انفجار سرورهای MCP؛ نقطهکور ابزارهای امنیتی
هوش مصنوعیخلاصهٔ کاملتر
به نوشتهی این مقالهی WorkOS، گزارش State of AI Agent Security 2026 شرکت Gravitee بیشتر از سه میلیون ایجنت هوش مصنوعی رو شمرده که داخل شرکتها کار میکنن — جمعیتی بزرگتر از کل کارمندهای والمارت — و این عدد فقط تو چهار ماه تقریباً دو برابر شده. تو همون بازه سهم ایجنتهایی که واقعاً مانیتور میشن تکون نخورده و میانگین پوشش ۵۲ درصده.
فقط ۱۴.۴ درصد سازمانها میگن همهی ایجنتهاشون با بازبینی امنیتی کامل بالا اومدن و ۸۸ درصد تو یه سال گذشته یه حادثهی امنیتی یا حریمخصوصی مرتبط با ایجنت رو تجربه کردن یا بهش مشکوک شدن. نویسنده میگه همه دارن اسم این وضعیت رو میذارن «شدو آیتی جدید» و این تشبیه غلط نیست، ولی خطرش اینه که نتیجه بگیریم درمانش هم همونه: یه اسکنر بهتر و یه ممیزی فصلی.
دلیل اینکه برج دیدهبانی قدیمی اینجا کور میمونه سادهست. ابزارهای CASB و کشف SaaS کارشون تماشای مرز شبکه بود؛ مرورگر کارمند با Dropbox حرف میزد و اون ترافیک از سیمی رد میشد که استک امنیتی میدیدش. ولی بخش بزرگی از سرورهای MCP اصلاً از اون مرز رد نمیشن: بهصورت سابپروسس محلی روی stdio داخل IDE یا ترمینال یا اپ دسکتاپ اجرا میشن و از طریق یه pipe روی همون ماشین با ایجنت حرف میزنن.
می ۲۰۲۶ محققهای امنیتی یه ایراد سیستمی رو تو SDKهای رسمی MCP آنتروپیک منتشر کردن؛ اکوسیستمی با بیشتر از ۱۵۰ میلیون دانلود و برآورد ۲۰۰ هزار نمونهی در معرض. مکانیزمش دقیقاً به نحوهی مدیریت همین ترنسپورت محلی stdio برمیگشت و آنتروپیک تأیید کرد که این رفتار عمدیه، پروتکل رو عوض نکرد و پاکسازی ورودی رو مسئولیت توسعهدهنده دونست. یعنی این یه باگ منتظر پچ نیست، بلکه شکل کار کردن این ترافیکه.
یه محقق امنیتی Akto تفاوت اصلی رو خوب جمع کرده: خطر قبلی این بود که هوش مصنوعی سایه دادهت رو افشا کنه، خطر الان اینه که روی دادهت عمل میکنه. یه قانون DLP میتونه شماره کارت رو تو پیام خروجی پیدا کنه، ولی دربارهی یه tool call که رکورد رو حذف میکنه یا پول جابهجا میکنه حرفی برای گفتن نداره، چون اون اصلاً شبیه افشا نیست. طبق همون گزارش، ۷۹ درصد سازمانها دید کافی به ایجنتها و سیستمهای وصلشده به MCP ندارن و ۴۷ درصد استفادهی سازمانی از هوش مصنوعی از اکانتهای شخصی بیرون SSO انجام میشه.
راهحلی که نویسنده پیشنهاد میکنه جابهجا کردن نقطهی دیدهبانیه: بهجای جایی که پکت از سوییچ رد میشه، همونجایی که ایجنت ابزار رو صدا میزنه. یعنی یه فهرست از سرورهای MCP و ابزارهایی که در معرض میذارن، ساختهشده از پرسیدن مستقیم از خود ایجنتها و گیتویها نه از اسنیف ترافیک؛ هر tool call قابلانتساب به یه هویت مشخص و لاگشده با آرگومان و نتیجه؛ و فهرستی که روزانه عوض میشه، نه یه فایل اکسل فصلی.
نکات کلیدی:
- بیشتر از سه میلیون ایجنت داخل شرکتها فعاله و تعدادش تو چهار ماه تقریباً دو برابر شده
- میانگین پوشش مانیتورینگ ۵۲ درصده و فقط ۱۴.۴ درصد سازمانها بازبینی امنیتی کامل داشتن
- خیلی از سرورهای MCP روی stdio محلی اجرا میشن، پس ابزارهای مبتنی بر مرز شبکه نمیبیننشون
- ایراد SDKهای MCP عمدی اعلام شد و پاکسازی ورودی به توسعهدهنده واگذار شد
- ۷۹ درصد سازمانها دید به ایجنتهاشون ندارن و ۴۷ درصد مصرف از اکانت شخصی بیرون SSOئه
- دیدهبانی باید از لایهی شبکه بیاد به لایهی فراخوانی ابزار، با لاگ و هویت مشخص
