امنیت MCP: چک‌لیست ساده پیش از وصل کردن هر سرور

برای امن‌تر کار کردن با سرور MCP چهار کار کافی است: بدانید سازنده‌اش کیست، فقط دسترسی لازم را بدهید، دستور نصب را بخوانید و برنامه را طوری تنظیم کنید که پیش از هر کار تغییردهنده از شما بپرسد. بقیهٔ این نوشته همین‌ها را در هفت گام می‌گوید، با تکیه بر مستندات رسمی. مستندات نقل‌شده در ۲۷ مهر ۱۴۰۵ (۱۹ اکتبر ۲۰۲۶) بررسی شده‌اند.

ترس لازم نیست. بیشتر خطرها وقتی پیش می‌آیند که کسی دستوری را بی‌خواندن اجرا کند یا کلیدی با دسترسی کامل بدهد. هر دو را با چند دقیقه دقت می‌شود پیشگیری کرد. اگر هنوز با خود MCP آشنا نیستید، اول MCP چیست را بخوانید.

مستندات رسمی چه خطرهایی را نام می‌برند؟

مستندات رسمی MCP صفحه‌ای به نام بهترین روش‌های امنیتی دارد (نسخهٔ 2026-07-28 مشخصات). مخاطب اصلی‌اش سازندگان سرور و برنامه‌اند، اما فهرست خطرهایش برای کاربر هم آموزنده است:

• «معاون سردرگم» (confused deputy): سروری که میان برنامه و یک سرویس ثالث واسطه است، اگر رضایت شما را برای هر برنامه جدا نگیرد، مهاجم می‌تواند بی‌اجازهٔ شما کد دسترسی بگیرد.
• عبور دادن توکن (token passthrough): سرور نباید توکنی را بپذیرد که برای خودش صادر نشده. مشخصات این کار را صریحاً ممنوع می‌داند.
• جعل درخواست سمت سرور (SSRF): سرور بدخواه می‌تواند برنامه را به نشانی‌های داخلی بفرستد.
• ربودن شناسهٔ وضعیت: در نسخهٔ بی‌حالت MCP، سرور نباید «داشتن شناسه» را معادل «احراز هویت» بگیرد. تغییرات این نسخه جداگانه شرح داده شده است.
• سرور محلی که به رایانهٔ شما آسیب بزند، نشانی احراز هویت مخرب (مثل javascript:)، حملهٔ درهم‌آمیختن سرورهای احراز هویت (mix-up) و جعل نشانی بازگشت به لوکال‌هاست.
• کمینه‌سازی دسترسی (scope minimization): از کم‌ترین دسترسی شروع کنید.

بخش بزرگی از این‌ها را برنامه‌ای که استفاده می‌کنید و سازندهٔ سرور باید رعایت کنند. کار شما انتخاب برنامه و سرور درست است. هفت مورد زیر همین را عملی می‌کند.

چک‌لیست هفت‌مرحله‌ای

۱. سازنده را بشناسید

در بخش اعتماد صفحهٔ هر ابزار، «منبع» یکی از سه برچسب را دارد: «رسمی» (خود سرویس آن را منتشر کرده)، «ساختهٔ بازارچه» یا «جامعه» (یک توسعه‌دهندهٔ مستقل). جامعه بد نیست، اما مخزن کد و مجوز را خودتان ببینید. تاریخ «آخرین بررسی» هم همان‌جا آمده است.

۲. بخش اعتماد صفحه را بخوانید

سه هشدار مستقیماً از اطلاعات فهرست می‌آیند:

• «غیررسمی»: ابزار از راه رسمی وصل نمی‌شود و از همان نشانی‌هایی استفاده می‌کند که خود وب‌سایت می‌زند. ممکن است ناگهان از کار بیفتد.
• «فقط از IP ایران»: اگر فیلترشکن روشن است، این سرویس را «مستقیم» کنید.
• «کار واقعی انجام می‌دهد»: بعضی کارها هزینه دارند یا در سرویس تغییر ایجاد می‌کنند.

اولی بیشتر دربارهٔ پایداری است تا امنیت، ولی ابزاری که قرارداد رسمی ندارد را برای کار حساس مالی انتخاب نکنید. سومی مهم‌ترین نشانه برای این نوشته است.

۳. ابتدا فقط خواندن را امتحان کنید

بعضی سرورها هم می‌خوانند و هم می‌نویسند. اول بپرسید «موجودی من چقدر است؟»، نه «پول را منتقل کن». مستندات MCP هم همین منطق را در بحث کمینه‌سازی دسترسی می‌آورد: توکن با دسترسی گسترده (مثل files:* یا admin:*) اگر لو برود، دامنهٔ خسارت بزرگ‌تر است. جایی که سرویس اجازه می‌دهد، کلیدی بسازید که فقط خواندن دارد.

۴. دستور نصب را بخوانید

سرور محلی یعنی دستوری روی رایانهٔ خودتان اجرا می‌شود. مستندات رسمی می‌گوید چنین سروری با همان دسترسی‌های برنامهٔ شما کار می‌کند و می‌تواند هر دستوری را اجرا کند. از برنامه‌ها هم می‌خواهد دستور دقیق را کامل نشان بدهند و پیش از اجرا از شما رضایت بگیرند. شما هم بخوانید. دستوری مثل npx -y liara-mcp (نصب سرور لیارا) را می‌شود فهمید. خطی که ناشناس است یا چند دستور را با && به هم می‌چسباند، اجرا نکنید. خود مستندات MCP هم دستوری شبیه این را نمونهٔ حمله آورده است.

برای استفادهٔ معمولی، سرور میزبانی‌شده ساده‌تر است، چون چیزی روی رایانه‌تان اجرا نمی‌شود. روتر MCP همین مسیر را می‌دهد. جزئیات در صفحهٔ روتر است.

۵. تأیید پیش از هر کار را روشن نگه دارید

مستندات OpenAI می‌گوید سرورهای MCP سفارشی را OpenAI نساخته و راستی‌آزمایی نکرده است. هشدار می‌دهد تزریق پرامپت ممکن است مدل را وادار کند داده‌های خصوصی را به مقصد بیرونی بفرستد و می‌گوید اعتماد به سازندهٔ سرور این خطر را از بین نمی‌برد. طبق همان مستندات، ChatGPT در حال حاضر پیش از کارهای نوشتنی تأیید دستی می‌خواهد و برای ابزارهای تغییردهنده توصیه می‌کند تأیید را روشن بگذارید (مستندات MCP در OpenAI). این را خاموش نکنید. هر برنامه‌ای رفتار خودش را دارد؛ در انتخاب برنامهٔ MCP مقایسه شده است.

۶. مهارت‌ها را هم مثل نرم‌افزار ببینید

مستندات Anthropic می‌گوید مهارت (Skill) را فقط از منبع مورد اعتماد به کار ببرید، چون مهارت بد می‌تواند Claude را وادار کند ابزارها را برخلاف هدف اعلام‌شده فراخوانی کند. توصیه‌اش این است که همهٔ فایل‌های بسته را بررسی کنید و رفتارش را مثل نصب نرم‌افزار بدانید (مروری بر مهارت‌ها). تفاوت مهارت و MCP در مهارت یا MCP آمده است.

۷. کلید را کم‌دسترسی بسازید و بعد از کار پس بگیرید

کلید API رمز شماست. فقط در برنامهٔ خودتان بگذارید و جای دیگر نفرستید. بعد از آزمایش، کلیدهای غیرضروری را از پنل سرویس باطل کنید.

نمونه: چهار ابزار با هشدار «کار واقعی»

هر چهار مورد زیر در بازارچه نشانهٔ «کار واقعی انجام می‌دهد» دارند و هر کدام راهی برای احتیاط خود دارند:

• لیارا: می‌تواند برنامه بسازد و منتشر کند، پایگاه داده و ماشین مجازی راه بیندازد، و این‌ها منبع پولی‌اند. مقالهٔ لیارا می‌گوید توکنی با کمترین دسترسی بسازید و اول روی منبعی امتحان کنید که از دست رفتنش مهم نیست.
• پی‌پینگ: ساخت و ارسال فاکتور روی حساب واقعی اثر می‌گذارد و فاکتور برای آدم‌های واقعی پیام می‌فرستد؛ پی‌پینگ را ببینید.
• سواپ‌ولت: دستیار فقط درخواست تبدیل یا برداشت ثبت می‌کند و انجام آن در ربات تلگرام باید با دکمهٔ تأیید خودتان باشد. درخواست بی‌پاسخ بعد از ۱۵ دقیقه منقضی می‌شود. سواپ‌ولت را ببینید.
• پیامک (SMS.ir): تا SMSIR_ALLOW_SEND روی true نباشد پیامکی فرستاده نمی‌شود و هر ارسال هم جداگانه تأیید می‌خواهد. مقالهٔ SMS.ir را ببینید.

در هر چهار مورد، کار پرخطر پشت یک قفل یا تأیید جداگانه است. آن را فقط وقتی باز کنید که واقعاً لازم باشد.

جای شروع

اگر نمی‌خواهید چیزی روی رایانه‌تان اجرا شود، شروع سریع روتر MCP را راه می‌اندازد. اگر دنبال یک سرویس مشخص هستید، صفحهٔ کاوش را بر اساس دسته، سازنده و نیاز به کلید API جستجو کنید و بخش اعتماد صفحهٔ هر ابزار را بخوانید. راهنما هم اتصال به ChatGPT و Claude و نکته‌های فیلترشکن را توضیح می‌دهد.

اگر مدل جدیدتر مقاوم‌تر است، دیگر لازم نیست احتیاط کنیم؟

شرکت Anthropic دربارهٔ Opus 5.5 می‌نویسد از Opus 5 در برابر تزریق پرامپت مقاوم‌تر است (اعلامیهٔ Opus 5.5). این ادعای خود سازنده است، و در هر حال تأیید دستی و دسترسی کم پایه می‌مانند. مدل بهتر یک لایهٔ محافظ دیگر است، نه جایگزین لایه‌های دیگر.

جمع‌بندی

پیش از هر اتصال این پرسش‌ها را از خود بپرسید: سازنده کیست؟ سرور چه چیزی را می‌تواند تغییر بدهد؟ دستور نصب چه می‌کند؟ تأیید پیش از کار روشن است؟ اگر جواب هر چهار روشن بود، می‌شود ادامه داد.