مشخصهٔ Model Context Protocol (MCP) با تاریخ 2026-07-28 اولین بازنگری بزرگ از نوامبر ۲۰۲۵ است و بیشتر از آنکه قابلیتی اضافه کند، لوله‌کشی پروتکل را عوض می‌کند. اگر سرور یا gateway MCP را در محیط واقعی اجرا می‌کنید، چند چیزی که ممکن است به آن‌ها تکیه کرده باشید، مثل handshake نشست و Dynamic Client Registration، حذف شده یا ساعت منسوخ‌شدنشان شروع شده است. این راهنما می‌گوید چه عوض شد، چه چیزی از پروتکل به کد شما منتقل شد و چک‌لیست اپراتورها چیست. منابع وبلاگ رسمی MCP، وبلاگ توسعه‌دهندگان Google، پژوهش امنیتی Akamai و به‌روزرسانی امنیتی نوامبر ۲۰۲۶ مایکروسافت‌اند که ۷ نوامبر ۲۰۲۶ خوانده شدند.
در MCP 2026-07-28 چه عوض شد
پست انتشار تیم MCP تغییرهای اصلی را فهرست می‌کند: هستهٔ بدون حالت (stateless)، Multi Round-Trip Requests، مسیریابی بر پایهٔ هدر، نتایج فهرست قابل کش، سخت‌تر شدن احراز مجوز، چارچوب رسمی افزونه‌ها و SDKهای Tier 1 به‌روز. یک سیاست رسمی منسوخ‌سازی با پنجرهٔ حداقل دوازده ماه هم اضافه شده است.
| حوزه | قبل | 2026-07-28 |
|---|---|---|
| حالت انتقال | دارای حالت، دوطرفه، handshake initialize و Mcp-Session-Id | بدون حالت: handshake و هدر نشست حذف شد و هر درخواست خودتوصیف است (Google) |
| مسیریابی | gateway باید بدنهٔ JSON را تجزیه می‌کرد | هدرهای Mcp-Method و Mcp-Name متد و نام ابزار را می‌برند و gateway می‌تواند روی هدر مسیریابی و مجوزدهی کند |
| درخواست سرور به کلاینت | sampling و elicitation روی استریم‌های دوطرفهٔ باز | Multi Round-Trip Requests (MRTR) |
| فهرست ابزارها | بدون راهنمای کش | پاسخ فهرست‌ها نکتهٔ کش و ترتیب قطعی دارد |
| افزونه‌ها | موردی | چارچوب رسمی: Tasks، MCP Apps، Enterprise Managed Authorization |
| ثبت کلاینت | Dynamic Client Registration (DCR) | DCR به نفع Client ID Metadata Documents (CIMD) منسوخ شد؛ فعلاً کار می‌کند |
در عمل هستهٔ بدون حالت یعنی هر درخواست می‌تواند پشت یک load balancer ساده با round-robin به هر نمونه برسد. تیم MCP می‌گوید این از پرتقاضاترین قابلیت‌ها بود و برای اعتمادپذیری و مقیاس‌پذیری بهتر خواسته می‌شد.
تغییرهای احراز مجوز که باید رویشان کار کنید
- اعتبارسنجی issuer: سرور مجوز باید پارامتر
issرا طبق RFC 9207 برگرداند و کلاینت باید پیش از بازخرید code آن را اعتبارسنجی کند (SEP-2468). این یک حفرهٔ اشتباه‌گرفتن سرور مجوز را می‌بندد. - اعتبارنامه‌های وابسته به issuer: اعتبارنامهٔ کلاینت به issuerی که ساخته وابسته است و بین سرورهای مجوز دوباره استفاده نمی‌شود (SEP-2352).
- Resource indicators: کلاینت با RFC 8707 می‌گوید توکن برای کدام سرور MCP است و این مشکل confused deputy را حل می‌کند (Google).
- از DCR به CIMD: Dynamic Client Registration رسماً منسوخ شده است. یکپارچه‌سازی جدید را روی آن نسازید.
چه چیزی از پروتکل به کد شما منتقل شد
پژوهشگران Akamai مصالحه را روشن می‌گویند: این به‌روزرسانی ربایش نشست در سطح پروتکل، پرامپت ناخواستهٔ سرور و روش‌های احراز هویت ضعیف را حذف می‌کند، اما حالت مدیریت‌شده توسط برنامه، MCP Appsٔ تعاملی و taskهای ناهمگام طولانی راه‌های تازه‌ای برای سوءاستفاده از سرور می‌سازند (Akamai). توصیهٔ آن‌ها این است که هر حالت و فراداده‌ای که کلاینت می‌دهد ورودی نامعتبر حساب شود، به‌صورت رمزنگاری تأیید شود، خروجی پنل‌های بصری ساخته‌شده با هوش مصنوعی encode شود و برای taskهای ناهمگام سهمیهٔ منابع تعیین شود.
یک نکتهٔ دیگر از میدان: تا ۳ نوامبر ۲۰۲۶ مشخصه هنوز احراز مجوز را برای پیاده‌سازی‌های MCP اختیاری می‌داند و احراز هویت و محدودسازی دسترسی را به عهدهٔ مستقرکنندهٔ سرور می‌گذارد (خلاصهٔ DigitalOcean). یک بازنگری تازهٔ مشخصه به‌تنهایی استقرار را امن نمی‌کند.
چرا ابزار امضاشده ابزار امن نیست
مقاله‌ای که ۴ نوامبر ۲۰۲۶ در arXiv منتشر شد، یک ابزار MCP کاملاً امضاشده را نشان می‌دهد که کار تبلیغ‌شده‌اش را انجام می‌دهد و هم‌زمان داده را به مقصدی که سیاست اجازه می‌دهد نشت می‌دهد. در ۱۵۳ اجرای حمله، دفاع‌های پایه در ۵٫۹٪ تا ۷۴٫۵٪ اجراها اجازهٔ افشای غیرمجاز دادند، در حالی که اجرای داده-ایزولهٔ نویسندگان هیچ موردی تشخیص نداد (arXiv 2611.06585). این ادعای پژوهشی یک تیم است، اما با درس عملی می‌خواند: اصالت ناشر دربارهٔ کاری که کد با داده‌های شما می‌کند چیزی نمی‌گوید.
فروشنده‌ها کنترل‌ها را به نقطهٔ پایانی می‌برند
به‌روزرسانی نوامبر ۲۰۲۶ مایکروسافت می‌گوید Microsoft Execution Containers حالا در دسترس عمومی است، به‌صورت لایه‌ای که سیستم‌عامل اجرا می‌کند و دسترسی عامل هوش مصنوعی را به فایل‌ها، شبکه و فرایندها محدود می‌کند. Defender هم حالا بیش از ۵۰ عامل هوش مصنوعی محلی پشتیبانی‌شده را همراه سرورهای MCP پیکربندی‌شدهٔ آن‌ها در Windows و macOS کشف می‌کند (وبلاگ امنیت مایکروسافت). جهت روشن است: فرض کنید محتوای خصمانه عامل را هدایت می‌کند و آنچه می‌تواند بکند را محدود کنید.
چک‌لیست اپراتور
- فرض‌های نشست را پیدا کنید. در کد سرور دنبال handshake
initializeو استفاده ازMcp-Session-Idبگردید. هر چیزی که حالت را به‌ازای نشست نگه می‌دارد جای تازه می‌خواهد یا باید در هر درخواست فرستاده شود. - حالت درخواست را نامعتبر بدانید. هر حالتی که به کلاینت می‌دهید را امضا یا رمز کنید و در هر درخواست تأیید کنید.
-
issرا اعتبارسنجی و توکن‌ها را وابسته کنید. issuer را در هر پاسخ مجوز بررسی کنید و توکن را برای منبع مشخص بگیرید. - مهاجرت DCR به CIMD را برنامه‌ریزی کنید. پنجرهٔ منسوخ‌سازی حداقل دوازده ماه است؛ زمان‌بندی کنید، واکنشی عمل نکنید.
- در gateway روی هدر مسیریابی کنید. از
Mcp-Nameبرای مجوز و محدودیت نرخ هر ابزار بدون تجزیهٔ بدنه استفاده کنید. - هر فراخوانی ابزار را لاگ کنید. چه چیزی برای ردیابی ممیزی سرور MCP لاگ شود را ببینید.
- خروجی را محدود و ابزارها را بررسی کنید. میزبان‌های خروجی را allowlist کنید و پیش از افزودن سرور از چک‌لیست ممیزی سرورهای MCP مخرب استفاده کنید.
- سهمیهٔ taskها را محدود کنید. زمان اجرا، همزمانی و فضا را برای taskهای ناهمگام سقف بگذارید.
دربارهٔ سمت سازمانی، فاصلهٔ بین دادن ابزار به عامل و حاکمیت بر آن‌ها در شکاف اجرای عامل‌های هوش مصنوعی آمده است.
پرسش‌های متداول
مشخصهٔ MCP 2026-07-28 کی منتشر شد؟ ۲۸ ژوئیهٔ ۲۰۲۶، پس از یک نامزد انتشار در ۲۱ مهٔ ۲۰۲۶.
آیا handshake initialize هنوز لازم است؟ خیر. handshake و هدر نشست در این بازنگری حذف شدند.
آیا Dynamic Client Registration حذف شده؟ هنوز نه. منسوخ شده و برای سازگاری کار می‌کند، با سیاست منسوخ‌سازی حداقل دوازده‌ماهه.
آیا احراز مجوز در MCP اجباری است؟ تا اوایل نوامبر ۲۰۲۶ مشخصه هنوز آن را اختیاری توصیف می‌کند، پس باید خودتان اعمالش کنید.
