در دنیای هوش مصنوعی، مرز میان «داده‌های قابل پردازش» و «دستورات اجرایی» به‌شدت باریک و خطرناک است. تحقیقات اخیر تیم امنیتی Salt Labs بر روی ایجنت هوش مصنوعی Manus نشان داد که چگونه یک ایمیل ساده می‌تواند به ابزاری برای اجرای کد مخرب و دور زدن لایه‌های حفاظتی تبدیل شود؛ رویدادی که زنگ خطری جدی برای سیستم‌های خودمختار متصل به سرویس‌های ابری است.
چالش کلاسیک تزریق دستور (Prompt Injection) در عصر هوش مصنوعی
حمله تزریق دستور (Prompt Injection) پدیده‌ای نوظهور نیست، اما با افزایش دسترسی ایجنت‌های هوش مصنوعی به سرویس‌های حیاتی مانند ایمیل، تقویم و فضای ابری، ابعاد فاجعه‌باری به خود گرفته است. مشکل اصلی در ذات مدل‌های زبانی نهفته است: این مدل‌ها قادر نیستند به‌طور دقیق میان «محتوای دریافتی برای تحلیل» (مانند متن یک ایمیل) و «دستورات اجرایی» تفکیک قائل شوند. زمانی که یک کاربر از ایجنت می‌خواهد ایمیلی را خلاصه کند، اگر آن ایمیل حاوی یک دستور پنهان باشد، ایجنت ممکن است هر دو را اجرا کند.
معماری حمله: استفاده از JSFuck برای دور زدن فیلترها
پژوهشگران Salt Labs برای آزمون امنیت پلتفرم Manus، ابتدا از تکنیک‌های متعارف مانند Base64 استفاده کردند. پس از شکست در دور زدن مکانیزم‌های امنیتی، آن‌ها به سراغ متد مبهم‌سازی (Obfuscation) منسوخ اما قدرتمند به نام JSFuck رفتند. این روش که از تعداد محدودی کاراکتر برای نوشتن کد جاوااسکریپت استفاده می‌کند، توانست فیلترهای کنترلی Manus را فریب دهد.
- هدف حمله: ایجنت هوش مصنوعی Manus (بخش ادغام با Gmail).
- متد نفوذ: استفاده از مبهم‌سازی JSFuck جهت مخفی‌سازی دستورات مخرب.
- نتیجه عملیاتی: اجرای کد دلخواه در محیط Runtime سمت سرور (Server-side Execution).
- وضعیت فعلی: گزارش‌شده به باگ‌بانتی و وصله‌شده (Patch) در پاییز ۱۴۰۳.
شکست در لایه‌های حفاظتی: «خیلی دیر، خیلی کم»
نکته کلیدی در این پژوهش، نحوه پاسخ‌دهی سیستم Manus بود. اگرچه این ایجنت در نهایت متوجه ماهیت مخرب کد شد، اما اطلاع‌رسانی به کاربر «پس از اجرا» صورت گرفت. در واقع، سیستم زمانی هشدار داد که کد مخرب قبلاً در محیط اجرایی ایجنت اجرا شده بود. این یعنی «دیواره‌های محافظتی» (Guardrails) تنها بر شناسایی تمرکز داشتند، نه بر ممانعت پیش‌دستانه (Prevention). این تفاوت ظریف، مرز بین یک امنیت پویا و یک شکست امنیتی کامل است.
لزوم بازنگری در امنیت ایجنت‌ها
طبق گزارش State of Consumer AI در سال ۱۴۰۴، کاربران به‌طور فزاینده‌ای دسترسی‌های گسترده‌ای (ایمیل، تقویم، اپلیکیشن‌های مالی) به هوش مصنوعی اعطا می‌کنند. درس اصلی از آسیب‌پذیری Manus این است که تکیه صرف بر بررسی دستورات ورودی (Input Guardrails) کافی نیست. امنیت هوش مصنوعی باید بر مبنای «محدودسازی دسترسی به APIها» (Least Privilege Principle) و مانیتورینگ رفتاری در محیط Runtime بازتعریف شود.
نتیجه‌گیری برای توسعه‌دهندگان و کاربران
امنیت در سیستم‌های متصل به هوش مصنوعی نیازمند رویکردی چندلایه است. توسعه‌دهندگان باید فرض کنند که هر ورودی کاربر می‌تواند حاوی کدهای مخرب باشد. ایجنت‌های هوش مصنوعی نباید بدون واسط‌های امنیتی و فیلترهای خروجی، به سیستم‌های حساس دسترسی مستقیم داشته باشند. همان‌طور که Salt Labs اشاره کرد، امنیت باید تا مرحله نهایی اجرا و تعامل ایجنت با سیستم‌های مقصد گسترش یابد.
