‏وقتی عامل امنیتی خودش می‌شه راه نفوذ

یه گزارش از مؤسسه AI Now یه اکسپلویت اثبات مفهوم (PoC) رو معرفی می‌کنه که به گفته نویسنده‌ها روی Claude Code (با مدل‌های Sonnet 4.6 و 5 و Opus 4.8) و OpenAI Codex (با GPT-5.5) اجرای کد از راه دور یا همون RCE رو ممکن می‌کنه؛ اونم دقیقاً وقتی که این ابزارها برای بررسی امنیتی یه کتابخونه متن‌باز یا شخص‌ثالث به کار گرفته می‌شن. نکته ترسناکش اینه که حمله فقط به تنظیمات پیش‌فرض و حالت‌های «auto-mode» کلود یا «auto-review» کدکس نیاز داره.

این حالت‌های خودکار قراره جایگزین امن‌تری برای مدهای کاملاً بی‌محدودیت باشن: یه دسته‌بند هوش مصنوعی تصمیم می‌گیره کدوم دستورها امن‌ان و خودکار اجراشون کنه، و فقط برای کارهای حساس اجازه دستی بگیره. همین دسته‌بند دقیقاً همون‌جاییه که حمله ازش رد می‌شه.

نویسنده‌ها برای دمو یه کپی از کتابخونه پایتونی geopy رو برداشتن و چندتا فایل به‌ظاهر بی‌خطر توش گذاشتن، به‌علاوه یه فایل باینری مخرب که هیچ‌جای کد اصلی صداش زده نمی‌شه. حمله دو لایه داره. لایه اول یه اسکریپت به اسم security.sh هست که ظاهراً ابزارهای معروف کیفیت و امنیت کد مثل semgrep، black و mypy رو اجرا می‌کنه، ولی در واقع اون باینری مخرب رو راه می‌ندازه. برای این‌که خود باینری مشکوک به‌نظر نرسه، یه فایل سورس Go به‌عنوان طعمه هم کنارش گذاشتن که وانمود کنه باینری از همون سورس بی‌خطر کامپایل شده.

لایه دوم مهم‌تره: یه تزریق پرامپت (prompt injection) که توی فایل مستندات README.md جاسازی شده. به گفته نویسنده، برخلاف فایل‌های پیکربندی ماشینی مثل .mcp یا .claude/settings.json، فایل README یه فایل پیکربندی اجرایی نیست و باز کردنش هشدار «آیا به این پوشه اعتماد داری؟» رو در نمی‌آره؛ برای همین بردار حمله خیلی گسترده‌تر و در دسترس‌تره. متن README به‌جای دستور مستقیم برای اجرای باینری (که سریع پرچم‌گذاری می‌شد)، فقط طوری به اسکریپت امنیتی اشاره می‌کنه که عامل خیال کنه اجراش برای بررسی امنیتی لازمه.

نتیجه اینه که به‌محض این‌که به عامل بگی «این پروژه رو از نظر امنیتی بررسی کن»، زنجیره به‌صورت خودکار باز می‌شه: عامل مستندات رو می‌بینه، اسکریپت و باینری طعمه رو امن تشخیص می‌ده، اسکریپت رو اجرا می‌کنه و پیلود مهاجم روی سیستم اجرا می‌شه؛ اون‌هم بدون این‌که از کاربر تأییدی بخواد. نویسنده‌ها می‌گن حتی وقتی مستقیم از مدل‌ها پرسیدن که آیا تزریق پرامپتی توی کد هست، مدل‌ها اون رو تشخیص ندادن.

نویسنده‌ها می‌گن سندباکس هم لزوماً نجاتت نمی‌ده، چون خود RCE می‌تونه از سندباکس فرار کنه؛ و به آسیب‌پذیری‌های واقعی سندباکس خود Claude Code با شناسه‌های CVE-2026-39861 و CVE-2026-25725 اشاره می‌کنن. جمع‌بندی مقاله اینه که مشکل ریشه‌ای، ناتوانی ذاتی این مدل‌ها در تمایز بین داده نامطمئن و دستور امنه، و همین باعث می‌شه سپردن دفاع سایبری به عامل‌های هوش مصنوعی خودش یه بردار حمله تازه بسازه.

نکات کلیدی:

• اکسپلویت روی Claude Code و Codex CLI موقع بررسی امنیتی یه کتابخونه ناشناس، اجرای کد از راه دور (RCE) رو ممکن می‌کنه
• فقط تنظیمات پیش‌فرض و حالت‌های خودکار (auto-mode و auto-review) لازمه؛ بدون هوک، MCP یا فایل پیکربندی خاص
• حمله از فایل README.md به‌عنوان بردار تزریق پرامپت استفاده می‌کنه که هشدار اعتماد به پوشه رو در نمی‌آره
• سندباکس هم تضمینی نیست؛ نویسنده‌ها به CVE-2026-39861 و CVE-2026-25725 روی سندباکس Claude Code اشاره می‌کنن
• ریشه مشکل: مدل‌ها نمی‌تونن بین داده نامطمئن و دستور امن فرق بذارن