یک تکنیک جدید از نوع تزریق دستور غیرمستقیم (Indirect Prompt Injection) شناسایی شده است که از نحوه پردازش فایل‌های دستورالعمل محلی توسط دستیاران کدنویسی هوشمند سوءاستفاده می‌کند. این حمله مرز بین اسناد متنی ساده و دستورات اجرایی را از بین می‌برد.
بر اساس گزارش شرکت امنیتی Forever Security، مهاجمان با قرار دادن فایل‌های مخرب Markdown (با پسوند .md) در پوشه دانلودهای (Downloads) کاربر، تلاش می‌کنند بدافزار نصب کرده و اطلاعات حساس مانند توکن‌های ورود (Login Tokens) را سرقت کنند. این شرکت اخیراً یک نمونه واقعی از این حمله را در سیستم یکی از مشتریان خود شناسایی و متوقف کرده است.
جزئیات حمله و نحوه عملکرد
در این سناریو، مهاجم فایلی با نام “AGENTS.md” را که ظاهری شبیه به یادداشت‌های مهندسی دارد، در پوشه Downloads کاربر قرار می‌دهد. از آنجایی که بسیاری از عامل‌های هوش مصنوعی (AI Agents) مانند OpenAI Codex یا Claude Code برای درک بافت پروژه (Project Context)، فایل‌های موجود در مسیرهای کاری را می‌خوانند، این فایل مخرب به عنوان یک دستورالعمل معتبر تلقی شده و توسط عامل اجرا می‌شود.
تحقیقات نشان می‌دهد که این حمله می‌تواند عامل هوش مصنوعی را متقاعد کند تا تنظیمات خود را بازنویسی کرده و اقدامات مخربی نظیر نصب بسته‌های NPM یا اشتراک‌گذاری اطلاعات حساس را انجام دهد. در آزمایش‌های انجام شده، نرخ موفقیت این زنجیره حمله در Codex بیش از ۹۰٪ و در Claude Code حدود ۵۰٪ گزارش شده است.
چالش‌های دفاعی و راهکارها
نکته قابل توجه این است که این رفتار لزوماً یک باگ نرم‌افزاری نیست که نیاز به وصله (Patch) داشته باشد؛ بلکه عامل هوش مصنوعی دقیقاً همان کاری را انجام می‌دهد که برای آن طراحی شده است: پیروی از دستورالعمل‌های موجود در محیط کاری خود. مشکل اصلی، اعتماد بیش از حد به پوشه‌هایی است که توسط وب قابل نوشتن هستند (مانند پوشه Downloads).
برای مقابله با این تهدید، متخصصان موارد زیر را توصیه می‌کنند:
- در نظر گرفتن پوشه Downloads به عنوان محیط ناامن: این پوشه باید برای عامل‌های هوش مصنوعی به عنوان یک منطقه پرخطر (Hostile Ground) شناخته شود، زیرا تنها راهی است که محتوای وب می‌تواند به یک عامل کدنویسی برسد.
- بررسی فایل‌های دستورالعمل: کاربران باید فایل‌های .md که خودشان ایجاد نکرده‌اند را با دقت بررسی کنند.
- استفاده از محیط‌های ایزوله (Sandbox): اجرای عامل‌های هوش مصنوعی در محیط‌های محدود شده و فعال نگه داشتن گیت‌های تایید (Approval Gates) برای اقدامات حساس.
- چرخش اعتبارنامه‌ها: در صورت مشاهده هرگونه فعالیت مشکوک یا تغییر غیرمنتظره در تنظیمات عامل، باید فرض شود که توکن‌های ورود لو رفته‌اند و بلافاصله اقدام به تغییر رمزها و توکن‌ها کرد.
