شرکت Forever Security در ۲۲ اکتبر ۲۰۲۶، یک فایل مشکوک با نام AGENTS.mdرا در پوشه دانلودهای رایانه یکی از مشتریان خود شناسایی کرد. این فایل تلاش داشت دستیار برنامه‌نویسی OpenAI Codex را به تغییر تنظیمات و نصب یک بسته نرم‌افزاری مخرب هدایت کند. طبق گزارش این شرکت، تلاش یادشده پیش از اجرای کد مخرب روی دستگاه مشتری متوقف شد.

فایل متنی چگونه به ابزار حمله تبدیل می‌شود؟

دستیارهای برنامه‌نویسی هوش مصنوعی برای درک ساختار پروژه‌ها و پیروی از دستورالعمل‌های توسعه‌دهندگان، می‌توانند فایل‌های راهنما و تنظیمات موجود در پوشه کاری خود را بخوانند.

فایل AGENTS.md  در ابزارهایی مانند Codex و فایل CLAUDE.md در Claude Code از جمله منابعی هستند که برای ارائه دستورالعمل‌های مرتبط با پروژه استفاده می‌شوند. این فایل‌ها به طور معمول اطلاعاتی درباره شیوه توسعه، اجرای آزمون‌ها و ابزارهای موردنیاز در اختیار عامل هوش مصنوعی قرار می‌دهند.

مشکل زمانی شکل می‌گیرد که فرد مهاجم، دستورهای مخرب را در قالب یک سند در ظاهر عادی مهندسی یا راهنمای راه‌اندازی پروژه قرار دهد. اگر عامل هوش مصنوعی این دستورها را معتبر تلقی کند و با سطح دسترسی موجود به اجرای آن‌ها بپردازد، ممکن است اقداماتی فراتر از درخواست واقعی کاربر انجام دهد.

بر اساس بررسی  Forever Security، مهاجم می‌تواند از این روش برای تغییر تنظیمات ابزار برنامه‌نویسی، نصب بسته‌های مخرب، هدایت ارتباطات به سرورهای تحت کنترل خود یا دسترسی به اطلاعات احراز هویت استفاده کند.

نکته مهم این است که فایل متنی به‌خودی‌خود برنامه اجرایی نیست؛ خطر از جایی آغاز می‌شود که عامل هوش مصنوعی محتوای آن را به‌عنوان دستور معتبر می‌پذیرد و با استفاده از ابزارها و دسترسی‌های خود به اجرای آن اقدام می‌کند.

آزمایش‌ها درباره Codex و Claude Code چه نشان دادند؟

پژوهشگران Forever Security برای بررسی امکان اجرای این سناریو، زنجیره حمله را روی دو دستیار برنامه‌نویسی Codex  و Claude Code آزمایش کردند.

در آزمایش مربوط به  Codex، فایل AGENTS.md تلاش می‌کرد ابزار را به تغییر تنظیمات سراسری خود و نصب بسته مخرب function-color  از مخزن نرم‌افزاری npm ترغیب کند. این تغییر می‌توانست باعث اجرای دستورهای مهاجم و باقی ماندن تنظیمات ناخواسته در نشست‌های بعدی ابزار شود. طبق گزارش پژوهشگران، زنجیره حمله در بیش از ۹۰ درصد تلاش‌های آزمایشی روی Codex موفق بود.

پژوهشگران در خصوص  Claude Code، سناریوی دیگری را بررسی کردند. در این روش، فایل دستورالعمل مخرب تلاش می‌کرد تنظیمات ارتباطی ابزار را تغییر دهد و درخواست‌های آن را به سروری تحت کنترل مهاجم هدایت کند. چنین تغییری می‌توانست اطلاعات احراز هویت را در معرض افشا قرار دهد و زمینه اجرای دستورهای ناخواسته را فراهم کند. نرخ موفقیت گزارش‌شده برای این سناریو در آزمایش‌های Claude Code حدود ۵۰ درصد بود. 

این ارقام نتایج آزمایش‌های انجام‌شده توسط پژوهشگران است و نباید آن‌ها را معادل نرخ موفقیت حملات واقعی یا احتمال آلوده شدن همه کاربران این ابزارها دانست.

چرا پوشه Downloads به یک نقطه پرخطر تبدیل می‌شود؟

 یکی از نکات مهم گزارش  Forever Security، نقش پوشه دانلودهای رایانه در شکل‌گیری این حمله است. مرورگرها به طور معمول فایل‌های دریافت‌شده از اینترنت را در پوشه Downloads ذخیره می‌کنند. اگر یک فایل دستورالعمل مخرب در این پوشه قرار بگیرد و کاربر عامل هوش مصنوعی را از همان مسیر اجرا کند، ابزار ممکن است محتوای فایل را بخواند و دستورهای موجود در آن را دنبال کند.

به این ترتیب، مهاجم برای آغاز سناریوی حمله به فایل اجرایی متعارف نیاز ندارد؛ یک سند متنی می‌تواند نقش واسطه را ایفا کند و عامل هوش مصنوعی را به اجرای عملیات پرخطر سوق دهد.

این خطر در شرایطی بیشتر می‌شود که کاربران از دستیارهای برنامه‌نویسی برای مدیریت خودکار فایل‌های دانلودشده یا انجام وظایف مرور وب استفاده می‌کنند. در چنین وضعیتی، ممکن است فایل مخرب بدون بررسی مستقیم کاربر وارد پوشه کاری عامل شود.

البته شناسایی یک فایل مخرب در رایانه مشتری به‌معنای اثبات همه مراحل حمله در یک رخداد واقعی نیست. براساس اعلامForever Security ،  تلاش برای نصب بسته مخرب را پیش از اجرای کد متوقف کرده و بخش‌های مختلف زنجیره حمله را در آزمایش‌های جداگانه بررسی کرده است.

راهکارهای کاهش خطر حمله به دستیارهای هوش مصنوعی

کارشناسان امنیت سایبری توصیه می‌کنند کاربران برای کاهش خطر سواستفاده از دستیارهای برنامه‌نویسی هوش مصنوعی، چند اقدام پیشگیرانه را در نظر بگیرند.

نخست، بهتر است ابزارهایی مانند Codex و Claude Code به صورت مستقیم از پوشه Downloads اجرا نشوند. استفاده از یک پوشه کاری مشخص و کنترل‌شده می‌تواند احتمال مواجهه ناخواسته با دستورالعمل‌های مخرب را کاهش دهد.

پیش از اجرای عامل هوش مصنوعی در یک پروژه دانلودشده یا مخزن ناشناس، فایل‌های دستورالعمل مانند  AGENTS.md  و CLAUDE.md باید بررسی شوند. وجود چنین فایلی به‌تنهایی نشانه آلودگی نیست، اما محتوای ناشناس آن نباید بدون بررسی معتبر تلقی شود.

کاربران باید تغییرات غیرمنتظره در تنظیمات ابزارها، سرورهای MCP و نشانی سرویس‌های ارتباطی را نیز جدی بگیرند. درخواست‌هایی که عامل هوش مصنوعی را به غیرفعال کردن محیط ایزوله یا عبور از مراحل تأیید امنیتی هدایت می‌کنند، نیازمند بررسی دقیق هستند.

حفظ قابلیت تأیید عملیات، فعال نگه داشتن محیط ایزوله و محدود کردن دسترسی عامل به فایل‌ها و منابع غیرضروری، از دیگر اقداماتی است که می‌تواند دامنه آسیب احتمالی را کاهش دهد.

در صورتی که نشانه‌ای از تغییر غیرمجاز تنظیمات یا افشای اطلاعات احراز هویت مشاهده شود، بررسی رخداد امنیتی، اصلاح تنظیمات و ابطال یا تعویض اعتبارنامه‌های احتمالا افشاشده باید در اولویت قرار گیرد.

امنیت دستیارهای هوش مصنوعی به مدیریت اعتماد وابسته است

گزارش Forever Security حاکی از آن است نشان که استفاده ایمن از دستیارهای برنامه‌نویسی هوش مصنوعی به نحوه مدیریت دسترسی‌ها و اعتماد به محتوای ورودی وابسته است. این ابزارها برای انجام وظایف پیچیده، دستورالعمل‌ها را می‌خوانند و از امکانات سیستم استفاده می‌کنند؛ قابلیتی که در صورت ورود محتوای مخرب به محیط کاری، می‌تواند زمینه سواستفاده را فراهم کند.

از این نظر، بررسی فایل‌های راهنما، محدود کردن دسترسی‌ها و جلوگیری از اجرای خودکار دستورهای ناشناس، بخش مهمی از راهبرد امنیتی سازمان‌ها و توسعه‌دهندگانی است که از عامل‌های هوش مصنوعی استفاده می‌کنند.