گسترش سریع استفاده از ایجنت‌های هوش مصنوعی (AI Agents) در سازمان‌ها، مسیر تازه‌ای برای حمله‌های سایبری ایجاد کرده است. در پنج ماه گذشته گوگل و چهار سازمان دیگر آسیب‌پذیری‌هایی در شبکه‌های خود داشتند که به مهاجمان اجازه می‌داد از طریق یک ایجنت هوش مصنوعی، دستورهای مخرب را به سایر ایجنت‌های داخلی منتقل کنند. این روش می‌تواند در نهایت به استخراج غیرمجاز اطلاعات پایگاه‌های داده و اسناد حساس تجاری یا شخصی منجر شود.
این موضوع بیش از همه برای شرکت‌ها، نهادها و تیم‌های فنی اهمیت دارد که از چندین ایجنت هوش مصنوعی مرتبط با هم برای خودکارسازی کارهایی مانند ترجمه، تحلیل داده یا مدیریت پایگاه داده استفاده می‌کنند.
کاربران عادی که فقط به‌طور مستقیم با یک چت‌بات گفتگو می‌کنند، هدف مستقیم این حملات نیستند؛ مگر اینکه اطلاعات‌شان در سامانه‌های آسیب‌پذیر ذخیره شده باشد.
پروتکل MCP چیست و چرا اهمیت دارد؟
برای اینکه برنامه‌ها و ایجنت‌های مختلف هوش مصنوعی در یک شبکه داخلی باهم ارتباط بگیرند، به یک زبان و استاندارد مشترک نیاز دارند. یکی از این استانداردهای نوظهور، پروتکل MCP است.
سرورهای MCP اطلاعات هویتی و مجوزهای دسترسی هر ایجنت هوش مصنوعی را ذخیره می‌کنند. فلسفه طراحی این سیستم بر پایه یک فرض ساده اما خطرناک بنا شده است: تمام ایجنت‌های داخل این شبکه به یکدیگر اعتماد کامل دارند.
حالا یک پژوهشگر مستقل امنیتی در بررسی‌های خود روی ۷ سازمان و نهاد مختلف از جمله گوگل، جی‌پی مورگان چیس، دولت فدرال آمریکا و نهادی دولتی فرانسه متوجه یک شکاف امنیتی ناشی از همین اعتماد کورکورانه شده است.
این تکنیک نفوذ چطور کار می‌کند؟
در حالت عادی مدل‌های زبانی بزرگ محدودیت‌ها و سپرهای حفاظتی دارند تا دستورهای مخرب را اجرا نکنند؛ اما در این روش که نوعی «تزریق پرامپت»1 محسوب می‌شود، مهاجم مستقیم سراغ مدل اصلی نمی‌رود؛ بلکه یکی از ایجنت‌های فرعی با وظایف محدود، مانند «دستیار ترجمه» یا «دستیار تحلیل داده» را هدف می‌گیرد. این ایجنت‌های تخصصی معمولاً سپرهای امنیتی ضعیف‌تری دارند یا اصلاً کنترلی روی محتوای ورودی اعمال نمی‌کنند.
در این روش، فرد یک متن دستکاری‌شده را درون محتوایی به‌خصوص قرار می‌دهد؛ ایجنت اول آن را می‌خواند و به‌عنوان یک وظیفه‌ی عادی به ایجنت دوم تحویل می‌دهد و ایجنت دوم هم چون به فرستنده‌ی کار اعتماد دارد، آن را اجرا می‌کند. هر قطعه در این زنجیره دقیقاً همان کاری را انجام می‌دهد که برایش طراحی شده و همین شناسایی نفوذ را دشوار می‌کند. هر پروتکل با این فرض ساخته شده که تنهاست؛ بنابراین هرکدام فقط ورودی خود را بررسی می‌کند و هیچ‌کس مراقب راهروهای میانی نیست.
پیامد فنی این اعتماد زنجیره‌ای در بسیاری از موارد، رخدادی به نام «جعل درخواست سمت سرور» (SSRF) است؛ وضعیتی که در آن سرور فریب می‌خورد و درخواست‌های غیرمجاز ارسال می‌کند.
چرخش پروتکل؛ نامی جدید برای یک تهدید جدی
مشکل گوگل از ابزاری مبتنی بر پروتکل MCP برای پایگاه‌های داده ناشی می‌شد. کلاینت ارتباطی این ابزار، روی تغییر مسیر نشانی‌ها کنترل نداشت و نشانی‌های آی‌پی مقصد را اعتبارسنجی نمی‌کرد. یک پارامتر دستکاری‌شده در مسیر می‌توانست این ابزار را وادار کند که از طرف مهاجم درخواست بفرستد.
این دسته از حمله‌ها را «چرخش پروتکلی» (Protocol Pivoting) می‌نامند؛ چون زمانی رخ می‌دهد که یک برنامه از پروتکل MCP برای سپردن کار به یک ایجنت استفاده می‌کند و آن ایجنت، دستورهای مخرب را از طریق روش ارتباطی دیگری برای ایجنت بعدی می‌فرستد. در این جابه‌جایی میان پروتکل‌های مختلف، بررسی اعتبار و مجوزها عملاً از دست می‌رود.
البته همه‌ی متخصصان این نام‌گذاری جدید را ضروری نمی‌دانند؛ برخی پژوهشگران معتقدند این روش در عمل همان «تزریق غیرمستقیم دستور» است و جابه‌جایی میان پروتکل‌ها شرط اصلی برای موفقیت چنین حمله‌ای محسوب نمی‌شود.
ریشه‌ی اصلی این آسیب‌پذیری‌ها، کنار گذاشتن یکی از اصول پایه‌ی امنیت شبکه، یعنی مدل «اعتماد صفر» (Zero Trust) در راه‌اندازی ابزارهای هوش مصنوعی است. در مدل اعتماد صفر، شبکه با این فرض طراحی می‌شود که ممکن است یکی از اجزای داخلی آلوده شده باشد؛ بنابراین هیچ بخشی صرفاً به دلیل حضور در شبکه‌ی داخلی، مجاز به انجام تراکنش‌های حساس با بخش دیگر نیست.
برای حفظ امنیت چه کار کنیم؟
تیم‌های فنی و توسعه‌دهندگانی که از پروتکل MCP یا ساختارهای چند ایجنتی استفاده می‌کنند، برای کاهش این خطر باید چند اقدام را در اولویت قرار دهند:
- اگر از ابزار پایگاه داده‌ی گوگل یا پلتفرم‌های مشابه استفاده می‌کنید، همیشه نسخه‌های به‌روز را نصب کنید.
- برای سرورهای ارتباطی هوش مصنوعی فهرست مجاز و مسدود از بازه‌های آی‌پی تعریف کنید و جلوی تغییر مسیرهای کنترل‌نشده را بگیرید.
- هر ایجنت هوش مصنوعی پیش از اجرای دستورهای حساس ایجنت دیگر، باید مجوزها را دوباره بررسی کند و ورودی دریافتی از مدل را مانند ورودی یک کاربر ناشناس، اعتبارسنجی و پاک‌سازی کند.
اگرچه پروتکل‌ها و ابزارهای ارتباطی هوش مصنوعی به تازگی از راه رسیده‌اند، اما ضعف‌های امنیتی نهفته در آن‌ها، همان آسیب‌پذیری‌های شناخته‌شده‌ی بیست سال گذشته‌ی وب هستند؛ و راه‌حل آن‌ها همچنان پرهیز از اعتماد خودکار در داخل شبکه و اعتبارسنجی دقیق تمام ورودی‌هاست.
- تزریق پرامپت (Prompt Injection): روشی که در آن مهاجم متن یا دستوری را طوری درون داده‌های ورودی پنهان می‌کند که مدل آن را به‌عنوان دستور سیستمی تلقی کرده و محدودیت‌های امنیتی خود را دور بزند. ↩︎
آدرس مطلب: https://nooshdaroo.ir/safe-ecommerce-selling/mcp-ai-agents-chain-attack/
