با گسترش استفاده از عامل‌های هوش مصنوعی (AI Agents) در سازمان‌ها، فرصت‌های جدیدی برای مهاجمان ایجاد شده است تا این سیستم‌ها را مجبور به انجام اقدامات مخرب، مانند استخراج داده‌های حساس از پایگاه‌های داده یا نشت اطلاعات تجاری و شخصی کنند.
حملات زنجیره‌ای و سوءاستفاده از اعتماد
گزارش‌ها نشان می‌دهد که در پنج ماه گذشته، گوگل و چهار سازمان دیگر با آسیب‌پذیری‌هایی مواجه شده‌اند که در آن‌ها یک عامل (Agent) در شبکه داخلی هدف قرار گرفته و دستورات مخرب را به سایر عامل‌های داخلی منتقل می‌کند. این تکنیک، نوعی خاص از Prompt Injection است که به جای هدف قرار دادن مدل زبانی (LLM)، یک عامل خاص (مانند عامل ترجمه یا تحلیل داده) را هدف می‌گیرد.
به دلیل نبود یا ضعف در مکانیزم‌های حفاظتی (Guardrails) در این عامل‌ها، دستورات مخرب در زنجیره انتقال پخش می‌شوند. از آنجایی که عامل‌های بعدی به طور کامل به عامل قبلی اعتماد دارند، این دستورات را بدون بررسی اجرا می‌کنند.
نقش پروتکل MCP در تسهیل حملات
تحقیقات مستقل نشان می‌دهد که شکاف‌های اعتمادی در Model Context Protocol (MCP) عامل اصلی این مشکل است. MCP استانداردی است که اپلیکیشن‌ها و عامل‌های هوش مصنوعی برای ارتباط با یکدیگر در شبکه‌های داخلی از آن استفاده می‌کنند. از آنجایی که سرورهای MCP اعتبارنامه‌های هر عامل را ذخیره می‌کنند و عامل‌ها برای اعتماد به یکدیگر طراحی شده‌اند، حملاتی که توسط LLM رد می‌شدند، در این لایه با موفقیت اجرا می‌شوند.
در بسیاری از موارد، این حملات منجر به ایجاد آسیب‌پذیری SSRF (جعل درخواست سمت سرور) می‌شود که به مهاجم اجازه می‌دهد درخواست‌های شبکه غیرمجاز را از طریق سرور وب ارسال کند.
پدیده Protocol Pivoting
این کلاس از حملات تحت عنوان Protocol Pivoting شناخته می‌شوند. در این روش، مهاجم از طریق یک پروتکل دسترسی اولیه را به دست آورده و سپس با سوءاستفاده از مفروضات اعتمادی بین پروتکل‌ها، دستورات مخرب را از طریق پروتکل‌های دیگر (مانند A2A گوگل یا Agent Network Protocol) منتقل می‌کند تا به قابلیت‌هایی دست یابد که تنها از طریق پروتکل‌های خاص در دسترس هستند.
درس‌های امنیتی برای مدیران SOC
این حوادث نشان می‌دهد که در شتاب برای پیاده‌سازی معماری‌های Agentic، اصل Zero Trust (اعتماد صفر) نادیده گرفته شده است. توصیه می‌شود هر داده‌ای که از یک LLM به ابزارهای سیستمی منتقل می‌شود، مانند ورودی یک غریبه در اینترنت تلقی شده و مورد بررسی قرار گیرد. در واقع، ریشه این مشکلات همان آسیب‌پذیری‌های قدیمی مانند Injection و SSRF است که در محیط‌های مدرن هوش مصنوعی دوباره ظاهر شده‌اند.
