مزید ٹولز شامل کرنے سے پہلے ہر ٹول کال (tool call) کے سیکیورٹی پہلوؤں کا جائزہ لیں۔ Model Context Protocol (MCP) ایک ایسا پروٹوکول ہے جو AI ایپلی کیشن کو بیرونی ٹولز اور ڈیٹا سروسز کو دریافت کرنے اور انہیں استعمال (call) کرنے کی سہولت دیتا ہے۔ ٹول استعمال کرنے والا ایجنٹ (tool-using agent) ایک ایسی AI ایپلی کیشن ہے جو کسی کام کو مکمل کرنے کے لیے ٹول کا انتخاب کرتی ہے اور اس کے لیے درکار پیرامیٹرز (arguments) فراہم کرتی ہے۔ یہ رابطہ افادیت میں تو اضافہ کرتا ہے، لیکن ساتھ ہی ٹول کی تفصیلات، کال کے پیرامیٹرز، اسناد (credentials)، اور موصول ہونے والے ڈیٹا کو ایک ہی نظام کے سیکیورٹی سے متعلقہ حصوں میں تبدیل کر دیتا ہے۔
ڈویلپمنٹ ٹیم کے لیے سوال یہ نہیں ہے کہ MCP سرور ریموٹ (remote) ہے یا لوکل (local)۔ اصل سوال یہ ہے کہ جب ایجنٹ کسی ٹول کو متحرک کرتا ہے تو کون سی شناخت (identity)، اجازت (permission)، اور ثبوت (evidence) لاگو ہوتے ہیں۔ یہ کورس آپ کو آڈٹ کی صلاحیت یا کنٹرول کو برقرار رکھتے ہوئے اس حد (boundary) کو سنبھالنے میں مدد دے گا۔
Northbridge Health میں، CareOps ایجنٹ JiraMCP، DriveMCP، اور ایک مقامی KubeAdminMCP استعمال کر سکتا ہے۔ ایک نقصان دہ ہدایت (malicious instruction) ایسے میٹا ڈیٹا کے ذریعے داخل ہو سکتی ہے جو بظاہر ٹول کی عام معلومات جیسا لگتا ہو؛ یہ ہدایت ایجنٹ کے انتخاب پر اثر انداز ہو سکتی ہے اور MCP سرور کی اسناد (credentials) کا استعمال کرتے ہوئے کسی اپ اسٹریم سروس (upstream service) تک رسائی حاصل کر سکتی ہے۔ بظاہر نتیجہ ایک عام فائل کی بازیافت (file retrieval) ہو سکتا ہے، جبکہ پسِ پردہ اختیار کا راستہ (authorization path) درخواست کرنے والے انجینئر کی رسائی کی حدود سے تجاوز کر رہا ہوتا ہے۔ اس بات کا سراغ لگائیں کہ درخواست کہاں اختیار حاصل کرتی ہے اور ثبوت کہاں غائب ہو جاتا ہے:
فرضی (Simulated) — حملے کا سلسلہ (attack chain):
ٹول میٹا ڈیٹا (Tool metadata) سے مراد وہ تفصیلات، پیرامیٹر اسکیمہ اور تشریحات ہیں جو ایجنٹ (agent) کو کسی ٹول کے بارے میں معلومات فراہم کرتی ہیں۔ چونکہ ایجنٹ اس مواد کو ‘سیاق و سباق’ (context) کے طور پر پڑھتا ہے، اس لیے اگر کوئی حملہ آور اس میں تبدیلی کر دے تو وہ منسلک سرورز پر کارروائیوں کو اپنی مرضی کے مطابق موڑنے کی کوشش کر سکتا ہے۔ جب ٹول کا آؤٹ پٹ اور ٹکٹ کا کاپی شدہ متن ایجنٹ کے سیاق و سباق میں شامل ہوتے ہیں، تو ان سے بھی وہی خطرہ لاحق ہو سکتا ہے۔
وسیع ‘سروس کریڈینشلز’ (service credentials) کا حامل سرور ایک اور مسئلہ پیدا کرتا ہے۔ ‘اپ اسٹریم سروس’ (upstream service) کو کارروائی کی درخواست کرنے والے انجینئر کے بجائے سرور کی شناخت نظر آ سکتی ہے۔ یہ ‘کنفیوزڈ ڈیپٹی’ (confused deputy) کی صورتحال ہے، جس میں کوئی جزو (component) کسی ایسی درخواست کے لیے اپنے اختیارات استعمال کرتا ہے جو دراصل درخواست کرنے والے (caller) کے اختیارات تک محدود ہونی چاہیے تھی۔ واقعے کا ریکارڈ ظاہر کرتا ہے کہ یہ کمزوریاں کس طرح آپس میں مل کر خطرہ بناتی ہیں:
فرضی — اندرونی واقعے سے متعلق نوٹ: