mcpsafetywarden

MCP safety warden هو خادم وكيل (proxy server) يغلّف أي خادم MCP ويضيف إلى أدواته التنميط السلوكي، والفحص الأمني، وتقييد المخاطر، والتنفيذ الآمن.

المحتويات

• نظرة عامة
• المتطلبات الأساسية
• التثبيت
• الإعداد
• تكامل MCP
• مرجع CLI
• التكاملات المساعدة
• التطوير
• الاختبار
• قراءات إضافية

[!IMPORTANT] أمن MCP مجال بحثي نشط. تُصنّف الدراسات الاستقصائية الحديثة الكثير من فئات التهديدات الخاصة بالبروتوكول والتي تشمل تسميم الأدوات، وحقن الأوامر (prompt injection)، وهجمات السحب المفاجئ (rug-pull)، واختراق سلسلة التوريد، وتسريب بيانات الاعتماد، وهجمات التركيب عبر دورة حياة الخادم بالكامل. راجع Securing the MCP (OpenReview)، وLandscape & Threats (arXiv)، وWhen MCP Servers Attack (arXiv)، وMCP-38 Taxonomy (arXiv).

نظرة عامة

استخدمه كخادم وكيل لإضافة تقييد أمني إلى أي خادم MCP، أو وجّهه نحو خادم لا تملكه وأجرِ تدقيقًا أمنيًا كاملًا دون إجراء أي استدعاء أداة واحد.

الشكل 1. وضعا التشغيل: الوكيل والتدقيق

التنميط السلوكي: فئة التأثير، وأمان إعادة المحاولة، ومدى التدمير. بمساعدة LLM (Anthropic، OpenAI، Gemini، Ollama) مع آلية احتياطية قائمة على القواعد. تُحدَّث الإحصاءات المرصودة (زمن الاستجابة p50/p95، ومعدل الفشل، وحجم المخرجات) بعد كل استدعاء يمر عبر الوكيل.

الفحص الأمني: خط أنابيب mcpsafety+ المكوّن من خمس مراحل (Recon، Planner، Hacker، Auditor، Supervisor). Cisco AI Defense (AST/YARA). Snyk (تحليل البيانات الوصفية). تُثري تكاملات Kali وBurp Suite خط الأنابيب ببيانات شبكة حقيقية وفحوصات على طبقة HTTP. فحص الشيفرة المصدرية من GitHub مع كشف الإنتروبيا، وAST، وتدفق التلوث (taint flow)، وهجمات السحب المفاجئ.

الشكل 2. خط أنابيب mcpsafety+ المكوّن من خمس مراحل، يُشغَّل عند إجراء تدقيق أمني كامل على أي خادم MCP

التنفيذ الآمن: فحص الوسائط (أكثر من 20 فئة هجوم، مع تمريرة ثانية بواسطة LLM). فحص حقن المخرجات على طبقتين. تقييد المخاطر مع بدائل وسياسات لكل أداة. كشف الانحراف في كل استدعاء وفحص مستقل.

الشكل 3. خط أنابيب التنفيذ الآمن: الفحوصات الخمسة التي يمر بها كل استدعاء أداة عبر الوكيل

CLI: 24 أمرًا فرعيًا، وقائمة مخاطر تفاعلية، وعلامة --json على كل أمر، و--yes لأجل CI.

ما الذي يكتشفه

• حقن الأوامر (Prompt injection): مخرجات الأدوات التي تحاول اختطاف الوكيل: اختطاف الأدوار، وكسر القيود (jailbreaks)، وأوامر نظام مزيفة، وتجاوز التعليمات. يكتشف 11 تقنية تشويش تشمل الأحرف المتشابهة في Unicode، والأحرف صفرية العرض، والحمولات المُرمَّزة بـ base64.
• بيانات وصفية خبيثة للأدوات: أوصاف تحتوي على سلاسل حقن، وأسرار مضمّنة، وعناوين URL تنزيل مشبوهة، وانتحال الأدوات (shadowing)، والتنفيذ المالي المباشر، وتعديل خدمات النظام، والاعتماديات الخارجية غير الموثوقة. مدعوم بـ 19 فحصًا من Snyk.
• حقن الوسائط: أكثر من 20 فئة هجوم تُفحص في كل استدعاء أداة قبل تمريره: SSRF إلى نقاط نهاية البيانات الوصفية السحابية (AWS، GCP، Azure، Alibaba)، واجتياز المسارات، والوصول إلى ملفات بيانات الاعتماد (.aws، .ssh، .kube، .env)، وحقن الأوامر، وحقن SQL/NoSQL/LDAP/XPath، وXXE، وحقن القوالب (SSTI)، وCRLF، وبايت فارغ (null byte)، وحمولات إلغاء التسلسل (Java، Python pickle، PHP، .NET)، وهجمات Windows UNC/ADS، والمتغيرات المُشوَّشة بـ base64 لكل ما سبق.
• مخاطر الشيفرة المصدرية: يجلب الشيفرة المصدرية للخادم من GitHub ويشغّل 6 طبقات تحليل: فحص الإنتروبيا للأسرار المضمّنة، وتتبع تدفق التلوث في AST (من الوسيط إلى نقطة الوصول الخطرة)، وعدم تطابق الوصف مع التنفيذ، وBandit وSemgrep SAST، والاستدلال عبر الدوال بواسطة LLM. يدعم Python وTypeScript/JavaScript.
• السحب المفاجئ والانحراف: يخزّن تجزئة SHA-256 للشيفرة المصدرية للخادم عند أول فحص وينبّه إذا تغيّرت. يلتقط تبديل الأوصاف، وتغييرات المخطط، وإزالة الأدوات مباشرةً في كل استدعاء عبر حارس انحراف لكل استدعاء.
• الشذوذات السلوكية: يصنّف كل أداة حسب فئة التأثير، ومدى التدمير، و7 وسوم مخاطر: تعرّض بيانات الاعتماد، والتنفيذ العشوائي، وتسريب البيانات، والوصول إلى نظام الملفات، والحركة الجانبية، ورفع الصلاحيات، وسطح حقن الأوامر.
• هجمات التركيب: يحلّل مجموعات الأدوات بحثًا عن مخاطر التسلسل: سلاسل IDOR، وأزواج القراءة-الكتابة، واستغلال تدفق المصادقة، وتسلسلات الكتابة ثم التنفيذ، ومسارات تجميع البيانات + تسريبها عبر أدوات متعددة.
• مخاطر الشبكة والمضيف: عند تسجيل Kali Linux MCP: المنافذ المفتوحة، والخدمات قيد التشغيل، وبصمة نظام التشغيل عبر nmap. عند تسجيل Burp Suite MCP: الفحص النشط على طبقة HTTP وSSRF الأعمى عبر الاستدعاءات خارج النطاق (out-of-band).
• تعرّض بيانات الاعتماد في المخرجات: يحجب الأسرار من استجابات الأدوات قبل تخزينها. تُعزَل الاستجابات المُعلَّمة بالحقن ولا تُعاد أبدًا إلى الوكيل المستدعي - تُخزَّن تحت معرّف تشغيل (run ID) للمراجعة الجنائية.
• أبحاث CVE ونتائج Arxiv: تُقارن مرحلة Auditor في mcpsafety+ القدرات المكتشفة مع الثغرات المعروفة والأبحاث الأمنية الحديثة.

المتطلبات الأساسية

• Python 3.10 أو أحدث
• خادم MCP واحد على الأقل ليتم تغليفه كوكيل (stdio، أو SSE، أو streamable_http)
• موصى به: مفتاح API لـ LLM (Anthropic، أو OpenAI، أو Gemini)