بروتوكول MCP يكشف عن ثغرة تنفيذ عن بُعد على مستوى التصميم، أنثروبيك ترفض تغيير الهيكلية

وفقًا لمراقبة Dongcha Beating، كشفت شركة الأمان OX Security مؤخرًا عن ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) على مستوى التصميم في بروتوكول سياق النموذج (MCP)، وهو بروتوكول مفتوح يقوده شركة Anthropic ويعمل كمعيار فعلي لوكلاء الذكاء الاصطناعي الذين يستدعون أدوات خارجية. يمكن للمهاجمين تنفيذ أوامر عشوائية على أي نظام يعمل بتنفيذ MCP معرض للثغرة، مما قد يسمح بالوصول إلى بيانات المستخدم، قواعد البيانات الداخلية، مفاتيح API، وسجلات الدردشة. لا تنبع الثغرة من أخطاء برمجية من قبل المنفذين، بل من السلوك الافتراضي لمجموعة أدوات Anthropic الرسمية عند التعامل مع نقل STDIO. تتأثر الإصدارات في بايثون، تايب سكريبت، جافا، ورست جميعها. STDIO هو طريقة نقل في MCP تسمح للعمليات المحلية بالتواصل عبر الإدخال والإخراج القياسي. تقوم معلمات StdioServerParameters في المجموعة الرسمية مباشرة بتشغيل العمليات الفرعية استنادًا إلى معلمات الأمر في التكوين، مما يعني أنه إذا لم يقم المطورون بإجراء تنظيف إضافي للمدخلات، فإن أي إدخال من المستخدم يصل إلى هذه النقطة يمكن أن يتحول إلى أوامر نظام. تصنف OX Security سطح الهجوم إلى أربعة أنواع: حقن أوامر مباشر من خلال واجهة التكوين؛ تجاوز التنظيف باستخدام أوامر مسموح بها مع علامات مثل (، على سبيل المثال، npx -c )؛ حقن مطالبات في بيئات التطوير المتكاملة (IDEs) لإعادة كتابة ملفات تكوين MCP، مما يسمح لأدوات مثل Windsurf بتشغيل خدمات STDIO خبيثة دون تفاعل المستخدم؛ وحقن سري لتكوينات STDIO عبر طلبات HTTP في سوق MCP. تُفيد تقارير OX Security أن حزم البرمجيات المتأثرة تم تنزيلها أكثر من 150 مليون مرة، مع أكثر من 7000 خادم MCP متاح علنًا، مما يعرض حتى 200,000 حالة عبر أكثر من 200 مشروع مفتوح المصدر. قدم الفريق أكثر من 30 إفصاح مسؤول وتلقى أكثر من 10 CVEs عالية أو حرجة، تشمل أطر عمل الذكاء الاصطناعي وبيئات التطوير مثل LiteLLM، LangFlow، Flowise، Windsurf، GPT Researcher، Agent Zero، وDocsGPT. عند اختبار 11 مستودع حزم MCP، وُجد أن 9 منها معرضة لهذا الأسلوب من حقن التكوينات الخبيثة. بعد الكشف، ردت شركة Anthropic بأن هذا “مصمم هكذا”، موضحة أن نموذج تنفيذ STDIO هو “تصميم آمن بشكل افتراضي”، وأن مسؤولية تنظيف المدخلات تقع على عاتق المطورين، ورفضت إجراء تغييرات على مستوى البروتوكول أو مجموعة أدوات SDK الرسمية. أصدرت شركات مثل DocsGPT وLettaAI تصحيحاتها الخاصة، بينما لا يزال السلوك الافتراضي لتنفيذ Anthropic المرجعي دون تغيير. أصبح MCP المعيار الفعلي لوكلاء الذكاء الاصطناعي الذين يتواصلون مع أدوات خارجية، وتتبعه كل من OpenAI وGoogle وMicrosoft. بدون إصلاح السبب الجذري، يمكن لأي خدمة MCP تستخدم الطريقة الافتراضية لمجموعة أدوات SDK الرسمية للتعامل مع STDIO، حتى لو لم يكتب المطور سطرًا واحدًا من الكود الخاطئ، أن تصبح نقطة هجوم.