mcp-security-inspector

مفتش أمان MCP يقوم بفحص حركة بروتوكول MCP ويشير إلى المخاطر

مفتش أمان mcp، الذي تم تطويره بواسطة Purpleroc، هو ملحق Chrome يقوم بتدقيق تكاملات بروتوكول سياق النموذج (MCP) ويظهر مشكلات الأمان على مستوى البروتوكول. يقوم التطبيق بفحص تدفقات JSON-RPC ويجمع بين مصحح بروتوكول داخل المتصفح ومحرك أمان مدعوم بالذكاء الاصطناعي لإنتاج حالات اختبار وتقارير تحليلية. يدعم المسح النشط والمراقبة السلبية، وتبادل تكوين mcp.json، وSSE أو وسائل نقل HTTP القابلة للبث. يحصل مطورو الذكاء الاصطناعي، وباحثو الأمان، والمدققون على طبقة مركزية للمتصفح لتدقيق البروتوكول.

ما المهام التي يمكنك استخدامها فعليًا من أجلها؟

تم بناء الأداة لكشف وممارسة تفاعلات MCP حتى تتمكن الفرق من مراقبة حركة البروتوكول المباشرة، واستدعاء الأدوات عن بُعد، وإعادة تشغيل المكالمات للتحليل. يسمح مستكشف البروتوكول للمستخدمين بقراءة الموارد وجلب المطالبات من وسائل النقل المتدفقة، بينما يولد إطار الكشف مدخلات هجوم مرشحة للمراجعة. للمساعدة في تصحيح الأخطاء وفحوصات ما قبل النشر، تساعد التطبيق في رسم خريطة لأي مكالمات أدوات وتدفقات مطالبات قد تغير سلوك الوكيل.

ما مدى قابلية تطبيق نتائج الأمان في الممارسة العملية؟

يستخدم التطبيق نماذج لغوية كبيرة لإنشاء حالات اختبار الأمان وتصنيف المخاطر، ثم يصدر تقارير منظمة تتضمن مستويات الشدة واقتراحات التخفيف. نظرًا لأن تلك الحالات تم إنشاؤها بواسطة النموذج، يجب على الفرق اعتبارها كأدلة تحقيق بدلاً من دليل قاطع. في السيناريوهات عالية المخاطر، تسرع الحالات المولدة الاكتشاف ولكنها تتطلب التحقق البشري قبل اتخاذ قرارات التنفيذ أو التخفيف.

ما المدخلات التي يقبلها وكيف يتناسب مع سير عمل المطورين؟

يتصل الامتداد بنقاط نهاية MCP البعيدة عبر وسائل النقل المتدفقة ويعمل مع ملفات التكوين الموجودة المستخدمة في أدوات المطورين الشائعة، مما يمكّن من استيراد وتصدير ملفات mcp.json للتوافق مع المشاريع المحلية. يسمح هذا التصميم لمراجعي الأمان بتشغيل عمليات الفحص ضد نفس بيانات التشغيل التي يستخدمها المطورون، لذا فإن الأداة تتناسب مع سير العمل الحالي للتصحيح وCI دون إعادة تأليف أوصاف التكامل.

ما الحدود المتعلقة بالخصوصية والعمليات التي يجب أن تأخذها الفرق في الاعتبار؟

كجسر على جانب المتصفح إلى خوادم MCP البعيدة، يقوم التطبيق بتوجيه حركة البروتوكول عبر الامتداد للتفتيش ويمكنه إعادة توجيه العناصر إلى مضيفي النموذج الخارجيين للتحليل. يجب على الفرق أن تأخذ في الاعتبار تدفق البيانات هذا عند التعامل مع المطالبات أو الموارد الحساسة. يعمل الامتداد فقط في Chrome، لذا فإن العمل على تدقيق ومراقبة البيئات المكتبية الأخرى يتطلب أدوات بديلة أو سير عمل قائم على Chrome.

طبقة تدقيق عملية لمتكاملين MCP مع الانتباه للمراجعة البشرية

mcp-security-inspector هو خيار عملي لفرق التطوير والأمان التي تحتاج إلى تدقيق على مستوى البروتوكول لتكاملات MCP. تسارع النتائج المدعومة بالذكاء الاصطناعي اكتشاف التهديدات ولكن يجب أن تعمل كنقاط انطلاق للتحقق اليدوي، خاصةً على المدخلات ذات المخاطر العالية. استخدم التطبيق جنبًا إلى جنب مع مراجعة الشيفرة اليدوية واختبار العمليات لتحويل النتائج المولدة إلى تخفيفات موثوقة وضوابط نشر أقوى.