Cloudflare Gateway يكتشف حركة MCP ويمنح الفرق أدوات لرصد الاتصالات المباشرة وحظرها
أضافت Cloudflare إلى Cloudflare One إشارات على مستوى البروتوكول للتعرّف على طلبات Model Context Protocol (MCP) التي تمر عبر Gateway مع TLS inspection. تتيح الإضافة لفرق الأمن معرفة المستخدمين والخوادم المرتبطة بهذه الحركة، رصد خوادم MCP غير المعتمدة أو الاتصالات التي تتجاوز MCP Portals، ثم تطبيق سياسات Allow أو Block على المسارات المُدارة.
أبرز النقاط
- Gateway يصنّف طلبات MCP المفحوصة عبر TLS باستخدام إشارات بروتوكول مثل MCP-Protocol-Version، بدلاً من الاعتماد على أسماء النطاقات أو المسارات فقط.
- يمكن استخدام selector الجديد experimental.is_mcp == true في سياسات Gateway للسماح بحركة MCP أو حظرها.
- لوحة MCP traffic تعرض الخوادم والمستخدمين والطلبات، وتفصل بين حركة MCP Portals والاتصالات المباشرة.
- Traffic Source باسم mcp_portal يتيح بناء سياسات تمنع اتصال MCP المباشر وتسمح بالمسار الذي يمر عبر Portal.
- MCP Portals تدعم الآن OAuth clients المسجلة مسبقاً عبر إعداد بيانات اعتماد OAuth يدوياً.
- Agents SDK v0.20.0 يدعم MCP 2026-07-28 مع fallback تلقائي إلى بروتوكول initialize الأقدم.
تزداد أهمية مراقبة MCP مع انتقال AI agents من مجرد محادثات إلى أدوات تستطيع استدعاء خدمات خارجية وداخلية، مثل APIs وقواعد البيانات وأنظمة التذاكر والبنية التحتية. المشكلة ليست في الصلاحيات وحدها، بل في أن الوكيل قد ينفّذ قراراته بسرعة وبشكل متكرر، ما يجعل الخطأ المحتمل يتوسع قبل أن يلاحظه شخص.
لهذا أضافت Cloudflare قدرات جديدة ضمن Cloudflare One وGateway للتعرّف على حركة MCP، وإظهار الخوادم والمستخدمين المرتبطين بها، والتمييز بين الطلبات التي تمر عبر MCP Portals والاتصالات المباشرة التي تتجاوز هذا المسار.
التعرّف على MCP ليس بسيطاً بالاعتماد على URL فقط. البروتوكول لا يفرض hostname محدداً ولا مساراً مثل /mcp، ولذلك قد تبدو الاتصالات كأي طلب HTTPS عادي. كانت Cloudflare تستخدم سابقاً إشارات مثل وجود mcp في اسم النطاق أو المسار، إلى جانب أنماط JSON-RPC، لكنها تشير إلى أن هذه الإشارات قد تفوّت خوادم تستخدم عناوين عادية أو تطابق خدمات لا علاقة لها بـ MCP.
الإشارة الجديدة تعتمد على فحص مستوى البروتوكول. عندما يكتشف Gateway ترويسة MCP-Protocol-Version في طلب خضع لفك تشفير TLS، يصنّف الطلب كحركة MCP. ويمكن للمسؤولين استخدام selector جديد في سياسات Gateway:
experimental.is_mcp == true
وبذلك يمكن بناء سياسة Allow أو Block لحركة MCP من دون صيانة قائمة يدوية بنطاقات تبدو مرتبطة بالبروتوكول. لكن الرؤية تظل مرتبطة بالمسار: يجب أن تمر الحركة عبر Gateway وأن تخضع لـ TLS decryption. أما خوادم MCP المحلية عبر stdio، والاتصالات خارج الشبكة المُدارة، وحركة Do Not Inspect، فلن تظهر ضمن هذا الكشف.
تقدم Cloudflare أيضاً لوحة مخصصة لحركة MCP تعرض إجمالي الطلبات، والمستخدمين والخوادم الفريدة، والخوادم الأكثر استخداماً، والفصل بين حركة MCP Portal والاتصالات المباشرة من أجهزة المستخدمين. كما يمكن تصفية النتائج حسب الخادم أو المستخدم أو نوع مسار الدخول، والانتقال إلى Gateway HTTP logs للتحقيق التفصيلي.
تفرّق Cloudflare بين مشكلتين: Shadow MCP، أي اتصال الموظف بخادم غير معتمد لا تعرفه المؤسسة؛ وPortal bypass، حيث يكون الخادم معتمداً ومضافاً إلى MCP Portal لكن المستخدم يتصل بعنوانه الأصلي مباشرةً متجاوزاً سياسات Access وكتالوج الأدوات وسجل التدقيق. الكشف في Gateway يساعد على رؤية الحالتين، لكن منع تجاوز الـ Portal يتطلب أيضاً أن يرفض الخادم الأصلي الطلبات المباشرة، مثل فرض Access policy أو تقييد عناوين المصدر أو استخدام آلية تفويض على مستوى الخادم.
لهذا أضافت الشركة Traffic Source selectors إلى سياسات Gateway Network وHTTP. عندما تُوجَّه حركة MCP Portal عبر Gateway، تحمل المصدر mcp_portal، ما يسمح للسياسة بالتمييز بين طلبات الـ Portal والاتصالات المباشرة. يمكن، مثلاً، حظر أي حركة MCP مكتشفة لا تحمل هذا المصدر، مع الإبقاء على الطلبات القادمة عبر الـ Portal دون تغيير.
وشملت التحديثات MCP Portals نفسها. أصبحت تدعم OAuth clients المسجلة مسبقاً عبر إدخال بيانات اعتماد OAuth يدوياً، وهو مهم للخدمات التي تتطلب client ID وclient secret وcallback URL ثابتة بدلاً من Dynamic Client Registration. تقول Cloudflare إن كل مستخدم يظل مسؤولاً عن تفويض الوصول إلى مصادر بياناته، بينما يُستخدم client secret المخزن فقط لجلب قوائم الأدوات والـ prompts المحدثة.
وعلى جانب التطوير، يدعم Cloudflare Agents SDK v0.20.0 مواصفة MCP 2026-07-28 كعميل وخادم. تعتمد هذه النسخة نموذجاً stateless لكل طلب بدلاً من تهيئة مرتبطة بالاتصال. يبدأ العميل بمحاولة server/discover، ثم يعود إلى مصافحة initialize القديمة على الاتصال نفسه إن لم يكن الخادم متوافقاً. كما يمكن لـ createMcpHandler تشغيل tools وprompts وresources وelicitation من Worker من دون إنشاء transport session أو Durable Object.
تقول Cloudflare إن كشف MCP متاح الآن لعملاء Cloudflare Zero Trust ضمن Gateway HTTP logs، مع إمكانية تطبيق سياسات صريحة للسماح أو الحظر. أما دعم اتصال MCP Portals بالخوادم الخاصة داخل الشبكات الخاصة فما زال قيد التطوير.
لماذا يهم؟
تمنح هذه الإضافات فرق الأمن رؤية عملية إلى استخدام MCP على الأجهزة والشبكات المُدارة، وهو استخدام قد ينشأ خارج قائمة الأدوات المعتمدة. الأهم أن الرصد لا يقتصر على اكتشاف الخادم غير المعروف، بل يساعد أيضاً في معرفة ما إذا كان المستخدمون يتجاوزون مسار MCP Portal الذي تضع عليه المؤسسة سياسات الهوية والتدقيق. لكنها ليست رؤية شاملة لكل استخدامات MCP، لأن الخوادم المحلية والاتصالات خارج Gateway لا تدخل في نطاق الفحص.