اكتشاف OX Security لخوادم MCP التي تصل إلى الصين وروسيا والشبكات المنزلية

أعلنت OX Security في 24 سبتمبر 2026 بحث منشور يحلل 15,465 خوادم MCP وتقريرها أن وكلاء الذكاء الاصطناعي الذين يستخدمون Model Context Protocol (MCP) يمكنهم الاتصال بالبنية التحتية في الصين وروسيا، والشبكات المنزلية، والنطاقات المتروكة — وهي بنية تقول الشركة إنّها تقع خارج ضوابط الحوكمة التي تبنيها المؤسسات حول بيئاتها السحابية.

في الدراسة، أجرى OX Security البحث فحص الخوادم المدرجة عبر ثلاث سجلات عامة (mcp-official-registry، cline-marketplace، وgithub-mcp-registry) وقلص مجموعة البيانات إلى 5,095 اسم مضيف فريد لتحليل البنية التحتية. تم تأليف تدوينة المدونة التي قدمت العمل بواسطة موشي سيمان توف بوستان، نير زادوك، روني بار، وفيتالي تشيبوركو، ويغطي التقرير الكامل، “15,465 MCP Servers. 0 Governance.”، الموقع الجغرافي، سلامة النطاق، ومخاطر حقن الأوامر.

قدمت شركة Anthropic بروتوكول MCP في نوفمبر 2024 كمعيار مفتوح يتيح لوكلاء الذكاء الاصطناعي والتطبيقات الاتصال بالأدوات الخارجية ومصادر البيانات. وفقًا لـ OX Security، يترك المعيار حرية تحديد الجهات التي تشغل الخادم، ومكان تشغيله، والبيانات التي تتدفق إليه، وما إذا كان الكود المنشور يتطابق مع المصدر المنشور؛ هذه القرارات تعتمد إلى حد كبير على المؤسسات والمطورين الذين يقومون بالاتصالات.

نتائج إقامات البيانات

وجدت OX Security Research أن 15.6٪ من أسماء المضيف التي تم تحليلها — 796 من 5,095 — تم توجيهها إلى بنية تحتية خارج الولايات المتحدة، بما في ذلك 19 في الصين و18 في روسيا. تشير OX Security إلى أن MCP لا يمتلك مفهومًا على مستوى البروتوكول للمنطقة الجغرافية ولا آلية مدمجة لفرض مكان تنفيذ الأدوات المتصلة أو مكان معالجة البيانات. النتيجة، وفقًا للشركة، هي أن المؤسسة يمكنها الحفاظ على ضوابط إقامة صارمة على أعباء عملها السحابية بينما يصل وكلاء الذكاء الاصطناعي إلى خوادم خارجها.

تشكل شريحة منفصلة من مجموعة البيانات، حوالي 0.45٪، من خوادم MCP التي تم توجيهها عبر الشبكات المنزلية وخدمات النفق للمستهلكين. تصف OX Security ذلك بأنه تدفقات عمل الذكاء الاصطناعي الإنتاجية التي تعتمد على بنية تحتية تفتقر إلى ضمانات وقت التشغيل، وضوابط وصول المؤسسة، وإمكانية التدقيق، لأنها لم تُبْنَ أبدًا للاستخدام المؤسسي. يوضح الإصدار هذا التعرض كأن تدفقات عمل الذكاء الاصطناعي المؤسسية تعمل خارج ضوابط الوصول المركزية وتسجيل التدقيق.

مسارات الاستيلاء على النطاق واختبار حقن الموجه

وجد التحليل أن 2.3٪ من أسماء المضيف لم تعد تُحلّ. ستة من تلك النطاقات كانت غير مسجلة ومتاحة للشراء بسعر يتراوح بين 4 إلى 12 دولارًا سنويًا، على الرغم من أنه قد لا يزال يتم الإشارة إليها في التكوينات أو خطوط الأنابيب الحالية، وفقًا لمشاركة المدونة. تشير OX Security إلى أن أي شخص يسجل أحد هذه النطاقات يمكنه انتحال هوية الخادم الذي كان يشير إليه مسبقًا، ويحذر التقرير من مسارات الاستيلاء حيث لا يزال عملاء أو تدفقات عمل MCP يثقون بتلك النقاط النهاية ويتصلون بها.

اختبر الفريق أيضًا هجومًا قائمًا على الثقة لحقن الموجه ضد Claude Code المدمج مع Haiku 3.5. في الاختبار، طلب خادم MCP خبيث ملفًا غير ضار أولاً، ومنح المستخدم الطلب بإذن دائم السماح. ثم طلب الخادم ملفات حساسة، بما في ذلك ملف a.env، وتلقى هذه الملفات دون أي مطالبة إضافية من المستخدم. كل من Opus 4.6 و Opus 4.7 اكتشفا هذا الهجوم وعرقلانه.

تُفيد OX Security أن شركة Anthropic وصفت النتيجة كسلوك موثق بمجرد منح إذن دائم السماح، ووصفوا اكتشاف المستوى النموذجي للمحتوى الضار كإستدلال بأفضل جهد بدلاً من كونه حدًا أمنيًا.

بيانات تنفيذية

في إصدار شركة يعلن عن النتائج، صرّح Neatsun Ziv، المؤسس المشارك والرئيس التنفيذي لشركة OX Security: “على مدى العقد الماضي، بنت المؤسسات أمان السحابة حول البنية التحتية التي يمكنها رؤيتها والتحكم فيها. ما تُظهره هذه الدراسة هو أن وكلاء الذكاء الاصطناعي بدأوا يتجاوزون تلك الحدود.” وأضاف أن تزايد وصول الوكلاء، واستقلاليتهم، وسلطتهم يجعل أي بنية تحتية يمكن الوصول إليها جزءًا من صورة الأمان، سواء كانت المؤسسة تتحكم فيها أم لا.

قال Moshe Siman Tov Bustan، قائد البحث في OX Security، إن التحقق من أمان خوادم MCP في السوق كان أصعب مما توقع، سواءً للخوادم الفردية أو للبنية التحتية ككل. وأوضح أن فحص الكود ممكن، لكن الخادم المنشور قد يعمل بإصدار مختلف، ولا توجد وسيلة لمعرفة من يتحكم في خادم معين، وما البيانات التي يجمعها، أو ما قد يتغير في التحديثات المستقبلية.

التقرير الكامل، بما يتضمن منهجيته التقنية وسيناريوهات التهديد، متاح على موقع OX Security.