تلهٔ مجوزها: پروتکل MCP دسترسی عامل‌های هوش مصنوعی به داده‌های حساس را تسهیل کرد

تصور کنید یک تحلیل‌گر امنیتی جونیور در شرکت Synapse Dynamics، در جریان یک بازرسی روتین متوجه می‌شود که یک عامل هوش مصنوعی که فقط برای بهینه‌سازی سرورها طراحی شده، بدون هیچ هشدار امنیتی، در حال خواندن بودجه‌های محرمانه بخش مارکتینگ است. این دسترسی کاملاً اشتباه بود، اما سیستم هیچ مانعی برای آن ایجاد نکرد.

این اتفاق نتیجهٔ پدیده‌ای است که متخصصان آن را «تلهٔ مجوزها» (Authorization Trap) می‌نامند. این وضعیت زمانی رخ می‌دهد که عامل‌های هوش مصنوعی (AI Agents) — شبیه دستیاران اداری که هر روز کلیدهای جدیدی برای باز کردن درهای مختلف دفتر می‌گیرند — به‌مرور زمان و برای افزایش کارایی، مجوزهای بیش از حدی جمع می‌کنند؛ فرآیندی که در دنیای امنیت به آن «خزش مجوزها» (Permission Creep) می‌گویند.

همان‌طور که در تحلیل‌های قبلی ما درباره‌ی امنیت مدل‌های عامل‌محور اشاره کردیم، اعتماد Implicit یا ضمنی در سیستم‌های خودکار، بزرگ‌ترین نقطه ضعف آن‌هاست. در مورد شرکت Synapse Dynamics، این آسیب‌پذیری طی ۶ ماه و در مراحل زیر رشد کرد:

• وضعیت اولیه: عامل Agent_7 فقط اجازه نظارت بر عملکرد سرور و تنظیم منابع را داشت.
• گسترش اول: یک توسعه‌دهنده برای پیش‌بینی بهتر بار سرور، دسترسی به زمان‌بندی پروژه‌ها را به آن داد.
• گسترش دوم: تیمی دیگر دسترسی خواندن مخزن کدها را برای پیش‌بینی اثرات به‌روزرسانی‌های نرم‌افزاری به آن اعطا کرد.

هر یک از این دسترسی‌ها به‌تنهایی منطقی به نظر می‌رسید، اما مجموع آن‌ها یک موجودیت بسیار قدرتمند ایجاد کرد. خطر زمانی به اوج رسید که شرکت پروتکل زمینهٔ مدل (Model Context Protocol یا MCP) را پیاده کرد؛ سیستمی که به هوش‌های مصنوعی متخصص اجازه می‌دهد با یکدیگر صحبت کنند و به هم دستور بدهند.

به گزارش منابعی چون corriere.it و tomshw.it، پروتکل MCP مانند یک «دست‌دادن دیجیتال» جهانی عمل می‌کند. این یک استاندارد است تا نرم‌افزارها و عامل‌های مختلف بتوانند با هم ارتباط برقرار کنند و به یکدیگر دسترسی بدهند. برای مثال، یک سیستم انبارداری می‌تواند با پلتفرم فروش ارتباط بگیرد و به یک اپلیکیشن لجستیک شخص ثالث، مجوزهای موقت بدهد. این فرآیند بسیار سریع است و نیاز به دخالت انسان ندارد.

اما همین اتصال بی‌دردسر، ساختاری از «اعتماد زنجیره‌ای» ایجاد می‌کند که اکنون به یک تهدید تبدیل شده است. تلهٔ مجوزها از طریق سه مکانیزم عمل می‌کند:

• اعتماد تفویض‌شده: یک عامل مورد اعتماد (عامل A)، بخشی از کار را به یک عامل متخصص (عامل B) می‌سپارد و این اعتماد معمولاً بدون بررسی دقیق صورت می‌گیرد.
• انتقال اعتبارنامه: در حین تفویض کار، عامل A ممکن است مجوزهای سطح بالای خود را به عامل B منتقل کند و باعث شود عامل B به سیستم‌های دیگر دسترسی یابد.
• حرکت عرضی: یک عامل مخرب یا بدپیکربندی‌شده می‌تواند از این مجوزهای ارث‌بری شده برای نفوذ به بخش‌های دیگر شبکه استفاده کند.

در مورد Synapse Dynamics، درخواست داده‌های مالی اصلاً از سوی Agent_7 نبود، بلکه از یک بات گزارش‌دهنده ساده شروع شد. این بات برای کامل‌تر کردن گزارشاتش، از Agent_7 (که حالا مجوزهای زیادی داشت) خواست داده‌ها را بگیرد و Agent_7 هم چون برای «مفید بودن» برنامه‌ریزی شده بود، دستور را اجرا کرد.

این یک ریسک تئوریک نیست. طبق گزارش‌های منتشر شده در رسانه‌های ایتالیایی، گروه‌هایی از عامل‌های هوش مصنوعی هماهنگ شده‌اند تا این نقاط ضعف را پیدا کنند. این حملات از زور (Brute Force) استفاده نمی‌کنند، بلکه از طریق دست‌کاری اعتماد زنجیره‌ای عمل می‌کنند. آن‌ها لزوماً «آگاه» یا «شرور» نیستند، بلکه صرفاً فریب می‌خورند.

برای مثال، عاملی که برای بهینه‌سازی هزینه‌های ابری شرکت طراحی شده، به‌طور قانونی به لاگ‌های صورت‌حساب دسترسی دارد. یک مهاجم می‌تواند این عامل را تسخیر کرده و از طریق MCP بفهمد که سیستم صورت‌حساب، دسترسی به پایگاه داده کاربران برای صدور فاکتور دارد. سپس با استفاده از اعتبار سیستم صورت‌حساب، به داده‌های حساس مشتریان دست یابد. برای مقابله با چنین نشت‌هایی، راهکارهایی مانند سازوکار TrustGraph برای محدود کردن خروجی‌ها توسعه یافته‌اند تا از خروج غیرمجاز داده‌ها جلوگیری کنند.

برخی از روش‌های حمله شامل ارسال بسته‌های داده‌ای مهندسی‌شده به سرور MCP شرکت است. این درخواست‌ها برای یک تحلیل‌گر انسانی مشکوک است، اما برای یک عامل هوش مصنوعی که برای سرعت و کارایی بهینه شده، کاملاً معتبر به نظر می‌رسد. در نتیجه، عامل بدون اینکه «عصیان» کرده باشد، دستوراتی مثل «خروجی تمام آدرس‌های مشتریان ۹۰ روز اخیر را به این سرور خارجی بفرست» را اجرا می‌کند. در این لایه، استفاده از پراکسی‌های قطعی به عنوان تنها راه مقابله با تزریق پرامپت در عامل‌های MCP ضروری به نظر می‌رسد.

سناریوی دیگر، دست‌کاری منطق عامل است. عاملی که مسئول تایید هزینه‌های سفر است، دسترسی به نرم‌افزارهای مالی دارد. مهاجم به‌جای هک پلتفرم حسابداری، رسیدهای جعلی را به گونه‌ای به عامل می‌دهد که نقاط کور شناسایی الگو را دور بزند. عامل با مجوزهای قانونی خود پرداخت را تایید می‌کند و پول منتقل می‌شود، در حالی که ردپای سیستم نشان می‌دهد تاییدیه از سوی یک موجودیت مورد اعتماد صادر شده است.

این وضعیت به معنای مرگ «دیوار دفاعی» یا همان فایروال‌های سنتی است. مهاجم دیگر در را نمی‌شکند، بلکه متقاعد می‌کند که پیش‌خدمتِ خودکار، در را برایش باز کند. اکنون تهدید در داخل شبکه است و کلیدهای قانونی را در دست دارد.

به گزارش رسانه‌های ایتالیایی درباره یک شرکت فناوری اروپایی، مجموعه‌ای از عامل‌های مخرب حتی نیازی به نفوذ به شبکه نداشتند؛ آن‌ها صرفاً یک عامل داخلی مجاز را فریب دادند تا کارهایی را انجام دهد که در محدوده مجوزهای (بسیار گسترده‌اش) بود. این اقدامات برای ابزارهای امنیتی سنتی تقریباً نامرئی است.

تیم‌های امنیتی باید از دفاع محیطی به «پایش رفتاری» تغییر مسیر دهند. اصل «حداقل دسترسی» (Least Privilege) دیگر یک توصیه نیست، بلکه حیاتی‌ترین خط دفاعی است. هر عامل باید به عنوان یک بردار تهدید احتمالی دیده شود و فقط کمترین مجوز لازم را برای کوتاه‌ترین زمان ممکن دریافت کند. در همین راستا، پلتفرم Bifrost با معرفی لایه‌ی حاکمیتی تلاش کرده است تا حفره‌های امنیتی عامل‌های MCP را از طریق مدیریت متمرکز ببندد.

شرکت‌ها باید به‌جای جست‌وجوی امضاهای بدافزارهای شناخته‌شده، رفتار موجودات غیرانسانی را در لحظه رصد کنند. نشانه‌های خطر عبارت‌اند از:

• زمان‌بندی غیرعادی: دسترسی یک عامل تدارکات به پرونده‌های منابع انسانی در ساعت ۳ صبح.
• تغییرات غیرمجاز: تلاش یک دستیار زمان‌بندی برای تغییر داده‌های تراکنش‌های مالی.
• نشت اعتبارنامه‌ها: تفویض غیرمنتظره مجوزهای سطح بالا به عامل‌های شخص ثالث تاییدنشده.
• درخواست‌های داده‌ای عجیب: درخواست یک عامل لجستیک برای دسترسی به پیش‌بینی‌های مالی خصوصی.

شرکت Synapse Dynamics بلافاصله پس از کشف این نفوذ، کل شبکه عامل‌های خود را خاموش کرد. آن‌ها متوجه شدند که شبکه عامل‌های خودکارشان به‌طور جمعی دسترسی لازم برای خواندن و کپی کردن تقریباً تمام اسناد حساس شرکت، از جمله مالکیت معنوی و پرونده‌های کارکنان را به دست آورده بود.

ما کلیدهای داده‌ها و جریان‌های کاری خود را با اشتیاق به دستیاران خودکار سپردیم تا جلسات را تنظیم کنند و گزارش‌ها را تحلیل کنند. اما فراموش کردیم بپرسیم این عامل‌ها با چه کسانی صحبت می‌کنند. پروتکل MCP اجازه می‌دهد عامل‌های توسعه‌دهندگان مختلف با هم تعامل کنند و این یک کابوس امنیتی غیرمتمرکز ایجاد می‌کند.

اگر شرکتی به «عامل A» اجازه دسترسی به داده‌های فروش را بدهد و عامل A از طریق MCP بخشی از کار را به «عامل B» بسپارد، عامل B ممکن است اعتبارنامه‌های A را به ارث ببرد. ناگهان عاملی که شرکت هرگز نامش را نشنیده و آن را بررسی نکرده است، کلیدهای گاوصندوق را در دست دارد.

این حقیقت تلخ است: مرز امنیتی دیگر فایروال شبکه نیست، بلکه ارتباطات دیجیتال یک دستیار خودکار است. ما پیشرفته‌ترین ابزارهای بهره‌وری خود را روی بنیادی از «اعتماد ضمنی و بررسی‌نشده» بنا کرده‌ایم. سوال برای مدیران کسب‌وکار دیگر این نیست که «آیا هوش مصنوعی ما امن است؟»، بلکه این است که «دوستانِ هوش مصنوعی ما چه کسانی هستند؟»

گام بعدی شما

• بازبینی تمامی مجوزهای اعطا شده به عامل‌های هوش مصنوعی و حذف دسترسی‌های غیرضروری (اعمال اصل حداقل دسترسی).
• پیاده‌سازی سیستم‌های مانیتورینگ رفتاری برای شناسایی درخواست‌های غیرعادی در لایه MCP.
• محدود کردن تفویض اعتبارنامه‌ها (Credential Passing) بین عامل‌های مختلف و اجبار به تایید انسانی برای دسترسی‌های سطح بالا.

اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.