mcpsafetywarden

حارس أمان MCP هو خادم وكيل (proxy) يغلف أي خادم MCP ويضيف إليه التنميط السلوكي، وفحص الأمان، وتقييد المخاطر، والتنفيذ الآمن لأدواته.

المحتويات

• نظرة عامة
• المتطلبات الأساسية
• التثبيت
• الإعدادات
• دمج MCP
• مرجع واجهة الأوامر
• التكاملات المساعدة
• التطوير
• الاختبار
• قراءات إضافية

[!IMPORTANT] أمان MCP هو مجال بحث نشط. تحدد الدراسات الحديثة العديد من فئات التهديدات الخاصة بالبروتوكول والتي تشمل تسميم الأدوات، حقن التعليمات، هجمات السحب البساط، اختراق سلسلة التوريد، سرقة بيانات الاعتماد، والهجمات المركبة عبر دورة حياة الخادم بالكامل. انظر تأمين MCP (OpenReview)، المشهد والتهديدات (arXiv)، عندما تهاجم خوادم MCP (arXiv)، و تصنيف MCP-38 (arXiv).

نظرة عامة

استخدمه كوسيط لإضافة بوابة أمان لأي خادم MCP، أو وجّهه نحو خادم لا تملكه وشغّل تدقيق أمني كامل دون إجراء أي استدعاء أداة.

شكل 1. وضعا التشغيل: الوكيل والتدقيق

التنميط السلوكي: تصنيف التأثير، سلامة إعادة المحاولة، التدميرية. بمساعدة LLM (Anthropic, OpenAI, Gemini, Ollama) مع تراجع قائم على القواعد. يتم تحديث الإحصائيات المرصودة (زمن الانتظار p50/p95، معدل الفشل، حجم المخرجات) بعد كل استدعاء تم وكالته.

فحص الأمان: mcpsafety+ خط أنابيب من خمس مراحل (استطلاع، مخطط، مخترق، مدقق، مشرف). Cisco AI Defense (AST/YARA). Snyk (تحليل البيانات الوصفية). تعزز تكاملات Kali و Burp Suite خط الأنابيب ببيانات شبكة حقيقية ومسابر طبقة HTTP. فحص الكود المصدري من GitHub مع اكتشاف الإنتروبيا، AST، تدفق التلوث، واكتشاف هجمات السحب البساط.

شكل 2. خط أنابيب mcpsafety+ ذو الخمس مراحل، يتم تشغيله عند تشغيل تدقيق أمني كامل على أي خادم MCP

التنفيذ الآمن: فحص الوسائط (أكثر من 20 فئة هجوم، مرور ثانٍ بواسطة LLM). فحص حقن المخرجات بطبقتين. تقييد المخاطر مع بدائل وسياسات لكل أداة. اكتشاف الانحراف في كل استدعاء وفحص مستقل.

شكل 3. خط أنابيب التنفيذ الآمن: الفحوصات الخمسة التي يمر بها كل استدعاء أداة تم وكالته

واجهة الأوامر: 24 أمراً فرعياً، قائمة مخاطر تفاعلية، علامة --json على كل أمر، --yes للتكامل المستمر.

ما يكتشفه

• حقن التعليمات: مخرجات الأداة التي تحاول اختطاف الوكيل: اختطاف الدور، كسر الحماية، مطالبات نظام مزيفة، تجاوز التعليمات. يكتشف 11 تقنية إخفاء بما في ذلك أحرف مشابهة من Unicode، أحرف عرض صفري، حمولات مشفرة بـ base64.
• بيانات وصفية ضارة للأداة: أوصاف تحتوي على سلاسل حقن، أسرار مشفرة، روابط تنزيل مشبوهة، انتحال الأداة (ظلال)، تنفيذ مالي مباشر، تعديل خدمات النظام، وتبعيات خارجية غير موثوقة. مدعوم بـ 19 فحصاً من Snyk.
• حقن الوسائط: أكثر من 20 فئة هجوم يتم فحصها في كل استدعاء أداة قبل إعادة التوجيه: SSRF إلى نقاط نهاية البيانات الوصفية السحابية (AWS, GCP, Azure, Alibaba)، اجتياز المسار، الوصول إلى ملفات بيانات الاعتماد (.aws, .ssh, .kube, .env)، حقن الأوامر، حقن SQL/NoSQL/LDAP/XPath، XXE، حقن القوالب (SSTI)، CRLF، بايت فارغ، حمولات إلغاء التسلسل (Java, Python pickle, PHP, .NET)، هجمات Windows UNC/ADS، ومتغيرات مشفرة بـ base64 لكل ما سبق.
• مخاطر الكود المصدري: يجلب كود مصدر الخادم من GitHub ويشغّل 6 طبقات تحليل: فحص الإنتروبيا للأسرار المشفرة، تتبع تدفق التلوث AST (من المعلمة إلى المصرف الخطير)، عدم تطابق الوصف مع التنفيذ، Bandit و Semgrep SAST، والاستدلال عبر الوظائف بواسطة LLM. يدعم Python و TypeScript/JavaScript.
• هجمات السحب البساط والانحراف: يخزن تجزئة SHA-256 لكود مصدر الخادم عند الفحص الأول ويُنبّه إذا تغير. يكتشف تبديل الأوصاف، تغييرات المخطط، وإزالة الأدوات بشكل حيوي في كل استدعاء عبر حارس انحراف لكل استدعاء.
• الشذوذ السلوكي: يصنف كل أداة حسب فئة التأثير، التدميرية، و 7 علامات خطر: تعرض بيانات الاعتماد، تنفيذ تعسفي، تسريب البيانات، الوصول إلى نظام الملفات، الحركة الجانبية، تصعيد الامتيازات، وسطح حقن التعليمات.
• الهجمات المركبة: يحلل مجموعات الأدوات بحثاً عن مخاطر التسلسل: سلاسل IDOR، أزواج القراءة-الكتابة، استغلال تدفق المصادقة، تسلسلات الكتابة-ثم-التنفيذ، ومسارات تجميع البيانات + التسريب عبر أدوات متعددة.
• مخاطر الشبكة والمضيف: عند تسجيل Kali Linux MCP: المنافذ المفتوحة، الخدمات الجارية، بصمة نظام التشغيل عبر nmap. عند تسجيل Burp Suite MCP: المسح النشط على طبقة HTTP و SSRF الأعمى عبر استدعاءات خارج النطاق.
• تعرض بيانات الاعتماد في المخرجات: يحجب الأسرار من استجابات الأدوات قبل التخزين. يتم عزل الاستجابات التي تم وضع علامة حقن عليها ولا تُعاد أبداً إلى الوكيل المتصل - تُخزّن تحت معرف تشغيل للمراجعة الجنائية.
• أبحاث CVE و Arxiv: مرحلة مدقق mcpsafety+ تربط الإمكانيات المكتشفة بالثغرات المعروفة والبحوث الأمنية الحديثة.

المتطلبات الأساسية

• Python 3.10 أو أحدث
• خادم MCP واحد على الأقل ليتم وكالته (stdio, SSE, أو streamable_http)
• مُوصى به: مفتاح API لـ LLM (Anthropic, OpenAI, أو Gemini)

بدون مفتاح، يعمل الغلاف في وضع القواعد فقط: تصنيف أدوات بثقة أقل، فحص حقن يعتمد على regex فقط، لا بدائل في بوابة المخاطر، لا خط أنابيب mcpsafety+. للإعداد المحلي بالكامل، شغّل Ollama، وضبط OLLAMA_MODEL، ومرّر --provider ollama بشكل صريح (Ollama لا يُكتشف تلقائياً).

[!NOTE] خوادم stdio التي تتطلب إعداداً محلياً (خوادم stdio التي تحتاج إلى تهيئة محلية قبل البدء - ملفات إعدادات مفقودة، بيانات اعتماد، أدلة بيانات، أو تبعيات خاصة بنظام التشغيل) لا يمكن فحصها بواسطة الغلاف - سيفشل اكتشاف الأدوات وسيتم تخزين 0 أداة. لا يزال بإمكانك تشغيل فحص أمني كامل للكود المصدري دون تشغيل الخادم بتمرير --github-url إلى scan / onboard، أو معامل github_url إلى security_scan_server. سيجلب خط أنابيب mcpsafety+ الكود المصدري ويحلله مباشرة من GitHub. خوادم sse و streamable_http غير متأثرة.

التثبيت

pip install mcpsafetywarden

مع جميع الإضافات الاختيارية:

pip install "mcpsafetywarden[all]"

أو إضافات محددة:

pip install "mcpsafetywarden[anthropic,snyk]"

من المصدر:

git clone https://github.com/gautamvarmadatla/mcpsafetywarden
cd mcpsafetywarden
pip install .

يتم إنشاء قاعدة بيانات SQLite تلقائياً عند التشغيل الأول في دليل بيانات المستخدم الخاص بالمنصة (~/.local/share/mcpsafetywarden/ على Linux، ~/Library/Application Support/mcpsafetywarden/ على macOS، %APPDATA%\mcpsafetywarden\ على Windows). يمكن تجاوز المسار باستخدام MCP_DB_PATH.

حماية بيانات الاعتماد (تلقائي، لا حاجة لإجراء)

يتم اكتشاف القيم السرية التي تم تمريرها إلى register_server أو onboard_server (رموز Bearer، مفاتيح API في headers أو env) تلقائياً واستبدالها بمعرفات cref_ غير شفافة قبل أن يلمسها سياق النموذج. يتم تخزين بيانات الاعتماد الحقيقية مشفرة في قاعدة البيانات وحلها بصمت عند الاتصال. النموذج، سجل المحادثة، والسجلات لا ترى أبداً سوى cref_<id>.

اختياري: تشفير بيانات الاعتماد المخزنة في وضع السكون

pip install cryptography
python -c "from cryptography.fernet import Fernet; print(Fernet.generate_key().decode())"

ضع المفتاح المطبوع كـ MCP_DB_ENCRYPTION_KEY قبل بدء الخادم. هذا يشفر كلاً من بيانات اعتماد الخادم وقيم cref_ في وضع السكون.

الإعدادات

جميع الإعدادات عبر متغيرات البيئة.

ملاحظة أمنية: لا تقم أبداً بإيداع مفاتيح API أو مفتاح التشفير في مستودع الكود. يقوم الغلاف بإزالة أسراره الخاصة من بيئات العمليات الفرعية قبل بدء خوادم stdio.

دمج MCP

الاتصال بـ Claude Desktop

أضف الغلاف إلى claude_desktop_config.json:

{
  "mcpServers": {
    "mcpsafetywarden": {
      "command": "mcpsafetywarden-server",
      "args": [],
      "env": {
        "ANTHROPIC_API_KEY": "sk-ant-...",
        "MCP_DB_ENCRYPTION_KEY": "<generated_fernet_key>"
      }
    },
    "filesystem": {
      "command": "npx",
      "args": ["-y", "@modelcontextprotocol/server-filesystem", "/Users/yourname/Documents"]
    }
  }
}

سجّل كل خادم في الغلاف قبل الاستخدام:

mcpsafetywarden register filesystem --transport stdio \
  --command npx \
  --args '["-y", "@modelcontextprotocol/server-filesystem", "/Users/yourname/Documents"]'

لإعداد بوابة إلزامية حيث يجب أن تمر جميع استدعاءات الأدوات عبر الغلاف، راجع docs/DEPLOYMENT.md.

أدوات MCP المتاحة

راجع docs/TOOLS.md للمرجع الكامل للأدوات.

مرجع واجهة الأوامر

24 أمراً فرعياً تغطي جميع أدوات MCP الـ 25. كل أمر يدعم --json لإخراج قابل للقراءة آلياً و --yes / -y لتخطي مطالبات التأكيد.

راجع docs/CLI.md للمرجع الكامل مع العلامات والأمثلة.

التكاملات مع أدوات الأمان المساعدة

Kali Linux MCP، Burp Suite MCP، و Snyk يتكامل كل منهم تلقائياً بمجرد التسجيل. يثري Kali مرحلة الاستطلاع و ping_server ببيانات nmap/traceroute حقيقية. يضيف Burp مسح HTTP الخام، استدعاءات خارج النطاق، وأدلة الوكيل. يحلل Snyk البيانات الوصفية للأداة بحثاً عن سلاسل حقن، ظلال الأدوات، أسرار مشفرة، و 16 فحصاً آخر.

راجع docs/INTEGRATIONS.md لتعليمات الإعداد.

التطوير

التثبيت في الوضع القابل للتحرير:

pip install -e ".[all]"

شغّل الخادم ولاحظ السجلات:

mcpsafetywarden-server 2>server.log

كل وحدة تستخدم logging.getLogger(__name__). الخادم لا يستدعي logging.basicConfig بنفسه - قم بتهيئة التسجيل في نقطة الدخول الخاصة بك قبل الاستيراد.

الاختبار

pytest tests/ -v

عيّن مفتاح API لـ LLM لتضمين الاختبارات المدعومة بـ LLM؛ بدونها سيتم تخطيها تلقائياً. راجع docs/TESTING.md للتحقق خطوة بخطوة من التصنيف، فحص الحقن، تقييد المخاطر، وتطبيق السياسات.

قراءات إضافية

المساهمة

راجع CONTRIBUTING.md لمعايير الكود وإرشادات طلبات السحب.

الترخيص

ترخيص Apache 2.0. راجع LICENSE للتفاصيل.