP هو مرجع جانب البناء لجعلها قابلة للفرض داخل الوحدة.
  3. حوّل الضوابط الـ12 إلى RFP. اطلب من أي مزوّد أمن MCP محتمل أدلة مقابل المصفوفة، لا ادعاءات: عرض كشف انحراف مقابل نمط Deadbugz، سجل تدقيق نموذج مطابق لمخططك، والنطاق الدقيق لـ«الحوكمة» — فرض على ماذا، وفُرِض أين. ما يثبته المزوّد يُغلق، وما لا يستطيع يبقى على قائمة بنائك.
  4. لجانب البناء مرجع مجاني. يقدّم Microsoft Agent Governance Toolkit غطاءً 10/10 لـ OWASP MCP Top 10 (7 كاملًا، 3 جزئيًا مع خارطة طريق) بوصفه بيئة تشغيل مفتوحة المصدر — المُكمّل غير التجاري للحد التجاري. نمط التسجيل في قائمة المراجعة (12/12 جاهز للإنتاج؛ دون 8 لا تعريض للإنتاج) هو بوابة القبول للجانبين.

ويتوسّع النمط إلى ما يفوق Radware: موجات Black Hat 2026 جلبت كشفًا للخوادم الظلية (Cyera Agent Guardian)، وحوكمة هوية (SailPoint)، والمراقبة في طبقة الشبكة (Check Point AI Network Firewall) — غطاءتها قائمة المراجعة الأم في سجل التحديثات — ويحمل مزوّدو البوابات مثل TrueFoundry نصف الحوكمة. دخول Radware يضع مزوّدًا مدرَجًا خلف المنتج المخصص. التقارب في هذه الفئة هو عمل السوق من هنا؛ والضوابط الأربعة التي لا يراها منتج الشبكة تظل للمشغّل.

قراءة ذات صلة

بناء تمثيلي: موزّع متوسط الحجم يكشف وحدة MCP واحدة في الإنتاج — قارئ كتالوج NetSuite ومولّد عروض أسعار مع كتابة راجعة إلى ERP. طبقة الشبكة (بأية صورة منتج يثق بها جهازك مجمعًا) تكتشف الوحدة، وتراقب حركة الوكلاء، وتُثبّت الفيضان عند الحدود. الضوابط الأربعة لطبقة التطبيق مبنية داخل الوحدة قبل أول استدعاء أدوات: إثبات منشأ موقّع للأثر، لا مسارات محكومة بالمستخدم في STDIO، سياق مُضيّق لكل أداة، مفتاح إيقاف مُجرَّب مرة في بيئة التمثيل (staging). مرحلة الاكتشاف الأسبوعية تنتج جرد الخوادم وبطاقة تسجيل الـ12 ضابطًا التي تحول قائمة قدرات أي مزوّد — هذا أو التالي — إلى استجابة RFP قابلة للتحقق بدل شريحة عرض.

اكتشاف أسبوع. تحصل على جرد أنظمة، وخريطة سير عمل، ونطاق ثابت — سواء بنيت معنا أم لا.

هل تريد هذا مبنياً لأنظمتك؟

كل وثيقة هنا من عمل إنتاجي حقيقي. إذا كان لديك نظام مُستهدَف وسير عمل في الذهن، نستطيع تحديد نطاق بناء في أسبوع واحد.

اطلب بناءً محدد النطاق

اكتشاف مدته أسبوع واحد. تحصل على جرد للأنظمة وخريطة لسير العمل ونطاق ثابت — سواء بنيت معنا أم لا.