چگونه فایل‌های مخرب، دستیارهای هوش مصنوعی برنامه‌نویسی را به نصب بدافزار وادار می‌کنند
پژوهشگران امنیت سایبری روش تازه‌ای از حمله را شناسایی کرده‌اند که توسعه‌دهندگان استفاده‌کننده از دستیارهای خودکار برنامه‌نویسی مبتنی بر هوش مصنوعی را هدف قرار می‌دهد. در این روش، فایل‌های حاوی دستورهای مخرب به‌صورت پنهانی در پوشه‌های محلی قرار می‌گیرند و می‌توانند دستیارهای هوش مصنوعی را به اجرای فرمان‌های خطرناک و نصب بسته‌های نرم‌افزاری غیرمجاز وادار کنند.
بر اساس گزارش اخیر شرکت امنیتی Forever Security، این روش از یکی از ویژگی‌های اساسی ابزارهای جدید برنامه‌نویسی مبتنی بر هوش مصنوعی سوءاستفاده می‌کند. دستیارهایی مانند Codex شرکت OpenAI و Claude Code شرکت Anthropic به‌گونه‌ای طراحی شده‌اند که هنگام راه‌اندازی در یک پوشه کاری، فایل‌های متنی حاوی دستورالعمل، مانند AGENTS.md یا CLAUDE.md، را بخوانند و از دستورهای موجود در آن‌ها پیروی کنند.
شرکت Forever Security در توضیح این حمله می‌نویسد:
«Forever Security در میانه یک نشست کاری، مانع شد که یک دستیار برنامه‌نویسی بسته
function-colorرا نصب کند؛ بسته مخرب شناخته‌شده‌ای در اکوسیستم npm که به کارزاری تعلق داشت که حدود دو سال بدون جلب توجه ادامه یافته بود تا اینکه سرانجام شناسایی و به‌صورت عمومی مستند شد.جلوگیری از نصب بسته‌ای که مخرب بودن آن مشخص شده، اقدامی معمول است؛ بنابراین، تیم بررسی دقیق‌تری انجام داد. نکته عجیب این بود که دستور نصب از کجا آمده بود: نه از یک وابستگی نرم‌افزاری و نه از مخزن کد، بلکه از پوشه
~/Downloadsمتعلق به مشتری.با پیگیری موضوع مشخص شد که دستیار به‌دنبال بدافزار نرفته بود، بلکه از فایل
AGENTS.mdباقی‌مانده در آن پوشه پیروی می‌کرد؛ همان نوع فایلی که Codex هنگام راه‌اندازی می‌خواند و از دستورهای آن اطاعت می‌کند.»
از آنجا که مرورگرهای وب می‌توانند فایل‌ها را بدون نمایش درخواست مجوز به‌صورت خودکار در پوشه دانلودهای کاربر ذخیره کنند، مهاجمان قادرند دستورالعمل‌های مخرب را در پوشه‌ای قرار دهند که دستیار هوش مصنوعی به‌طور ضمنی به محتوای آن اعتماد می‌کند.
پژوهشگران در جریان آزمایش‌ها نشان دادند که وقتی Codex در یک پوشه آلوده راه‌اندازی می‌شد، در بیش از ۹۰ درصد موارد از دستورالعمل‌های پنهان‌شده پیروی می‌کرد. این دستورها دستیار را فریب می‌دادند تا یک سرور غیرمجاز را در فایل‌های پیکربندی سراسری ثبت کند و بسته‌های مخرب npm را نصب کند.
این حمله در برابر Claude Code موفقیت کمتری داشت؛ زیرا درخواست‌های تأیید انسانی در بسیاری از موارد تغییرات مشکوک را شناسایی و متوقف می‌کردند. با این حال، مهاجمان همچنان توانستند در حدود نیمی از آزمایش‌ها از سازوکارهای دفاعی این ابزار عبور کنند.
کارشناسان صنعت تأکید می‌کنند که این آسیب‌پذیری ناشی از یک باگ نرم‌افزاری در محصولات OpenAI یا Anthropic نیست. خطر از اینجا ناشی می‌شود که دستیارها دقیقاً مطابق طراحی خود عمل می‌کنند، اما بدون بررسی کافی به دستورالعمل‌های موجود در محیط‌های محلی اعتماد می‌کنند. افزون بر این، داده‌های تله‌متری نشان می‌دهد که شمار قابل‌توجهی از توسعه‌دهندگان هنگام مرور وب، دستیارهای برنامه‌نویسی را مستقیماً از پوشه دانلودها اجرا می‌کنند.
متخصصان امنیت برای کاهش این خطر نوظهور چند اقدام عملی پیشنهاد می‌کنند. توسعه‌دهندگان باید از اجرای دستیارهای برنامه‌نویسی در پوشه دانلودها خودداری کنند، فایل‌های پیکربندی را به‌طور منظم برای یافتن سرورهای اضافه‌شده بدون مجوز یا نشانی‌های پایه تغییریافته بررسی کنند و پیش از آنکه به ابزارهای خودکار اجازه اجرای فرمان در مخزن یک پروژه را بدهند، فایل‌های دستورالعمل Markdown ناشناس را با دقت بخوانند.
شرکت Forever Security گزارش خود را با این هشدار به پایان رساند:
«ما این حمله را شناسایی کردیم، چون رفتار دستیار را زیر نظر داشتیم، نه کاربر را. حمله بعدی شبیه این حمله نخواهد بود و هر کسی که همچنان فقط کاربر را زیر نظر بگیرد، آن را نیز از دست خواهد داد.»
با گسترش روزافزون استفاده از هوش مصنوعی در فرایندهای توسعه نرم‌افزار، ایمن‌سازی محیط‌های اجرای محلی همچنان یکی از اولویت‌های اساسی برای حفظ امنیت دستگاه‌های پایانی و محافظت از اطلاعات حساس دسترسی به API در برابر تهدیدهای پیچیده زنجیره تأمین نرم‌افزار است.