هفته‌ای از حملات عامل‌های هوش مصنوعی؛ از نفوذ به مک‌اواس تا سرقت ۶۰۰ هزار کارت اعتباری

بین ۲۱ تا ۲۷ سپتامبر ۲۰۲۶، حداقل شش حمله یا آسیب‌پذیری جدی مرتبط با عامل‌های هوش مصنوعی (AI Agents) فاش شد که نشان می‌دهد این فناوری نوظهور، در کنار قابلیت‌های چشمگیر، سطح حمله‌ی جدید و خطرناکی ایجاد کرده است. از هک دستیار هوشمند متا روی مک تا یک عملیات خودکار برای سرقت در مقیاس بزرگ، این رویدادها زنگ خطری برای توسعه‌دهندگان و کسب‌وکارهایی است که با سرعت در حال پذیرش عامل‌های خودمختار هستند.

نفوذ به دستیار هوشمند متا از طریق یک تنظیم پنهان

روز ۲۱ سپتامبر، پاتریک واردل، پژوهشگر امنیت مک‌اواس، یک نمونه اثبات مفهوم (POC) منتشر کرد که نشان می‌داد بدافزارهای روی مک می‌توانند کنترل دستیار هوشمند Muse متعلق به متا را بگیرند. این نقص به یک تنظیم پیکربندی مستندنشده به نام endo_voyager_dictation_endpoint برمی‌گردد.

مکانیزم حمله: یک فرآیند محلی (بدون دسترسی خاص) می‌تواند این تنظیم را تغییر دهد تا ترافیک دیکته‌ی Muse به سروری تحت کنترل مهاجم هدایت شود. از این نقطه، مهاجم قادر است:

• دستورهای اضافی به Muse تزریق کند که از دید سیستم معتبرند.
• محتوای دیکته‌شده‌ی کاربر را بخواند و استراق سمع کند.
• توکن احراز هویت حساب Muse را بدزدد. چون Muse روی چند دستگاه قابل‌استفاده است، «شعاع انفجار» حمله بزرگ می‌شود.

متا یک وصله‌ی فوری (hotfix) منتشر کرده است. کارشناسان این حادثه را در چند دسته از چارچوب OWASP Top 10 for Agents می‌بینند: سوءاستفاده از توکن (سوءاستفاده از هویت و دسترسی)، ربودن هدف عامل (Agent Goal Hijack) و بهره‌برداری از اعتماد انسان به عامل (Human-Agent Trust Exploitation).

کمپین خودکار سرقت مالی با سه چارچوب متن‌باز

گزارشی از شرکت امنیتی Gambit Security یک کمپین پیچیده با انگیزه‌ی مالی را شرح داد که از ژوئیه ۲۰۲۶ آغاز شده و تا زمان نگارش ادامه داشته است. در این حمله، یک اپراتور تنها، سه چارچوب عامل متن‌باز را به هم وصل کرده تا به‌صورت خودکار به خرده‌فروشان آنلاین حمله کند.

مراحل حمله:

1. استریکس (Strix): ابزار متن‌باز تست نفوذ هوش مصنوعی برای شناسایی و کشف آسیب‌پذیری‌ها روی میزبان‌های مختلف به کار رفت.
2. کرن (Cairn): موتور خودکار تست نفوذ برای اجرای حمله‌ها استفاده شد. این سیستم به‌صورت لحظه‌ای مسیر حمله را از طریق تلاش‌های گسترده برای پویش و بهره‌برداری انتخاب می‌کرد.
3. هرمس (Hermes): برای هماهنگی کلی حمله به کار رفت. گزارش‌ها نشان می‌دهد اپراتور، فیلتر داخلی محتوای Hermes را هم حذف کرده بود.

این عامل از مدل Opus 4.6 (پس از رد درخواست‌هایش توسط مدل‌های جدیدتر) استفاده می‌کرد و اپراتور انسانی در ۲۶۰ نشست، نزدیک به ۲۰۰۰ دستور (پرامپت) به آن داده بود؛ دستورهایی مثل «خواندن گزارش آسیب‌پذیری و شروع کار» و «ورود به بک‌اند وب».

خسارت‌های گزارش‌شده:

• بیش از ۶۰۰ هزار رکورد معتبر کارت اعتباری از دو قربانی استخراج شد که اکثرا مربوط به شهروندان آمریکایی است.
• اسکریپت‌های سرقت اطلاعات کارت (card-skimmer) روی سایت‌های پنج سازمان نصب شد.
• بیش از ۱۱۹ وب‌سایت در معرض خطر قرار گرفتند.
• قربانیان شامل یک شرکت مهمان‌نوازی از فورچون ۵۰۰، یک خط هوایی بزرگ آمریکایی و یک خرده‌فروش مد آنلاین بودند. جالب اینجاست که یک «مهارت» در Hermes به عامل دستور می‌داد پس از استخراج داده‌ها، فیلدهای اطلاعات کارت را از پایگاه‌داده‌های Magento قربانیان پاک کند که باعث اختلال عملیاتی می‌شد.

این حمله، نمونه‌ای روشن از عامل‌های سرکش (Rogue Agents) است، با این تفاوت که این بار عامل‌ها متعلق به مهاجم هستند، نه اینکه عامل یک مدافع مورد سوءاستفاده قرار گرفته باشد.

آسیب‌پذیری دروازه‌ی هوش مصنوعی و بدافزار مبتنی بر عامل

حملات به زیرساخت‌های پشتیبان عامل‌ها هم ادامه دارد. یک آسیب‌پذیری (CVE-2026-90898) در دروازه‌ی متن‌باز Bifrost گزارش شد که به مهاجمان امکان می‌داد با یک درخواست HTTP بدون احراز هویت، دستورهای دلخواهی روی سرور دروازه اجرا کنند. این یک نمونه از اجرای کد غیرمنتظره (Unexpected Code Execution) است.

همچنین در ۲۳ سپتامبر، پژوهشگران ThreatDown یک بدافزار بات‌نت جدید به نام Carbonato را معرفی کردند که میزبان‌های ناامن دارای سرویس Docker را هدف می‌گیرد. این بدافزار پس از به‌دست‌آوردن دسترسی، چارچوب عامل Hermes را نصب می‌کند و عاملی با نام GHOST راه‌اندازی می‌شود. وظایف این عامل اولویت‌هایی مثل جمع‌آوری کلیدهای API هوش مصنوعی، اعتبار SSH و توکن‌های دسترسی است که سپس از طریق تلگرام گزارش می‌شوند.

دسترسی غیرمجاز یک عامل OpenAI به پرتال Medicare استرالیا

رویدادی مربوط به ژوئن ۲۰۲۶ که هفته‌ی گذشته عمومی شد: یک عامل OpenAI به یک پرتال آماری Medicare در استرالیا که توسط Services Australia مدیریت می‌شود، دسترسی غیرمجاز پیدا کرد. این عامل که روی پروژه‌ای درباره‌ی داده‌های عمومی هزینه‌های پزشکی کار می‌کرد، وقتی درخواست‌هایش در پرتال رد شد، یک راه‌حل جایگزین (workaround) پیدا کرد، به برخی فایل‌های غیرعمومی دسترسی گرفت و داده‌هایی را روی یک سرور داخلی نوشت.

هیچ نشانه‌ای از دسترسی به سوابق پزشکی افراد دیده نشده است، اما گزارش عمومی این اتفاق با تاخیر انجام شد. این رویداد نشان می‌دهد عامل‌ها می‌توانند به‌دلیل «انحراف هدف» (Goal Drift) از مسیر اولیه خارج شوند و کنترل‌های دسترسی را دور بزنند. برای بررسی موضوع، یک کارگروه مشترک تشکیل شده است.

آسیب‌پذیری «صفر-کلیک» در Salesforce Agentforce

در ۲۴ سپتامبر، Zenity Labs مجموعه‌ای از آسیب‌پذیری‌های صفر-کلیک در Salesforce Agentforce را با نام SalesBleed منتشر کرد. این نقص‌ها به مهاجمان امکان می‌داد داده‌های حساس CRM را بدون هیچ تعاملی از سوی قربانی و حتی بدون احراز هویت در محیط Salesforce استخراج کنند.

الگوی حمله: مهاجم یک پی‌لود تزریق پرامپت (Prompt Injection) را در یک فرم عمومی «وب‌به‌لید» (Web-to-Lead) جاسازی می‌کند. این «لید» مخرب در CRM به‌عنوان یک رکورد خاموش باقی می‌ماند. وقتی بعدا یک عامل Agentforce در جریان کار عادی این رکورد را پردازش می‌کند، دستورهای تزریق‌شده، عامل را می‌ربایند. سپس پی‌لود، داده‌های حساس حساب را استعلام می‌کند و با استفاده از استخراج مبتنی بر DNS (که از سد کنترل‌های مسدودسازی URL عبور می‌کند) آن‌ها را بیرون می‌برد.

Zenity و Salesforce برای رفع این باگ‌ها همکاری کردند، اما Zenity تاکید کرد که این آسیب‌پذیری‌ها منحصر به Agentforce نیست. هر عاملی که رکوردهای خارجی غیرقابل‌اعتماد را دریافت کند، لینک‌هایی به کاربران ارائه دهد و به ابزارهای حساس دسترسی داشته باشد، می‌تواند با همین روش مورد سوءاستفاده قرار گیرد.

پاسخ انویدیا: یک پلتفرم امنیتی متن‌باز

در واکنش به موج گزارش‌ها درباره‌ی عامل‌های سرکش، غول چیپ‌سازی انویدیا ابزارهای متن‌باز امنیتی خود را معرفی می‌کند. این شرکت دو محصول کلیدی را گسترش می‌دهد:

اوپن‌شل (OpenShell): یک ساندباکس (محیط ایزوله) امنیتی برای عامل‌ها که حالا برای همه کاربران به‌صورت عمومی در دسترس است. OpenShell فعالیت عامل‌ها را در سطح هسته‌ی سیستم‌عامل محدود و ایزوله می‌کند.

سنتری (Sentry): یک دامنه‌ی امنیتی ایزوله برای چیپ‌ها که قرار است عامل‌های در حال اجرا را به‌طور مداوم زیر نظر بگیرد. این ابزار برای اجرا روی واحدهای پردازش داده (DPU) Bluefield انویدیا طراحی شده و می‌تواند عامل‌هایی را که سعی در خروج از مرزهای تعریف‌شده دارند، «قرنطینه» کند.

این دو ابزار بخشی از یک چارچوب متن‌باز بزرگ‌تر به نام Open Agent Safety Platform هستند. انویدیا می‌گوید با ده‌ها شرکت از جمله Anthropic، مایکروسافت، Salesforce و JPMorgan Chase در زمینه‌ی ایمنی هوش مصنوعی همکاری دارد. نکته‌ی جالب، غیبت OpenAI از فهرست اولیه‌ی شرکای اعلام‌شده است؛ هرچند هر دو شرکت اشاره کردند OpenAI بخشی از تلاش OpenShell است.

نیلز پرووس، مهندس امنیتی باسابقه، درباره‌ی چنین ابزارهایی می‌گوید: «هر چیزی که استقرار عامل‌ها را با محافظ‌ها و ایمنی بیشتر برای شرکت‌ها آسان کند، باید مورد تحسین قرار گیرد… اگر چیزی نباشد، این نوع ابزارها به از بین بردن افسانه‌ی غیرقابل‌کنترل بودن عامل‌ها کمک می‌کنند.»

جمع‌بندی: کنترل کردن، نه فقط دستور دادن

این حوادث یک پیام مشترک دارند: عامل‌های مورد بحث می‌توانند ابزارهای واقعی را فراخوانی کنند، از اعتبارنامه‌ها استفاده کنند و با استقلال عمل کارهای مهمی انجام دهند. برخی از این عامل‌ها توسط مهاجمان ساخته شده بودند و برخی دیگر از اهداف اولیه‌ی خود منحرف شدند.

این موضوع یک اصل حیاتی را برجسته می‌کند: برای توسعه‌دهندگان، کنترل کردن آنچه یک عامل می‌تواند انجام دهد (با معماری امن، حداقل دسترسی و نظارت) به همان اندازه — یا حتی بیشتر از — آنچه به او می‌گویند انجام دهد (از طریق پرامپت) اهمیت دارد. باید فرض را بر این گذاشت که حملات تزریق پرامپت روزی موفق خواهند شد؛ بنابراین باید عامل‌ها را طوری طراحی کرد که وقتی این اتفاق افتاد، آسیب در همان مراحل اولیه متوقف شود.