cmcp

<p align="center">
  <img src="https://raw.githubusercontent.com/agentrust-io/cmcp/HEAD/docs/assets/icon.svg" width="96" height="96" alt="cMCP"/>
</p>

# cMCP: بيئة تشغيل MCP السرية

تحديثات المجتمع وأبرز المساهمين: [AgenTrust على LinkedIn](https://www.linkedin.com/company/agentrust-io/).

### فرض سياسة أدوات MCP داخل TEE، حيث لا يستطيع الوكيل الذي تحكمه الوصول إليها

<p align="center">
  <a href="https://cmcp.agentrust-io.com">
    <img src="https://img.shields.io/badge/Documentation-cmcp.agentrust--io.com-7c3aed?style=for-the-badge" alt="Documentation" height="36">
  </a>
</p>

<p align="center">
  <strong>
    <a href="#quick-start">البدء السريع</a> ·
    <a href="#how-it-works">البنية</a> ·
    <a href="#configuration">الإعدادات</a> ·
    <a href="#cli-reference">CLI</a> ·
    <a href="https://github.com/agentrust-io/cmcp/blob/main/CHANGELOG.md">سجل التغييرات</a>
  </strong>
</p>

[![CI](https://github.com/agentrust-io/cmcp/actions/workflows/ci.yml/badge.svg?branch=main)](https://github.com/agentrust-io/cmcp/actions/workflows/ci.yml) [![License: MIT](https://img.shields.io/badge/license-MIT-blue)](LICENSE) [![PyPI](https://img.shields.io/pypi/v/cmcp-runtime)](https://pypi.org/project/cmcp-runtime/) [![OpenSSF Scorecard](https://api.scorecard.dev/projects/github.com/agentrust-io/cmcp/badge)](https://scorecard.dev/viewer/?uri=github.com/agentrust-io/cmcp) [![Discord](https://img.shields.io/badge/Discord-Join-5865F2?logo=discord&logoColor=white&style=flat)](https://discord.gg/grgzFEHgkj)

> **معاينة للمطورين** - أُطلقت في قمة الحوسبة السرية، 23 يونيو 2026. قد تتضمن تغييرات كاسرة قبل الإصدار v1.0. راجع [STATUS.md](https://github.com/agentrust-io/cmcp/blob/main/STATUS.md) لمعرفة ما يُشحن اليوم بالضبط مقابل ما هو على خارطة الطريق.

**cMCP (بيئة تشغيل MCP السرية) هي بوابة مفتوحة المصدر تفحص كل استدعاء أداة يقوم به وكيل ذكاء اصطناعي مقابل قواعد تكتبها أنت، ويمكنها العمل على عتاد معزول لا يستطيع الوكيل العبث به.** تستخدم وكلاء الذكاء الاصطناعي الأدوات (قواعد البيانات، أنظمة إدارة علاقات العملاء، البريد الإلكتروني، واجهات API الداخلية) عبر إرسال طلبات تُسمى استدعاءات الأدوات، عادةً عبر MCP، بروتوكول سياق النموذج. تقع cMCP في مسار تلك الاستدعاءات، وتفحص كل واحد منها مقابل قواعدك (المكتوبة بلغة سياسات Cedar)، وتحجب ما تحظره القواعد. يمكنها العمل داخل TEE (بيئة تنفيذ موثوقة: عتاد يحافظ على ذاكرة البرنامج معزولة حتى عن مالك الجهاز)، حيث لا يستطيع الوكيل الذي تحكمه الوصول إليها. تنتهي كل جلسة بإيصال موقّع، وهو TRACE Claim، يمكن لأي شخص التحقق منه دون الثقة بمن شغّل البوابة. يُدعم الإيصال بتقرير عتاد عندما تعمل البوابة داخل TEE، ويكون موقّعًا فقط (دون إثبات عتادي) في الوضع البرمجي. جديد على هذه المصطلحات؟ راجع [المصطلحات، بلغة مبسطة](https://agentrust-io.com/#plain-terms).

> **باختصار:** وجّه وكيلك إلى بوابة cMCP. تفحص كل استدعاء أداة مقابل قواعد Cedar الخاصة بك، وتحجب أو تحجب جزئيًا (تفرّغ) ما ترفضه القواعد، وتمنحك إيصالًا موقّعًا يُظهر ما إذا كان أي شخص قد عبث به. شغّل `pip install cmcp-runtime` وابدأ في الوضع البرمجي على أي حاسوب؛ لا حاجة إلى عتاد خاص.

يستدعي وكيلك Snowflake وSalesforce وعشرات من واجهات API. ما الذي يمنعه من تسريب بيانات عميل في أحد تلك الاستدعاءات؟ وإذا سأل جهة تنظيمية، هل يمكنك إثبات أنه لم يفعل ذلك؟

---

## المشكلة

يستدعي الوكيل أداة. يقول محرك السياسات: اسمح. يمر استدعاء الأداة.

لا شيء من ذلك يثبت أن محرك السياسات نفسه لم يُخترق. لا يمكن لحوكمة MCP البرمجية فقط أن تضمن:

- أن سياسة Cedar على القرص هي التي نُفّذت. يمكن لمسؤول مارق استبدال الحزمة بعد الموافقة؛ إذ يجري فحص التجزئة داخل نظام التشغيل نفسه الذي يتحكم به المسؤول.
- أن قرار السماح/الرفض لم يُقلب في الذاكرة. تعمل ثغرة CVE في سلسلة التوريد داخل المُقيِّم في نفس مساحة العنوان التي يعمل فيها المهاجم.
- أن سجل التدقيق يعكس ما حدث فعلاً. يمكن لأي طرف يحمل مفتاح التوقيع البرمجي إعادة بناء سلسلة تدقيق صالحة بعد وقوع الحدث.

يجب أن تعمل لوحة التحكم التي تحكم استدعاءات الأدوات في مكان لا تستطيع العملية التي تحكمها الوصول إليه.

فرض السياسات الموثّق بالعتاد لاستدعاءات أدوات MCP. يُعترَض كل استدعاء أداة، ويُقيَّم مقابل حزمة سياسات Cedar، ويُفرَض بواسطة محرك سياسات يعمل داخل بيئة تنفيذ موثوقة (TEE). وقبل أن يخدم استدعاء أداة واحدًا، يقيس البوابة شيفرتها المثبَّتة وحزمة سياساتها وإعداداتها ضمن تقرير التوثيق العتادي، ويعيد التوثيق كلما أُعيد تحميل الحزمة.

في النشر العتادي، تعالج بيئة تشغيل cMCP (cMCP Runtime) حمولات استدعاءات الأدوات داخل TEE. وما يمكن للمضيف ومزوّد الاتصال قراءته يعتمد أيضًا على سياسة الخروج، وخادم الأدوات الأعلى هو مكوّن منفصل خارج TEE. لا يوفّر الوضع البرمجي (`CMCP_DEV_MODE`) أي عزل عتادي. يسرد [LIMITATIONS.md](https://github.com/agentrust-io/cmcp/blob/main/LIMITATIONS.md) ما لا يمنعه cMCP.

---

## البدء السريع

```bash
pip install cmcp-runtime
```

أنشئ `cmcp-config.yaml`:

```yaml
attestation:
  provider: auto
  enforcement_mode: advisory   # advisory eases first-run tuning; the default is `enforcing`
listen_addr: "127.0.0.1:8443"  # pin loopback: dev mode runs without a bearer token
policy_bundle_path: ./policies/
catalog_path: ./catalog.json
```

`listen_addr` ليس اختياريًا هنا. يتخطى `CMCP_DEV_MODE=1` عمدًا شرط رمز الحامل (bearer token) حتى تتمكن من تجربة الأشياء بسرعة، ولا يزال الربط الافتراضي `0.0.0.0:8443`. في الإصدار 0.3.0، أنشأ هذا المزيج بوابة غير مصادَق عليها على كل واجهة على جهازك. بدءًا من 0.4.0 يتم رفض ذلك: لا يجوز لوضع التطوير بدون رمز أن يربط إلا عنوان loopback، ويتطلب الربط غير الـ loopback وجود `CMCP_BEARER_TOKEN`. ثبّت `listen_addr` صراحةً وستكون الإعدادات صحيحة في كلا الحالتين.

ابدأ البوابة:

```bash
CMCP_DEV_MODE=1 cmcp start --config cmcp-config.yaml
```

إجراء استدعاء أداة:

```bash
curl -X POST http://localhost:8443/mcp \
  -H "Content-Type: application/json" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/call","params":{"name":"salesforce.contacts","arguments":{"query":"Acme Corp"},"_cmcp":{"session_id":"s1","workflow_id":"demo-agent"}}}'
```

هل تفضّل نسخة موجّهة؟ يرشدك [agentrust-io.com/quickstart](https://agentrust-io.com/quickstart/)
عبر المسار نفسه في نحو عشر دقائق على حاسوب محمول، دون أي عتاد ودون
تسجيل: ثبّت، واكتب قاعدة `forbid` واحدة بلغة Cedar، وراقب استدعاء أداة يُرجع 403
`POLICY_DENY` قبل أن يصل إلى نظام خارجي، ثم تحقّق من الإيصال الموقّع.

راجع [docs/quickstart.md](https://github.com/agentrust-io/cmcp/blob/main/docs/quickstart.md) للاطلاع على الدليل الكامل: سياسة Cedar، وكتالوج الأدوات، وأول TRACE Claim، والتحقق (دون الحاجة إلى عتاد TEE).

---

## كيف يعمل

1. يرسل الوكيل كل استدعاء أداة إلى cMCP Gateway بدلًا من إرساله مباشرة إلى خوادم MCP.
2. عند بدء التشغيل، وقبل أن يبدأ بخدمة حركة المرور، تقيس البوابة شيفرتها المثبّتة وحزمة سياسة Cedar وإعداداتها. على SEV-SNP وTDX وAzure CVM تُربط البصمة في `report_data`؛ وعلى طبقة TPM تُمدَّد إلى فهرس NV معتمد. وإعادة تحميل السياسة تؤدي إلى إثبات جديد.
3. يُقيَّم كل استدعاء أداة وارد بواسطة محرك سياسة Cedar العامل داخل TEE. والنتيجة هي السماح أو الرفض أو الحجب. ويُضاف الاستدعاء وقراره إلى سلسلة التدقيق المختومة بالعتاد.
4. في نهاية الجلسة تُنتج البوابة TRACE Claim: أثر موقّع ومُوثَّق بالعتاد يسجّل الأدوات التي نُفِّذت، والسياسة التي قرّرت كل استدعاء، وسلسلة التدقيق الكاملة. ويتحقق المدقّق من ذلك دون الوثوق بالمشغّل.

```
Agent -> cMCP Runtime -> Cedar Policy Engine (TEE) -> Tool
                     |
               GatewayClaim (TRACE Profile)
               +-- trace.eat_profile
               +-- trace.runtime.platform + measurement
               +-- trace.policy.bundle_hash
               +-- trace.cnf.jwk  (Ed25519 confirmation key)
               +-- gateway.audit_chain (root/tip/length)
               +-- signature (Ed25519 over canonical JSON)
```

## موفرو الأجهزة

| المزوّد | المنصة | الضمان | ملاحظات |
|---|---|---|---|
| `tpm` | TPM 2.0 / vTPM (Azure، AWS، GCP Trusted Launch) | متوسط | اقتباس TPM محلي |
| `sev-snp` | AMD SEV-SNP (Azure DCasv5، AWS C6a Nitro) | عالٍ | AMD KDS |
| `tdx` | Intel TDX (Azure DCedsv5، GCP C3) | عالٍ | Intel PCS |
| `gpu-cc` _(v0.2)_ | NVIDIA H100/H200/Blackwell (وضع CC) | عالٍ | خدمة NVIDIA للإثبات عن بُعد (NRAS) |

ترتيب فحص الاكتشاف التلقائي للمزوّد: `azure-cvm -> tpm -> sev-snp -> tdx`. يتم اختيار أول مزوّد ينجح استدعاء `detect()` الخاص به. إذا لم يُكتشف أي مزوّد أجهزة، فإن البوابة لا تبدأ إلا تحت `CMCP_DEV_MODE=1` (بديل برمجي فقط غير مُثبَت) وإلا فإنها ترفض البدء.

```python
from cmcp_runtime.config import TEEProvider

# Auto-detect (default)
# attestation.provider: auto  ->  azure-cvm -> tpm -> sev-snp -> tdx
# (software-only is used only under CMCP_DEV_MODE=1)

# Explicit hardware selection
# attestation.provider: sev-snp
```

## أوضاع الإنفاذ

| الوضع | السلوك | حالة الاستخدام |
|---|---|---|
| `enforcing` | رفض السياسة يُرجع HTTP 403؛ لا يُمرَّر الاستدعاء | الإنتاج |
| `advisory` | عمليات الرفض من السياسة تُسجَّل؛ يمضي الاستدعاء قُدُمًا | النشر الأول، ضبط السياسة |
| `silent` | تُقيَّم السياسة لكن لا يُسجَّل أو يُحظر أي شيء | وضع خط الأساس |

الوضع الافتراضي هو `enforcing`. اضبط `enforcement_mode: advisory` في `cmcp-config.yaml` لاستخدام وضع advisory.

---

## الإعدادات

المرجع الكامل لـ `cmcp-config.yaml`:

```yaml
attestation:
  provider: auto                    # auto | tpm | sev-snp | tdx | software-only
  enforcement_mode: enforcing       # enforcing | advisory | silent
  validity_seconds: 86400           # attestation freshness window (default: 24 hours)
  staleness_policy: fail_closed     # fail_closed | warn_only
  expected_measurement: ~           # pin a specific PCR/measurement (optional)

policy_bundle_path: policies/       # directory containing .cedar files and manifest.json
catalog_path: catalog.json          # approved tool catalog

listen_addr: "127.0.0.1:8443"     # tokenless dev mode is loopback-only; set CMCP_BEARER_TOKEN before binding wider
max_response_size_bytes: 2097152    # 2 MB default
policy_reload_interval_seconds: 0   # >0 with a pinned CMCP_POLICY_HASH refuses to start, see docs/spec/policy-hot-reload.md
```

متغيرات البيئة:

| المتغير | التأثير |
|---|---|
| `CMCP_DEV_MODE=1` | استخدام مزوّد TEE برمجي فقط؛ لا حاجة إلى عتاد |
| `CMCP_BEARER_TOKEN` | اشتراط رمز bearer هذا على جميع الطلبات الواردة |

---

## مرجع CLI

| الأمر | العلامات | الوصف |
|---|---|---|
| `cmcp start` | `--config PATH` (مطلوب) | تشغيل البوابة |
| `cmcp validate-config` | `--config PATH` (مطلوب) | التحقق من `cmcp-config.yaml` دون تشغيل |
| `cmcp validate-bundle` | `--bundle-path PATH` (مطلوب)، `--expected-hash sha256:<hex>` (مطلوب) | التحقق من تجزئة حزمة Cedar قبل النشر |
| `cmcp verify` | `CLAIM_FILE` (مطلوب)؛ `--policy-hash`، `--catalog-hash`، `--max-age`، `--trusted-key`، `--trusted-tpm-ca`، `--audit-bundle`، `--agent-manifest`، `--agent-manifest-trust-anchor` | التحقق من TRACE Claim موقّع (التوقيع، والمخطط، والحداثة، وسلسلة التدقيق، والتجزئات المثبّتة، ومراسي الثقة) |

---

## مطالبات TRACE

`GatewayClaim` هي وحدة الإثبات التي تُسلَّم إلى المدقق أو الجهة التنظيمية أو المتحقق اللاحق. تُنتَج لكل جلسة (أو لكل استدعاء، قابل للتهيئة) وتُوقَّع بمفتاح لا يغادر TEE أبدًا.

| الحقل | الوصف |
|---|---|
| `trace.eat_profile` | معرّف URI لملف EAT: `tag:agentrust-io.com,2026:trace-v0.2` |
| `trace.runtime` | منصة TEE وقياس العتاد المسجّل عند إقلاع الـ enclave |
| `trace.policy.bundle_hash` | SHA-256 لحزمة Cedar المحمّلة عند بدء التشغيل؛ تغيير أي ملف سياسة يغيّر هذه القيمة |
| `trace.cnf.jwk` | مفتاح عام Ed25519 مرتبط بمفتاح التوقيع في TEE |
| `trace.tool_transcript` | عرض لكل استدعاء مشتق من سلسلة التدقيق: `hash` (يرتبط بطرف سلسلة التدقيق)، و`call_count`، و`entries` الحافظة للخصوصية (اسم الأداة، وفئة البيانات، والقرار) |
| `gateway.audit_chain` | جذر وطرف سجل التدقيق المتسلسل بالتجزئة؛ قابل للتحقق دون إعادة تشغيل الإدخالات الفردية |
| `signature` | Ed25519 على JSON القانوني لجسم المطالبة الكامل (RFC 8785) |

(هذا الجدول ملخّص للحقول الأكثر استخدامًا.)

لا يتطلب التحقق باستخدام مكتبة `cmcp_verify` الثقة بالمشغّل. يتحقق المدقق من التوقيع مقابل المفتاح المرتبط بـ TEE، ومن تجزئة حزمة السياسة مقابل القيمة المعتمدة، ومن سلسلة التدقيق للتحقق من اتساقها الداخلي.

المخطط المعياري هو [`schemas/trace-claim.schema.json`](https://github.com/agentrust-io/cmcp/blob/main/schemas/trace-claim.schema.json)، ويعرض [docs/quickstart.md](https://github.com/agentrust-io/cmcp/blob/main/docs/quickstart.md) مثالًا كاملًا. راجع [docs/spec/verification-library.md](https://github.com/agentrust-io/cmcp/blob/main/docs/spec/verification-library.md) و[مواصفة TRACE](https://trace.agentrust-io.com) للحصول على بروتوكول التحقق الكامل.

---

## التوافق مع المعايير

| المعيار | التغطية |
|---|---|
| OWASP Agentic AI Top 10 | MCP10 (تسريب البيانات عبر استدعاءات الأدوات)، MCP02 (الأدوات غير المصرّح بها)، MCP08 (حوكمة قابلة للإثبات)، MCP04 (سلسلة التوريد) |
| NIST SP 800-207 | نقطة قرار السياسة داخل TEE؛ لا ثقة ضمنية في هوية عبء العمل |
| EU AI Act Art. 12, 15 | سجلات تدقيق لكل قرار (Art. 12)؛ ضوابط أمن سيبراني مدعومة بـ TEE (Art. 15) |
| DORA Art. 9 | سلسلة الإثبات؛ الاحتفاظ بسجل التدقيق عبر `gateway.audit_chain` |
| RATS/EAT RFC 9711 | `GatewayClaim` هي EAT؛ وحقل `eat_profile` يحدد ملف TRACE |

---

## الأمان

| الأداة | ما تتحقق منه |
|---|---|
| ruff | فحص الأسلوب والاستيراد في كل PR |
| bandit | فحص أمان Python في كل PR |
| pip-audit | فحص ثغرات التبعيات في كل PR |
| mypy | التحقق الساكن من الأنواع في كل PR |
| CodeQL | تحليل SAST لـ Python، باستعلامات موسّعة أمنيًا، أسبوعيًا |
| OpenSSF Scorecard | تقييم أسبوعي، ورفع SARIF |

راجع [SECURITY.md](https://github.com/agentrust-io/cmcp/blob/main/SECURITY.md) للإبلاغ عن الثغرات واتفاقيات مستوى الخدمة للاستجابة. راجع [LIMITATIONS.md](https://github.com/agentrust-io/cmcp/blob/main/LIMITATIONS.md) لحدود النطاق الصريحة، بما في ذلك المخاطر المتبقية لالتقاط حمولات APM، وحقن التهيئة وقت التشغيل، وسلسلة توريد P4.1 (typosquat) التي لا تغلقها المرحلة 1.

---

## التوثيق

| الصفحة | الوصف |
|---|---|
| [docs/quickstart.md](https://github.com/agentrust-io/cmcp/blob/main/docs/quickstart.md) | من الصفر إلى أول TRACE Claim في أقل من 30 دقيقة |
| [docs/configuration.md](https://github.com/agentrust-io/cmcp/blob/main/docs/configuration.md) | مرجع الإعدادات الكامل مع جميع الحقول والقيم الافتراضية |
| [docs/confinement.md](https://github.com/agentrust-io/cmcp/blob/main/docs/confinement.md) | بيئة عزل تجريبية لوكيل Linux، واختبارات التجاوز، وافتراضات الثقة |
| [docs/SPEC.md](https://github.com/agentrust-io/cmcp/blob/main/docs/SPEC.md) | مواصفات المنتج: تصنيف المشكلات، والبنية المعمارية، ومصفوفة التغطية |
| [docs/spec/threat-model.md](https://github.com/agentrust-io/cmcp/blob/main/docs/spec/threat-model.md) | تحليل STRIDE، ونموذج الخصم، والمخاطر المتبقية |
| [docs/spec/cedar-policy.md](https://github.com/agentrust-io/cmcp/blob/main/docs/spec/cedar-policy.md) | مرجع لغة سياسات Cedar والمخطط |
| [docs/testing/benchmarks.md](https://github.com/agentrust-io/cmcp/blob/main/docs/testing/benchmarks.md) | قياسات زمن الاستجابة ومعدل الإنتاجية لكل مزوّد TEE |

---

## الأسئلة الشائعة

### ما هو cMCP؟

cMCP (Confidential MCP Runtime) هو بوابة مفتوحة المصدر تفرض سياسة استدعاء أدوات MCP داخل بيئة تنفيذ موثوقة (TEE) قائمة على العتاد. يعترض كل استدعاء أداة، ويقيّمه مقابل حزمة سياسات Cedar، وينفّذ القرار (السماح أو الرفض أو التنقيح)، ويسجّل الاستدعاء في سلسلة تدقيق مختومة بالعتاد.

### كيف يختلف cMCP عن حوكمة MCP القائمة على البرمجيات فقط؟

تعمل الحوكمة القائمة على البرمجيات فقط بمحرك السياسات داخل نفس نظام التشغيل الذي يمكن لمشغّل أو ثغرة CVE في سلسلة التوريد الوصول إليه، لذا لا يمكنها إثبات أن السياسة التي نُفّذت هي المعتمدة أو أن القرار لم يُقلب في الذاكرة. يشغّل cMCP محرك السياسات داخل TEE ويقيس شيفرته وحزمة Cedar في تقرير إثبات العتاد قبل أن يخدم أي استدعاء، لذا لا يمكن للعملية التي يحكمها الوصول إلى مستوى التحكم.

### هل أحتاج إلى عتاد خاص لتجربته؟

لا. اضبط `CMCP_DEV_MODE=1` لاستخدام مزوّد TEE القائم على البرمجيات فقط وتشغيل دليل البدء السريع الكامل دون TEE عتادي. تُستخدم المزوّدات العتادية (TPM وAMD SEV-SNP وIntel TDX) في بيئات الإنتاج.

### ما هو TRACE Claim؟

TRACE Claim (وهو `GatewayClaim`) هو أثر موقّع ومُثبت بالعتاد يُنتج لكل جلسة. يسجّل الأدوات التي نُفّذت، والسياسة التي قرّرت كل استدعاء، وتجزئة حزمة Cedar، وسلسلة التدقيق، ويُوقّع بمفتاح Ed25519 لا يغادر TEE أبدًا. يتحقق منه المدقّق باستخدام مكتبة `cmcp_verify` دون الوثوق بالمشغّل.

### ما مزوّدات TEE المدعومة؟

TPM 2.0 / vTPM وAMD SEV-SNP وIntel TDX، مع الحوسبة السرية لوحدات GPU من NVIDIA المخطط لها في الإصدار v0.2. ترتيب الكشف التلقائي هو Azure confidential VM، ثم TPM 2.0 / vTPM، ثم AMD SEV-SNP، ثم Intel TDX؛ ولا يُستخدم المزوّد القائم على البرمجيات فقط إلا عند ضبط CMCP_DEV_MODE=1.

### تحت أي ترخيص يُوزّع cMCP؟

MIT.

---

## المساهمة

[CONTRIBUTING.md](https://github.com/agentrust-io/cmcp/blob/main/CONTRIBUTING.md) · [GOVERNANCE.md](https://github.com/agentrust-io/cmcp/blob/main/GOVERNANCE.md) · [Discussions](https://github.com/orgs/agentrust-io/discussions)

انضم إلى المجتمع على [Discord](https://discord.gg/grgzFEHgkj).

هل تستخدم cMCP في بيئة الإنتاج؟ أضف مؤسستك إلى [ADOPTERS.md](https://github.com/agentrust-io/cmcp/blob/main/ADOPTERS.md).

---

## الترخيص

MIT - راجع [LICENSE](https://github.com/agentrust-io/cmcp/blob/main/LICENSE).