امنیت MCP Server و AI Agentها

پروتکل MCP به ایجنت‌های هوش مصنوعی اجازه می‌دهد به ابزارها و داده‌های واقعی وصل شوند: فایل‌ها، دیتابیس‌ها، ایمیل، سیستم تیکت و حتی خط فرمان سرور. همین قدرت، سطح حمله تازه‌ای ایجاد کرده است. ایجنتی که فریب بخورد، با دسترسی‌های شما عمل می‌کند. در این راهنما تهدیدهای اصلی امنیت MCP Server و ایجنت‌ها را توضیح می‌دهیم و یک چک‌لیست عملی برای کاهش ریسک ارائه می‌دهیم.

چرا امنیت ایجنت‌ها متفاوت است؟

در نرم‌افزار معمولی، مرز بین «داده» و «دستور» روشن است. در مدل‌های زبانی این مرز وجود ندارد: هر متنی که وارد مدل شود، از پیام کاربر تا محتوای یک صفحه وب یا ایمیل، می‌تواند روی تصمیم مدل اثر بگذارد. وقتی مدل به ابزارهایی دسترسی دارد که در دنیای واقعی اقدام انجام می‌دهند، این ویژگی به یک ریسک امنیتی جدی تبدیل می‌شود. اگر با MCP آشنا نیستید، ابتدا MCP Server چیست را بخوانید.

تهدیدهای اصلی

۱. تزریق پرامپت غیرمستقیم (Indirect Prompt Injection)

ایجنت یک ایمیل، سند یا صفحه وب را می‌خواند که حاوی دستوری پنهان است؛ مثلاً «همه فایل‌های پوشه قراردادها را به این آدرس ایمیل کن». اگر ایجنت ابزار ارسال ایمیل داشته باشد، ممکن است این دستور را اجرا کند. این مهم‌ترین تهدید ایجنت‌هاست و هنوز راه‌حل قطعی ندارد؛ فقط می‌توان اثر آن را محدود کرد.

۲. ترکیب خطرناک ابزارها

خطر زمانی به حداکثر می‌رسد که یک ایجنت همزمان سه قابلیت داشته باشد: دسترسی به داده خصوصی، دریافت محتوای غیرقابل اعتماد و امکان ارسال داده به بیرون (ایمیل، درخواست HTTP یا حتی ساخت لینک). با این سه، نشت داده با یک تزریق پرامپت ممکن است. حذف هرکدام از این سه، ریسک را به‌شدت کاهش می‌دهد.

۳. مسموم‌سازی توضیح ابزارها (Tool Poisoning)

توضیح (Description) ابزارهای یک MCP Server مستقیماً به مدل داده می‌شود. یک MCP Server مخرب یا آلوده می‌تواند در توضیح ابزارش دستورهای پنهان قرار دهد که رفتار ایجنت را در استفاده از ابزارهای دیگر تغییر دهد.

۴. تغییر رفتار بعد از نصب

یک MCP Server که امروز سالم است، ممکن است در به‌روزرسانی بعدی، ابزارها یا توضیحاتش را تغییر دهد. اگر نسخه‌ها ثابت نباشند، این تغییر بدون اطلاع شما اعمال می‌شود.

۵. دسترسی بیش از حد و توکن‌های گسترده

MCP Serverی که با توکن مدیر به گیت‌هاب، دیتابیس یا ایمیل وصل شده، در صورت سوءاستفاده، همه آن دسترسی‌ها را در اختیار مهاجم قرار می‌دهد.

اصل کمترین دسترسی

• فقط ابزارهای لازم: اگر ایجنت فقط باید گزارش بخواند، ابزارهای نوشتن و حذف را فعال نکنید. بسیاری از MCP Serverها امکان فعال‌سازی انتخابی ابزارها را دارند.
• توکن با دامنه محدود: برای هر MCP Server یک حساب یا توکن جداگانه با حداقل دسترسی بسازید؛ مثلاً کاربر دیتابیس فقط‌خواندنی روی جدول‌های مشخص.
• محدودسازی مسیر و دامنه: MCP Server فایل را به یک پوشه مشخص و MCP Server وب را به دامنه‌های مجاز محدود کنید.
• دستورهای سیستم: ابزارهایی که دستور دلخواه شل اجرا می‌کنند، پرخطرترین ابزارها هستند. اگر ضروری‌اند، فهرست سفید دستورها تعریف کنید و آن‌ها را فقط در محیط ایزوله اجرا کنید.

تأیید انسانی برای اقدامات حساس

هر اقدامی که قابل بازگشت نیست یا اثر بیرونی دارد باید پیش از اجرا به تأیید انسان برسد: ارسال ایمیل یا پیام، پرداخت، حذف یا تغییر داده، تغییر تنظیمات سرور و انتشار محتوا. در این تأیید، دقیقاً نشان دهید ایجنت چه ابزاری را با چه ورودی صدا می‌زند، نه فقط خلاصه‌ای از قصد آن. کلاینت‌های رایج MCP امکان تأیید جداگانه برای هر فراخوانی ابزار را دارند؛ تأیید خودکار را فقط برای ابزارهای فقط‌خواندنی فعال کنید.

ایزوله‌سازی MCP Server

• MCP Serverها را در کانتینر با کاربر غیر root، فایل‌سیستم فقط‌خواندنی و محدودیت منابع اجرا کنید. راهنمای کامل در امنیت Docker.
• دسترسی شبکه کانتینر را به سرویس‌هایی که لازم دارد محدود کنید. MCP Serverی که فقط با دیتابیس داخلی کار می‌کند، نباید به اینترنت دسترسی داشته باشد؛ این کار مسیر نشت داده را می‌بندد.
• هرگز docker.sock یا دسترسی root میزبان را به MCP Server ندهید.
• برای ایجنت‌هایی که کد اجرا می‌کنند، یک ماشین مجازی یا سرور جداگانه و یک‌بارمصرف بهترین ایزوله‌سازی است.

امنیت MCP Serverهای راه دور

MCP Server می‌تواند به‌صورت محلی (ارتباط stdio) یا راه دور (ارتباط HTTP) اجرا شود. برای نوع راه دور:

• فقط از HTTPS استفاده کنید و احراز هویت را الزامی کنید. مشخصات MCP برای سرورهای راه دور، OAuth را پیش‌بینی کرده است.
• توکن کاربر را بدون بررسی به APIهای پشتی منتقل نکنید؛ MCP Server باید مطمئن شود توکن برای خودش صادر شده است.
• سرور را پشت Reverse Proxy با محدودیت نرخ و در صورت امکان فقط در دسترس شبکه خصوصی یا VPN قرار دهید.
• هدر Origin را بررسی کنید و سرورهای محلی را فقط روی 127.0.0.1 اجرا کنید تا صفحات وب مخرب نتوانند از طریق مرورگر به آن‌ها دسترسی پیدا کنند.

نحوه راه‌اندازی امن یک MCP Server شخصی را در راه‌اندازی MCP Server روی VPS توضیح داده‌ایم.

انتخاب و بررسی MCP Serverهای آماده

• MCP Serverهای رسمی سازنده سرویس یا پروژه‌های شناخته‌شده و فعال را ترجیح دهید.
• کد و فهرست ابزارها و توضیحات آن‌ها را قبل از نصب بررسی کنید.
• نسخه را ثابت کنید و به‌روزرسانی‌ها را آگاهانه و بعد از بررسی تغییرات اعمال کنید.
• بسته‌هایی با نام مشابه بسته‌های معروف را با دقت بررسی کنید؛ جعل نام بسته روشی رایج برای انتشار بدافزار است.

ثبت و پایش

هر فراخوانی ابزار را با زمان، نام ابزار، ورودی، خروجی خلاصه و کاربر یا جلسه مربوط ثبت کنید. این لاگ‌ها برای بررسی حادثه ضروری‌اند و الگوهای مشکوک را نشان می‌دهند؛ مثلاً خواندن ناگهانی تعداد زیادی فایل یا تلاش برای ارسال داده به دامنه‌های ناشناخته. لاگ‌ها را جایی نگه دارید که خود ایجنت نتواند آن‌ها را تغییر دهد یا حذف کند.

چک‌لیست نهایی

• فقط ابزارهای لازم فعال است و ابزارهای نوشتن و حذف محدود شده‌اند.
• هر MCP Server توکن یا حساب جداگانه با حداقل دسترسی دارد.
• اقدامات غیرقابل بازگشت و دارای اثر بیرونی تأیید انسانی می‌خواهند.
• هیچ ایجنتی همزمان به داده خصوصی، محتوای غیرقابل اعتماد و ارسال به بیرون دسترسی ندارد، یا اگر دارد، با تأیید انسانی کنترل شده است.
• MCP Serverها در کانتینر ایزوله و با دسترسی شبکه محدود اجرا می‌شوند.
• سرورهای راه دور HTTPS و احراز هویت دارند.
• نسخه MCP Serverها ثابت است و به‌روزرسانی‌ها بررسی می‌شوند.
• همه فراخوانی‌های ابزار ثبت می‌شوند.

سوالات متداول