پروتکل کانتکست مدل (Model Context Protocol) که به اختصار MCP شناخته می‌شود، به عنوان استانداردی نوین برای اتصال مدل‌های هوش مصنوعی به منابع داده خارجی طراحی شده است. با این حال، گزارش اخیر یک محقق امنیتی نشان می‌دهد که پیاده‌سازی‌های این پروتکل در نهادهای بزرگی همچون گوگل و جی‌پی‌مورگان، با یک آسیب‌پذیری مشترک از نوع SSRF مواجه بوده‌اند که می‌تواند امنیت زیرساخت‌های متصل را به خطر بیندازد.
ماهیت پروتکل MCP و معماری اتصال
پروتکل MCP یک معماری متن‌باز است که توسط شرکت Anthropic معرفی شده تا شکاف میان LLMها و ابزارهای دنیای واقعی (مانند دیتابیس‌ها، سیستم‌های فایل و APIها) را پر کند. این پروتکل با ایجاد یک استاندارد یکپارچه، اجازه می‌دهد مدل‌های هوش مصنوعی بدون نیاز به پیاده‌سازی کدهای سفارشی برای هر سرویس، به منابع داده دسترسی پیدا کنند. در مهرماه ۱۴۰۳، محققی به نام سید انس محی‌الدین موفق به شناسایی یک ضعف ساختاری در نحوه مدیریت درخواست‌های ورودی در چندین سرور MCP شد.
آسیب‌پذیری SSRF: دروازه‌ای به شبکه داخلی
آسیب‌پذیری SSRF یا جعل درخواست سمت سرور، زمانی رخ می‌دهد که یک اپلیکیشن به کاربر اجازه می‌دهد پارامترهای یک درخواست شبکه را کنترل کند. در مورد سرورهای MCP، مهاجم می‌تواند با ارسال ورودی‌های مخرب، سرور را وادار به ارسال درخواست به منابع داخلی یا سرویس‌های حساس شبکه کند که از دید اینترنت عمومی پنهان هستند. در پیاده‌سازی‌های آسیب‌پذیر، سرورهای MCP بدون فیلترینگ مناسب، اجازه دسترسی به نقاط پایانی (endpoints) غیرمجاز را می‌دادند که این امر می‌توانست منجر به نشت اطلاعات حساس یا اجرای دستورات غیرمجاز در محیط‌های ابری گردد.
بررسی ابعاد امنیتی و سازمان‌های متاثر
فهرست سازمان‌هایی که این آسیب‌پذیری در زیرساخت‌های آن‌ها شناسایی و اصلاح شده است، نشان‌دهنده گستره نفوذ این پروتکل در صنایع مختلف است:
- گوگل (Google)
- جی‌پی‌مورگان (JPMorgan Chase)
- شرکت Weaviate (پلتفرم پایگاه داده برداری)
- اداره دیجیتال میان‌وزارتی فرانسه (DINUM)
- دولت شهری تانگرانگ در اندونزی
تحلیل فنی نشان می‌دهد که مشکل در هسته خود پروتکل نبوده، بلکه ناشی از خطاهای برنامه‌نویسی در پیاده‌سازی سمت سرور (Server-side implementation) بوده است که در آن اعتبارسنجی ورودی‌ها (Input Validation) به درستی انجام نمی‌شد.
مشخصات فنی آسیب‌پذیری
- نوع آسیب‌پذیری: Server-Side Request Forgery (SSRF)
- پروتکل تحت تاثیر: Model Context Protocol (MCP)
- ماهیت نقص: ضعف در فیلترینگ URL و عدم محدودیت دسترسی به منابع داخلی
- وضعیت: اصلاح شده توسط تیم‌های امنیتی سازمان‌های مذکور
- تاثیر احتمالی: دسترسی به سرویس‌های متادیتای ابری (مانند AWS Instance Metadata)، دیتابیس‌های داخلی و سرویس‌های داخلی شرکت‌ها
لزوم رویکرد Zero Trust در هوش مصنوعی
این رخداد یک زنگ خطر برای تمامی توسعه‌دهندگانی است که در حال ادغام مدل‌های هوش مصنوعی در محیط‌های سازمانی هستند. امنیت در MCP باید بر اساس مدل «اعتماد صفر» (Zero Trust) طراحی شود. هر سرور MCP باید به عنوان یک موجودیت غیرقابل اعتماد در نظر گرفته شود و دسترسی‌های آن به منابع سیستم باید از طریق سیاست‌های سخت‌گیرانه (Network Policies) محدود گردد. استفاده از لیست سفید (Allow-listing) برای دامنه‌ها و IPهای مجاز، کلیدی‌ترین راهکار مقابله با این نوع حملات است.
نتیجه‌گیری نهایی این است که با افزایش نرخ پذیرش هوش مصنوعی در زیرساخت‌های حیاتی، استانداردسازی پروتکل‌ها باید با پیوست‌های امنیتی همراه باشد. توسعه‌دهندگان باید اطمینان حاصل کنند که سرورهای MCP آن‌ها در ایزولاسیون کامل اجرا شده و دسترسی‌های خروجی آن‌ها از طریق پروکسی‌های امن و سیستم‌های مانیتورینگ ترافیک کنترل می‌شود.
