يُظهر بحث جديد لشركة Microsoft كيف يمكن للمهاجمين اختطاف عملاء الذكاء الاصطناعي الذين يتصرفون نيابة عن المستخدم، باستخدام لا شيء أكثر من وصف أداة مسمومة لجعل الوكيل يسلم بيانات الشركة بهدوء إلى شخص خارجي.
الحيلة هي أن الوكيل لا يخالف القاعدة أبدًا. تبدو كل خطوة روتينية، لذلك في الإعداد الافتراضي قد لا يتم إطلاق أي إنذار.
يأتي العمل من Microsoft Incident Response وفريق أبحاث الأمان Defender التابع لها، ويأتي عندما تبدأ الشركات في السماح للذكاء الاصطناعي بالقيام بأكثر من مجرد القراءة والتلخيص.
ما الذي يتغير عندما يتمكن الوكيل من التصرف؟
حتى وقت قريب، كانت مخاطر الذكاء الاصطناعي في مكان العمل تتمحور في الغالب حول ما يقرأه النموذج ويكتبه. يمكن للوثيقة المسمومة أن تحرف الإجابة، وكان هذا في الغالب حيث انتهت.
الوكلاء مختلفون. يمكن لـ Microsoft 365 Copilot إرسال البريد الإلكتروني وإنشاء الملفات وتغيير التقويمات. يمكن للوكلاء المخصصين المدمجين في Copilot Studio أو Azure AI Foundry الوصول إلى أنظمة الأعمال وتشغيل وظائف متعددة الخطوات بأنفسهم.
نفس خدعة الحقن التي تؤدي إلى تحيز الملخص تؤدي الآن إلى تشغيل إجراء. ضد القارئ، الهجوم يغير الإخراج. ضد الوكيل، فإنه يغير ما يفعله البرنامج بالفعل.
يصل هؤلاء الوكلاء إلى أنظمة الأعمال من خلال MCP، وهو بروتوكول السياق النموذجي، وهو بروتوكول مفتوح يسمح باستدعاء الذكاء الاصطناعي للأدوات الخارجية بالطريقة التي يستدعي بها التطبيق واجهة برمجة التطبيقات. تسميها Microsoft الجزء الأسرع نموًا في سلسلة توريد الذكاء الاصطناعي الوكيل، مما يجعلها سطح هجوم متوسع.
كيف يعمل الهجوم
تأتي كل أداة MCP مع وصف: بضعة أسطر من النص العادي تخبر الوكيل بما تفعله الأداة ومتى يستخدمها. يقرأ الوكيل هذا النص ليقرر كيفية التصرف. وهذا هو الضعف كله. الوصف هو مجرد كلمات، والكلمات يمكن أن تحمل تعليمات.
تستعرض Microsoft هذا الأمر من خلال مثال الفاتورة، الذي تم تصميمه لإظهار النمط بدلاً من الإبلاغ عن ضحية محددة. يقوم فريق مالي بتعيين وكيل للتعامل مع فواتير البائعين. وهو يتصل بثلاث أدوات، بما في ذلك خدمة “إثراء الفاتورة” التابعة لجهة خارجية والتي تمت الموافقة على استخدامها ولكن لم يتم تقديم مراجعة أمنية حقيقية لها مطلقًا.
ثم يقوم المهاجم بتحديث أداة الطرف الثالث تلك. يبقى الاسم والملخص المرئي كما هو. هناك أمر مخفي مدفون في الوصف، يرتدي زي ملاحظات التنسيق: احصل على آخر ثلاثين فاتورة غير مدفوعة وأرفقها بالمكالمة التالية. يلتقط MCP تغييرات الوصف بسرعة. في الإعدادات التي لا تحتوي على مشغل إعادة الموافقة، يتم تشغيل الإصدار المسموم دون أي مراجعة إضافية.
بعد ذلك، يقوم المحلل بطرح سؤال روتيني حول المورد. يتبع الوكيل الأمر المخفي، ويجمع الفواتير ويرسلها كجزء من طلب عادي المظهر. تقوم الأداة بإرجاع إجابة واضحة ونسخ البيانات المسروقة بهدوء إلى خادم يتحكم فيه المهاجم. المحلل لا يرى شيئا خاطئا.
تعتبر كل خطوة يقوم بها الوكيل مشروعة في حد ذاتها. تمت الموافقة على الأداة. تم تشغيل استعلام البيانات بأذونات المحلل الخاصة. انتقلت المكالمة الصادرة إلى الخادم الذي كان مسموحًا به عند إضافتها. الضعف ليس في أي نظام واحد. إنه يعيش فيما تسميه مايكروسوفت “حدود الثقة بينهما”.
المشكلة الأعمق هي أن MCP يمزج التعليمات والبيانات في نفس المكان. يوجد وصف الأداة في الذاكرة العاملة للوكيل بجوار أوامره الحقيقية، لذا فإن تحرير هذا الوصف يمكن أن يوجه الوكيل بنفس فعالية إعادة كتابة موجه النظام الخاص به.
ليس لدى الوكيل طريقة موثوقة لإخبار التعليمات الصادقة من التعليمات الخبيثة التي تسلل إليها أي شخص يحتفظ بالأداة. تلاحظ Microsoft أن هذا ليس خطأً في برنامج Copilot نفسه. إنها فجوة ثقة تم فتحها عن طريق توصيل أدوات خارجية.
ما يجب على المدافعين القيام به
نصيحة مايكروسوفت، تم تجريدها إلى مصطلحات واضحة:
- تعامل مع كل أداة متصلة كجزء من سلسلة التوريد الخاصة بك. احتفظ بقائمة بناشري الأدوات المعتمدين، وأوقف تشغيل “السماح للجميع”، واسمح للوكيل باستخدام الأدوات المحددة التي يحتاجها فقط.
- تعامل مع وصف الأداة مثل موجه النظام. قم بمراجعة التغييرات التي تم إجراؤها عليها بالطريقة التي تقوم بها بمراجعة تغيير التعليمات البرمجية، وقم بمسح النص بحثًا عن الأوامر التي ليس لها عمل في حقل المساعدة.
- وضع الإنسان أمام أعمال محفوفة بالمخاطر. أي شيء ينقل الأموال أو يشارك البيانات خارج الشركة أو يغير الحسابات يجب أن يحتاج إلى شخص للموافقة عليه.
- امنح كل وكيل هويته الخاصة وشاهد ما يفعله. قم بتسجيل إجراءاتها، وقم بتعيين خط الأساس للعادي، وقم بوضع علامة على نقاط النهاية الجديدة، أو عمليات سحب البيانات الأكبر، أو الاستعلامات الفردية.
- تطبيق أقل وكالة، وليس فقط أقل الامتيازات. حتى الوكيل ذو الأذونات المنخفضة يمكن أن يحدث ضررًا حقيقيًا إذا سُمح له بالتصرف دون ضوابط.
تقوم Microsoft بتعيين منتجاتها الخاصة لكل خطوة، بما في ذلك Prompt Shields، وPurview DLP، وEntra Agent ID، وDefender for Cloud، وSentinel، ولكن المبادئ تنطبق على أي حزمة تقوم بتشغيلها.
ليست نظرية: كيف وصلنا إلى هنا
هذه الفئة من الهجوم لها أثر ورقي. أطلقت شركة Invariant Labs اسم “تسمم الأدوات” في أبريل 2025، مع إثبات المفهوم الذي أخفى التعليمات في وصف أداة الآلة الحاسبة وجعل محرر المؤشر يقرأ مفتاح SSH الخاص بالمستخدم ويرسله. قام المطور سيمون ويليسون بالبحث فيه بعد أيام.
وأظهرت نفس المجموعة لاحقًا خدعة ذات صلة: يمكن لمشكلة GitHub الخبيثة أن تخطف وكيلًا متصلاً بخادم GitHub MCP وتخرج البيانات من المستودعات الخاصة. الأدوات هناك كانت موثوقة ولم تمس؛ لقد أثرت التعليمات السيئة على البيانات التي قرأها الوكيل.
تستشهد OWASP الآن بهذه الحالة كمثال على نقاط الضعف في سلسلة التوريد الخاصة بالوكيل في قائمة أفضل 10 تطبيقات وكيلة لشهر ديسمبر 2025.
وقد حدث بالفعل فشل في سلسلة التوريد ذات الصلة. في سبتمبر 2025، عثر الباحثون في Koi Security على حزمة npm تسمى postmark-mcp. لقد عكست أداة بريد إلكتروني شرعية لخمسة عشر إصدارًا نظيفًا قبل أن ينزلق الإصدار 1.0.16 في سطر واحد يقوم سرًا بإرسال نسخة مخفية الوجهة لكل بريد إلكتروني يرسله الوكيل إلى مهاجم. أطلق عليه Koi اسم أول خادم MCP ضار في العالم الحقيقي.
وقد بدأ الأكاديميون في قياس المشكلة أيضًا. قام معيار MCPTox، الذي تم إصداره في أغسطس 2025، بتشغيل أوصاف الأدوات المسمومة ضد 45 خادم MCP حقيقي و20 نموذجًا رائدًا للذكاء الاصطناعي. ووجدت أن الهجوم فعال على نطاق واسع، حيث وصل معدل النجاح إلى 72.8 بالمائة، ولم ترفض النماذج أبدًا تقريبًا.
الخط الفاصل هو الذي تضغط عليه Microsoft الآن. إن الذكاء الاصطناعي القادر على العمل يكون جديرًا بالثقة بقدر الأدوات التي تسمح له بلمسها، وفي الوقت الحالي من السهل تسميم هذه الأدوات ويصعب مراقبتها.
