عوامل کدنویسی مبتنی بر هوش مصنوعی (AI Coding Agents) سرعت توسعه و عرضه نرم‌افزار را افزایش داده‌اند، اما همزمان سرعت افشای اعتبارنامه‌ها (Credentials) را نیز بالا برده‌اند. بر اساس گزارش 2026 GitGuardian در مورد وضعیت Secrets Sprawl، نرخ نشت اسرار در کدهایی که با کمک AI نوشته شده‌اند، تقریباً دو برابر بیشتر از کدهای انسانی است.
تغییر مقیاس و سرعت نشت داده‌ها
مشکل جدید این نیست که AI باعث ایجاد آسیب‌پذیری‌های جدید شده است، بلکه مسئله اصلی تغییر مقیاس و سرعت وقوع اشتباهات است. یک عامل AI می‌تواند در زمانی که یک توسعه‌دهنده تنها یک Pull Request را بررسی می‌کند، کل پروژه را بخواند، فایل‌ها را تغییر دهد و پیکربندی‌ها را تولید کند. این ابزارها منجر به Hardcode کردن اعتبارنامه‌ها در تعداد بیشتری از فایل‌ها و سیستم‌ها می‌شوند، به‌گونه‌ای که تیم‌های امنیتی قادر به ردیابی و چرخش (Rotation) آن‌ها نیستند.
چالش‌های امنیتی در عصر AI Agentic
- دسترسی به فایل‌های حساس: عوامل AI ممکن است فایل‌های
.envیا پیکربندی‌های محلی را که برای اشکال‌زدایی (Debugging) ایجاد شده و هرگز نباید وارد Source Control شوند، بخوانند و در محیط‌های دیگر پخش کنند. - پیکربندی‌های MCP: دستورالعمل‌های مربوط به سرورهای Model Context Protocol (MCP) اغلب برای ساده‌سازی اتصال به دیتابیس‌ها و APIها، اعتبارنامه‌ها را به‌صورت Plaintext در فایل‌های پیکربندی قرار می‌دهند.
- تکثیر اسرار در سطوح مختلف: یک کلید API ممکن است همزمان در فایل
.env، متغیرهای CI/CD و حتی تیکت‌های Jira وجود داشته باشد. اسکن کردن مخازن کد (Repository Scanning) به تنهایی کافی نیست، زیرا اگر یک نسخه چرخان شود اما نسخه‌های دیگر در ابزارهای همکاری باقی بمانند، ریسک همچنان پابرجاست. - دسترسی‌های بیش از حد (Over-permissioning): برای جلوگیری از خطا در مراحل اولیه، اغلب دسترسی‌های گسترده‌ای به عوامل AI داده می‌شود که در نهایت به محیط Production منتقل شده و ریسک حملات زنجیره‌ای را افزایش می‌دهند.
رویکرد مدیریت هویت غیرانسانی (NHI)
سازمان‌ها باید با گسترش اسرار در عصر AI نه به عنوان یک مشکل رفتاری مدل، بلکه به عنوان یک چالش هویت غیرانسانی (Non-Human Identity – NHI) نگاه کنند. هر عملی که یک عامل AI انجام می‌دهد، هویتی پشت آن است. هدف باید این باشد که اعتبارنامه‌هایی که AI با آن‌ها مواجه می‌شود، ارزش سرقت نداشته باشند.
راهکارهای پیشنهادی برای امنیت توسعه AI-Assisted
به جای ممنوع کردن ابزارهای AI، سازمان‌ها باید از استراتژی‌های زیر استفاده کنند:
- حذف اعتبارنامه‌های استاتیک غیرضروری.
- کوتاه کردن طول عمر اعتبارنامه‌ها (Short-lived credentials).
- جدا کردن هویت‌ها و حذف دسترسی‌های دائمی (Standing Privileges).
- استفاده از مدیریت متمرکز اسرار (Centralized Secrets Management) بر پایه مدل Zero Trust برای کنترل نحوه ذخیره‌سازی و انقضای کلیدها.
