اكتشاف OX Security لخوادم MCP التي تصل إلى الصين وروسيا والشبكات المنزلية

نشرت OX Security في 24 سبتمبر 2026 بحثًا يحلل 15,465 خادم MCP ويفيد بأن وكلاء الذكاء الاصطناعي الذين يستخدمون Model Context Protocol (MCP) يمكنهم الاتصال بالبنية التحتية في الصين وروسيا، والشبكات المنزلية، والنطاقات المتروكة — وهي بنية تقول الشركة إنّها تقع خارج ضوابط الحوكمة التي بنتها المؤسسات حول بيئاتها السحابية.

في الدراسة، فحص فريق OX Security للأبحاث الخوادم المدرجة عبر ثلاثة سجلات عامة (mcp-official-registry، cline-marketplace، وgithub-mcp-registry) وقلص مجموعة البيانات إلى 5,095 اسم مضيف فريد لتحليل البنية التحتية. تم تأليف تدوينة المدونة التي قدمت العمل بواسطة موشي سيمان توف بوستان، نير زادوك، روني بار، وفيتالي تشيبوركو، ويغطي التقرير الكامل، “15,465 MCP Servers. 0 Governance.”، الموقع الجغرافي، سلامة النطاق، ومخاطر حقن المطالبات.

قدمت شركة Anthropic بروتوكول MCP في نوفمبر 2024 كمعيار مفتوح يتيح لوكلاء الذكاء الاصطناعي والتطبيقات الاتصال بالأدوات الخارجية ومصادر البيانات. وفقًا لـ OX Security، يترك المعيار حرية تحديد الجهات التي تشغل الخادم، ومكان تشغيله، والبيانات التي تتدفق إليه، وما إذا كان الكود المشغّل على الخادم يتطابق مع المصدر المنشور؛ هذه القرارات تعتمد إلى حد كبير على المؤسسات والمطورين الذين يقومون بالاتصالات.

نتائج إقامة البيانات

وجدت OX Security Research أن 15.6٪ من أسماء المضيف التي تم تحليلها — 796 من 5,095 — أشارت عند حلّ الأسماء إلى بنية تحتية خارج الولايات المتحدة، بما في ذلك 19 في الصين و18 في روسيا. تشير OX Security إلى أن MCP لا يمتلك مفهومًا على مستوى البروتوكول للمنطقة الجغرافية ولا آلية مدمجة لفرض مكان تنفيذ الأدوات المتصلة أو مكان معالجة البيانات. النتيجة، وفقًا للشركة، هي أن المؤسسة يمكنها الحفاظ على ضوابط إقامة صارمة على أعباء عملها السحابية بينما يصل وكلاء الذكاء الاصطناعي إلى خوادم خارجها.

تكوّنت شريحة منفصلة من مجموعة البيانات، حوالي 0.45٪، من خوادم MCP التي تم توجيهها عبر الشبكات المنزلية وخدمات النفق للمستهلكين. تصف OX Security ذلك بأنه تدفقات عمل الذكاء الاصطناعي في بيئات التشغيل الفعلية التي تعتمد على بنية تحتية تفتقر إلى ضمانات وقت التشغيل، وضوابط وصول المؤسسة، وإمكانية التدقيق، لأنها لم تُبْنَ أبدًا للاستخدام المؤسسي. يعرض البيان هذا التعرض بوصفه تدفقات عمل للذكاء الاصطناعي المؤسسي تعمل خارج ضوابط الوصول المركزية وتسجيل التدقيق.

مسارات الاستيلاء على النطاق واختبار حقن الموجه

وجد التحليل أن 2.3٪ من أسماء المضيف لم تعد تُحلّ. ستة من تلك النطاقات كانت غير مسجلة ومتاحة للشراء بسعر يتراوح بين 4 و12 دولارًا سنويًا، على الرغم من أنه قد لا يزال يتم الإشارة إليها في التكوينات أو خطوط الأنابيب الحالية، وفقًا لمشاركة المدونة. تشير OX Security إلى أن أي شخص يسجل أحد هذه النطاقات يمكنه انتحال هوية الخادم الذي كان يشير إليه مسبقًا، ويحذر التقرير من مسارات الاستيلاء حيث لا يزال عملاء أو تدفقات عمل MCP يثقون بنقاط النهاية تلك ويتصلون بها.

اختبر الفريق أيضًا هجومًا قائمًا على الثقة لحقن الموجه ضد Claude Code المدمج مع Haiku 3.5. في الاختبار، طلب خادم MCP خبيث ملفًا غير ضار أولاً، ومنح المستخدم الطلب بإذن دائم السماح. ثم طلب الخادم ملفات حساسة، بما في ذلك ملف a.env، وتلقى هذه الملفات دون أي مطالبة إضافية موجّهة إلى المستخدم. كل من Opus 4.6 و Opus 4.7 اكتشفا هذا الهجوم ومنعاه.

تُفيد OX Security بأن شركة Anthropic وصفت النتيجة كسلوك موثق بمجرد منح إذن دائم السماح، ووصفت اكتشاف المحتوى الضار على مستوى النموذج كإستدلال بأفضل جهد بدلاً من كونه حدًا أمنيًا.

تصريحات المسؤولين التنفيذيين

في بيان للشركة يعلن عن النتائج، صرّح Neatsun Ziv، المؤسس المشارك والرئيس التنفيذي لشركة OX Security: “على مدى العقد الماضي، بنت المؤسسات أمان السحابة حول البنية التحتية التي يمكنها رؤيتها والتحكم فيها. ما تُظهره هذه الدراسة هو أن وكلاء الذكاء الاصطناعي بدأوا يتجاوزون تلك الحدود.” وأضاف أن تزايد وصول الوكلاء، واستقلاليتهم، وسلطتهم يجعل أي بنية تحتية يمكن الوصول إليها جزءًا من صورة الأمان، سواء كانت المؤسسة تتحكم فيها أم لا.

قال Moshe Siman Tov Bustan، قائد البحث في OX Security، إن التحقق من أمان خوادم MCP في السوق كان أصعب مما توقع، سواءً للخوادم الفردية أو للبنية التحتية ككل. وأوضح أن فحص الكود ممكن، لكن الخادم المنشور قد يعمل بإصدار مختلف، ولا توجد وسيلة لمعرفة من يتحكم في خادم معين، وما البيانات التي يجمعها، أو ما قد يتغير في التحديثات المستقبلية.

التقرير الكامل، بما يتضمن منهجيته التقنية وسيناريوهات التهديد، متاح على موقع OX Security.