یه تعمیرگاه قلابی برای ایجنت‌های AI
هوش مصنوعیخلاصهٔ کامل‌تر
دیو کیس تو بلاگش نوشته یه تعمیرگاه ماشین قلابی به اسم Chippewa Creek Test Garage درست کرده تا ببینه ایجنت‌های AI چطور با یه کسب‌وکار کوچیک حرف می‌زنن. صفحه همه‌چیز یه مغازهٔ واقعی رو داره: ساعت کار، قیمت خدمات، چندتا سؤال متداول و فرم نوبت‌دهی. کنارش هم درهای ماشینی رو گذاشته: یه MCP server، یه A2A agent card، فایل llms.txt و بعدتر یه آدرس ایمیل مخصوص ایجنت‌ها. هر درخواستی به هر کدوم لاگ میشه.
نتیجه‌ها خیلی با هم فرق داشتن. Grok Bot تو ۱۳ ثانیه ۱۳ درخواست از سه شبکهٔ مختلف فرستاد، JSON-RPC رو دستی با curl نوشت، مرحلهٔ پایانی هندشیک MCP رو جا انداخت و هدرهایی که اسپک اجباری کرده رو نفرستاد. فقط چون سرور عمداً درخواست‌های شلخته رو قبول می‌کرد جواب گرفت. Muse برعکس مرتب بود: agent card رو پیدا کرد، هندشیک رو کامل انجام داد و با ۵ درخواست تو ۸ ثانیه برای یه Civic مدل ۲۰۱۶ نوبت تعویض روغن دوشنبه ۹ صبح گرفت.
حدود یه ساعت بعد از بالا اومدن MCP server، یه درخواست از یه سرور Google Cloud تو تایوان با user agent جعلی سراغ تعمیرگاه اومد و خواست یه tool اجرای شل رو صدا بزنه تا متغیرهای محیطی سرور رو بیرون بکشه. یعنی عملاً درخواستِ همهٔ کلیدها و توکن‌های سرور. چون همچین ابزاری وجود نداشت، جوابِ «ابزار ناشناخته» گرفت و رفت. ولی نشون می‌ده کسایی همین حالا دارن درِ پشتی هر endpoint تازهٔ ایجنت رو امتحان می‌کنن.
بخش دوم آزمایش ایمیل بود، چون بیشتر مغازه‌های کوچیک MCP server ندارن و فقط یه Gmail دارن. Grok Bot و Muse ایمیل رو از آدرس خودِ کاربر و با امضای اسم خودش می‌فرستن و هیچ نشونه‌ای از ماشین بودن توش نیست. تنها ردش یه خط تو هدرهاست که کلی اپ ایمیل عادی هم همون رو دارن. نویسنده می‌گه پس تشخیصِ اینکه «این ایمیلو ربات فرستاده» عملاً از دسترس خارجه.
بعد چهار جور تابلوی راهنما رو یکی‌یکی امتحان کرد. هر سیگنال پنهون، چه تو هدر ایمیل چه تو structured data، رو هر سه ایجنت کامل نادیده گرفتن. یه خط قابل‌دیدن خطاب به «دستیارهای AI» رو هم Instinct صریحاً رد کرد، چون دستوری که داخل ایمیل میاد دقیقاً همون prompt injection ـه و ایجنت درست‌وحسابی بهش عمل نمی‌کنه. ولی وقتی متن خطاب به خودِ آدم نوشته شد، هر سه برگشتن و از کاربر پرسیدن که پیام رو به خط مخصوص ایجنت‌ها بفرستن یا نه.
نویسنده معتقده Instinct این کارو درست انجام می‌ده: با آدرس خودش ایمیل می‌فرسته پس اینباکس کاربر جعل نمی‌شه، با یه هدر استاندارد بیست‌ساله (RFC 3834) می‌گه ماشینه، یه توکن امضاشده حمل می‌کنه و دامنه‌ش DMARC سخت‌گیرانه داره. حرف آخرش اینه که همهٔ ایجنت‌ها باید همین کارو بکنن، منتها به شکل استاندارد و نه هر کی سلیقهٔ خودش.
From: theagent@mail.instinct.com
Auto-Submitted: auto-generated
X-Auto-Response-Suppress: All
X-Instinct-Agent-Mail: v3.v1....نکات کلیدی:
- Grok Bot تو ۱۳ ثانیه ۱۳ درخواست فرستاد و هندشیک MCP رو ناقص گذاشت؛ Muse با ۵ درخواست تو ۸ ثانیه نوبت گرفت.
- یه ساعت بعد از انتشار MCP server، یه درخواست جعلی از تایوان سراغ یه ابزار اجرای شل و متغیرهای محیطی سرور رفت.
- هیچ‌کدوم از سه ایجنت سیگنالِ پنهون تو هدر یا structured data رو ندیدن؛ فقط متنِ قابل‌دیدن جواب داد.
- Instinct با هدر Auto-Submitted: auto-generated از RFC 3834 خودشو ماشین معرفی می‌کنه، بقیه این کارو نمی‌کنن.
- نویسنده داره روی ابزاری به اسم Agentline کار می‌کنه: یه خط جدا برای ایجنت‌ها روی اینباکس فعلی کسب‌وکار.
