اپلیکیشن‌های مبتنی بر هوش مصنوعی که داده‌های خارجی را تفسیر می‌کنند، به فیلترهای امنیتی بسیار سخت‌گیرانه‌ای نیاز دارند؛ در غیر این صورت، مهاجمان می‌توانند از این نقص‌ها برای نفوذ استفاده کنند. اخیراً یک آسیب‌پذیری از نوع Prompt Injection در پلتفرم محبوب Manus کشف شده است که می‌تواند منجر به سرقت داده‌ها و به خطر افتادن محیط‌های کاربر شود.
تحلیل فنی آسیب‌پذیری
پلتفرم Manus یک AI Agent است که به کاربران اجازه می‌دهد وظایف پیچیده را با استفاده از دستورات زبان طبیعی (Natural Language Prompts) خودکارسازی کنند. این ابزار به دلیل قابلیت ادغام با سرویس‌های شخص ثالث (Third-party services)، سطح حمله (Attack Surface) گسترده‌ای ایجاد می‌کند.
پژوهشگران Salt Labs موفق شدند از طریق تکنیکی به نام Indirect Prompt Injection، دستورات مخرب را در منابع داده خارجی (مانند ایمیل‌ها) جاسازی کنند. در این سناریو، زمانی که AI داده‌های یک ایمیل را می‌خواند، دستورات مخفی شده در آن را به عنوان دستورات اجرایی تفسیر کرده و اجرا می‌کند.
دور زدن فیلترهای امنیتی و RCE
- تلاش اول: ارسال دستور ساده
whoamiمنجر به فعال شدن هشدار امنیتی Manus شد. - تلاش دوم: برای دور زدن فیلترها، پژوهشگران از تکنیک‌های کدگذاری و مبهم‌سازی (Obfuscation) استفاده کردند. در نهایت با استفاده از یک متد مبهم‌سازی جاوااسکریپت به نام JSFuck، توانستند فیلترهای امنیتی را دور زده و یک Payload را اجرا کنند.
- نتیجه نهایی: این نقص منجر به Remote Code Execution (RCE) شد و مهاجم توانست یک Reverse Shell در محیط اپلیکیشن ایجاد کند.
پیامدهای امنیتی و دسترسی به توکن‌ها
پس از ایجاد دسترسی RCE، مهاجم قادر بود اعتبارنامه‌ها (Credentials) و توکن‌های مرتبط با تمامی اپلیکیشن‌های متصل به Manus (مانند Gmail، Dropbox و GitHub) را استخراج کند. این بدان معناست که یک حمله Prompt Injection می‌تواند منجر به دسترسی کامل به حساب‌های ابری و مخازن کد کاربر شود.
توصیه‌های امنیتی برای سازمان‌ها
کارشناسان تأکید می‌کنند که تکیه صرف بر Guardrailهای داخلی سیستم‌های AI کافی نیست. طراحان سیستم‌های Agentic باید لایه‌های دفاعی مستحکمی (Defense in Depth) را پیاده‌سازی کنند و ورودی‌های کاربر یا داده‌های خارجی را هرگز به عنوان دستورات قابل اعتماد در نظر نگیرند.
