كشفت ثغرة أمنية حديثة، اكتشفها باحثون في مجال الأمن السيبراني، عن خلل هيكلي عميق في بروتوكول الاتصال بين الوكلاء (MCP)، مما يعرض أنظمة الذكاء الاصطناعي التابعة لشركات كبرى مثل جوجل وغيرها لمخاطر جسيمة. هذه الثغرة، التي أطلق عليها اسم "انتقال البروتوكول"، تسمح للمهاجمين بالتسلل عبر سلسلة من الوكلاء الموثوقين، مستغلين افتراضات الثقة بين بروتوكولات الاتصال المختلفة لشن هجمات معقدة.
يشرح دوغلاس ماكي، مدير استخبارات الثغرات في شركة Rapid7، أن وكلاء الذكاء الاصطناعي يفتحون "مجموعة جديدة من الاتصالات للمهاجمين للتنقل عبرها". في سيناريو الهجوم، يمكن للمهاجم زرع نص معين في محتوى ما، فيقوم وكيل بقراءته ثم تمريره إلى وكيل آخر كمهمة عادية، ويقوم الوكيل الثاني بتنفيذها لأنه يثق بالوكيل الذي أرسلها. كل خطوة في هذه السلسلة تقوم بما صممت من أجله، وهذا ما يجعل اكتشافها صعباً للغاية.
تكمن المشكلة الأساسية في أن كل بروتوكول تم بناؤه بافتراض أنه يعمل بمعزل عن الآخرين، لذا يقوم كل منها بفحص "باب منزله" الخاص، دون وجود آلية لمراقبة "الممر" الذي يربط بينها. الثغرة التي اكتشفها الباحث موه الدين في شبكة Rapid7 (CVE-2026-97228) كانت ذات تصنيف خطورة منخفض (2.7 من 10) وتم إصلاحها، لكن الثغرة التي أثرت على جوجل كانت أكثر خطورة (8 من 10).
في حالة جوجل، نجمت الثغرة عن استخدام صندوق أدوات MCP لقواعد البيانات (googleapis/mcp-toolbox) الذي قام بتهيئة عميل HTTP الخاص به دون استخدام سياسة التحقق من إعادة التوجيه، وهي مجموعة من الإعدادات التي تتحكم في كيفية تعامل الخادم مع حالات الخطأ أو إعادة توجيه عنوان URL إلى عنوان آخر. كما فشل عميل HTTP الخاص بجوجل في التحقق من عناوين IP المستهدفة. يشرح موه الدين: "يمكن لمعامل مسار مصمم خصيصًا أن يجعل صندوق الأدوات يتبع إعادة توجيه إلى نقطة نهاية داخلية ويرسل طلبات نيابة عن المهاجم".
جاء إصلاح جوجل بتطبيق قائمة بيضاء لنطاقات IP وقوائم سوداء. ورفضت الشركة عنوان URL أساسي غير آمن عند بدء التشغيل بدلاً من رفضه عند أول طلب، وهو ما يعتبر "حارس SSRF حقيقي". هذه الإجراءات تتطلب جهداً أكبر مما قامت به معظم خوادم MCP.
يصف موه الدين هذه الفئة من الهجمات بـ "انتقال البروتوكول" لأن الاستغلالات تعمل عندما يستخدم تطبيق أو خادم بروتوكول MCP لتعيين مهمة لوكيل، ثم يقوم الوكيل بتمرير تعليمات خبيثة إلى وكيل آخر باستخدام طريقة اتصال مختلفة، مثل بروتوكول Agent-to-Agent (A2A) الخاص بجوجل، أو معايير ناشئة مثل Agent Network Protocol. غالباً ما تضيع الثقة أو التفويض في عملية الترجمة هذه. إنه وصف للهجوم بأنه "هجوم متعدد الخطوات يكتسب فيه الخصم وصولاً أولياً عبر بروتوكول واحد، ويستغل افتراضات الثقة بين البروتوكولات، ويتصاعد إلى قدرات لا يمكن الوصول إليها إلا عبر بروتوكول مختلف".
