اگر از ابزارهای خودکارسازی برای مدیریت دسترسی‌های حساس استفاده می‌کنید، احتمالاً همین حالا اعتبارنامه‌های شما در معرض سرقت است. یک نقص امنیتی در SDK پایتون MCP (Model Context Protocol) به سرورهای مخرب اجازه می‌دهد دسترسی کامل به حساب‌های متصل به اپلیکیشن را به دست آورند.
به نقل از یک هشدار امنیتی که در ۲۹ سپتامبر ۲۰۲۶ منتشر شد، مهاجمان می‌توانند با ارائه یک نقطه انتهایی (Endpoint) جعلی برای ورود، اسرار کلاینت و کدهای احراز هویت را رهگیری کنند. این اتفاق زمانی رخ می‌دهد که کلاینت از سرور می‌پرسد کجا باید احراز هویت شود و سرور مخرب، پاسخی جعلی می‌دهد.
این آسیب‌پذیری در دسته حملات «OAuth-mix-up» قرار می‌گیرد. در یک حالت عادی، کلاینت MCP به سرور متصل اعتماد می‌کند تا سرویس احراز هویت درست را شناسایی کند. اما چون نسخه‌های آسیب‌دیده این پاسخ را بررسی نمی‌کردند، سرور مخرب می‌توانست کلاینت را فریب دهد تا اسرار حساس را مستقیماً برای مهاجم ارسال کند.
همان‌طور که در تحلیل قبلی ما درباره‌ی امنیت مدل‌های بازمتن اشاره کردیم، اعتماد کورکورانه به لایه‌های واسط می‌تواند کل زنجیره امنیتی را تخریب کند. در اینجا نیز نبود یک لایه اعتبارسنجی ساده، درِ پشتی را برای مهاجمان باز کرده است. این چالش‌ها در واقع تداوم همان نقاط ضعفی است که راهکار AegisGate با گیت‌وی ۷ لایه سعی در پوشش آن‌ها داشت تا خلأهای امنیتی پروتکل MCP را پر کند.
اثرات فنی و نسخه‌های آسیب‌پذیر
بر اساس مستندات منتشر شده، این نقص روی بازه‌های نسخه‌ای زیر اثر می‌گذارد:
- نسخه‌های ۱.۹.۱ تا ۱.۲۹.۱ (در نسخه ۱.۳۰.۰ اصلاح شد)
- نسخه‌های ۲.۰.۰ تا ۲.۱.۱ (در نسخه ۲.۲.۰ اصلاح شد)
تحلیلگران امنیتی امتیاز CVSS ۷.۵ را برای ارائه‌دهندگان ماشین-به-ماشین (که انسانی در چرخه نیست) و ۶.۵ را برای جلسات تعاملی تعیین کرده‌اند. اگرچه تا اواخر سپتامبر گزارشی از بهره‌برداری واقعی در محیط عملیاتی منتشر نشده، اما ریسک برای عامل‌ها (Agents) که داده‌های مالی را مدیریت می‌کنند بسیار بالاست؛ زیرا یک توکن سرقت‌شده، تمام سطح دسترسی اپلیکیشن را در اختیار مهاجم قرار می‌دهد. این ریسک‌ها به‌ویژه برای سیستم‌هایی که در حال گسترش هستند بحرانی است؛ برای مثال، ادغام پروتکل MCP در هسته Pi نشان داد که مدیریت پیچیده ابزارها در دستیارهای هوش مصنوعی تا چه حد به پایداری این پروتکل وابسته است.
مراحل رفع مشکل
صرفاً ارتقای کتابخانه برای همه کاربران کافی نیست. برای کسانی که از ClientCredentialsOAuthProvider یا PrivateKeyJWTOAuthProvider استفاده می‌کنند، باید پارامتر issuer= را به‌طور صریح تعریف کنند تا سرویس ورود قانونی مشخص شود. همچنین کاربران RFC7523OAuthClientProvider که منسوخ شده است، باید به‌طور کامل از آن مهاجرت کنند چون این گزینه را ندارد.
برای ایمن‌سازی کامل، توصیه می‌شود این پنج گام طی شود: ارتقای SDK، پیکربندی صادرکننده، مهاجرت از ارائه‌دهنده‌های منسوخ، پاک‌سازی ثبت‌های ذخیره‌شده و تغییر (Rotate) تمام اسرا‌ری که احتمالاً با سرورهای غیرقابل‌اعتماد در تماس بوده‌اند.
این حادثه نشان می‌دهد چرا در انتشار مشخصات MCP در ۲۸ سپتامبر، اعتبارسنجی iss اجباری شد. پروتکل برای جلوگیری از این نوع حملات سخت‌گیرانه‌تر شد، اما این هشدار ثابت می‌کند که شکاف‌های اجرایی در SDKها همچنان اصلی‌ترین مسیر برای سرقت اعتبارنامه‌ها هستند.
گام بعدی شما
- فوراً نسخه SDK خود را به ۱.۳۰.۰ یا ۲.۲.۰ ارتقا دهید.
- پارامتر
issuerدر تنظیمات OAuth خود به‌صورت دستی تعریف کنید. - تمام Secret Keyهایی که در محیط‌های تست یا سرورهای متصل استفاده شده‌اند را تغییر دهید.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.
گفتگو