عوامل هوش مصنوعی فریب خورده توسط یک سرکش فایل را برای اجرای بدافزار خطرناک دانلود می کنند

محققان نشان دادند که عوامل هوش مصنوعی می‌توانند از طریق فایل‌های مخرب AGENTS.md که در مکان‌های دانلود رایج قرار داده شده‌اند ربوده شوند.

این حمله از رفتار تزریق سریع سوء استفاده می کند و به طور بالقوه باعث دانلود بدافزار یا سرقت توکن می شود

از مدافعان خواسته می‌شود که پوشه‌های دانلودها را غیرقابل اعتماد تلقی کنند و فایل‌های دستورالعمل عامل را به دقت بررسی کنند. یک عامل هوش مصنوعی با چیزی بیش از یک فایل علامت گذاری ساده (.MD) فریب خورد و محققان هشدار دادند که این فرمت فایل یک فایل اجرایی مخرب جدید است. تنها با یک فایل MD اولیه و دسترسی به یک وب‌سایت، عوامل تهدید می‌توانند عوامل افراد را وادار به اجرای کدهای مخرب یا اشتراک‌گذاری نشانه‌های دسترسی کنند.

محققان فوراور سکیوریتی ادعا می‌کنند که این حمله را در طبیعت مشاهده کرده‌اند، اما قبل از اینکه بتواند آسیب معنی‌داری وارد کند، آن را متوقف کردند. مهاجمان برای رفع این مشکل از چند چیز استفاده کردند: 1) این واقعیت که وب سایت ها می توانند برخی از فرمت های فایل را بدون اطلاع یا رضایت کاربر دانلود کنند. 2) این واقعیت که فایل های .md به طور پیش فرض مخرب یا خطرناک دیده نمی شوند. 3) این واقعیت که عوامل هوش مصنوعی بر روی هر چیزی که در فایل AGENTS.md نوشته شده است، صرف نظر از آنچه در داخل آن است، عمل می کنند.

در گزارش خود، فوراور سکیوریتی اعلام کرد که بدافزار زنده را روی دستگاه یک مشتری واقعی - یک فایل AGENTS.md در پوشه ~/Downloads - پیدا کرده است. این سند که به عنوان یادداشت‌های مهندسی معمولی پنهان شده بود، همه چیز غیر معمولی بود - عامل هوش مصنوعی را سرکش کرد و به آن دستور داد بدافزارها را مستقر کند و توکن‌های جلسه را استخراج کند.

کار روی Codex و Claude Code

محققان نتوانستند تعیین کنند که چگونه فایل به پوشه دانلودها راه پیدا کرده است و فرض می‌کنند که مرورگر آن را از وب‌سایتی که احتمالا از قبل در معرض خطر قرار گرفته است، انتخاب کرده است.

در این گزارش آمده است: «دانلودها تنها پوشه‌ای است که یک وب‌سایت می‌تواند فایلی را بدون کلیک و بدون مجوز در آن رها کند. با هم، که به کارخانه وب اجازه می‌دهد تا سفارشات نماینده شما را انجام دهد. Markdown یک فایل اجرایی جدید است».

در طول تجزیه و تحلیل، آنها سعی کردند حمله را با استفاده از عوامل مختلف بازتولید کنند و در OpenAI Codex و Claude Code موفق شدند. خبر بد این است که این یک باگ نیست و هیچ چیزی برای شرکت‌ها وجود ندارد که آن را اصلاح کنند.

عوامل هوش مصنوعی به گونه ای طراحی شده اند که فایل AGENTS.md را تا حد زیادی دنبال کنند، "همان طور که مرورگری که یک صفحه فیشینگ را ارائه می دهد، طبق طراحی کار می کند." در عوض، مشکل این واقعیت است که عامل هوش مصنوعی می‌تواند پوشه‌ای را که مرورگر می‌تواند به راحتی فایل‌ها را در آن بنویسد، بخواند. آنها می گویند: "بردار باز می ماند." زمانی که عاملی جای انسان را می گیرد، دفاعی که حول یک شکست انسانی ساخته می شود.

در این مورد، مهاجمان سعی کردند عامل هوش مصنوعی را وادار به نصب یک بسته مخرب npm به نام "function-color" کنند. ظاهرا این یک بدافزار است که دو سال پیش در طی یک کمپین مخرب جداگانه ساخته شد، اما تاکنون توانسته زیر رادار پرواز کند. این همچنین به این معنی است که عوامل هوش مصنوعی می توانند فریب بخورند تا تقریبا هر چیزی را از اینترنت دانلود کنند، از جمله باج افزارها، دزدهای اطلاعاتی و ابزارهای نظارت و مدیریت از راه دور (RMM).

تزریق سریع با چرخش

در اصل، این فقط یک چرخش در حمله تزریق سریع قدیمی است. به گفته محققان، برای دفاع در برابر آن، کاربران باید ~/دانلودها را به عنوان "زمینه خصمانه برای عوامل" در نظر بگیرند. آن‌ها نباید Codex، Claude Code یا هر عاملی را در آن پوشه راه‌اندازی کنند، زیرا وب می‌تواند فایلی را در آن قرار دهد. به غیر از آن، کاربران باید به دنبال فایل‌های دستورالعملی باشند که ننوشته‌اند، به خصوص در پوشه دانلودها یا یک مخزن شبیه‌سازی شده. "قبل از اینکه به یک نماینده اجازه نزدیک شدن به آن را بدهید، آن را بخوانید."

در نهایت، کاربران باید پیکربندی عامل خود را برای بلوک های غیرمنتظره یا دستورات تغییر یافته بررسی کنند. در claude/settings.json پروژه، کاربران باید به دنبال یک ANTHROPIC_BASE_URL، یک پروکسی یا هر نقطه پایانی API دیگری باشند که خودشان تنظیم نکرده‌اند.

Forever نتیجه گرفت: "ترمزها را روشن نگه دارید. دروازه های تایید و جعبه های ماسه ای را فعال کنید. به هر چیزی که به نماینده می گوید آنها را دور بزند اگر یکی پیدا کردید، آن را بچرخانید. فرض کنید توکن لو رفته است. یک توکن دزدیده شده یک جلسه زنده است، نه فقط یک درخواست دستگیر شده."

عوامل هوش مصنوعی ممکن است به طور پیش فرض مخرب نباشند، اما آنها قطعا ساده لوح هستند و تا کنون، این یک مسئولیت امنیتی بزرگ است.

از طریق Bleeping Computer