«اختطاف وكلاء الذكاء عبر بروتوكول MCP: إطار A2M يكشف هشاشة سلاسل التوريد الدلالية»

تعتمد منظومات وكلاء الذكاء الاصطناعي الحديثة بشكل متزايد على بروتوكول سياق النموذج، المعروف اختصاراً باسم MCP، لربط النماذج بالأدوات الخارجية ومصادر البيانات التابعة لأطراف ثالثة. غير أن هذا النمط المعماري الذي يقوم على المطابقة الدلالية لاختيار الأداة المناسبة يفتح ثغرة أمنية عميقة في سلاسل التوريد، وفق ما كشفته ورقة بحثية قُبلت في مؤتمر AACL-IJCNLP لعام 2026 تحت عنوان A2M: Trace-Optimized Agent Hijacking in the MCP Ecosystem. يوضح الباحثون أن اعتماد الوكلاء على الأوصاف النصية المجردة لاختيار الأدوات يتيح للمهاجمين استغلال البيانات الوصفية ومخرجات التنفيذ لإحكام السيطرة على سلوك الوكيل وحرفه عن مساره المحدد.

قدّم فريق البحث إطار عمل هجومياً بنمط الصندوق الأسود أطلقوا عليه اسم A2M، اختصاراً لمسار الانتقال من الجذب إلى التلاعب، ويعمل عبر مرحلتين متتاليتين لا تتطلبان الوصول إلى الأوزان الداخلية للنماذج. تعتمد مرحلة الجذب الأولى على تحسين البيانات الوصفية للأداة الخبيثة لرفع احتمالية استدعائها إلى أقصى حد ممكن أثناء معالجة الوكيل لاستفسارات المستخدم، مستغلة آلية الفرز الدلالي. تليها مرحلة التلاعب، وفيها يستغل المهاجم آثار التنفيذ المتتابعة لإعادة ضبط وصقل مخرجات الأداة المعادية بدقة، بما يوجه قرارات الوكيل وخطواته اللاحقة نحو النتائج التي يرغب فيها المهاجم.

أظهرت الاختبارات العملية التي نُفذت على منصة التقييم المعيارية LiveMCPBench مستويات خطيرة من الفاعلية التشغيلية. فعند تطبيق الهجوم المباشر وتخصيصه على نموذج GLM-4.6، حقق الإطار معدل استدعاء للأدوات الخبيثة بلغ في المتوسط العام 93.6% عبر أربعة سيناريوهات مختلفة. كما تسبب الهجوم في إحداث ما يُعرف بحجب الخدمة الإدراكي، حيث قفزت تكاليف استهلاك التوكنات الموزونة إلى 32.4 ضعفاً مقارنة بخط الأساس الطبيعي للتشغيل النظيف، ما يمثل استنزافاً هائلاً لموارد الحوسبة. وسجّل الإطار معدل نجاح عام بلغ 74.4% في تحقيق أهدافه الخبيثة، والتي شملت تسريب المعلومات، والمساس بسلامة البيئة التشغيلية، وحرف مسار التفكير والاستدلال لدى النموذج.

لم تتوقف خطورة التقنية عند النموذج المستهدف بالتحسين المباشر، بل امتدت عبر اختبارات النقل الشاملة. فعند تطبيق مخرجات الهجوم على أربعة نماذج ذكاء اصطناعي أخرى دون أي تعديل أو إعادة تحسين مسبقة، حافظت الأداة الخبيثة على متوسط استدعاء بلغ 63.6%، ورفعت تكلفة التوكنات بمقدار 2.7 ضعف في سيناريو حجب الخدمة، مع تحقيق معدل نجاح في الهجمات بلغ 24.5%. تثبت هذه النتائج أن هشاشة المطابقة الدلالية ليست عيباً يخص معمارية نموذج بعينه، بل هي نقطة ضعف متأصلة في كيفية تعامل الوكلاء مع بيئات الأدوات المفتوحة.

يحمل هذا الكشف تداعيات عملية ومباشرة على الفرق الهندسية والشركات التقنية في الخليج ومصر والشام، خصوصاً مع الرهان المتصاعد على وكلاء البرمجيات لأتمتة مهام المؤسسات وربط قواعد البيانات الداخلية بالخدمات السحابية عبر بروتوكول MCP. إن خطر حجب الخدمة الإدراكي يعني أن المؤسسات التي تدفع فواتير واجهات البرمجة بحسب حجم الاستهلاك مهددة باستنزاف ميزانياتها التشغيلية نتيجة تكرار دورات استدلالية مطولة تغذيها أدوات متلاعب بها. كما أن الفحص الشكلي للبيانات الوصفية لم يعد كافياً، ما يفرض على مديري التقنية في المنطقة التحول نحو عزل بيئات التشغيل برمجياً، واشتراط تدقيق صارم وشامل لكل أداة طرف ثالث قبل منحها صلاحية التفاعل مع الوكلاء المؤسسيين.

خلص الباحثون الذين أتاحوا الشيفرة البرمجية للمشروع للعموم إلى أن تأمين منظومة MCP يتطلب مراجعة جذرية لآليات الثقة الدلالية، وفرض رقابة مشددة على المخرجات أثناء التشغيل الفعلي. إن حماية الوكلاء تتجاوز دقة النماذج إلى صيانة الحواجز الأمنية حول كل أداة تتصل بها.