تصور کنید یک کاربر معمولی در یک شرکت، تنها با قرار دادن یک فایل کوچک در یک پوشه مشترک، کنترل کامل سیستم یک مدیر ارشد را به دست بگیرد. این سناریوی ترسناک، نتیجهی یک آسیبپذیری است که در ۱۱ اوت ۲۰۲۶ توسط آزمایشگاه تحقیقات سایمولیت (Cymulate Research Lab) افشا شد و یک ویژگی ساده را به ابزاری برای اجرای کد مخرب تبدیل کرده است.
بسیاری از ویرایشگرهای هوش مصنوعی برای نصب سریع طراحی شدهاند و بهجای استفاده از نصبکنندههای سنتی که مجوزهای سختگیرانه تعریف میکنند، از بستههای npm یا دستورات تکخطی استفاده میکنند. این رویکرد باعث ایجاد یک خلأ امنیتی در مسیر C:\ProgramData\ شده است؛ جایی که ویندوز بهصورت پیشفرض به هر کاربر استانداردی اجازه میدهد فایل و پوشه بسازد.
در یک محیط کاری مشترک، یک برنامهنویس تازهکار با دسترسی محدود میتواند پوشهای خاص در این مسیر ایجاد کند تا وقتی یک مدیر سیستم (Admin) ابزار هوش مصنوعی خود را باز میکند، دستورات مورد نظر او اجرا شود. همانطور که در تحلیلهای قبلی ما دربارهی امنیت مدلهای بازمتن اشاره کردیم، اعتماد بیش از حد به ورودیهای خارجی همواره نقطه ضعف سیستمهاست. در اینجا هیچ نیاز به تزریق پرامپت (Prompt Injection) — شبیه به فریب دادن یک نگهبان برای ورود به ساختمان — یا اکسپلویتهای پیچیده نیست؛ ابزار صرفاً به فایلی که در آن پوشه پیدا میکند اعتماد میکند.
سازوکار حمله
طبق گزارش سایمولیت، این نقص از نحوه مدیریت تنظیمات سراسری سیستم ناشی میشود. این ابزارها پیکربندیهای خود را از مسیر C:\ProgramData\<vendor> میخوانند و چون در هنگام نصب، دسترسیهای این پوشه را محدود نمیکنند، هر کسی میتواند در آنها تغییر ایجاد کند.
هر یک از ابزارهای آسیبپذیر دارای قابلیتی برای اجرای دستورات بر اساس رویدادها هستند که به آنها «قلاب» (Hooks) یا دستورات اطلاعرسانی میگویند. این ویژگی برای اتوماسیون کارهای تیمی طراحی شده، اما در اینجا مانند یک درِ پشتی عمل میکند. مهاجم کافی است یک فایل JSON یا TOML حاوی دستوری مثل powershell -c <attacker command> قرار دهد تا ابزار آن را بهطور خودکار اجرا کند.
ابزارهای آسیبپذیر و واکنش سازندگان
بر اساس مستندات این گزارش، وضعیت چهار ابزار اصلی به این شرح است:
- Claude Code: از فایل
managed-settings.jsonاستفاده میکرد. شرکت آنتروپیک (Anthropic) با انتقال تنظیمات به مسیر حفاظتشده Program Files و اختصاص کد CVE-2026-35603، این مشکل را حل کرد. این اقدام در حالی صورت میگیرد که پیشتر گزارشهایی از نشت کلیدهای API در این ابزار و Gemini CLI منتشر شده بود که نشاندهنده حساسیت بالای این ابزارها به کدهای مخرب است. - Cursor: از
hooks.jsonاستفاده میکند. با وجود گزارش این نقص در ۱۲ ژانویه ۲۰۲۶، سازنده تا پنج ماه بعد هیچ پاسخ رسمی نداده است. این بیتوجهی به امنیت در حالی است که Cursor Origin در رقابتی شدید با GitHub برای جذب توسعهدهندگان تلاش میکند. - Codex CLI: از
config.tomlاستفاده میکند. این مورد خطرناکترین است، زیرا یک فایل میتواند حالت سندباکس (Sandbox) و سیاستهای تأیید را غیرفعال کرده و تمام حفاظهای داخلی ابزار را از بین ببرد. - Gemini CLI: از
system-defaults.jsonاستفاده میکند. گوگل (Google) اعلام کرد که این موضوع را بهجای اصلاح کد، از طریق بهروزرسانی مستندات راهنما مدیریت میکند.
روش ایمنسازی سیستم
به دلیل نبود بهروزرسانی خودکار در سه مورد از این ابزارها، کاربران باید بهصورت دستی دسترسیها را محدود کنند. راهکار این است که زیرپوشههای مربوط به هر سازنده را پیشساخته و با استفاده از دستور icacls در پاورشل، دسترسی گروه Users را حذف کنید.
اگر فایلی در این مسیرها پیدا کردید که مالک آن یک کاربر استاندارد است (و نه SYSTEM یا Administrators)، سیستم شما احتمالاً هک شده است. در این صورت باید تمام کلیدهای SSH، توکنهای ابری و اعتبارنامههای Git را که ابزار هوش مصنوعی به آنها دسترسی داشته، سریعاً تغییر دهید.
نگاه کلی به بحران
این آسیبپذیری شکاف بزرگی را در ابزارهای هوش مصنوعی نشان میدهد. در حالی که صنعت روی «کدهای ناامن» تولید شده توسط هوش مصنوعی تمرکز کرده، خودِ ویرایشگرها در حال معرفی نقصهای سنتی در سطح سیستمعامل هستند. ما شاهد برخورد توزیع سریع مدرن (npm/CLI) با مدلهای قدیمی مجوزهای ویندوز هستیم. این وضعیت یادآور بحران بدافزارهای متنی در Copilot Word است که نشان داد ابزارهای ادغام شده با سیستمعامل میتوانند به بردارهای حمله خطرناکی تبدیل شوند.
برای مدیران کسبوکار، این یک سیگنال مهم در خرید نرمافزار است. تفاوت میان واکنش پیشدستانه آنتروپیک و پاسخ حداقلی گوگل نشان میدهد کدام شرکت امنیت ویرایشگر را یک نیاز اصلی محصول میبیند و کدام یک آن را یک اولویت ثانویه میداند.
لازم به ذکر است که این مشکل صرفاً مربوط به ویندوز است و شواهدی از وجود آن در macOS یا لینوکس دیده نشده، زیرا این سیستمها مدیریت دسترسیهای سراسری را متفاوت انجام میدهند.
گام بعدی شما
- اگر از Cursor یا Gemini CLI استفاده میکنید، فوراً دسترسیهای پوشه ProgramData را بررسی کنید.
- از دستور
icaclsبرای حذف دسترسی Write کاربران استاندارد در مسیرهای پیکربندی ابزارهای AI استفاده کنید. - در صورت مشاهده فایلهای مشکوک، تمام توکنهای دسترسی (API Tokens) خود را روتِ کنید.
اما داستان سختافزاری این تحول حتی شگفتانگیزتر است — به تحلیل ما دربارهی تراشههای Blackwell مراجعه کنید.
گفتگو