DOI: https://doi.org/10.1016/j.jisa.2026.104645
تاريخ النشر: 2026-09-28
المؤلف: Zeynab Anbiaee وآخرون
الموضوع الرئيسي: التحكم في الوصول والثقة
نظرة عامة
تقدم هذه الورقة تحليل أمان شامل لبروتوكولات الاتصال الخاصة بالوكيل الذكي الناشئة، بما في ذلك بروتوكول سياق النموذج (MCP)، الوكيل إلى الوكيل (A2A)، أغورا، وبروتوكول شبكة الوكلاء (ANP). يبرز المؤلفون التطور السريع لهذه البروتوكولات، التي تسهل التفاعلات متعددة الوكلاء القابلة للتوسع والتشغيل المتداخل، مع الإشارة إلى فجوة كبيرة في مبادئ الأمان الخاصة بها وغياب إطار عمل موحد لنمذجة التهديدات. تقدم الدراسة تحليلًا منظمًا لنمذجة التهديدات يقيم هياكل البروتوكولات، افتراضات الثقة، أنماط التفاعل، وسلوكيات دورة الحياة لتحديد المخاطر المحددة لكل بروتوكول والمخاطر العابرة للبروتوكولات. بالإضافة إلى ذلك، يتم اقتراح إطار تقييم مخاطر نوعي، يحدد اثني عشر خطرًا على مستوى البروتوكول ويقيم وضعه الأمني خلال مراحل الإنشاء، التشغيل، والتحديث.
تكشف النتائج عن نقاط ضعف هيكلية شائعة عبر البروتوكولات، لا سيما في مجالات مثل المصادقة وسلامة سلسلة التوريد. بينما تم توثيق نقاط ضعف محددة لـ MCP و A2A، تفتقر أغورا و ANP إلى تحليلات أمان سابقة. يحدد المؤلفون طرق هجوم جديدة مرتبطة بنماذج الثقة اللامركزية والتشغيل المتداخل للغة الطبيعية. توضح دراسة حالة مدفوعة بالقياس على MCP ضعفًا تشغيليًا حرجًا يتعلق بربط الهوية، مما يظهر كيف يمكن أن تؤدي الغموض في التصميم إلى فشل أمني كبير. تؤكد الورقة على أهمية معالجة هذه المخاطر مع تزايد دمج الوكلاء الذكيين في سير العمل المؤسسي وبيئات متعددة البائعين، بهدف إبلاغ الأبحاث المستقبلية وتعزيز أمان نظم الاتصال الخاصة بالوكلاء.
مقدمة
ت outlines مقدمة هذه الورقة البحثية تطور الذكاء الاصطناعي (AI) من الذكاء الاصطناعي الرمزي المبكر وأنظمة الخبراء إلى العصر الحالي لوكلاء الذكاء الاصطناعي. في البداية، كانت أنظمة الذكاء الاصطناعي صارمة وقائمة على القواعد، ولكن التقدم في التعلم الآلي (ML) والتعلم العميق (DL) قد مكن النماذج من التعلم من البيانات، مما أدى إلى تطوير نماذج لغوية كبيرة (LLMs) قادرة على فهم وتوليد اللغة البشرية. تفترض الورقة أننا ندخل الآن مرحلة جديدة تتميز بالوكلاء الذكيين الاستباقيين والمستقلين الذين يمكنهم التفاعل مع الأدوات ووكلاء آخرين، مما يمهد الطريق للذكاء الاصطناعي العام (AGI) وربما الذكاء الاصطناعي الفائق (ASI). ومع ذلك، تثير هذه الانتقال أيضًا تحديات أمنية كبيرة، حيث أن الأطر التقليدية للأمن السيبراني غير كافية للتعقيدات التي تقدمها هذه الأنظمة الوكيلة.
يؤكد المؤلفون على الحاجة إلى تحقيق منهجي في نقاط ضعف بروتوكولات الاتصال المستخدمة من قبل الوكلاء الذكيين، حيث تركز الدراسات الحالية غالبًا على المخاطر المعزولة دون تقديم رؤية شاملة لنقاط الضعف على مستوى النظام. لمعالجة هذه الفجوة، تقترح الورقة نهجًا مركزيًا للبروتوكول يدمج نمذجة التهديدات، وتحليل الهيكل، وتقييم المخاطر الواعي بدورة الحياة عبر بروتوكولات ناشئة متعددة. تقيم الدراسة أربعة بروتوكولات اتصال—MCP، A2A، ANP، وأغورا—استنادًا إلى شعبيتها ونضجها، وتقدم تحليلًا منظمًا لتهديدات الأمان الخاصة بها، ونقاط الضعف الناتجة عن التصميم، وتقييم مخاطر نوعي. تسلط النتائج الضوء على ضرورة وجود تدابير أمان قوية خلال مراحل التحديث والصيانة لهذه البروتوكولات، حيث يمكن أن تؤدي نقاط الضعف في التحقق من النسخة وسلامة الاعتماد إلى نقاط ضعف نظامية عبر نظم متعددة الوكلاء.
طرق
تتبع المنهجية الموضحة في قسم هذه الورقة البحثية إطار تقييم المخاطر الذي وضعته NIST SP 800-30، والذي يشمل خمس مهام رئيسية: تحديد مصادر التهديد، تقييم نقاط الضعف، تحديد احتمال حدوثها، تقييم تأثير نقاط الضعف، وتقييم قيم المخاطر العامة. يتم استخدام نهج تقييم مخاطر نوعي، باستخدام مقياس من ثلاثة مستويات (منخفض، متوسط، مرتفع) لتقييم عوامل مختلفة استنادًا إلى مقاييس مرجعية مستقلة عن البروتوكول. يعد هذا النهج ذا صلة خاصة بالنظر إلى الحالة الناشئة لبروتوكولات الاتصال الخاصة بالوكيل الذكي، حيث تكون البيانات التجريبية حول الحوادث ونقاط الضعف محدودة. بدلاً من ذلك، يعتمد التحليل على تقييم منهجي لمواصفات البروتوكول وقرارات التصميم، مع التركيز على قابلية استغلال نقاط الضعف.
تتركز دراسة الحالة التجريبية على بروتوكول MCP، حيث يتم فحص سيناريو يتعلق بـ “تنفيذ أداة مزود خاطئ”. تهدف الدراسة إلى التحقق من خطر مفترض من خلال تجارب محكومة تظهر إمكانية الاستغلال في إعدادات واقعية. تكشف النتائج عن ضعف أمني كبير يتعلق بالغموض في هوية الأداة، حيث يفشل بروتوكول MCP في ربط هوية الأداة بشكل تشفيري بمزودها. يمكن أن يؤدي هذا النقص في الربط إلى ربط خاطئ لاستدعاءات الأداة، مما يؤدي إلى تنفيذ غير مصرح به على خوادم خبيثة. تستخدم الدراسة منهجية صارمة مدفوعة بالقياس، مما يبرز أهمية قياس نجاح الهجمات من خلال تجارب متكررة ومعايير نجاح واضحة، وبالتالي توفير أساس ملموس لتقييم الآثار الأمنية لبروتوكول MCP.
نقاش
تسلط قسم النقاش في الورقة الضوء على المشهد المتطور للمخاوف الأمنية والخصوصية في أنظمة الذكاء الاصطناعي، مع التركيز بشكل خاص على نماذج اللغة الكبيرة (LLMs) ودمجها مع الموارد الخارجية من خلال توليد معزز بالاسترجاع (RAG). تشير إلى أنه بينما تناولت الدراسات السابقة القضايا الأمنية في نماذج اللغة الكبيرة المستقلة، تزداد التعقيدات مع إدخال الذكاء الاصطناعي الوكالي، الذي يتضمن عدة وكلاء منسقين. تحدد الورقة الفجوات في الأبحاث الحالية، لا سيما نقص نماذج التهديد الرسمية والتقييمات التجريبية عبر بروتوكولات الاتصال المختلفة، بما في ذلك بروتوكول سياق النموذج (MCP)، الوكيل إلى الوكيل (A2A)، أغورا، وبروتوكول شبكة الوكلاء (ANP). يؤكد المؤلفون أن عملهم يمثل جهدًا رائدًا في إجراء تقييمات المخاطر ونمذجة تهديدات الأمان في هذا السياق.
تستعرض القسم أيضًا الأدبيات الموجودة حول أمان بروتوكولات MCP و A2A، مشيرة إلى أنه بينما استكشفت بعض الدراسات نقاط الضعف، لم يقم أي منها بإنشاء نماذج تهديد شاملة. على سبيل المثال، تم انتقاد بروتوكول MCP لعدم وجود نماذج خصم رسمية وتقييمات تجريبية، بينما تم تقييم A2A في بيئات الحوسبة الحافة ولكنها لا تزال بحاجة إلى تحسينات أمان قوية. يجادل المؤلفون بأن الأبحاث الحالية مجزأة، وغالبًا ما تركز على مكونات معزولة بدلاً من رؤية شاملة لنظام الاتصال الوكالي. يدعون إلى جهد منسق لتطوير نماذج خصم رسمية، والتحقق التجريبي، واستراتيجيات أمان متكاملة لمعالجة الحاجة الملحة إلى نظم وكيل ذكاء اصطناعي آمنة وقابلة للتشغيل المتداخل.
القيود
تسلط الأبحاث الضوء على قيد كبير في استخدام نظام A2A لـ OAuth 2.0 للمصادقة، لا سيما فيما يتعلق بغياب فترات انتهاء صارمة للتوكنات المرتبطة بالعمليات الحساسة. يسمح هذا النقص في القيود بتخزين التوكنات المسربة أو المعترضة، والتي يمكن أن يستغلها المهاجمون للحصول على وصول غير مصرح به إلى النظام. تؤكد تداعيات هذه الثغرة على الحاجة إلى تنفيذ سياسات إدارة توكنات أكثر صرامة لتعزيز الأمان وتقليل المخاطر المرتبطة بإعادة استخدام التوكنات.
DOI: https://doi.org/10.1016/j.jisa.2026.104645
Publication Date: 2026-09-28
Author(s): Zeynab Anbiaee et al.
Primary Topic: Access Control and Trust
Overview
This paper provides a comprehensive security analysis of emerging AI agent communication protocols, including the Model Context Protocol (MCP), Agent2Agent (A2A), Agora, and Agent Network Protocol (ANP). The authors highlight the rapid evolution of these protocols, which facilitate scalable multi-agent interactions and interoperability, while noting a significant gap in their security principles and the absence of a standardized threat modeling framework. The study introduces a structured threat modeling analysis that evaluates protocol architectures, trust assumptions, interaction patterns, and lifecycle behaviors to identify both protocol-specific and cross-protocol risks. Additionally, a qualitative risk assessment framework is proposed, identifying twelve protocol-level risks and assessing their security posture throughout the creation, operation, and update phases.
The findings reveal common structural vulnerabilities across the protocols, particularly in areas such as authentication and supply chain integrity. While specific vulnerabilities for MCP and A2A have been documented, Agora and ANP lack prior security analyses. The authors identify new attack vectors linked to decentralized trust models and natural language interoperability. A measurement-driven case study on MCP illustrates a critical operational weakness related to identity binding, demonstrating how design ambiguities can lead to significant security failures. The paper underscores the importance of addressing these risks as AI agents increasingly integrate into enterprise workflows and multi-vendor environments, aiming to inform future research and enhance the security of agent communication ecosystems.
Introduction
The introduction of this research paper outlines the evolution of artificial intelligence (AI) from early symbolic AI and expert systems to the current era of AI agents. Initially, AI systems were rigid and rule-based, but advancements in machine learning (ML) and deep learning (DL) have enabled models to learn from data, culminating in the development of large language models (LLMs) capable of understanding and generating human language. The paper posits that we are now entering a new phase characterized by proactive and autonomous AI agents that can interact with tools and other agents, paving the way for Artificial General Intelligence (AGI) and potentially Artificial Superintelligence (ASI). However, this transition also raises significant security challenges, as traditional cybersecurity frameworks are inadequate for the complexities introduced by these agentic systems.
The authors emphasize the need for a systematic investigation into the vulnerabilities of communication protocols used by AI agents, as existing studies often focus on isolated risks without providing a comprehensive view of system-level vulnerabilities. To address this gap, the paper proposes a protocol-centric approach that integrates threat modeling, architectural analysis, and lifecycle-aware risk assessment across multiple emerging protocols. The study evaluates four communication protocols—MCP, A2A, ANP, and Agora—based on their popularity and maturity, and presents a structured analysis of their security threats, design-induced vulnerabilities, and a qualitative risk assessment. The findings highlight the necessity for robust security measures during the update and maintenance phases of these protocols, as weaknesses in version verification and dependency integrity can lead to systemic vulnerabilities across multi-agent ecosystems.
Methods
The methodology outlined in this research paper section follows the risk assessment framework established by NIST SP 800-30, which encompasses five key tasks: identifying threat sources, assessing vulnerabilities, determining the likelihood of occurrence, evaluating the impact of vulnerabilities, and assessing overall risk values. A qualitative risk assessment approach is employed, utilizing a three-level scale (Low, Medium, High) to rate various factors based on protocol-independent reference metrics. This approach is particularly relevant given the nascent state of AI agent communication protocols, where empirical data on incidents and vulnerabilities is limited. Instead, the analysis relies on a systematic evaluation of protocol specifications and design decisions, focusing on the intrinsic exploitability of vulnerabilities.
The experimental case study centers on the MCP protocol, specifically examining a scenario involving “wrong-provider tool execution.” The study aims to validate a hypothesized risk through controlled experiments that demonstrate the potential for exploitation in realistic settings. The findings reveal a significant security weakness related to tool identity ambiguity, where the MCP protocol fails to cryptographically bind a tool’s identity to its provider. This lack of binding can lead to misbinding of tool invocations, resulting in unauthorized execution on malicious servers. The study employs a rigorous measurement-driven methodology, emphasizing the importance of quantifying attack success through repeated trials and explicit success criteria, thereby providing a concrete basis for assessing the security implications of the MCP protocol.
Discussion
The discussion section of the paper highlights the evolving landscape of security and privacy concerns in AI systems, particularly focusing on large language models (LLMs) and their integration with external resources through retrieval-augmented generation (RAG). It notes that while previous studies have addressed security issues in standalone LLMs, the complexities increase with the introduction of agentic AI, which involves multiple coordinated agents. The paper identifies gaps in existing research, particularly the lack of formal threat models and empirical evaluations across various communication protocols, including Model Context Protocol (MCP), Agent2Agent (A2A), Agora, and Agent Network Protocol (ANP). The authors emphasize that their work represents a pioneering effort in conducting risk assessments and security threat modeling within this context.
The section further reviews existing literature on the security of MCP and A2A protocols, noting that while some studies have explored vulnerabilities, none have established comprehensive threat models. For instance, the MCP protocol has been critiqued for its lack of formal adversary models and empirical evaluations, while A2A has been assessed in edge-computing environments but still requires robust security enhancements. The authors argue that current research is fragmented, often focusing on isolated components rather than a holistic view of the agent communication ecosystem. They call for a concerted effort to develop formalized adversary models, empirical validation, and integrated security strategies to address the urgent need for secure and interoperable AI agent ecosystems.
Limitations
The research highlights a significant limitation in the A2A system’s use of OAuth 2.0 for authentication, specifically regarding the absence of strict expiration durations for tokens associated with sensitive operations. This lack of limitations allows for the potential storage of leaked or intercepted tokens, which can be exploited by attackers to gain unauthorized access to the system. The implications of this vulnerability underscore the need for implementing stricter token management policies to enhance security and mitigate risks associated with token reuse.