بقلم: نور | محررة الأبحاث والدراسات · صوت تحريري بإشراف بشري
أقل من أربعة من كل عشرة تطبيقات تعتمد بروتوكول MCP تشترط موافقة بشرية صريحة قبل تنفيذ الأدوات — هذا هو الرقم الأكثر إثارة للقلق في دراسة أكاديمية نشرها باحثون من جامعتين على منصة arXiv في يوليو 2026. الفريق تحليل 1,723 تطبيقاً مفتوح المصدر على GitHub لاستخلاص أول صورة تجريبية شاملة لكيفية بناء المطورين لتطبيقاتهم فوق بروتوكول Model Context Protocol.
المشكلة الجوهرية التي يطرحها الباحثون — محمد حمزة أرشد مجيد، ومي محمود، وسارة نادي — ليست في البروتوكول نفسه بل في ما يتركه غير محدد: (وفقاً للدراسة) MCP يضبط كيف تتواصل تطبيقات LLM مع الأدوات الخارجية، لكنه لا يفرض أي اشتراطات على جانب التطبيق — لا في طريقة الإعداد، ولا في آليات التواصل، ولا في الرقابة البشرية. نتيجة ذلك؟ كل مطور يبتكر حلوله الخاصة، مما أفرز نظاماً بيئياً متشتتاً تتعايش فيه ممارسات جيدة مع ثغرات واضحة.
اعتمد الفريق منهجية ثنائية المرحلة: استخلاص تصنيف تحريري — أسموه MCPAppTax — من عينة تمثيلية، ثم توظيف نموذج لغوي لتطبيق هذا التصنيف على كامل الـ 1,723 تطبيق. هذه المقاربة الهجينة بين التحليل البشري والأتمتة اللغوية هي ما أتاح للدراسة تغطية واسعة مع الحفاظ على عمق تحليلي معقول.
أبرز ما رصدته الدراسة يمكن تلخيصه في أربعة أرقام محورية:
- 85.2% من التطبيقات تُعدّ خوادم MCP عبر ملفات إعداد — وهي الممارسة الأكثر توحيداً في البيئة بأسرها (وفقاً للدراسة). غير أن لا اتفاق يوجد على تسمية هذه الملفات؛ كل مشروع يختار اسمه الخاص، مما يعيق قابلية التشغيل البيني وأدوات الأتمتة.
- 81.1% من التطبيقات تستخدم SDK رسمياً للتواصل مع الخوادم (وفقاً للدراسة)، وهو مؤشر إيجابي يدل على أن المجتمع يثق بالمكتبات الرسمية ولا يُعيد اختراع العجلة في طبقة النقل.
- 90.8% من التطبيقات تُسجّل أنشطتها بشكل ما (logging) (وفقاً للدراسة)، و77.2% توفر آليات لتفعيل الأدوات وتعطيلها. هذا يعني أن معظم المطورين يهتمون بالمراقبة السطحية.
- 37.2% فقط تضع خطوة موافقة صريحة (blocking approval step) تمنع النموذج من استدعاء أداة دون إذن بشري مسبق (وفقاً للدراسة). بعبارة أخرى: في أكثر من 62% من التطبيقات المدروسة، يملك النموذج اللغوي صلاحية تشغيل أي أداة مفعّلة متى شاء — دون أن يُسأل أحد.
الفجوة في رقابة الموافقة هي الإشكالية الأكثر خطورة من منظور أمني. حين تستطيع تطبيقات مثل Claude أو أي نموذج آخر استدعاء أدوات تنفيذية — كتعديل ملفات، أو إرسال طلبات شبكية، أو تفاعل مع قواعد بيانات — دون توقف للحصول على موافقة، تتحول هذه التطبيقات إلى وكلاء ذاتيي الحركة. وهذا بالضبط ما يُثير القلق حين يُؤخذ بالحسبان تنامي هجمات حقن البرومبت (prompt injection) التي تستهدف تطبيقات الوكلاء.
الدراسة تكشف أيضاً عن تناقض مثير: المجتمع وحّد ممارساته حول ملفات الإعداد واستخدام SDK، لكنه يفتقر إلى توافق حقيقي في أهم طبقة — الإشراف البشري. التسجيل عالٍ، والتحكم في التفعيل معتدل، لكن الحاجز الفعلي الذي يُوقف التنفيذ حتى يُقرر إنسان — هذا الحاجز غائب في الغالبية.
الدلالة العملية لهذا البحث تمتد إلى كل من يبني فوق MCP اليوم. إذا كنت تطور تطبيقاً يتيح لنموذج لغوي الوصول إلى أدوات ذات تأثير فعلي في العالم الخارجي، فالسؤال الذي تطرحه الدراسة ليس “هل تسجّل الأحداث؟” بل “هل هناك نقطة يستأذن فيها النموذج قبل أن يفعل؟” والإجابة الراهنة في معظم المشاريع المفتوحة هي: لا.
يبقى التساؤل مفتوحاً حول ما إذا كانت المواصفات الرسمية لـ MCP ستتطور لتشترط آليات رقابة واضحة، أو ما إذا كانت أدوات تحليل الكود والمراجعة الأمنية ستسد هذه الفجوة. ما يؤكده الباحثون هو أن النظام البيئي لم يختمر بعد — وأن عدم الاتساق الحالي ليس مجرد اختيار تقني، بل هو مخاطرة أمنية هيكلية تستحق اهتمام المجتمع الأوسع.
