وسم
المغزى: النص الذي يصف أداة MCP يصل إلى الموديل كأي تعليمات أخرى، والدفاعات المجربة إما تترك الهجوم ناجحًا أو توقف العمل العادي، فمكان القرار الصحيح هو الـ host.
المغزى: النص المخفي عن العين ليس مخفيًا عن النموذج، فأي مستند يُقرأ آليًا مدخل غير موثوق مهما بدا شكله على الشاشة، وما كشف الحيلة هنا فلتر لا قارئ بشري.
المغزى: فلاتر الحماية العربية تُكتب غالبًا بعربية الكتب، بينما تأتي الهجمات بعربية الناس، والفجوة بينهما تُسد ببيانات اختبار مكتوبة بالصيغة التي يستخدمها المهاجم فعلًا.
المغزى: الملف الخبيث لم يجعل الأدوات تكتب كودًا ضعيفًا بشكل ثابت، لكن بعضها لا يقول للمستخدم إن الملف شكّل إجابته، فيصير مصدر التوجيه غير مرئي.
المغزى: مخرجات الـ CI والخدمات المجاورة ليست نصًا محايدًا حين يقرؤها agent يملك صلاحية التنفيذ، فالمكوّن الذي يحق له أن يصف حالته فقط يصبح قادرًا على أن يملي أفعالًا داخل مشروع لا يملكه.
المغزى: صار كاتب الكود قادرًا على التحكم في قبول النموذج قراءةَ كوده أو رفضها دون تغيير سطر من منطقه، فرفض النموذج ليس دليلًا على خطر الكود، وقبوله ليس دليلًا على سلامته.
المغزى: الـ agent لا يُحمى بتحسين صياغة تعليماته، فالتعليمة يمكن إقناع الموديل بتجاوزها، بل بتضييق أدواته، لأن القيد المكتوب في الأداة لا يُقنَع.
لم يعد الهجوم مضطرًا للوصول إلى الضحية مباشرة، فيكفي أن يصل إلى agent يرد عليها. والسؤال الحاسم صار قدرة الـ agent على التمييز بين نص الرسالة وأوامر صاحبه.
حين يقرأ agent نصًا يكتبه أي غريب، ويعمل في المكان نفسه الذي تُحفظ فيه المفاتيح، يصبح كل repo عام بهذا الإعداد مفتوحًا لمن يجيد كتابة تعليق.
أي agent يقرأ من مصدر يستطيع طرف خارجي الكتابة فيه، ويملك أداة تصل إلى الخارج، هو قناة تسريب محتملة بطبيعته إلى أن يثبت العكس.
حين يقرأ الـ agent صندوق البريد، يصبح أي شخص في العالم قادرًا على وضع نص أمامه، والنص قد يحمل تعليمات موجهة إليه وهو يملك صلاحية الإرسال.
مجرد قراءة كود غير موثوق صارت مخاطرة حين يقرؤه وكيل قادر على التنفيذ، والخطأ هنا في الأدلة المزورة لا في منطق النموذج، فلا يعالجه نموذج أذكى.
الخطر لا يأتي من أداة جديدة مشبوهة، بل من أداة وافق عليها الفريق من قبل ثم تغيّر وصفها بصمت، لأن البروتوكول يخلط التعليمات بالبيانات في مكان واحد.
كل ما يقرؤه الـ agent من محتوى خارجي قد يتحول إلى تعليمات، ولذلك تصبح حدود صلاحياته هي خط الدفاع الحقيقي لا ذكاء النموذج.