كوّن تصوراً أمنياً لكل عملية استدعاء لأداة قبل إضافة المزيد من الأدوات. يُعد بروتوكول سياق النموذج (MCP) بروتوكولاً يتيح لتطبيق الذكاء الاصطناعي اكتشاف واستدعاء أدوات خارجية وخدمات بيانات. أما الوكيل المستخدم للأداة (tool-using agent) فهو تطبيق ذكاء اصطناعي يختار أداةً ما ويزودها بالمعاملات (arguments) اللازمة لإنجاز مهمة محددة. يعزز هذا الترابط الفائدة العملية، ولكنه يحول أيضاً أوصاف الأدوات، ومعاملات الاستدعاء، وبيانات الاعتماد، والبيانات المُسترجعة إلى أجزاء ذات أهمية أمنية ضمن نظام واحد.
بالنسبة لفريق التطوير، لا تكمن المسألة في ما إذا كان خادم MCP بعيداً (remote) أم محلياً (local)، بل في تحديد الهوية والصلاحيات والأدلة (evidence) التي تُطبّق عندما يقوم الوكيل بتفعيل أداة ما. ستساعدك هذه الدورة التدريبية على إدارة هذا الحد الفاصل دون فقدان القدرة على التدقيق أو التحكم.
في مؤسسة “Northbridge Health”، يمكن لوكيل “CareOps” استخدام كل من JiraMCP وDriveMCP وأداة محلية تُدعى KubeAdminMCP. قد تتسلل تعليمات خبيثة عبر البيانات الوصفية (metadata) التي تبدو كمعلومات عادية عن الأداة، لتؤثر على اختيار الوكيل وتصل إلى خدمة عليا (upstream service) باستخدام بيانات اعتماد خادم MCP. قد تبدو النتيجة الظاهرة عملية استرجاع ملفات عادية، في حين أن مسار التفويض الضمني يتجاوز مستوى صلاحيات المهندس الذي قدم الطلب. تتبّع النقاط التي يكتسب فيها الطلب صلاحيات إضافية وتلك التي تختفي عندها الأدلة:
محاكاة — سلسلة الهجوم:
تتمثل البيانات الوصفية للأداة (Tool metadata) في الوصف ومخطط المعاملات (parameter schema) والملاحظات التوضيحية التي تشرح الأداة للوكيل (agent). ونظراً لأن الوكيل يقرأ هذه المواد باعتبارها “سياقاً” للعمل، فإن المهاجم الذي يقوم بتعديلها يمكنه محاولة توجيه الإجراءات عبر الخوادم المتصلة. كما تنطوي مخرجات الأداة والنصوص المنسوخة من التذاكر (tickets) على المخاطر ذاتها عند دخولها في سياق عمل الوكيل.
يؤدي وجود خادم يتمتع بصلاحيات خدمة واسعة النطاق إلى نشوء مشكلة ثانية؛ إذ قد ترى الخدمة المتلقية للطلب (upstream service) هوية الخادم بدلاً من هوية المهندس الذي طلب الإجراء. وتُعرف هذه الحالة باسم “الوكيل المرتبك” (Confused Deputy)، حيث يستخدم أحد المكونات صلاحياته الخاصة لتنفيذ طلب كان ينبغي أن يقتصر على صلاحيات الجهة التي أطلقت الطلب. ويوضح سجل الحادثة كيف تتضافر نقاط الضعف هذه معاً:
محاكاة — ملاحظة داخلية حول الحادثة: