در دنیای به‌هم‌پیوسته امروز که عامل‌های هوش مصنوعی (AI Agents) در حال نفوذ به لایه‌های عملیاتی سازمان‌ها هستند، پروتکلی نوظهور به نام Model Context Protocol (MCP) به عنوان زبان مشترک برای تعامل ماشین‌ها معرفی شده است. با این حال، تحلیل‌های اخیر نشان می‌دهد که همین قابلیت ارتباطی، درگاه جدیدی را برای حملات زنجیره‌ای باز کرده که می‌تواند زیرساخت‌های حیاتی را از درون فرو بپاشد.
MCP چیست و چرا زیر ذره‌بین قرار گرفته است؟
پروتکل زمینه مدل (MCP) با هدف استانداردسازی نحوه تعامل اپلیکیشن‌های هوش مصنوعی با داده‌ها و سایر عامل‌ها طراحی شده است. ایده اصلی این است که به‌جای توسعه اتصالات سفارشی (Custom Integrations) برای هر سیستم، یک پروتکل باز و واحد وجود داشته باشد تا عامل‌های مختلف بتوانند به یکدیگر متصل شوند. اما مشکل از جایی آغاز می‌شود که این اعتماد ساختاری (Structural Trust) به یک آسیب‌پذیری مرگبار تبدیل می‌گردد. محققان امنیتی دریافته‌اند که عامل‌ها، برخلاف انسان‌ها، به دستورالعمل‌های ارسالی از سوی «عامل‌های همکار» اعتماد مطلق دارند؛ این یعنی اگر یک عاملِ ترجمه یا تحلیل داده تحت کنترل مهاجم قرار بگیرد، می‌تواند دستورات مخرب را به سایر عامل‌های حساس شبکه تزریق کند.
مکانیسم حمله: وقتی عامل‌ها به هم اعتماد می‌کنند
روش حمله که به عنوان نوعی خاص از «تزریق دستور» (Prompt Injection) شناسایی شده، مستقیماً لایه مدل زبانی (LLM) را هدف نمی‌گیرد، بلکه «زنجیره اعتماد» بین عامل‌ها را نشانه می‌رود. در سیستم‌های مبتنی بر MCP، عامل‌ها به‌طور پیش‌فرض از دستورات دریافتی از هم‌قطاران خود پیروی می‌کنند. محقق امنیتی، سید انس محی‌الدین (Syed Anas Mohiuddin)، با بررسی سیستم‌های پیاده‌سازی شده توسط سازمان‌های بزرگی نظیر گوگل، جی‌پی مورگان چیس و نهادهای دولتی، نشان داد که چگونه می‌توان با نفوذ به یک عامل کوچک و کم‌اهمیت، از طریق MCP به هسته داده‌های حساس دسترسی پیدا کرد. گاردریل‌های (Guardrails) فعلی در این پروتکل اغلب بسیار ضعیف هستند یا عملاً برای تعاملات بین-عامل (Agent-to-Agent) طراحی نشده‌اند.
مشخصات فنی و مخاطرات ساختاری
- پروتکل درگیر: Model Context Protocol (MCP)
- نوع آسیب‌پذیری: تزریق دستور بین‌عامل (Cross-Agent Prompt Injection)
- بردار حمله: سوءاستفاده از اعتماد پیش‌فرض در معماری ارتباطی
- پیامد: استخراج داده‌های حساس (Exfiltration)، تغییر دسترسی‌های پایگاه داده و اجرای دستورات غیرمجاز در شبکه داخلی
چالش‌های دشوار در مسیر مقابله
تضعیف این تهدید بسیار پیچیده است، زیرا MCP ذاتاً برای «شفافیت و تسهیل ارتباط» ساخته شده و نه برای «پالایش امنیتی». وقتی یک عاملِ تحلیل‌گر، داده‌ای را از یک عاملِ جستجو دریافت می‌کند، بررسی اینکه آیا آن داده حاوی دستورات مخرب «تزریق شده» است یا خیر، به یک چالش محاسباتی بزرگ تبدیل می‌شود. اکثر توسعه‌دهندگان فعلاً بر روی بهینه‌سازی عملکرد (Performance) متمرکز هستند و لایه امنیتی در پروتکل‌های ارتباطیِ عامل‌ها (Agent Communications) تقریباً نادیده گرفته شده است. این وضعیت در پاییز ۱۴۰۵ (۲۰۲۶ میلادی) به یک بحران جدی برای امنیت سایبری شرکت‌ها تبدیل شده است.
نتیجه‌گیری و توصیه‌های ایمنی
معماری‌های مبتنی بر عامل (Agentic Architectures) بدون در نظر گرفتن «اعتماد صفر» (Zero Trust) برای ماشین‌ها، بسیار آسیب‌پذیر هستند. برای مقابله با این روند، سازمان‌ها باید پروتکل‌های احراز اصالت سخت‌گیرانه‌تری را بین عامل‌ها تعریف کنند و هرگونه ارتباط MCP را به‌عنوان یک ورودی کاربرِ غیرمطمئن (Untrusted User Input) در نظر بگیرند. امنیت در مدل‌های هوش مصنوعی دیگر محدود به فیلترینگ ورودی‌های کاربر نهایی نیست، بلکه باید شامل نظارت بر پروتکل‌های زیرساختی باشد که عامل‌ها با آن با یکدیگر سخن می‌گویند.
