عاملهای هوش مصنوعی (AI Agents) که بهسرعت در حال تبدیل شدن به بخش جداییناپذیر از فرآیند توسعه نرمافزار هستند، اکنون با چالش امنیتی تازهای روبهرو شدهاند. پژوهشهای جدید نشان میدهد عاملهای هوش مصنوعی میتوانند بدون فرار مستقیم از سندباکس (Sandbox Escape)، با ایجاد یا دستکاری فایلهایی که بعدها توسط نرمافزارهای مورد اعتماد (Trusted Software) پردازش یا اجرا میشوند، از مرزهای امنیتی (Security Boundaries) عبور کنند. این یافتهها نشان میدهد سازوکارهای فعلی ایزولهسازی لزوماً سطح محافظت مورد انتظار سازمانها را فراهم نمیکنند و در نتیجه، بازنگری در مدلهای امنیتی مورد استفاده در محیطهای توسعه مبتنی بر هوش مصنوعی بیش از گذشته ضروری است.
فرار غیرمستقیم عاملهای هوش مصنوعی از محدودیتهای سندباکس
دستیارهای کدنویسی میتوانند با دستکاری فایلهایی که در ادامه توسط نرمافزارهای مورد اعتماد اجرا یا پردازش میشوند، بدون خروج از محیط محدودشده خود، عملاً از مرزهای امنیتی عبور کنند. سندباکسها به یکی از مهمترین کنترلهای امنیتی برای عاملهای کدنویسی هوش مصنوعی تبدیل شدهاند، اما نتایج این پژوهش نشان میدهد این محیطهای ایزولهسازی همیشه سطح محافظتی مورد انتظار سازمانها را فراهم نمیکنند.
شرکت امنیتی Pillar Security مجموعهای از آسیبپذیریها را افشا کرده است که نشان میدهد عاملهای هوش مصنوعی در ابزارهایی مانند Cursor، Codex، Gemini CLI و Antigravity میتوانند بدون اجرای یک فرار واقعی از سندباکس، بهصورت غیرمستقیم از مرزهای امنیتی عبور کنند.
پژوهشگران Pillar Security در گزارش خود اعلام کردند:
«در تقریباً تمام موارد بررسیشده، عامل نیازی به فرار مستقیم از سندباکس نداشت؛ بلکه تنها کافی بود فایلی ایجاد کند که یک کامپوننت مورد اعتماد خارج از سندباکس، در ادامه آن را اجرا، بارگذاری، بررسی یا بهعنوان یک فایل امن پردازش کند.»
یافتههای این پژوهش چهار الگوی مشخص و قابل تکرار از ضعفهای امنیتی را در سندباکسهای مورد استفاده برای هوش مصنوعی شناسایی کرده است. این ضعفها شامل موارد زیر است:
- ناتوانی سندباکسهای مبتنی بر فهرست مسدودسازی (Denylist) در همگام شدن با پیچیدگی روزافزون سیستمعاملها
- تبدیل شدن پیکربندیهای فضای کاری (Workspace) به کد قابل اجرا
- اعتماد فهرستهای مجاز دستورات (Command Allowlists) به نام دستورات، بهجای نحوه فراخوانی آنها
- وجود سرویسهای لوکال دارای سطح دسترسی بالا که کاملاً خارج از محدوده سندباکس قرار دارند.
همچنین پژوهشگران تأکید کردند که مدیران ارشد امنیت اطلاعات (CISOs) و تصمیمگیرندگان حوزه امنیت باید بدانند که صرفاً وجود یک سندباکس در یک محیط توسعه یکپارچه مبتنی بر عامل (Agentic IDE) یا رابط خط فرمان (CLI) برای تأمین امنیت کافی نیست؛ بلکه شناخت مرز واقعی سندباکس و کامپوننتهایی که خارج از این محدوده با فایلهای تولیدشده تعامل دارند، اهمیت بیشتری دارد.
به گفته پژوهشگران، سازمانها باید در ارزیابیهای امنیتی خود به پرسشهای زیر پاسخ دهند:
- مرز واقعی سندباکس دقیقاً کجاست و این سازوکار از چه بخشهایی از سیستم محافظت میکند؟
- کدام کامپوننتهای مورد اعتماد خارج از سندباکس فایلهای تولیدشده توسط عاملهای هوش مصنوعی را پردازش یا اجرا میکنند؟
- کدام پردازهها یا سرویسهای مورد اعتماد ممکن است ناخواسته به مسیری برای فرار غیرمستقیم از سندباکس یا عبور از مرزهای امنیتی تبدیل شوند؟
این یافتهها نشان میدهد در محیطهای توسعه مبتنی بر هوش مصنوعی، امنیت تنها به جلوگیری از فرار مستقیم از سندباکس محدود نمیشود؛ بلکه مدیریت زنجیره اعتماد میان عاملها، ابزارهای توسعه و سیستم میزبان نیز نقشی تعیینکننده در حفظ امنیت ایفا میکند.
سازوکار عبور از مرزهای امنیتی
تحقیقات Pillar Security نشان میدهد برداشت رایج از سازوکار سندباکس در محیطهای توسعه مبتنی بر هوش مصنوعی، نیازمند بازنگری است. برخلاف روشهای متداول فرار از محیطهای ایزوله که معمولاً با استفاده از اکسپلویتهای کرنل یا خروج از کانتینر (Container Breakout) انجام میشوند، در حملات شناساییشده هیچ فرار مستقیمی از سندباکس رخ نمیدهد.
در تمامی سناریوهای بررسیشده، عاملهای هوش مصنوعی همچنان در محیط محدودشده خود باقی میمانند، اما فایلهایی تولید یا تغییر میدهند که در مراحل بعد توسط اپلیکیشنهای مورد اعتماد روی سیستم میزبان (Trusted Host-side Applications) پردازش یا اجرا میشوند. در نتیجه، بدون آنکه قوانین سندباکس نقض شود، امکان عبور از مرزهای امنیتی فراهم میشود.
این فایلها میتوانند شامل موارد زیر باشند:
- پیکربندی فضای کاری
- اسکریپتهای خودکارسازی
- تنظیمات محیط توسعه
- محتوای محیطهای مجازی
این فایلها بخشی طبیعی از فرآیند توسعه نرمافزار هستند و بهطور معمول توسط ابزارهای مختلف مورد استفاده قرار میگیرند. اما زمانی که این ابزارها فایلهای ایجادشده را خارج از سندباکس اجرا یا تفسیر میکنند، کدی که در ابتدا داخل محیط ایزوله تولید شده است، عملاً از محدوده امنیتی سندباکس عبور میکند؛ بدون آنکه نیازی به سوءاستفاده مستقیم از سازوکار ایزولهسازی باشد.
به عبارت دیگر، نقطه ضعف اصلی در این حملات، فرار از سندباکس نیست؛ بلکه سوءاستفاده از زنجیره اعتماد میان عامل، ابزارهای توسعه و کامپوننتهای مورد اعتماد سیستم میزبان است؛ زنجیرهای که در نهایت میتواند اجرای کد تولیدشده در محیط ایزوله را خارج از محدوده سندباکس ممکن سازد.
روشهای مختلف فرار از سندباکس
شرکت Pillar Security این الگوی حمله را در چندین ابزار کدنویسی مبتنی بر هوش مصنوعی بررسی کرد و نشان داد که عاملهای هوش مصنوعی میتوانند با استفاده از روشهای مختلف، بدون فرار مستقیم از سندباکس، از مرزهای امنیتی عبور کنند.
در ابزار Antigravity، پژوهشگران از ضعفهای موجود در پروفایل امنیتی Seabelt سیستمعامل مکاواس (macOS) که بر پایه فهرست مسدودسازی طراحی شده است، سوءاستفاده کردند. همچنین آنها نشان دادند پیکربندیهای وظایف در VS Code میتوانند بهگونهای دستکاری شوند که در مراحل بعد، خارج از سندباکس اجرا گردند.
بررسیهای انجامشده روی Cursor نیز نشان داد این ابزار به محیطهای مجازی پایتون ایجادشده توسط عامل، دایرکتوریهای جایگزین گیت (Alternate Git Directories) و پیکربندیهای هوک فضای کاری (Workspace Hook Configurations) اعتماد میکند؛ کامپوننتهایی که در نهایت میتوانند با سطح دسترسی سیستم میزبان اجرا شوند.
همچنین پژوهشگران یک مسیر مشترک برای فرار از سندباکس را در ابزارهای Cursor، Codex CLI و Gemini CLI شناسایی کردند. این مسیر از طریق سرویس لوکال دارای سطح دسترسی بالا در داکر دسکتاپ(Docker Desktop) امکان اجرای دستورات را خارج از محیط محدودشده فراهم میکرد.
در یکی دیگر از یافتههای مربوط به Codex CLI مشخص شد فهرست مجاز گیت که با هدف افزایش امنیت طراحی شده است، میتواند دستکاری شود تا پیکربندی مخزن کد تغییر کرده و زمینه برای اجرای کد در مراحل بعدی فراهم گردد.
عاملهای هوش مصنوعی به مدل امنیتی جدیدی نیاز دارند
به اعتقاد Pillar Security، گسترش توسعه نرمافزار مبتنی بر عامل نشان میدهد مدلهای امنیتی متداول دیگر پاسخگوی چالشهای جدید نیستند و سازمانها باید رویکرد متفاوتی برای حفاظت از این محیطها اتخاذ کنند. راهکارهای رایج امنیت Endpoint معمولاً بر این موضوع تمرکز دارند که آیا یک پردازه میتواند از محیط اجرای خود فرار کند یا خیر؛ اما عاملهای هوش مصنوعی این مدل را به چالش میکشند، زیرا بهطور مداوم فایلها و محتوایی تولید میکنند که بعدها توسط سیستمهای مورد اعتماد پردازش یا اجرا میشوند.
پژوهشگران برای کاهش این ریسکها، چند توصیه کلیدی را به سازمانها ارائه کردهاند:
- پیکربندیهای فضای کاری که قابلیت آغاز اجرای کد را دارند، بهعنوان داراییهای حساس مدیریت شوند.
- پیش از آنکه عاملها خودکارسازیهای سمت میزبان را ایجاد کرده یا تغییر دهند، تأیید صریح کاربر دریافت شود.
- پردازههای کمکی نیز تحت همان سیاستهای امنیتی اجرا شوند که برای اجرای مستقیم عامل اعمال میشود.
- اطلاعات مربوط به منشأ فایلها حفظ شود تا فایلهای ایجادشده توسط کاربران از فایلهای تولیدشده توسط مخزن کد یا عاملها بهطور شفاف قابل تشخیص باشند.
همچنین پژوهشگران تأکید کردند که سازمانها باید سیاستهای امنیتی خود را بر اساس پیامدهای اجرای دستورات طراحی کنند، نه اینکه صرفاً نحوه فراخوانی پردازهها را ملاک ارزیابی قرار دهند.
علاوه بر این، محدود کردن دسترسی به سرویسهای لوکال دارای سطح دسترسی بالا و نظارت بر نقاط انتقال اعتماد میان کامپوننتها و ابزارهای مختلف در چرخه توسعه، از دیگر اقداماتی است که میتواند احتمال سوءاستفاده از این مسیرهای حمله را کاهش دهد.
