ما هو خادم MCP؟ كيف يعمل MCP وواجهات MCP UI في 2026

في 1 أبريل 2025 نشرت Invariant Labs أداة اسمها add. كانت تأخذ رقمين وتعيد مجموعهما. لكن وصفها حمل أيضًا كتلة نصية معلَّمة بكلمة IMPORTANT، لا تظهر في واجهة العميل، تطلب من النموذج قراءة ~/.cursor/mcp.json و~/.ssh/id_rsa وتمرير الملفين إلى الخارج عبر معامل احتياطي. أطاع النموذج. ورأى المستخدم عملية جمع.

هذا العرض هو أنفع مدخل إلى خوادم MCP أعرفه، لأنه يُظهر الوجهين معًا. عمل البروتوكول تمامًا كما صُمّم: اكتشف عميل ذكاء اصطناعي أداة، وقرأ وصفها، واستدعاها. أما نموذج الثقة فكان الجزء الذي لم يبنه أحد بعد.

ما هو خادم MCP

خادم MCP برنامج يتيح الأدوات والبيانات والموجِّهات (prompts) لتطبيقات الذكاء الاصطناعي عبر بروتوكول سياق النموذج (Model Context Protocol، واختصاره MCP). تعرّف الوثائق الرسمية بروتوكول MCP بأنه «معيار مفتوح المصدر لربط تطبيقات الذكاء الاصطناعي بالأنظمة الخارجية». يتصل عميل ذكاء اصطناعي مثل Claude أو ChatGPT أو Visual Studio Code أو Cursor بالخادم، ويسأله عمّا يقدّمه، ثم يستدعي تلك القدرات نيابةً عن المستخدم.

أعلنت Anthropic عن MCP في 25 نوفمبر 2024 ومعه ستة خوادم جاهزة: Google Drive وSlack وGitHub وGit وPostgres وPuppeteer. تبنّته OpenAI في مارس 2025، ولحقت بها Google DeepMind في أبريل. وفي ديسمبر 2025 تبرّعت Anthropic بالبروتوكول إلى Agentic AI Foundation، وهو صندوق موجَّه تحت مظلة Linux Foundation شاركت في تأسيسه Anthropic وBlock وOpenAI.

المشكلة هي تكاثر الاتصالات. قبل MCP، كان كل تطبيق ذكاء اصطناعي يريد الوصول إلى GitHub يكتب موصله الخاص، وكان كل مزود ينشئ اتصالاً لكل تطبيق. عشرة نماذج وعشر أدوات قد تعني مئة تكامل. يخفض MCP العدد إلى عشرين: يطبق كل عميل البروتوكول مرة واحدة ويعرض كل نظام خادماً واحداً.

فكّر فيه على أنه حاوية الشحن في عالم تكاملات الذكاء الاصطناعي. قبل الحاويات، كان كل ميناء يحمّل كل بضاعة يدويًا، برافعاته الخاصة وطاقمه الخاص. وحّدت الحاوية الصندوق، فصار بإمكان أي سفينة ورافعة وشاحنة أن تنقل أي بضاعة. لكنها لم توحّد ما بداخل الصندوق، ولم تفتّش محتواه قط. MCP يقدّم الصفقة نفسها. احتفظ بالنصف الثاني في ذهنك، فسيعود في قسم الأمان.

كيف يعمل خادم MCP

تستخدم المواصفات الحالية، وهي الإصدار 2026-07-28، رسائل JSON-RPC 2.0 بين ثلاثة أدوار. ووصفها لنفسها لا يتجاوز ثلاثة أسطر: المضيفون هم «تطبيقات LLM التي تبدأ الاتصالات»، والعملاء هم «موصِّلات داخل التطبيق المضيف»، والخوادم هي «خدمات توفّر السياق والقدرات».

المضيف والعميل والخادم

المضيف هو التطبيق الذي تكتب فيه: Claude Desktop، أو بيئة تطوير، أو وكيلك الخاص. داخله يعمل عميل واحد لكل اتصال بخادم. ويقف الخادم على الطرف الآخر ويتحدث مع النظام الحقيقي، سواء كان قاعدة بيانات Postgres أو واجهة GitHub API أو مجلدًا على قرصك. المضيف يقرّر ما يراه النموذج وما يجب أن يوافق عليه المستخدم. والخادم يقرّر ما سيفعله النظام الذي خلفه.

1. المضيف Claude Desktop · بيئة تطوير · وكيلك الخاص

   يعرض الأدوات على النموذج ويطلب موافقة المستخدم

2. العميل واحد لكل اتصال بخادم

   يتحدث JSON-RPC عبر stdio أو Streamable HTTP

3. خادم MCP أدوات · موارد · موجِّهات

   يصف ما يقدّمه وينفّذ الاستدعاءات

4. النظام الأساسي قاعدة بيانات · واجهة API لخدمة SaaS · ملفات محلية

   ينجز العمل

الأدوات والموارد والموجِّهات

يستطيع الخادم أن يقدّم ثلاثة أنواع من الأشياء:

• الأدوات دوال يستطيع النموذج تنفيذها: create_issue وquery_orders وsend_email. لكل أداة اسم ووصف ومخطط JSON Schema لمدخلاتها.
• الموارد سياق وبيانات يقرؤها المستخدم أو النموذج: ملف، أو مخطط قاعدة بيانات، أو سجلّ.
• الموجِّهات رسائل وسير عمل جاهزة القوالب يختارها المستخدم، مثل «لخّص طلب الدمج هذا».

تحظى الأدوات بمعظم الاهتمام لأنها تفعل. ولهذا السبب نفسه تحمل معظم المخاطر.

استدعاء أداة خطوة بخطوة

جعلت مراجعة 2026-07-28 بروتوكول MCP عديم الحالة. لم تعد هناك مصافحة initialize؛ فكل طلب يحمل إصدار البروتوكول وقدرات العميل في حقل _meta، وعلى الخوادم أن تطبّق الطريقة server/discover كي يسأل العميل مسبقًا عمّا تدعمه. يجري استدعاء أداة واحدة الآن على هذا النحو:

1. يطلب المستخدم: أنشئ تذكرة لهذا الخطأ

2. الخطوة 1

   الاكتشاف

   • قد يستدعي العميل server/discover لمعرفة الإصدارات والقدرات
3. الخطوة 2

   سرد الأدوات

   • تعيد tools/list الأسماء والأوصاف ومخططات المدخلات
4. الخطوة 3

   النموذج يختار أداة

   • يمرّر المضيف تعريفات الأدوات إلى النموذج
5. الخطوة 4

   موافقة المستخدم

   • تنصّ المواصفات على أن يحصل المضيف على موافقة صريحة قبل استدعاء أي أداة
6. الخطوة 5

   الاستدعاء

   • tools/call مع الوسائط، وإصدار البروتوكول في _meta

7. مدخل ناقص؟ يعيد الخادم input_required، ويعيد العميل المحاولة مع الإجابات

   الخطوة 6

   النتيجة

8. تعود النتيجة إلى النموذج بوصفها سياقًا

الخطوة 6 جديدة في هذه المراجعة. الخادم الذي يحتاج إلى معلومات إضافية لم يعد يرسل طلبًا خاصًا به إلى العميل. بل يعيد نتيجة معلَّمة بـ input_required، فيجمع العميل الإجابة ويعيد محاولة الاستدعاء الأصلي. وتسمّي المواصفات هذا النمط «الطلب متعدد الجولات» (Multi Round-Trip Request).

وسائل النقل: stdio وStreamable HTTP

تعرّف المواصفات وسيلتي نقل قياسيتين:

• stdio: يشغّل العميل الخادم كعملية فرعية ويتبادل معه رسائل JSON-RPC مفصولة بأسطر جديدة عبر الإدخال والإخراج القياسيين. هكذا تعمل معظم الخوادم المحلية، وهذا يعني أن الخادم يعمل على جهازك بصلاحياتك أنت.
• Streamable HTTP: كل رسالة طلب HTTP POST إلى نقطة نهاية واحدة، وتعود الردود ككائن JSON أو كتدفق أحداث محصور في الطلب. هكذا تعمل الخوادم البعيدة المستضافة.

وسيلة النقل الأقدم HTTP+SSE مُهمَلة رسميًا. وأزالت مراجعة 2026-07-28 أيضًا الجلسات على مستوى البروتوكول ورأس Mcp-Session-Id؛ فالخادم الذي يحتاج إلى حالة عبر الاستدعاءات يصدر الآن معرّفه الخاص ويستقبله مجددًا كوسيط عادي للأداة.

التفويض

التفويض في MCP اختياري، ولا ينطبق إلا على HTTP. أما عبر stdio فتقول المواصفات إن على الخوادم أن تأخذ بيانات الاعتماد من البيئة. وعبر HTTP، يعمل خادم MCP المحمي كخادم موارد OAuth 2.1. وعليه أن ينشر بيانات وصفية للمورد المحمي (OAuth Protected Resource Metadata، وفق RFC 9728) كي يجد العملاء خادم التفويض الخاص به. وعلى العملاء أن يسمّوا الخادم المحدد الذي صدر الرمز من أجله (مؤشرات الموارد وفق RFC 8707). وعلى الخوادم أن ترفض أي رمز لم يُصدر لها، وتصف إرشادات الأمان «تمرير الرمز» (token passthrough)، أي تمرير رمز العميل كما هو إلى واجهة API لاحقة، بأنه محظور صراحةً.

هذه القاعدة الأخيرة أهم مما تبدو. فالخادم الذي يمرّر أي رمز يصله يتحوّل إلى وكيل وسيط لكل من يحمل رمزًا.

ما الذي يضيفه MCP UI: خوادم تعيد واجهة

تتوقف الإجابات النصية عن العمل في اللحظة التي يحتاج فيها المستخدم إلى مقارنة أربعين صفًا، أو تعديل نموذج من اثني عشر حقلًا، أو الموافقة على دفعة من التغييرات واحدًا تلو الآخر. «MCP UI» هو الاسم الذي يبحث به الناس عن الحل: خادم يعيد واجهة تفاعلية تُعرض داخل عميل الذكاء الاصطناعي، بجوار المحادثة.

يستحق الوضع وصفاً دقيقاً. بدأت الفكرة في MCP-UI، وهو مشروع مجتمعي. بنت OpenAI آلية مشابهة في Apps SDK. اقترح مشروع MCP معياراً مشتركاً مع الطرفين في 21 نوفمبر 2025، ونشر MCP Apps في 26 يناير 2026 بوصفه أول امتداد رسمي لـMCP. تطبق حزم MCP-UI هذه المواصفة الآن وتبقى مساحة مجتمعية لتجربة التحسينات المقبلة.

إذن MCP UI اليوم يعني MCP Apps. وهو رسمي، وهو امتداد وليس جزءًا من البروتوكول الأساسي. الامتدادات اختيارية: يجب أن يدعمها العميل والخادم معًا، والوثائق تقول صراحةً إن «دعم المضيف يختلف من عميل إلى آخر». وتذكر وثائق MCP Apps كلًّا من Claude وClaude Desktop وVS Code GitHub Copilot وMicrosoft 365 Copilot وGoose وPostman وMCPJam وArchestra.AI بوصفها مضيفات داعمة. والخادم الذي تعيد أدواته واجهة يجب أن يظل صالحًا لعميل لا يعرض إلا النص.

من الناحية الآلية، يعيد استخدام قطع MCP نفسها:

1. يتضمن وصف الأداة الحقل _meta.ui.resourceUri الذي يشير إلى مورد ui://.
2. يجلب المضيف ذلك المورد، وهو صفحة HTML مع سكربتاتها، ويمكنه تحميلها مسبقًا قبل استدعاء الأداة.
3. يعرضها المضيف داخل iframe معزول لا يستطيع قراءة الصفحة الأم ولا ملفات تعريف الارتباط الخاصة بها ولا تخزينها.
4. يتواصل التطبيق والمضيف عبر postMessage بلهجة JSON-RPC من MCP. يستطيع التطبيق طلب استدعاء أدوات، والمضيف يقرّر أيّها يسمح به.

الكلفة حقيقية. أنت الآن تشحن واجهة ويب أمامية داخل تطبيق شخص آخر، مع سياسة أمان محتوى عليك أن تعلنها، وقواعد عرض لا تتحكم فيها، وبديل نصي لكل مضيف يتجاهلها. والمكسب أن عمل الموافقة يكفّ عن أن يكون نصّ محادثة. قائمة الوثائق نفسها بالاستخدامات المناسبة تنتهي بعبارة «الموافقة على تقارير المصروفات، ومراجعة تغييرات الكود، أو فرز المشكلات»، وهذا هو جوهرها الصادق: MCP UI أفضل ما يكون في القرارات، لا في الزخرفة.

مثال Tajo للقراءة فقط

تتضمن واجهة Alto MCP في Tajo أداة query_contacts، وهي تبحث في جهات الاتصال المخزنة في مساحة العمل المتصلة. ابحث عن جهة اتصال موجودة بالبريد الإلكتروني وافحص المعرّف وحالة الموافقة على البريد ووقت آخر ظهور. تقرأ الأداة المنفصلة get_contact_topic_status اشتراكات تلك الجهة حسب الموضوع.

هذه عمليات قراءة من مساحة العمل. لا تجلب نسخة حديثة من المزود، ولا تبدأ مزامنة أو ترسل رسالة. ولا تثبت أن كل موصل مزود يعمل. ابحث في مصدر البيانات الناقصة أو القديمة. النتيجة الفارغة لا تثبت غياب الشخص من Brevo.

استخدم وثائق Tajo MCP لوصل عميل مدعوم وفحص الأدوات المعروضة فعلاً لمساحة عملك المصرح بها. قد تسهّل لوحة تفاعلية المراجعة حين يدعم المضيف MCP Apps، لكن النتيجة النصية يجب أن توضح ما حدث أيضاً.

استدعاء الأداة ليس مزامنة دائمة

تحتاج المزامنة الدورية أيضاً إلى جدول وهوية سجل ثابتة وتقدم محفوظ وقرارات بشأن الإعادة وسجل للكتابات المكتملة. تقع هذه المسؤوليات على التطبيق المنفذ. يوحد MCP الوصول إلى الأدوات؛ مجرد إدراج الأدوات لا يوفر قواعد العمل تلك.

بعد انتهاء المهلة، يمكن عادة إعادة القراءة. أما الإرسال أو الدفع فقد حدث بالفعل. احتفظ بسجل التنفيذ وتحقق من النتيجة قبل المحاولة مجدداً. ثقة النموذج لا تمنح إذناً ولا تجعل الإعادة آمنة.

للكتابة في وجهة جهة اتصال محددة، اقرأ دليل واجهة Brevo البرمجية. ولمعرفة متى تحتاج الحقول المحسوبة مزامنة مستقلة مستمرة، اقرأ reverse ETL.

فاتورة الأمان تأتي مع البروتوكول

الاعتراض يستحق أن يُعرض كاملًا: «يسلّم MCP نموذجًا احتماليًا قائمة دوال قادرة على حذف البيانات وإرسال البريد الإلكتروني، ثم يثق بنص كتبه غرباء ليصفها. هذا ليس معيار تكامل. إنه هجوم على سلسلة التوريد مزوَّد بمواصفات». معظم هذا صحيح. والمواصفات نفسها تتفق مع المقدّمة. يقول قسم الأمان فيها إن الأدوات «تمثّل تنفيذًا لكود عشوائي ويجب التعامل معها بالحذر المناسب»، وإن أوصاف الأدوات «يجب اعتبارها غير موثوقة ما لم تأتِ من خادم موثوق»، وإن MCP «لا يستطيع فرض مبادئ الأمان هذه على مستوى البروتوكول».

هذا هو السجل حتى الآن:

• تسميم الأدوات (tool poisoning). إفصاح Invariant Labs في أبريل 2025، أي أداة add المذكورة أعلاه. ووصف المنشور نفسه هجمات «سحب البساط» (rug pull)، حين يغيّر الخادم وصف أداة بعد أن وافقت عليها، و«التظليل» (shadowing)، حين يعيد خادم خبيث كتابة سلوك النموذج تجاه خادم موثوق.
• اختراق الخوادم المحلية. في يوليو 2025 كشفت JFrog عن الثغرة CVE-2025-6514 في mcp-remote من الإصدار 0.0.5 حتى 0.1.15، والتي سمحت لخادم خبيث بتشغيل أوامر على جهاز المستخدم. وفي الصيف نفسه أصابت الثغرة CVE-2025-49596 أداة MCP Inspector التابعة لـ Anthropic نفسها، والتي كانت تُشحن دون مصادقة افتراضيًا.
• تضخّم النطاقات. تسمّي أفضل ممارسات الأمان الرسمية هذا النمط: رموز تُمنح files:* أو admin:* منذ البداية لأن الخادم أدرج كل النطاقات وطلبها العميل كلها.
• قلق رسمي. في مايو 2026 قالت وكالة الأمن القومي الأمريكية إن «الانتشار السريع» لـ MCP «سبق تطوير نموذجه الأمني».

أين يخطئ الاعتراض؟ في الاستنتاج. لم يكن الحل يومًا التوقف عن ربط النماذج بالأنظمة؛ فالفرق كانت تفعل ذلك أصلًا بمفاتيح API خام ملصوقة في الموجِّهات والسكربتات، دون أي سجل تدقيق على الإطلاق. الحل أن تعامل خادم MCP كأي اعتمادية أخرى ذات صلاحيات:

• ثبّت الخوادم فقط من مصادر كنت ستأتمنها على بيانات الاعتماد نفسها خارج MCP.
• فضّل الخوادم البعيدة ذات OAuth والنطاقات الضيقة على الملفات التنفيذية المحلية التي تحمل مفاتيح طويلة العمر.
• اشترط موافقة بشرية على كل عملية كتابة، وسجّل من وافق على ماذا.
• ثبّت إصدارات الخوادم، وأعد المراجعة عندما يتغيّر وصف أداة.
• أتح أدوات على مقاس المهام، لا واجهة API كاملة؛ فالنموذج لا يستطيع إساءة استخدام نقطة حذف لم تُتَح أصلًا.

البروتوكول وحّد الصندوق. أما تفتيش البضاعة فما زال مهمتك.

ابنِ خادم MCP أو استخدم خادمًا جاهزًا

تفهرس الأدلة العامة مثل mcp.so خوادم بناها المجتمع، وكثير من مورّدي SaaS ينشرون خوادمهم الخاصة. Brevo مثلًا تقدّم خادم MCP مقسَّمًا أيضًا إلى خوادم مستقلة، بحيث يمكن منح الوكيل جهات الاتصال دون الحملات. والقرار لا يتعلق بالجهد بقدر ما يتعلق بمن يجب أن يملك شكل الأدوات.

أي خادم MCP يجب أن يستخدمه وكيلك؟

1. المورّد ينشر خادمًا يغطي المهمة

   استخدم خادم المورّد

   يواكب واجهة API والمورّد هو من يصونه.

2. نظام واحد، لكنك تحتاج إلى إجراءات أقل أو أكثر أمانًا

   استخدمه بنطاق مقلَّص

   امنح أضيق النطاقات وأتح فقط مجموعات الأدوات التي يحتاجها الوكيل.

3. بيانات داخلية أو نظام بلا خادم

   ابنِ خادمًا صغيرًا

   بضع أدوات على مقاس المهام فوق واجهة API الخاصة بك، مع مصادقتك أنت.

4. المهمة تمتد عبر نظامين أو أكثر

   ابنِ طبقة محكومة أو اعتمد واحدة

   مجموعة واحدة من الأدوات وقواعد الموافقة وسجل التدقيق عبر كل الأنظمة.

بناء خادم أساسي هو الجزء السهل. مع SDK رسمي، يكفي بعد ظهر واحد لبناء خادم stdio يعمل بأداة واحدة. الكلفة تأتي لاحقًا: OAuth لنسخة HTTP، والإهمالات (فقد أهملت مراجعة 2026-07-28 كلًّا من Roots وSampling وLogging، وكذلك Dynamic Client Registration)، والعمل المستمر على كتابة أوصاف أدوات يقرؤها النموذج قراءة صحيحة. تغليف واجهة API بأداة لكل نقطة نهاية هو الخطأ الأكثر شيوعًا. فكل وصف أداة نص يجب على النموذج أن يقرأه ويزنه، لذا تتفوّق قائمة قصيرة من الأدوات على مقاس المهام على سطح الواجهة كله.

MCP وواجهات API والتكاملات وiPaaS

لا يحلّ MCP محل واجهات API. فكل خادم MCP تقريبًا هو غلاف حول واحدة منها. وتبقى واجهة API هي المكان الذي يُنجز فيه العمل، بحدود معدّلها ونموذج بياناتها وخصائصها الغريبة. ما يغيّره MCP هو من يستطيع استدعاءها: نموذج، أثناء التشغيل، يختار الاستدعاء من وصف بدلًا من مطوّر يكتبه مسبقًا في الكود.

هذا التمييز يرسم خطًا واضحًا بينه وبين الأمرين الآخرين اللذين يُخلط بينه وبينهما:

• التكاملات وiPaaS (هنا مقارنة بين أبرز المنصات) تنقل البيانات وفق جدول أو عند حدث مُطلِق، بشكل حتمي، سواء كان أحد في محادثة أم لا. مزامنة ليلية لـ 40,000 طلب إلى نظام CRM يجب ألا تعتمد على نموذج يقرّر إجراء 40,000 استدعاء أداة.
• ETL العكسي يدفع البيانات المنمذجة من مستودع البيانات إلى الأدوات التشغيلية. ما هو ETL العكسي ومتى يناسب موضوع قائم بذاته، وهو خط معالجة، لا محادثة.
• MCP مخصّص للّحظات التي يحتاج فيها شخص أو وكيل إلى السؤال أو الفحص أو التصرف عبر تلك الأنظمة، عند الطلب.

الخطأ يقع في الاتجاهين. فرق تبني خوادم MCP لإجراء مزامنة جماعية، فتحصل على خطوط معالجة بطيئة ومكلفة وغير قابلة للتكرار. وفرق أخرى تبني تكاملات متقنة ثم تسلّم مساعد الذكاء الاصطناعي مفتاح API خامًا للاستعلام عنها، فتحصل على باب جانبي بلا حوكمة.

في التكامل المدعوم، ينبغي أن تشترك المهمة الدائمة وأدوات فحصها في حد واضح للصلاحيات. تحقق من الموصل والأفعال المسموحة والنتائج المسجلة للعمل المحدد. تميّز وثائق التكاملات بين إرشادات الإعداد والمسارات التي ما زالت تحتاج دليلاً من بيئة الإنتاج. قد يعرض MCP أدوات معتمدة منفصلة؛ ولا تثبت قائمتها أن المزامنة الدورية أو جميع الضوابط المطلوبة نشطة.

خلال 22 شهرًا انتقل MCP من ستة خوادم مرجعية إلى مشروع تابع لـ Linux Foundation يتحدث به Claude وChatGPT وVS Code وCursor جميعًا. ربط نموذج بنظام صار الجزء الرخيص. أما تحديد ما يُسمح له بفعله هناك فهو العمل الحقيقي.