تحقیقات اخیر در حوزه امنیت هوش مصنوعی نشان می‌دهد که تمرکز مهاجمان از رفتار مدل‌های زبانی (LLM) به صورت مجزا، به سمت AI Agents یا همان عامل‌های هوشمند تغییر یافته است. در حالی که پیش‌تر هدف اصلی، وادار کردن چت‌بات‌ها به بیان عبارات ممنوعه بود، اکنون هدف اصلی، نفوذ به عاملی است که توانایی اجرای عملیات (Action) در سیستم‌ها را دارد.
نقشه کامل زنجیره حمله (Kill Chain) در Agentها
با تطبیق پژوهش‌های اخیر بر ماتریس MITRE ATLAS، می‌توان یک چرخه کامل حمله را شناسایی کرد که شامل مراحل زیر است:
- شناسایی (Reconnaissance): استفاده از Agentها برای شناسایی صنعتی و حذف ناشناسی (Deanonymization) کاربران در مقیاس وسیع.
- زنجیره تأمین مهارت‌ها (Agent Supply Chain): شناسایی مهارت‌های (Skills) مخرب در مارکت‌پلیس‌ها که به عنوان Data Stealer یا Agent Hijacker عمل می‌کنند. این حملات مشابه بدافزارهای موجود در مخازن نرم‌افزاری هستند.
- تزریق دستورات صنعتی (Industrialized Prompt Injection): استفاده از یادگیری تقویت‌شده (Reinforcement Learning) برای کشف خودکار رشته‌های تزریق (Injection Strings) جهت دستکاری رفتار Agent. نمونه‌های واقعی مانند CVE-2025-32711 (EchoLeak) نشان‌دهنده خروج داده‌ها بدون نیاز به کلیک کاربر است.
- دور زدن دفاعات (Jailbreaks): استفاده از حملات Prefill و هدف قرار دادن بخش‌های خاص در مدل‌های Mixture-of-Experts برای غیرفعال کردن فیلترهای امنیتی.
- تاثیرگذاری و اجرا (Impact): زمانی که Agent دسترسی به سیستم فایل، ایمیل و دستورات Shell دارد، می‌تواند منجر به تخریب سیستم، سرقت هویت و حتی انتشار بدافزار بین Agentهای مختلف (Cross-agent propagation) شود.
توصیه‌های استراتژیک برای مدیران امنیت (Defenders)
برای مقابله با این سطح جدید از حملات، سه گام حیاتی پیشنهاد می‌شود:
۱. موجودی‌برداری (Inventory): شناسایی تمامی Agentها، مهارت‌ها و سرورهای MCP فعال در سازمان. شما نمی‌توانید چیزی را که نمی‌شناسید، محافظت کنید.
۲. مدیریت زنجیره تأمین: برخورد با مهارت‌ها و ابزارهای AI به عنوان وابستگی‌های نرم‌افزاری؛ یعنی اعتبارسنجی، اجرا در Sandbox و پین کردن نسخه‌ها (Version Pinning).
۳. نظارت رفتاری (Runtime Telemetry): تمرکز بر «آنچه Agent انجام می‌دهد» به جای «آنچه می‌گوید». شناسایی انحرافات رفتاری در فراخوانی ابزارها (Tool Calls) ضروری است، زیرا این فعالیت‌ها اغلب در ترافیک HTTPS عادی پنهان می‌مانند.
