مكشوف بحكم التصميم: تدقيق مباشر شمل 414 خادم MCP متاحًا على الإنترنت كشف عن 68 ثغرة أمنية

في 31 يوليو 2026 نشر نيكولاس باديّا Exposed by Design (arXiv:2608.00150)، وهي مطبوعة أولية من 13 صفحة تصف ما يسميه أول تقييم سلوكي ديناميكي لأمن Model Context Protocol على الخوادم المتاحة على الإنترنت. وقد أكّدت أربع حملات قياس أُجريت ذلك الشهر وجود 640 خادمًا إنتاجيًا قيد التشغيل، منها 414 خضعت للاختبار الفعلي؛ وأسفر الاختبار عن 68 ثغرة قابلة للتقرير، جرى التبليغ بها جميعًا إلى القائمين على الصيانة بوصفها تنبيهات أمنية على GitHub. 380 من أصل 414 — أي 91.8% — لم تكن تستخدم مصادقة OAuth، و687 حالة أداة كانت تُعلن عن تنفيذ أوامر صدفة دون ضوابط وصول. ولا يورد باديّا أي دليل على استغلال أيٍّ منها: فقد ظل الاختبار عند حد إثبات المفهوم، ولم تُحصَّل أي بيانات اعتماد ولم تُستخرَج أي بيانات. وتوجد قائمة المصادر الكاملة لهذا السجل، وتقييم خطورته، وتقييم ثقته، في أرشيف حوادث الذكاء الاصطناعي، إلى جانب النتائج الأخرى المتعلقة بـ MCP والبنية التحتية المودعة في محيطه.

ما الذي قام به التدقيق فعليًا

بروتوكول Model Context Protocol هو الواجهة التي تتيح لوكيل ذكاء اصطناعي استدعاء أدوات مستضافة في مكان آخر — بحث في المستندات، استعلام في قاعدة بيانات، أو أداة مساعدة لسطر الأوامر. والخادم الذي يتواصل به عبر HTTP ويمكن الوصول إليه من الإنترنت هو، عمليًا، سطح أدوات يمكن لأي شخص مخاطبته. وتجادل ورقة باديلا بأن عدد هذه الخوادم لم يُحصَ بشكل صحيح قط، وأن الإحصاء نفسه هو الغاية: فالاكتشاف هو الجزء الصعب، وكل دراسة استقصائية سابقة نظرت إلى شريحة مختلفة.

دمجت مرحلة الاكتشاف لديه أحد عشر مصدرًا — crt.sh، Hugging Face، GitHub، npm، Smithery، PyPI، Censys، FOFA، Shodan، glama.ai وpulsemcp.com — بحجة أن أياً منها بمفرده لا يلتقط التعداد الكامل. واستخدمت المرحلة النشطة Corvus، وهو إطار طوّره باديلا لهذه الدراسة: 34 وحدة اختبار تغطي 10 فئات ثغرات مخصصة لـ MCP، مقسمة إلى 13 ثابتة و21 ديناميكية. وهو منشور على GitHub تحت منظمة CobaltoSec وعلى PyPI باسم cobaltosec-corvus، ويسجّل ملف الإحصاءات الخاص بالمستودع العدد نفسه البالغ 34 وحدة.

جرت الجولات الأربع في15 و18 و21 و24 يوليو 2026. لم تسهم الجولات السابقة سوى بأرقام التأكيد؛ أما الجولات الثلاث الأخيرة فقد فحصت 3,485 و3,948 و4,110 مرشحًا وأكدت 140 و464 و296 خادمًا حيًّا على التوالي. وبعد إزالة التكرار من 972 ملاحظة خام تضمّنت 332 ظهورًا متكررًا، بقي 640 خادمًا مؤكدًا فريدًا، منها 414 — 64.7% — اجتازت الاختبار الديناميكي الكامل. ويتعامل باديلا مع 640 باعتباره حدًّا أدنى. وقد كانت Censys، إحدى مصادر الاكتشاف، قد قدّرت وجود أكثر من 21,000 نقطة نهاية مرتبطة بـMCP حول العالم في مايو 2026، وهو يستخدم ذلك كتقدير للحجم لا كعدد لما اختبره.

إذا قُرئت بوصفها قمعًا، فإن الأرقام هي الحجة الحقيقية للورقة: تمريرة واسعة رخيصة تجد المرشحين أسرع مما تستطيع تمريرة دقيقة اختبارهم. لم يُشغَّل بالكامل سوى 414 من أصل 640 خادمًا مؤكدًا، ولا يزعم Padilla أن المجموعة الفرعية المختبَرة تشبه الجزء المتبقي غير المختبَر.

ما وجدته

النتيجة الرئيسية هي المصادقة، أو غيابها. من بين 414 خادمًا جرى اختبارها، لم يكن لدى 380 خادمًا (91.8%) أي OAuth. وتقول الورقة إن معظم الباقي استخدم رموز Bearer ثابتة أو مفاتيح API، وغالبًا ما تكون قابلة للتنبؤ أو فارغة — فالخادم الذي يقبل سلسلة ثابتة ليس مصادَقًا عليه بشكل ذي معنى أيضًا. ولأن التدقيق اختبر فقط الخوادم التي كان يمكن الوصول إليها علنًا دون بيانات اعتماد، فإن هذا الرقم يصف الفئة المكشوفة بحكم التصميم؛ وهو ليس تقديرًا لخوادم MCP بشكل عام.

تنقسم النتائج الـ68 القابلة للإبلاغ حسب الفئة، وتتداخل أعداد الفئات بدلًا من أن تقسم الإجمالي: 380 قصورًا في المصادقة، و52 حالة قبول لتشويش البروتوكول، و47 تسميمًا للأدوات، و38 حقن أوامر، و31 تجاوزًا للمخطط، و29 تزويرًا لطلبات من جانب الخادم، و24 تلاعبًا بمعرّف URI للموارد، و22 حقنًا للمطالبات، و18 تعرضًا للرموز، و14 مؤشرًا لسلسلة التوريد. كُتبت وحدات حجب الخدمة ولكن لم تُشغَّل عمدًا ضد خوادم الإنتاج، ويستبعدها Padilla لأسباب أخلاقية. أنواع الثغرات الأربعة المذكورة في الملخص — حقن SQL، وSSRF ضد خدمات البيانات الوصفية السحابية، وحقن قوالب المطالبات، واجتياز المسار عبر التلاعب بالمؤشر — تظهر كلها ضمن تلك الفئات.

يحتاج رقم تنفيذ الصدفة إلى تحفّظ واحد لا تحسمه الورقة. ففي قسم النتائج، تُحتسب 687 حالة أداة ذات تنفيذ عبر الصدفة ودون مصادقة عبر مجموعة الخوادم المؤكدة البالغ عددها 640 خادمًا. وفي المناقشة، يُقدَّم الرقم نفسه بعبارة «من بين الخوادم الـ414 المدققة ديناميكيًا»، ثم يُشار إليه بـ«المجموعة المؤكدة الأوسع». ولا تتوافق الصياغتان، ولا تقدّم الورقة قطّ إجمالي عدد الأدوات للخوادم المختبرة، لذا لا يمكن تحويل 687 إلى نسبة مئوية.

التقلّب هو النتيجة التي تغيّر أكثر من غيرها طريقة قراءة الأرقام. فمن بين 464 خادمًا تم تأكيدها في 21 يوليو، اختفى 193 — أي 41.6% — عندما فحص التشغيل الرابع بعد ثلاثة أيام. كما اختفت تسعة من الخوادم الـ41 التي تحمل نتيجة CRITICAL. يقرأ باديلا هذا على أنه نشر دون مراجعة؛ وهو يعني أيضًا أن نتيجة مؤكدة يوم الاثنين قد لا يكون لها مالك يصحّحها بحلول الخميس.

دراسات الحالة الثلاث، وما يمكن التحقق منه

تم توثيق ثلاثة اكتشافات بالتفصيل، ولكل منها معرّف استشارة أمنية من GitHub. ثغرة حقن SQL في lectorium-corpus-mcp (GHSA-m8qh-p8m5-8c48، بتصنيف حرج) تم تأكيدها باستخدام الحمولة ' OR 1=1 -- وفرق في حجم الاستجابة، دون قراءة أي محتوى من المستند أو الاحتفاظ به. وثغرة SSRF في epwforge (GHSA-r9fx-qwmc-rvx3، عالية) تم تأكيدها عبر التوقيت: 11.9 ثانية عند استهداف عنوان بيانات وصفية داخلي مقابل خط أساس قدره 0.3 ثانية، دون تخزين أي محتوى استجابة من البيانات الوصفية. وحقن قالب الموجّه في frootai (GHSA-5h8f-r9g8-5w5p، عالية) يكمل المجموعة.

اثنان من الثلاثة يمكن التحقق منهما مباشرةً. في 30 أكتوبر 2026 ظهرت صفحتا الاستشارة الأوليان علنًا في مستودع الاستشارات الأمنية لدى CobaltoSec، وكلتاهما نُشرت في 20 أغسطس 2026، ولا تزالان تُدرجان «الإصدارات المُرقَّعة: لا شيء» ولا تحملان أي CVE. أما الثالث، GHSA-5h8f-r9g8-5w5p، فقد أعاد «غير موجود» عند ذلك العنوان. وقد أدرج مستودع CobaltoSec 46 استشارة منشورة في التاريخ نفسه، تغطي خوادم MCP وأدوات الذكاء الاصطناعي المجاورة؛ وأحصت الورقة 19 استشارة بوصفها مُفصحًا عنها علنًا و49 لا تزال تحت الحظر عند كتابتها. ويوجد أثر فحص يخص frootai بتاريخ 28 يوليو 2026 في مستودع Corvus، أي أن الاختبار قد جرى؛ لكن الاستشارة وحدها غير مرئية.

تُوصف عملية الإفصاح نفسها بشكل موجز لا تفصيلي. أُرسلت جميع النتائج الـ68 إلى المشرفين عبر GitHub Security Advisories الخاصة ضمن حظر تنسيقي لمدة 90 يومًا، وحيث لم يكن الإبلاغ الخاص متاحًا، رفع Padilla بدلًا من ذلك مشكلة في مستودع عام. ويذكر البحث بشكل حكائي أن بعض المشرفين أصلحوا خلال 24 ساعة، بينما لم يجب آخرون لأسابيع، وهُجرت بعض المستودعات. ولا يقدّم عدد المشرفين الذين جرى التواصل معهم ولا جدولًا لمعدل الاستجابة، قائلًا إن هذه البيانات ستُبلَّغ بالكامل وقت التقديم.

ما لا تُثبته الورقة البحثية

«Exposed by Design» نسخة أولية من مؤلف واحد. يُدرج arXiv الإصدار 1، المقدَّم في 31 يوليو 2026، من دون أي إشارة إلى مجلة ومن دون بيان بشأن مراجعة الأقران. ويُقيّم الأرشيف السجل بدرجة ثقة B — موثّق، لكن من مصدر واحد — وهذه الدرجة تنطبق على هذا العمل بأكمله: كل رقم ورد أعلاه مصدره ورقة باديا أو مواد ينشرها هو نفسه، وليس قياسًا مستقلًا.

يبدو أنه لم تُنشُر أي غرفة أخبار مستقلة هذه الدراسة. هناك تغطية — تحليل كتبه الذكاء الاصطناعي على forkast.news، ومنشورات على LinkedIn وMedium، ومدونة أمنية باللغة الصينية، وشرح باللغة اليابانية — لكنها تعيد صياغة النسخة الأولية للبحث دون مقابلة المؤلف أو التحقق من التحذيرات أو إضافة بيانات. التغطية المشتقة ليست تأكيدًا.

يذكر Padilla الحدود بنفسه، وهي محددة على نحو غير عادي. لم تُختبر سوى وسائط نقل HTTP؛ أما خوادم stdio، وهي الحالة المحلية الشائعة، فخارج النطاق. ويُجرى الاستكشاف بأفضل جهد ممكن، لذا فإن 640 هو حد أدنى. واستُبعدت الخوادم المؤكدة الـ226 التي لم تُختبر بالكامل بسبب استجابات 403، أو إعادة تعيين الاتصالات، أو ردود JSON-RPC غير المطابقة، أو ببساطة لكونها غير متصلة، وتقول الورقة إن تحيّز الاختيار الناتج لا يمكن تحديد حدّ له. ويعتمد الكشف على استدلالات إرشادية — أوراكل التوقيت، أو الاستجابات التفاضلية، أو فحص المخطط — من دون معيار موسوم ومن دون دقة أو استدعاء منشورين للوحدات الـ34. ويُقوّض التبدّل الذي يوثّقه الصلاحية الزمنية للنتائج الفردية. كما أن إجراء باحث واحد للتحقق اليدوي يُدخل خطر تحيّز التأكيد الذي يسميه ولا يكمّمه.

ما الذي تغيّر بعد

النتيجة العملية حتى الآن هي الأداة وتدفق الإشعارات. إن Corvus قابل للتثبيت وموثّق، وقد احتوى مستودع الإشعارات الخاص بـ CobaltoSec على 46 مدخلًا منشورًا في 30 أكتوبر 2026، مقابل 19 إفصاحًا عامًا أحصتها الورقة في نهاية يوليو. ولا تزال دراستان من دراسات الحالة الخاصة بالورقة نفسها بلا نسخة مصححة — فبالنسبة إلى تلك الخوادم، أنتج الإفصاح سجلًا عامًا، لكن ليس إصلاحًا بعد.

بالنسبة إلى المدافعين، الجزء المفيد من الدراسة هو منهجها لا عنوانها الرئيسي. فعدد بنسبة 91.8% مستخرَج فقط من خوادم استجابت دون بيانات اعتماد يقول شيئًا ضيقًا وواقعيًا: معظم ما هو مكشوف لم يُقفل قط، ويشير معدل التبدل خلال ثلاثة أيام إلى أن كثيرًا منه أُقيم لأجل عرض تجريبي أو نموذج أولي أو اختبار ولم يُحصَّن قط. وما لا تستطيع الورقة قوله هو ما إذا كان الأمر نفسه ينطبق على خوادم MCP التي تعتمد عليها المؤسسات فعليًا، لأن تلك لم تكن في العينة قط.