با پیاده سازی پروتکل WebMCP (پروتکل بستر مدل در وب / Web Model Context Protocol) در وب سایت خود، مجموعه ای از ابزارهای مشخص، ساختاریافته و قابل فراخوانی را مستقیماً در اختیار ایجنت های هوش مصنوعی (AI Agents) بازدیدکننده قرار می دهید. اما همین ابزارها می توانند به سلاحی تبدیل شوند تا ایجنت ها را علیه کاربرانی که آن ها را ارسال کرده اند، هدایت کنند.
اخیراً وب سایت توسعه دهندگان گوگل کروم (Chrome for Developers) راهنمای امنیتی جدیدی پیرامون WebMCP منتشر کرده است. نکته قابل توجه اینجاست که بخش عمده این راهنما، نه برای شرکت های سازنده مدل های هوش مصنوعی، بلکه دقیقاً برای صاحبان وب سایت ها و توسعه دهندگانی نوشته شده است که این ابزارها را در سایت خود فعال می کنند.
واقعیت این است: وقتی سایت خود را با WebMCP برای ایجنت های هوش مصنوعی بهینه سازی و آماده (Agent-Ready) می کنید، هم زمان یک سطح حمله جدید (Attack Surface) نیز باز کرده اید؛ و بستن این رخنه امنیتی وظیفه شماست، نه وظیفه ایجنت هوش مصنوعی!
طی دو سال گذشته، تمام بحث های جامعه وب پیرامون «آماده سازی سایت برای هوش مصنوعی» حول محور دسترسی (Access) می چرخید:
- آیا ایجنت می تواند به محتوای صفحه دسترسی پیدا کند؟
- آیا ساختار صفحه برای خواندن متن توسط هوش مصنوعی مناسب است؟
- آیا ایجنت می تواند فرایند خرید و تسویه حساب (Checkout) را کامل کند؟
پروتکل WebMCP نقطه ای است که در آن، دیگر نیازی نیست امیدوار باشید هوش مصنوعی بتواند ساختار سایت شما را از روی کدهای شلوغ HTML و ساختار DOM حدس بزند؛ بلکه شما مستقیماً ابزارهای شفاف و نام گذاری شده ای را در قالب کدهای ساختاریافته در اختیارش می گذارید تا آن ها را اجرا کند. این پروتکل کارآمدتر و دقیق تر است و دقیقاً مسیری است که وب مبتنی بر ایجنت ها (Agentic Web) به سمت آن حرکت می کند. اما این نقطه دقیقاً همان جایی است که دو مفهوم «خوانا بودن برای هوش مصنوعی» و «امن بودن برای هوش مصنوعی» از یکدیگر جدا می شوند.
کروم از ۲ روش هک و تسخیر ایجنت ها از طریق WebMCP پرده برمی دارد
راهنمای امنیتی کروم دو بردار حمله (Attack Vector) را توصیف می کند که هر دو از طریق ابزارهایی وارد می شوند که خود وب سایت در دسترس قرار داده است:
۱. مانیفست مخرب (The Malicious Manifest)
به بیان تیم کروم:
«وب سایت ها ممکن است شامل تعاریف ابزاری باشند که در نام، پارامترها یا توضیحات خود حاوی دستورات پنهانی هستند که برای تسخیر و انحراف ایجنت طراحی شده اند.»
توضیحات یک ابزار (Tool Description)، متنی است که ایجنت هوش مصنوعی آن را می خواند تا تصمیم بگیرد ابزار چه کاربردی دارد و چگونه باید اجرا شود. بنابراین، یک متغیر یا توضیح به ظاهر ساده می تواند در دل خود فرمانی پنهانی به همراه داشته باشد که ایجنت هرگز نباید آن را اجرا می کرد (نوعی تزریق پرامپت مستقیم در متادیتای ابزار).
یک توضیح به ظاهر ساده در ابزارهای سایت، می تواند حاوی کدهای مخربی باشد که ایجنت هوش مصنوعی را برای اجرای دستورات خطرناک فریب دهد.
۲. خروجی آلوده (Contaminated Output)
این بردار حمله، سناریویی است که اکثر وب سایت های عادی و معتبر با آن مواجه خواهند شد؛ سناریویی که برای وقوع آن اصلاً نیازی به وجود یک سایت مخرب نیست! کروم این تهدید را «خروجی آلوده» می نامد:
«پاسخ های لحظه ای یک ابزار در سایت های کاملاً معتبر و قابل اعتماد، ممکن است به عنوان بخشی از داده های ارائه شده توسط شخص ثالث (مانند نظرات و کامنت های کاربران)، شامل دستورات مخرب باشد.»
تصور کنید ابزاری در سایت فروشگاهی یا خدماتی شما وجود دارد که نظرات کاربران درباره یک محصول، رشته کامنت های وبلاگ، پست های تالار گفتگو (فروم) یا تیکت های پشتیبانی را به ایجنت هوش مصنوعی بازمی گرداند. این ابزار در واقع متنی را بازمی گرداند که افراد متفرقه نوشته اند. حال اگر یکی از آن کاربران، دستوری خرابکارانه را درون متن یک نظر پنهان کرده باشد (مثلاً متنی شامل کدهایی برای تخفیف غیرمجاز، استخراج اطلاعات کارت، یا تغییر آدرس ارسال سفارش)، ابزار رسمی و معتبر شما آن فرمان مخرب را مستقیماً به عنوان خروجی مجاز به ایجنت هوش مصنوعی تحویل می دهد، گویی که این دستور مستقیماً از سوی مدیر وب سایت صادر شده است! در این حالت، داده های مخرب، همان محتوای تولیدشده توسط کاربران (UGC) خود شماست و در واقع این شما بوده اید که با دست خود آن را به هوش مصنوعی تحویل داده اید.
چرا مدل های زبانی نمی توانند این مشکل را درونی حل کنند؟
این سازوکار مخرب به دلیل وجود رخنه ای کار می کند که اساساً یک باگ نرم افزاری نیست و قرار هم نیست با یک پچ ساده برطرف شود! راهنمای کروم تصریح می کند:
«مدل های بزرگ زبانی (LLMs) با تمامی متون—چه دستورات و فرامین سیستمی و چه داده های معمولی کاربران—به عنوان یک رشته توکنِ یکپارچه رفتار می کنند.»
بنابراین، مدل نمی تواند با قطعیت تفکیک کند که کدام بخش از متن ورودی صرفاً یک «داده خنثی» بوده و کدام بخش یک «دستور خرابکارانه» از سوی هکر است. به همین دلیل است که کروم هشدار می دهد: «طبیعت احتمالی (Probabilistic) مدل های زبانی باعث می شود که تضمین امنیت درون خودِ مدل غیرممکن باشد.»
این همان چالش بنیادین «تزریق پرامپت» (Prompt Injection) است که هیچ راه حل قطعی و صددرصدی در معماری درونی مدل ها ندارد؛ با این تفاوت که اکنون لباسی از یک پروتکل استاندارد به تن کرده است. WebMCP یک مسیر انتقال تمیز، ساختاریافته و بی دردسر را برای اجرای حملات تزریق پرامپت از طریق همان ابزارهایی که خودتان با حسن نیت منتشر کرده اید، فراهم می سازد.
آماده سازی سایت برای ایجنت ها، مستلزم «ایمن سازی» آن است
دستورالعمل امنیتی کروم، مسئولیت اصلی را بر دوش صاحب وب سایت می گذارد و نه فقط ایجنت یا مدل هوش مصنوعی. سند امنیت ابزارهای کروم با یک جمله صریح خطاب به توسعه دهندگان آغاز می شود:
«ابزارهای خود را فقط در معرض دامنه ها و مبداهایی (Origins) قرار دهید که به آن ها اعتماد دارید. این موضوع به ویژه زمانی اهمیت دارد که ابزارها داده های کاربر را مدیریت می کنند یا بر وضعیت حساب او اثر می گذارند.»
این توصیه برای هر کسی است که یک ابزار تحت وب را منتشر می کند؛ یعنی دقیقاً برای شما و تیم فنی وب سایتتان.
محدود کردن دسترسی ابزارهای هوش مصنوعی به دامنه های مورد اعتماد، اولین قدم حیاتی برای محافظت از داده های کاربران است.
روش های دفاعی و استاندارد کروم: نشانه گذاری ابزارها
راهکارهای امنیتی کروم کاملاً عملیاتی و شفاف هستند و در قالب ویژگی ها و نشانه گذاری هایی (Annotations) پیاده سازی می شوند که باید به تعریف ابزارها ضمیمه شوند:
- ویژگی
untrustedContentHint: این برچسب به صورت صریح محتوای بازگشتی را به عنوان «غیرقابل اعتماد» نشانه می زند تا سلامت سایت حفظ شود و به ایجنت اعلام کند که این داده ها نیازمند بررسی دقیق تر و موشکافانه تر هستند. کروم توصیه می کند: «اگر ابزاری محتوای تولیدشده توسط کاربر (UGC) یا داده هایی از منابع متفرقه را برمی گرداند، حتماً صفتuntrustedContentHintرا به آن اضافه کنید.» - ویژگی
readOnlyHint: ابزارهایی را که تغییری در وضعیت دیتابیس یا حساب کاربر ایجاد نمی کنند، نشانه گذاری می کند. این ویژگی به ایجنت کمک می کند تا هوشمندانه تر تشخیص دهد چه زمانی باید برای ادامه کار از کاربر تاییدیه انسانی (Confirmation) بگیرد. - محدودسازی دسترسی با
exposedTo: این تنظیم، دسترسی به ابزار را به آرایه ای از دامنه ها و مبداهای مورد اعتماد شما محدود می کند که مستقیماً در هنگام رجیستر کردن ابزار نوشته می شود:
document.modelContext.registerTool({...}, {
exposedTo: ['https://trusted.com']
});
علاوه بر این، کروم برای بودجه کاراکتری محدودیت قائل شده است؛ توضیحات یک ابزار حداکثر تا ۵۰۰ کاراکتر و خروجی یک فراخوانی ابزار حداکثر حدود ۱۵۰۰ کاراکتر مجاز است. همچنین تابعی به نام ()requestUserInteraction تعبیه شده تا پیش از اجرای قطعی هر دستور مهم و حساس، ابتدا تاییدیه مستقیم از کاربر دریافت شود.
یک مثال ملموس را در نظر بگیرید: ابزاری که نظرات و بررسی های یک محصول را برای یک ایجنت هوش مصنوعی خرید آنلاین استخراج می کند. ایمن سازی چنین ابزاری کار پیچیده و عجیبی نیست:
- خروجی آن را با
untrustedContentHintعلامت بزنید؛ - مقدار
readOnlyHintرا فعال کنید زیرا این ابزار صرفاً اطلاعات را می خواند و خریدی انجام نمی دهد؛ - مقدار
exposedToرا فقط به دامنه هایی که رسماً با آن ها سرویس دهی می کنید محدود کنید.
هیچ کدام از این اقدامات بر عهده ایجنت نیست؛ این وظیفه برنامه نویس و سازنده ابزار است. با این حال، در اکثر کسب وکارها، این تیم های سئو، بهینه سازی نرخ تبدیل (CRO) یا مارکتینگ هستند که با شتاب زدگی و برای عقب نماندن از ترند روز، WebMCP را به سایت اضافه می کنند، بدون آنکه متخصصان امنیت یا تیم های زیرساخت وب، مدل های تهدید (Threat Models) را بررسی کرده باشند. درست در همین شکاف است که آسیب پذیری ها شکل می گیرند. همان طور که روزگاری اعتبارسنجی و پاک سازی ورودی ها (Sanitizing Input) به بخش جدایی ناپذیر ساخت فرم های وب تبدیل شد، امروزه مشخص کردن اینکه کدام بخش از داده های شما «صرفاً محتوا» است و نه «فرمان اجرایی»، بخش تفکیک ناپذیر توسعه ابزارهای وب محسوب می شود.
محتوای تولیدشده توسط کاربر (نظرات و کامنت ها) باید پیش از پردازش توسط هوش مصنوعی، به دقت اعتبارسنجی و نشانه گذاری شود.
از WebMCP استفاده کنید؛ اما ابتدا هر ابزار را مدل سازی امنیتی کنید
در اختیار گذاشتن ابزارهای مشخص و قابل فراخوانی برای ایجنت، به مراتب بهتر و دقیق تر از آن است که ایجنت را وادار کنیم سایت را با آزمون وخطا از روی کدهای صفحه حدس بزند. بنابراین قابلیت های WebMCP بدون شک ارزش پیاده سازی را دارند. هیچ یک از این هشدارها به معنای اجتناب از WebMCP نیست. پیام اصلی بسیار شفاف و دقیق است: قابلیت های هوش مصنوعی هزینه ای به همراه دارند، و پرداخت این هزینه امنیتی به عهده شخص شماست.
قاعده کار ساده است: هیچ ابزاری را در اختیار ایجنت های هوش مصنوعی قرار ندهید مگر آنکه همانند یک API عمومی و حساس، تمام مسیرهای نفوذ و تهدیدهای امنیتی آن را مدل سازی و ارزیابی کرده باشید.
پیش از اینکه هر ابزاری را به مرحله انتشار برسانید، باید بتوانید به این پرسش کلیدی پاسخ دهید:
«این ابزار چه محتوای غیرقابل اعتمادی را ممکن است برگرداند، و آیا شما آن را به عنوان داده غیرقابل اعتماد برچسب گذاری کرده اید؟»
اگر نتوانید پاسخی روشن به این سوال بدهید، آن ابزار هنوز آماده انتشار نیست؛ هر چقدر هم که ظاهر وب سایت شما برای هوش مصنوعی آماده و مدرن به نظر برسد!
پروتکل WebMCP هنوز در روزهای اولیه خود به سر می برد. این فناوری در حال حاضر در فاز آزمایشی کروم (Origin Trial) قرار دارد، مستندات آن مدام به روزرسانی می شوند و بیشتر وب سایت ها هنوز حتی یک ابزار هم پیاده سازی نکرده اند. اکنون بهترین فرصت و پنجره طلایی است تا بپذیریم «امنیت برای هوش مصنوعی» بخش جدایی ناپذیر از «آمادگی برای هوش مصنوعی» است؛ پیش از آنکه اولین ابزار پیاده سازی شده در سایتتان، داده ها، نظرات و فرامین پنهان شده در دل کامنت هایتان را ناخواسته تقدیم نفوذگران کند.
نتیجه گیری
همگام سازی ساختار وب سایت با نیازهای عصر جدید وب (Agentic Web) و بهینه سازی فنی آن برای درک بی نقص توسط موتورهای هوش مصنوعی، یکی از مهم ترین برگ های برنده در سئو تکنیکال و تجربه کاربری نسل آینده است. با این حال، همان گونه که در این مقاله بررسی کردیم، باز کردن درهای سایت به روی ایجنت های هوش مصنوعی از طریق پروتکل هایی مانند WebMCP، بدون لحاظ کردن سناریوهای دفاعی و فیلترگذاری داده های UGC، امنیت کسب وکار و مشتریان شما را به خطر می اندازد.
برای استقرار اصولی، پایدار و ایمن فناوری های نوین وب، پیاده سازی دقیق استانداردهای سئو، و طراحی وب سایت هایی که در عین آمادگی کامل برای پذیرش نسل بعدی ابزارهای هوش مصنوعی، بالاترین سطوح امنیتی را حفظ می کنند، می توانید روی مشاوره و خدمات تخصصی مجموعه دانش وب در زمینه های طراحی وب، سئو تکنیکال و استراتژی دیجیتال مارکتینگ حساب کنید.