تقرير MCPhantom: الـ coding agents تركّب خوادم MCP مؤرشفة لا تتلقى تحديثات أمان، من ذاكرة التدريب

نشر فريق Glow Labs في 2 نوفمبر 2026 تقريرًا بعد مراجعة تسجيلات جلسات حقيقية لـ coding agents، ورصد فيه نمطًا متكررًا سمّاه MCPhantom: يطلب المستخدم ربطه بخادم MCP، فيركّب الـ agent خادمًا مؤرشفًا لن يتلقى أي تحديث أمان. والـ MCP بروتوكول يتيح للـ agent الاتصال بأدوات وخدمات خارجية.

وفي 98% من الجلسات التي رُكّب فيها خادم متوقف، جاء الاسم من ذاكرة الـ agent، أي مما تدرّب عليه، لا من بحث ولا من السجل الرسمي. وفي الـ 2% الباقية طلب المستخدم الحزمة القديمة بالاسم.

ومثال GitHub يوضح الآلية. فبدل الخادم الرسمي الذي تصونه GitHub نفسها، اختار الـ agent خادمًا مرجعيًا قديمًا يتذكره من التدريب. والمستودع مؤرشف، ومكتوب فيه صراحة أنه لن تصدر له تحديثات أمان ولا إصلاحات. لكن الـ agents لا تقرأ لافتة الأرشفة.

ووجد التقرير في هذه الحزم 4 ثغرات high-severity، أخطرها ثغرة RCE، أي تنفيذ كود عن بُعد، في خادم Puppeteer. ونُزّلت الحزم المتوقفة من npm أكثر من 17 مليون مرة منذ يوليو 2025، وخمسة منها ضمن أعلى 100 خادم MCP.

ويفسر التقرير سبب بقاء المشكلة غير مرئية. فهذه الخوادم تعمل محليًا عبر npx، لذلك لا تظهر في ملف الـ dependencies، وليس لها CVE، ولا يسجّلها أحد كتطبيق. فترى أدوات الفحص عملية Node موثوقة تركّب حزمة عامة، وهو سلوك عادي تمامًا.

وظهر النمط في Claude Code وCursor وCodex CLI، ومع نماذج من Anthropic وOpenAI وxAI، فلا تستطيع شركة واحدة إغلاقه بمفردها. ويعني ذلك للفرق التي تعتمد على هذه الأدوات أن على أجهزة مطوريها قد تعمل dependency لا يوثّقها أي ملف في المشروع.