بقلم: ليلى | محررة أدوات المطورين · صوت تحريري بإشراف بشري
حين يتصل وكيلك الذكي بـ Salesforce أو Snowflake أو عشرات الـ APIs الأخرى، ما الذي يمنعه من تسريب بيانات العملاء؟ وإن سألك مراقب تنظيمي لاحقاً، هل تستطيع أن تُثبت أن ذلك لم يحدث؟ cMCP (Confidential MCP Runtime) يجيب على هذا السؤال بأداة مفتوحة المصدر أُطلقت في قمة الحوسبة السرية، 23 يونيو 2026، وهي تحت Developer Preview حتى الآن.
المشكلة التي يحلّها cMCP ليست مجرد ثغرة تقنية، بل هي فجوة في الإثبات. نظام MCP التقليدي يُشغّل محرك السياسات في نفس بيئة نظام التشغيل التي يتحكم فيها المشغّل، ما يعني أن أي مهاجم أو مدير خادع يمكنه استبدال حزمة Cedar بعد الموافقة عليها، أو قلب قرار السماح/الرفض في الذاكرة، أو إعادة بناء سجل التدقيق بأثر رجعي باستخدام مفتاح التوقيع البرمجي. (وفقاً لـ AgenTrust) الحلّ هو نقل مستوى التحكم إلى مكان لا تستطيع العملية التي يحكمها الوصول إليه — وهذا بالضبط ما يفعله TEE.
cMCP يعمل كبوابة تعترض كل استدعاء أداة، وتُقيّمه داخل Trusted Execution Environment باستخدام محرك سياسات Cedar، ثم تُنفّذ قرار السماح أو الرفض أو التنقيح (redact) قبل إعادة توجيه الطلب. الأهم من ذلك أن كل جلسة تُنتج ما يسمى TRACE Claim — أداة إثبات موقّعة بمفتاح Ed25519 لا يغادر الـ TEE أبداً، ومصادَق عليها برمجياً من الأجهزة عند التشغيل في وضع الإنتاج.
بنية TRACE Claim تحتوي على حقول محددة تُشكّل معاً سجلاً غير قابل للتزوير: trace.eat_profile الذي يُعرّف الملف الشخصي، trace.runtime الذي يسجّل منصة الـ TEE وقياس الأجهزة عند بدء الـ enclave، trace.policy.bundle_hash وهو SHA-256 لحزمة Cedar المحمّلة — أي تعديل في ملف واحد يُغيّر هذه القيمة — وgateway.audit_chain وهو سجل تدقيق مُسلسَل بالتجزئة يمكن التحقق منه دون إعادة تشغيل الإدخالات الفردية. التوقيع Ed25519 على الـ JSON الكامل وفق RFC 8785 يُغلق الدائرة.
المنظومة تدعم عدة مزودي أجهزة (وفقاً لـ AgenTrust): TPM 2.0 / vTPM على Azure وAWS وGCP (مستوى ثقة متوسط)، وAMD SEV-SNP على Azure DCasv5 وAWS C6a Nitro (مستوى عالٍ)، وIntel TDX على Azure DCedsv5 وGCP C3 (مستوى عالٍ)، وNVIDIA H100/H200/Blackwell في وضع Confidential Computing عبر NRAS (مستوى عالٍ). الكشف التلقائي يتبع الترتيب: azure-cvm → tpm → sev-snp → tdx، والمزوّد OPAQUE موجود كـ placeholder لم يُنفَّذ بعد.
أوضاع التطبيق ثلاثة: enforcing وهو الافتراضي الذي يُعيد HTTP 403 عند كل رفض، وadvisory الذي يُسجّل الرفض ويسمح بالمرور لضبط السياسات في المرحلة الأولى، وsilent الذي يُقيّم السياسة دون تسجيل أو حجب لأغراض قياس الخط الأساسي. للإنتاج: enforcing. للبداية: advisory.
للتجربة الفورية دون أجهزة TEE حقيقية، يكفي تثبيت cmcp-runtime من PyPI والتشغيل في وضع المطوّر:
- ثبّت الحزمة:
pip install cmcp-runtime - أنشئ ملف
cmcp-config.yamlمع تحديدenforcement_mode: advisoryلأول تشغيل، ومسار حزمة Cedar فيpolicy_bundle_path، وكتالوج الأدوات فيcatalog_path. - شغّل البوابة:
CMCP_DEV_MODE=1 cmcp start --config cmcp-config.yaml - وجّه وكيلك إلى
http://localhost:8443/mcpبدلاً من MCP servers مباشرةً، مع تضمينsession_idوworkflow_idفي كل طلب. - تحقق من حزمة Cedar قبل النشر:
cmcp validate-bundle --bundle-path PATH --expected-hash sha256:<hex> - تحقق من أي TRACE Claim باستخدام:
cmcp verify CLAIM_FILEمع خيارات تثبيت--policy-hashو--catalog-hashو--trusted-key
على صعيد الامتثال التنظيمي، المشروع يُوثّق توافقه مع عدة معايير: OWASP Agentic AI Top 10 يغطي MCP10 (تسريب البيانات عبر استدعاءات الأدوات) وMCP02 (الأدوات غير المُعتمَدة) وMCP08 (الحوكمة القابلة للإثبات) وMCP04 (سلسلة التوريد)؛ وNIST SP 800-207 بوضع نقطة قرار السياسات داخل TEE؛ وقانون الذكاء الاصطناعي الأوروبي المادتين 12 و15 المتعلقتين بسجلات التدقيق وضوابط الأمن السيبراني؛ وDORA المادة 9 عبر سلسلة التصديق وسجل التدقيق. (وفقاً لـ AgenTrust)
المشروع لا يخفي حدوده: ملف LIMITATIONS.md يوثّق صراحةً مخاطر متبقية في المرحلة الأولى تشمل التقاط حمولات APM وحقن إعدادات وقت التشغيل وثغرة سلسلة التوريد P4.1 (typosquat). هذا الشفافية تُميّزه عن الأدوات التجارية التي تُخفي قيودها في الهامش الصغير. الكود مفتوح المصدر بترخيص MIT، مع مسح أمني أسبوعي عبر CodeQL وOpenSSF Scorecard، ومسح للثغرات عبر pip-audit على كل Pull Request.
في نهاية المطاف، cMCP يُقدّم إجابة قابلة للتحقق لسؤال كان الجواب عليه حتى الأمس “ثق بنا فقط”: هل يمكنك إثبات أن وكيلك الذكي لم يُسرّب بيانات العميل؟ الآن الجواب يمكن أن يكون وثيقة موقّعة.
