# ورقة Log-To-Leak: وصف أداة MCP مسموم يدفع الـ agent إلى تسريب المحادثة كاملة دون أن يتعطل العمل

> **المغزى:** المغزى: النص الذي يصف أداة MCP يصل إلى الموديل كأي تعليمات أخرى، والدفاعات المجربة إما تترك الهجوم ناجحًا أو توقف العمل العادي، فمكان القرار الصحيح هو الـ host.

- المصدر: المغزى (https://almaghza.com/a/2026-11-10-log-to-leak-mcp-tool-descriptions/)
- التاريخ: 30 جمادى الأولى - 10 نوفمبر 2026 (2026-11-10)
- القسم: أمن سيبراني
- الوسوم: MCP، Prompt Injection، AI Agents، الأمن السيبراني

نشر الباحثون Yuepeng Hu وChongyu Fan وSirat Samyoun وJian Du في 26 أكتوبر 2026 ورقة على arXiv بعنوان Log-To-Leak، تدرس كيف يمكن لوصف أداة داخل خادم MCP أن يدفع الـ agent إلى تسريب المحادثة كلها. وMCP بروتوكول يربط أدوات مثل Cursor وClaude بخوادم خارجية تقدم أدوات إضافية، ولكل أداة وصف نصي يقرؤه الموديل ليعرف متى يستخدمها.

نقطة الانطلاق أن هذا الوصف يصل إلى الموديل كأي نص آخر في السياق. وتصف الورقة الهجوم بأنه هجوم تسجيل إضافي لاحق: تعليمات مدسوسة في وصف أداة تجعل الـ agent، بعد أن ينهي آخر نداء مشروع، ينفذ نداءً منفصلًا إلى أداة يتحكم بها المهاجم بحجة تسجيل ما حدث.

وما يُرسل في ذلك النداء ليس مفتاحًا أو كلمة مرور، بل المحادثة بأكملها: سؤال المستخدم، واسم خادم MCP، ورد الخادم، ورد الـ agent. وتبني الورقة التعليمات المدسوسة من أربعة أجزاء تجعل الموديل يرى النداء الإضافي جزءًا طبيعيًا من مهمته.

جرى التقييم على 5 خوادم MCP و4 agents، أي 18 تركيبة من الموديل والخادم. وتراوحت نسبة نجاح الهجوم بين 62.64% و100%، ودقة التسجيل بين 76.55% و95.64%. والنتيجة الأهم أن المهمة الأصلية تكتمل كالمعتاد: في 16 من 18 حالة لم تتغير نسبة إنجاز المهمة بأكثر من 6.63 نقطة مئوية. فالمستخدم يحصل على نتيجة صحيحة، ولا يظهر ما يدل على أن نداءً إضافيًا جرى بجانبها.

## الدفاع هو الجزء الأصعب

اختبر الباحثون ثلاث دفاعات، وبقيت نسبة نجاح الهجوم فوق 55% مع خادم GitHub MCP والموديل GPT-4o. أما كاشف التعليمات الذي يفحص أوصاف الأدوات بحثًا عن أوامر مدسوسة، فقد صنّف 85.53% من الأوصاف السليمة على أنها مشبوهة. أي أن الفلتر القادر على التقاط الهجوم يوقف معه معظم الاستخدام العادي.

ويخلص الباحثون إلى أن الحل في نقل القرار إلى الـ host، أي البرنامج الذي يشغّل الـ agent، بحيث يمر أي نداء ثانوي لأداة بموافقة يتحكم بها الـ host، لا بالنص المكتوب داخل وصف الأداة.

بالنسبة إلى المطورين في المنطقة الذين يضيفون خوادم MCP إلى أدواتهم اليومية، يعني ذلك أن تثبيت خادم جديد ليس مجرد إضافة قدرة، بل إدخال نص يملك تأثيرًا على سلوك الـ agent في كل محادثة. وقراءة وصف كل أداة يدويًا لا تتوسع مع عدد الخوادم، والفلاتر الآلية الحالية لا تميز جيدًا بين السليم والمسموم، فيبقى السؤال مفتوحًا حتى تتبنى أدوات الـ host آلية الموافقة التي تقترحها الورقة.

## المصادر

- [ورقة Log-To-Leak على arXiv](https://arxiv.org/abs/2610.36108)
- [النص الكامل للورقة](https://arxiv.org/html/2610.36108v1)
- [مواصفة MCP الرسمية](https://modelcontextprotocol.io/specification)