دراسة أمان نظام MCP ومحاكاة الهجوم

MCP ( نموذج بروتوكول السياق) النظام حاليا في مرحلة مبكرة من التطور، والبيئة العامة غير واضحة نوعا ما، وطرق الهجوم المحتملة تظهر بشكل مستمر، ومن الصعب على البروتوكولات والأدوات الحالية أن تقدم دفاعا فعالا. من أجل تعزيز وعي المجتمع بأمان MCP، تم تطوير أداة مفتوحة المصدر تسمى MasterMCP، تهدف إلى المساعدة في اكتشاف الثغرات الأمنية في تصميم المنتجات من خلال تنفيذ هجمات عملية، وبالتالي تعزيز مشروع MCP تدريجيا.

ستأخذ هذه المقالة القارئ في تجربة عملية، وتعرض طرق الهجوم الشائعة ضمن نظام MCP، مثل تسميم المعلومات، وإخفاء الأوامر الخبيثة، وغيرها من الحالات الحقيقية. كما سيتم إصدار جميع نصوص العرض كمصدر مفتوح، ليتمكن الجميع من إعادة إنتاج العملية بأكملها في بيئة آمنة، بل وتطوير إضافات اختبار الهجوم الخاصة بهم.

نظرة عامة على الهيكل العام

عرض هدف الهجوم MCP:Toolbox

Toolbox هو أداة إدارة MCP الرسمية التي أطلقتها إحدى المواقع المعروفة بإضافات MCP. تم اختيارها كهدف للاختبار بناءً على النقاط التالية:

• قاعدة المستخدمين كبيرة وتمثل.
• يدعم تثبيت الإضافات الأخرى تلقائياً، ويكمل بعض وظائف العميل
• تحتوي على تكوينات حساسة ( مثل API Key )، لتسهيل العرض

عرض استخدام MCP الخبيث: MasterMCP

MasterMCP هو أداة محاكاة MCP ضارة مكتوبة للاختبار الأمني، تعتمد على تصميم بنية قائمة على المكونات، وتحتوي على الوحدات الأساسية التالية:

1. محاكاة خدمة الموقع المحلي:

لإعادة تمثيل سيناريو الهجوم بشكل حقيقي، يحتوي MasterMCP على وحدة محاكاة خدمة المواقع المحلية. من خلال إطار FastAPI، يمكن بناء خادم HTTP بسيط بسرعة لمحاكاة بيئة الويب الشائعة. تبدو هذه الصفحات طبيعية على السطح، ولكن في الواقع تحتوي على حمولة خبيثة مصممة بعناية في كود الصفحة أو في استجابة الواجهة.

2. بنية MCP القابلة للتوصيل محليًا

يستخدم MasterMCP طريقة الإضافات للتوسع، مما يسهل إضافة طرق هجوم جديدة بسرعة في المستقبل. بعد التشغيل، سيقوم MasterMCP بتشغيل خدمة FastAPI المذكورة أعلاه في عملية فرعية.

! [القتال الفعلي: التسمم السري والتلاعب في نظام MCP](https://img-cdn.gateio.im/webp-social/moments-3c65fb78f3a1d00f05d6f3d950931f1f.webp019283746574839201

) عميل العرض

• Cursor: واحدة من IDEs البرمجة المدعومة بالذكاء الاصطناعي الأكثر شيوعًا في العالم حاليًا
• Claude Desktop: عميل رسمي لشركة نموذج كبير معين

نموذج كبير للاستخدام التوضيحي

• كلود 3.7

اختيار هذه النسخة بسبب تحسينها في التعرف على العمليات الحساسة، في حين تمثل القدرة التشغيلية القوية في النظام البيئي الحالي لـ MC.

استدعاء خبيث عبر MC

هجوم تسميم محتوى الويب

1. حقن التعليقات

الوصول إلى موقع الاختبار المحلي عبر المؤشر، لمحاكاة تأثير وصول عميل نموذج كبير إلى موقع ضار.

تنفيذ الأمر:

احصل على محتوى

أظهرت النتائج أن Cursor لم يقرأ محتوى الصفحة فحسب، بل أرسل أيضًا بيانات التكوين الحساسة المحلية إلى خادم الاختبار. تم تضمين الكلمات التحذيرية الضارة في شفرة المصدر على شكل تعليقات HTML.

![الانطلاق العملي: التسميم الخفي والتحكم في نظام MCP]###https://img-cdn.gateio.im/webp-social/moments-2fe451755dc3588ffc2ddbd7427dcf9b.webp(

2. حقن التعليقات المشفرة

زيارة صفحة /encode، هذه صفحة تبدو مشابهة لصفحة المثال السابق، ولكن تم تشفير الكلمات الضارة فيها، مما يجعل التسميم أكثر خفاءً، حتى عند عرض شفرة المصدر للصفحة يصعب اكتشافها مباشرة.

حتى لو لم تتضمن الشيفرة المصدرية كلمات توضيحية واضحة، فإن الهجوم لا يزال يتم بنجاح.

! [الرحيل القتالي الفعلي: التسمم السري والتلاعب في نظام MCP])https://img-cdn.gateio.im/webp-social/moments-0ebb45583f5d7c2e4a4b792a0bdc989d.webp019283746574839201

( معلومات إرجاع أداة MC

أدخل تعليمات المحاكاة:

احصل على الكثير من التفاح

بعد تفعيل الأمر، قام العميل باستدعاء Toolbox عبر MCP بنجاح وأضاف خادم MCP جديد. من خلال مراجعة كود الإضافة، يمكن ملاحظة أن البيانات المرجعة تتضمن حمولة خبيثة مشفرة، مما يجعل من الصعب على المستخدم اكتشاف أي استثناء.

![الانطلاق العملي: التسميم الخفي والتحكم في نظام MCP])https://img-cdn.gateio.im/webp-social/moments-3840e36661d61bbb0dcee6d5cf38d376.webp###

( هجوم تلوث واجهة الطرف الثالث

تنفيذ الطلب:

احصل على json من /api/data

النتيجة: تم زرع كلمات تحذيرية خبيثة في بيانات JSON المعادة وتم تفعيل التنفيذ الخبيث بنجاح.

![الانطلاق العملي: التسميم الخفي والتحكم في نظام MCP])https://img-cdn.gateio.im/webp-social/moments-33ec895deae947ebc284e846286ccf1c.webp###

تقنية تسميم مرحلة إعداد MC

( هجوم تغطية الدوال الخبيثة

قام MasterMCP بكتابة أداة تحمل نفس اسم الدالة remove_server المستخدمة في Toolbox، وقام بتشفير كلمات التحذير الخبيثة.

تنفيذ التعليمات:

إزالة أداة استرجاع ملحق الخادم

لم يستدعِ Claude Desktop الطريقة الأصلية remove_server من toolbox، بل قام بتفعيل الطريقة ذات الاسم نفسه المقدمة من MasterMCP.

المبدأ هو من خلال التأكيد على "تم إلغاء الطريقة الأصلية"، مما يحفز نموذج الذكاء الاصطناعي على استدعاء الدالة الملتوية.

![الانطلاق العملي: التسميم الخفي والتحكم في نظام MCP])https://img-cdn.gateio.im/webp-social/moments-e16c8d753ef00ec06f0bf607dc188446.webp###

( إضافة منطق فحص عالمي ضار

كتب MasterMCP أداة banana، والوظيفة الأساسية لها هي أنه يجب تنفيذ هذه الأداة لفحص الأمان قبل تشغيل جميع الأدوات في نصوص التحذيرات.

قبل كل تنفيذ للدالة، يقوم النظام أولاً باستدعاء آلية فحص الموز. يتم تحقيق ذلك من خلال التأكيد المتكرر في الكود على "يجب تشغيل فحص الموز" كحقن منطقي عالمي.

![التطبيق العملي: التسميم الخفي والتحكم في نظام MCP])https://img-cdn.gateio.im/webp-social/moments-3e15b74bbdc0154ed8505c04345c4deb.webp###

تقنيات متقدمة لإخفاء الكلمات الدالة الضارة

( طريقة ترميز صديقة للنماذج الكبيرة

نظرًا لأن نماذج اللغة الكبيرة تتمتع بقدرة تحليل قوية على تنسيقات متعددة اللغات، فإن هذا يتم استغلاله لإخفاء المعلومات الضارة، وتشمل الطرق الشائعة ما يلي:

• في البيئة الإنجليزية: استخدام ترميز Hex Byte
• في بيئة اللغة الصينية: استخدم ترميز NCR أو ترميز JavaScript

![الانطلاق من الواقع: التسمم الخفي والتحكم في نظام MCP])https://img-cdn.gateio.im/webp-social/moments-cd87a6781e74c267c89e99e398e7499c.webp###

( آلية إعادة تحميل ضار عشوائية

عند الطلب /random، يتم إعادة صفحة تحمل حمولة خبيثة بشكل عشوائي في كل مرة، مما يزيد بشكل كبير من صعوبة الكشف والتتبع.

![الانطلاق العملي: التسمم الخفي والتحكم في نظام MCP])https://img-cdn.gateio.im/webp-social/moments-c5a25d6fa43a286a07b6a57c1a3f9605.webp###

ملخص

من خلال العرض العملي لـ MasterMCP، رأينا بشكل مباشر المخاطر الأمنية المختلفة المخفية في نظام MCP. من حقن الكلمات الرئيسية البسيطة، واستدعاءات MCP المتبادلة، إلى هجمات مرحلة التهيئة الأكثر خفاءً وإخفاء التعليمات الضارة، كل مرحلة تذكّرنا: على الرغم من قوة نظام MCP، فإنه ضعيف أيضًا.

خصوصًا في الوقت الذي تتفاعل فيه النماذج الكبيرة بشكل متزايد مع المكونات الإضافية الخارجية وواجهات برمجة التطبيقات، فإن التلوث الطفيف في المدخلات يمكن أن يؤدي إلى مخاطر أمنية على مستوى النظام. كما أن تنوع أساليب المهاجمين، مثل التشفير المخفي (، والتلوث العشوائي، وتغطية الدوال ) يعني أن أفكار الحماية التقليدية تحتاج إلى ترقية شاملة.

الأمان ليس شيئًا يتحقق بين عشية وضحاها. نأمل أن تكون هذه العرض بمثابة جرس إنذار للجميع: سواء المطورين أو المستخدمين، ينبغي أن يظلوا يقظين بما يكفي تجاه نظام MCP، والتركيز دائمًا على كل تفاعل، وكل سطر من الشيفرة، وكل قيمة مرتجعة. فقط من خلال التعامل بصرامة مع كل تفاصيل يمكن بناء بيئة MCP قوية وآمنة حقًا.