در بررسی‌های اخیر بر روی بیش از ۳۵,۸۷۸ مهارت (Skill) در عامل‌های هوش مصنوعی (AI Agents) که در VirusTotal ثبت شده‌اند، یافته‌های تکان‌دهنده‌ای به دست آمده است. نتایج نشان می‌دهد که بیش از نیمی از این مهارت‌ها (۵۲.۹٪) دارای ریسک‌های امنیتی یا سوءاستفاده هستند و ۱۸.۵٪ آن‌ها صراحتاً مخرب (Malicious) تشخیص داده شده‌اند. نکته کلیدی این است که بسیاری از این تهدیدات نه در قالب کدهای باینری، بلکه در قالب دستورات متنی ساده اجرا می‌شوند.
چالش شناسایی: حملات مبتنی بر متن (Prompt-only Attacks)
یکی از خطرناک‌ترین یافته‌ها این است که ۶۲٪ از مهارت‌های مخرب، هیچ کد مخربی ندارند. در این موارد، حمله به صورت دستورالعمل‌های زبان طبیعی (Natural Language Instructions) نوشته شده است که عامل هوش مصنوعی آن‌ها را اجرا می‌کند. این موضوع باعث می‌شود موتورهای سنتی آنتی‌ویروس (AV) و سیستم‌های EDR نتوانند این حملات را شناسایی کنند، زیرا هیچ فایل مشکوک یا سیگنال اجرایی غیرعادی وجود ندارد.
معرفی استاندارد CARO-A برای نام‌گذاری تهدیدات
به دلیل نبود هش (Hash) برای دستورات متنی، تحلیل‌گران به سیستمی برای دسته‌بندی نیاز دارند. استاندارد CARO-A با الگوبرداری از متدهای سنتی آنتی‌ویروس، ساختار زیر را برای نام‌گذاری پیشنهاد می‌دهد:
<Type>:<Ecosystem>/<Family>!<Locus>
در این ساختار، Type قابلیت اصلی بدافزار را مشخص می‌کند که شامل موارد زیر است:
- Worm: انتشار خود از طریق انتشار مهارت‌های آلوده.
- Disruptor: حذف داده‌ها یا تخریب سیستم‌ها.
- Backdoor: ایجاد دسترسی از راه دور (مانند Reverse Shell).
- Implant: ایجاد تداوم (Persistence) در پس‌زمینه.
- Stealer: سرقت اعتبارنامه‌ها، کلیدها یا فایل‌های خصوصی.
- Hijacker: تغییر مسیر ترافیک LLM به پروکسی‌های تحت کنترل مهاجم.
- Loader: دانلود و اجرای کد از سرورهای خارجی.
- Abuser / PUA: بهره‌برداری مالی بدون رضایت کاربر.
سایر بخش‌ها شامل Ecosystem (پلتفرم هدف مانند ClaudeCode یا Gemini)، Family (خانواده کمپین) و Locus (محل قرارگیری بخش مخرب؛ مثلاً !sem برای دستورات متنی و !code برای اسکریپت‌ها) است.
تحلیل عملکرد ابزارهای شناسایی
در بنچمارک‌های انجام شده، ابزارهای شناسایی فعلی مانند NVIDIA SkillSpector، Tencent AI-Infra-Guard و Cisco Skill Scanner بین ۳۶٪ تا ۷۱٪ از مهارت‌های مخرب را نادیده گرفتند. دلیل اصلی این شکست، ناتوانی قوانین استاتیک (Static Rules) در تشخیص تفاوت بین یک مستند آموزشی (که مثلاً نحوه تنظیم SSH را توضیح می‌دهد) و یک دستور حمله (که از عامل می‌خواهد کلید SSH را ارسال کند) است.
توصیه‌های امنیتی برای سازمان‌ها
برای تیم‌های امنیتی و مدیرانی که از عامل‌های هوش مصنوعی استفاده می‌کنند، اقدامات زیر توصیه می‌شود:
- بررسی مهارت‌ها مانند کد: فایل‌های
SKILL.mdو اسکریپت‌های پیوست را پیش از نصب بررسی کنید و به فضاهای خالی مشکوک در فایل‌های طولانی دقت نمایید. - محدود کردن دسترسی‌ها: عامل‌ها را در محیط‌های ایزوله (Sandbox) یا کانتینرها اجرا کنید و دسترسی آن‌ها به فایل‌های حساس مانند
.envیا کلیدهای SSH را محدود کنید. - مانیتورینگ ترافیک: فرآیندهای مربوط به عامل‌های AI را که داده‌ها را به Webhookها، سایت‌های Paste یا سرویس‌های ایمیل ارسال می‌کنند، رصد کنید.
- استفاده از تحلیل‌های پیشرفته: پیش از نصب هر مهارت، آن را در VirusTotal بررسی کنید تا از تحلیل‌های مبتنی بر LLM برای شناسایی رفتارهای مخرب متنی بهره ببرید.
