تهدیدات جدید در پروتکل MCP: چگونه از سرورهای MCP محافظت کنیم؟

با رشد خیره‌کننده پروتکل MCP، یک شکاف امنیتی بزرگ در زیرساخت‌های هوش مصنوعی ایجاد شده است که می‌تواند عامل‌ها را به ابزاری برای حملات سایبری تبدیل کند؛ موضوعی که امنیت سرورهای MCP را به یکی از چالش‌های اصلی تبدیل کرده است.

همگام با شتاب گرفتن به‌کارگیری هوش مصنوعی، زیرساخت‌های پشتیبان آن نیز با سرعتی مشابه در حال تکامل هستند. استانداردهای جدید و رابط‌های اتصال (Connectors) مدام در حال ظهور هستند و مواردی که مورد استقبال قرار می‌گیرند، ظرف مدت چند ماه — و نه چند سال — در سراسر این اکوسیستم گسترش می‌یابند. این سرعت عمل، اگرچه توانمندی‌های هوش مصنوعی را تقویت می‌کند، اما وظیفه تیم‌های امنیتی برای حفظ حفاظت کافی را بسیار دشوار می‌سازد.

سرورهای MCP نمونه بارز این موضوع هستند. پروتکل MCP (Model Context Protocol) در کمتر از ۱۲ ماه پس از انتشار، به استاندارد محبوب برای اتصال عامل‌های هوش مصنوعی (AI Agents) به ابزارها و داده‌های خارجی تبدیل شد؛ به‌طوری که تا دسامبر ۲۰۲۵، تقریبا تمامی دستیارهای برنامه‌نویسی بزرگ و اکثر مدل‌های زبانی بزرگ (LLMs) پیشرو از آن استفاده می‌کردند. این پروتکل با سرعتی فراتر از اکثر استانداردهای زیرساختی دیگر رشد کرده است که در فضای پررقابت مدل‌های زبانی بزرگ، پدیده‌ای نادر محسلحساب می‌شود. اگرچه این روند پذیرش، MCP را به عنوان پروتکل انتخابی Anthropic برای اتصال «عامل-ابزار» تثبیت کرد، اما راهکارهای امنیتی هنوز نتوانسته‌اند خود را با این سرعت هماهنگ کنند.

تعدادی از شرکت‌های امنیت سایبری در حال توسعه محصولاتی برای جبران این خلاء هستند. بسیاری از آن‌ها آنچه را که می‌سازند، «دیوار آتش هوش مصنوعی» (AI Firewall) می‌نامند؛ اما این اصطلاح در حال حاضر دو معنای متفاوت دارد. معنای اول، مربوط به دیوار آتش‌های قدیمی‌تر و مجهز به هوش مصنوعی است که از شبکه در برابر تهدیدات سنتی مانند بدافزارها و نفوذ محافظت می‌کنند. اما معنای دوم و جدیدتر — که تمرکز اصلی ما نیز بر آن است — به دیوار آتش‌هایی اشاره دارد که به‌طور اختصاصی برای دفاع از خود هوش مصنوعی ساخته شده‌اند: یعنی محافظت از مدل‌ها، عامل‌ها و ابزارهایی که به آن‌ها متصل هستند، در برابر تهدیداتی نظیر «تزریق دستور» (Prompt Injection) و نشت داده‌ها. محصول AI Network Firewall شرکت Check Point که در ژوئیه ۲۰۲۶ عرضه شد، در دسته دوم قرار می‌گیرد.

در حال حاضر، نیاز به دیوار آتش هوش مصنوعی در سرورهای MCP بیش از هر جای دیگری خود را نشان می‌دهد؛ این رابط‌های اتصال که به عامل‌های هوش مصنوعی اجازه می‌دهند به ابزارها و داده‌های خارج از سیستم دسترسی داشته باشند، سریع‌ترین بخش در حال رشد زیرساخت هوش مصنوعی است که این نوع دیوار آتش‌ها اکنون باید با آن مقابله کنند.

چگونه MCP در عرض یک سال به استاندارد پیش‌فرض اتصال در هوش مصنوعی تبدیل شد؟

رشد سرورهای MCP خیره‌کننده بوده است. شرکت Anthropic پروتکل MCP را در نوامبر ۲۰۲۴ به عنوان یک استاندارد باز معرفی کرد. در دسامبر ۲۰۲۵، این شرکت اعلام کرد که بیش از ۱۰,۰۰۰ سرور عمومی و فعال MCP در حال اجرا هستند و خدماتی نظیر AWS، Google Cloud، Azure و سایر ارائه‌دهندگان نیز از استقرار آن‌ها پشتیبانی می‌کنند. اکنون تمامی پلتفرم‌های پیشرو هوش مصنوعی و دستیارهای برنامه‌نویسی، از جمله ChatGPT، Gemini، Microsoft Copilot، Cursor و Visual Studio Code از MCP استفاده می‌کنند.

این رشد سریع عمدتا ناشی از نیاز مبرم به یک اتصال استاندارد بین سیستم‌های هوش مصنوعی و ابزارها و داده‌های خارجی است. مزیت کلیدی یک سرور MCP این است که به عامل‌ها، دستیارها و ابزارهای برنامه‌نویسی اجازه می‌دهد به جای نیاز به ساخت رابط‌های اختصاصی برای هر مورد، از یک رابط واحد برای اتصال امن به چندین ابزار و منبع داده استفاده کنند.

اما MCP در کنار این مزایا، عرصه حملات کاملا جدیدی را نیز به همراه آورده است؛ آن هم با سرعتی که بسیار فراتر از شبکه امنیتی پشتیبان آن حرکت می‌کند. دفاع‌های فعلی هوش مصنوعی برای شرایطی طراحی نشده‌اند که در آن عامل‌ها به‌صورت پویا (Dynamic) به ابزارها و سیستم‌های حساس دسترسی پیدا می‌کنند. همان‌طور که تحقیقات نشان می‌دهند، این شکاف امنیتی بسیار عمیق‌تر از آن چیزی است که تصور می‌شود.

وقتی یک سرور MCP دچار ضعف می‌شود، واقعا چه اتفاقی می‌افتد؟

پروژه امنیت اپلیکیشن‌های جهانی (OWASP)، تعدادی از تهدیدات جدی را که می‌تواند سرورهای MCP را تحت تأثیر قرار دهد، مشخص کرده است. «مسموم‌سازی ابزار» (Tool Poisoning) یکی از نگرانی‌های اصلی است؛ این روش با ارتقای سطح حملات تزریق دستور (Prompt Injection)، دستورالعمل‌های مخرب را در توضیحات ابزار، طرحواره‌ها (Schemas) یا مقادیر بازگشتی ابزار جاسازی می‌کند تا رفتار عامل هوش مصنوعی را دستکاری کند.

حملات «Rug pull» (تغییر ناگهانی و مخفیانه شرایط) نیز از ویژگی‌های منحصربه‌فرد اکوسیستم نوظهور هوش مصنوعی هستند. در این نوع حمله، مهاجم تعریف یک ابزار را پس از آنکه توسط انسان تأیید شده است، تغییر می‌دهد و از اعتمادی که از اثر آن تأیید ایجاد شده، سوءاستفاده می‌کند. حملات «سایه‌سازی ابزار» (Tool Shadowing) و «افزایش سطح دسترسی فرامرزی» (Cross-origin escalation) نیز به شکلی مشابه عمل می‌کنند؛ به این صورت که مهاجم از توضیحات یک سرور مخرب استفاده می‌کند تا نحوه استفاده‌ی عامل از ابزارهای متعلق به یک سرور دیگر و قابل اعتماد را دستکاری کند.

این آسیب‌پذیری‌ها هم چندان نادر نیستند. تحلیل انجام شده توسط شرکت Lakera (شرکت امنیت هوش مصنوعی که در سال ۲۰۲۵ توسط Check Point خریداری شد)، ۱۰,۰۰۰ سرور MCP را بررسی کرد و دریافت که ۴۰ درصد آن‌ها دارای نقاط ضعف قابل بهره‌برداری هستند.

تهدیدات دیگر اگرچه آشنا هستند، اما در این بستر بسیار خطرناک‌تر شده‌اند. مهاجمان از سرورهای MCP برای «استخراج داده‌ها» (Data Exfiltration) استفاده می‌کنند؛ به این صورت که اطلاعات حساس را به‌طور پنهانی در فراخوان‌های ظاهرا قانونی ابزار (مانند جستجوها یا ایمیل‌ها) قرار می‌دهند. همچنین، آن‌ها می‌توانند با اعطای دسترسی‌های بیش از حد نیاز به سرور، از مجوزهای گسترده‌ی آن برای ایجاد آسیب‌پذیری‌های بزرگتر سوءاستفاده کنند.

چرا امنیت سرورهای MCP با امنیت «عامل هوش مصنوعی» یکسان نیست؟

اگرچه امنیت MCP حیاتی است، اما تنها جنبه‌ی اصلی مسئله نیست. اتصال از طریق سرورهای MCP تنها یکی از چندین راهی است که عامل‌های هوش مصنوعی می‌توانند به ابزارها و داده‌های مورد نیاز خود دسترسی پیدا کنند.

ایمن‌سازی این مسیر گام مهمی در جلوگیری از مسموم‌سازی ابزار، دسترسی غیرمجاز و نشت داده‌ها است، اما به تنهایی کافی نیست. عامل‌ها همچنان می‌توانند بدون استفاده از MCP با سایر سیستم‌ها تعامل داشته باشند.

این موضوع باعث می‌شود امنیت MCP تنها یکی از رشته‌های موجود در بافت گسترده‌ی امنیت هوش مصنوعی باشد. هنگام انتخاب تأمین‌کنندگان راهکار امنیتی برای سرورهای MCP، باید آن‌ها را در بافت کلی امنیت در نظر بگیرید. ارزیابی میزان اثربخشی آن‌ها در ایمن‌سازی تعاملات و ریسک‌های خاص MCP بسیار مهم است، اما همچنان به کنترل‌های اضافی برای محافظت از کل اکوسیستم هوش مصنوعی خود نیاز خواهید داشت؛ بنابراین بررسی کنید که این راهکار چقدر با سایر بخش‌های زیرساخت امنیتی شما یکپارچه می‌شود.

چه کسانی در حال جبران این خلاء هستند؟

خبر خوب این است که تیم‌های امنیتی گزینه‌های مختلفی پیش رو دارند. تعدادی از شرکت‌ها راهکارهای امنیتی ارائه می‌دهند که سرورهای MCP و نقش آن‌ها را در زیرساخت هوش مصنوعی مد نظر قرار داده‌اند.

* TrueFoundry: سرویس AI Gateway این شرکت، حاکمیت (Governance) در لایه زیرساخت، کنترل دسترسی و ممیزی (Auditing) برای تعاملات بین ابزارهای MCP و عامل‌ها را فراهم می‌کند.

* Cisco: این شرکت محصول AI Defense خود را گسترش داده تا شامل حفاظ‌های رفتاری (Guardrails) رو به عامل، اسکن MCP و بازرسی لحظه‌ای ترافیک MCP شود که برای شناسایی و مسدود کردن رفتارهای ناامن طراحی شده است.

* Check Point: راهکار AI Network Firewall این شرکت رویکرد متفاوتی دارد. این محصول «شبکه‌محور» است و امنیت هوش مصنوعی را با زیرساخت دیوار آتش موجود مشتریان ادغام می‌کند. این دیوار آتش، تعاملات کارکنان، اپلیکیشن‌های هوش مصنوعی و عامل‌ها را در هنگام استفاده از MCP و همچنین سایر ارتباطات بین سیستم‌های هوش مصنوعی و داده‌ها/ابزارهای خارجی بررسی می‌کند. این سیستم سرورهای MCP را شناسایی، ترافیک آن‌ها را بازرسی و سیاست‌های مربوط به دسترسی عامل‌ها را اعمال می‌کند.

همواره زمانی که زیرساخت با چنین سرعتی گسترش می‌یابد، امنیت با تأخیر مواجه می‌شود و MCP نیز از همین الگو پیروی می‌کند. در حال حاضر شاهد هستیم که شرکت‌ها و سازمان‌ها در حال آزمایش راهکارهای مختلف برای این مشکل نوظهور هستند؛ خواه این راهکار یک دیوار آتش در سطح شبکه باشد، خواه حاکمیت در سطح زیرساخت یا حفاظ‌های اختصاصی هوش مصنوعی. اینکه کدام رویکرد پیروز خواهد شد اهمیت چندانی ندارد، بلکه مسئله اصلی این است که آیا تیم‌های امنیتی می‌توانند این شکاف را پیش از آنکه یک حمله‌ی مخصوص MCP، آن‌ها را مجبور به واکنش کند، پر کنند یا خیر.