بدافزار معنایی؛ وقتی مهاجم به انگلیسی مینویسه
هوش مصنوعیخلاصهٔ کاملتر
توی مارس ۲۰۲۶ شرکت Origin تحقیقی دربارهٔ Brainworm منتشر کرد؛ یه نمونهٔ اثبات مفهوم که فایل حافظهٔ دستیار کدنویسی مثل CLAUDE.md رو با چند جملهٔ انگلیسی آلوده میکنه و عامل رو وادار میکنه به یه سرور فرمانودهی وصل شه و هر تسکی که برگشت رو اجرا کنه. نه باینریای در کاره، نه شلکدی. به نوشتهٔ مقاله این یه نقص مرز اعتماده: ورودی نامعتمد وارد جایی میشه که هر چیزی اونجا دستور معتبر حساب میشه.
پژوهشگرهای دانشگاه بنگوریون، تلآویو، هاروارد کندی و تورنتو اسم این دسته رو گذاشتن promptware؛ بدافزاری که از راه تزریق پرامپت تحویل داده میشه. اونها ۳۶ مورد بین ۲۰۲۳ تا اوایل ۲۰۲۶ رو بررسی کردن و دیدن این حملهها از ترفندهای دومرحلهای روی چتباتها به زنجیرههای چهار و پنج مرحلهای با ماندگاری، C2، حرکت جانبی و خروج داده رسیدن. هدفها هم از چتبات به ابزارهای کاری مثل Copilot، Cursor و Slack AI جابهجا شده.
نویسنده میگه سه پایهٔ اصلی تشخیص زیر پای این تهدید خالی میشه. امضا بیفایدهست، چون رفتار مدل قطعی نیست و یه دستور واحد هر بار زنجیرهٔ اجرای متفاوتی میسازه. تحلیل درخت پروسه هم جواب نمیده، چون عامل کدنویسی ذاتاً طراحی شده که هر پروسهای رو صدا بزنه و پشتسرهم صدا زدن curl و git و bash براش عادیه. تشخیص شبکهای هم لنگ میزنه، چون C2 میتونه روی سرویسهای مورد اعتماد سازمان مثل GitHub Issues سوار شه.
چیزی که سرپا میمونه، به گفتهٔ نویسنده، همون اصول قدیمیه روی یه سطح جدید. پایش یکپارچگی فایل هنوز کار میکنه: فایلهای حافظه مثل CLAUDE.md، AGENTS.md و .cursorrules محدود و قابل شمارشن و هر تغییرشون یه رویداد قابل مشاهدهست — دقیقاً همون نقشی که کلید Run توی رجیستری ویندوز داشت. ممیزی سطح دسترسی هم تقریباً عیناً منتقل میشه، فقط بهجای لاگهای ویندوز باید سراغ اسکوپهای OAuth، اتصال سرورهای MCP و رویدادهای مجوز ابزار رفت.
سومی خطمبنای رفتاریه که تا حالا بیشتر شعارش داده شده تا عمل: نسبت نوشتن به خوندن توی یه نشست، تعداد فراخوانی ابزار، مقصدهای شبکه و مدت نشست رو باید مبنا گرفت و به انحراف ترکیبیشون هشدار داد. نویسنده معتقده بزرگترین خلأ ابزار، نبود تلهمتری استاندارد برای عاملهاست؛ چیزی شبیه Sysmon اما برای فراخوانی ابزار، و مهمتر از همه لاگی که نشون بده موقع مجوز گرفتن یه ابزار، چی توی پنجرهٔ زمینه بوده.
نکات کلیدی:
- promptware با زبان طبیعی کار میکنه، پس نه هَشی داره نه امضایی که بشه باهاش تطبیق داد
- عامل با اعتبارنامهٔ خود کاربر عمل میکنه، دقیقاً شبیه تهدید داخلی
- فایلهای حافظهٔ عامل نقطهٔ ماندگاریان و باید مثل کلیدهای رجیستری پایش شن
- گاردریلها فقط وقت میخرن؛ قاعدههای تشخیص باید فرض کنن دور زده شدن
- کمکردن دسترسی، خروجی شبکهٔ محدود و حافظهٔ ناماندگار ارزونتر از تشخیصن
