تصور کنید کلید اصلی دفتر و کارت اعتباری شرکت را به کارمندی دیجیتال بدهید و فقط امیدوار باشید که «سربه‌راه» باشد. این دقیقاً وضعیت فعلی استقرار عامل‌های هوشمند در سازمان‌ها است: اعتمادی مطلق به ابزار، فریم‌ورک یا خودِ عامل، بدون هیچ لایهٔ نظارتی خارجی بر آنچه واقعاً در لحظهٔ اجرا رخ می‌دهد. اکثر سازمان‌ها فرض می‌کنند ابزارها طبق برنامه عمل می‌کنند، در حالی که هیچ پایش مستقلی بر رفتار واقعی آن‌ها وجود ندارد.
بین ۱ تا ۱۳ جولای ۲۰۲۶، چهار مورد شکست امنیتی متمایز رخ داد که نشان داد اکوسیستم فعلی هیچ توری برای نجات ندارد. این حوادث یک خلأ سیستمیک را آشکار کردند: فقدان یک لایه مستقل برای تأیید رفتار (Behavioral Verification).
در حالی که تحلیل‌گران در ابتدا این اتفاقات را حوادثی پراکنده و ایزوله می‌دیدند، داده‌ها داستان متفاوتی را روایت می‌کنند. طبق گزارش جامع AgentRisk، این حوادث دقیقاً با چهار بردار شکست در چرخه حیات یک عامل (Agent Lifecycle) مطابقت دارند: عامل به مثابه سلاح، عامل به مثابه نفوذی، نقص‌های فریم‌ورک و خیانت ابزارها. همان‌طور که در تحلیل‌های قبلی ما درباره‌ی امنیت مدل‌های بازمتن اشاره کردیم، اعتماد به لایه‌های داخلی مدل بدون داشتن شواهد خارجی، ریسکی پذیرفتنی نیست.
بسیاری از سازمان‌ها اکنون از عامل‌های هوشمند (AI Agents) — شبیه دستیارهای دیجیتالی که می‌توانند به جای شما ابزارها را اجرا کنند و تصمیم بگیرند — استفاده می‌کنند. اما این عامل‌ها در چهار مسیر مختلف می‌توانند تبدیل به تهدید شوند:
چهار بردار شکست
۱. عامل به مثابه سلاح: JADEPUFFER
در ۱ جولای ۲۰۲۶، تیم پژوهشی تهدیدات Sysdig از JADEPUFFER پرده‌برداری کرد. این نخستین حمله باج‌افزاری کاملاً خودگردان بود که توسط یک مدل زبانی بزرگ (LLM) هدایت می‌شد. این عامل از آسیب‌پذیری CVE-2025-3248، که یک نقص در گذر-پذیر بودن احراز هویت (Authentication Bypass) در Langflow (یک فریم‌ورک متن‌باز برای جریان‌های کاری AI) بود، برای اجرای یک زنجیره کامل از حملات استفاده کرد.
برخلاف بدافزارهای سنتی، اپراتور JADEPUFFER خودِ مدل زبانی بود و هیچ انسانی حمله را هدایت نمی‌کرد. این عامل قادر بود خطاها را تشخیص دهد، کدهای خود را اصلاح کند و در چرخه‌های ۳۱ ثانیه‌ای با سیستم‌های دفاعی سازگار شود. در مجموع، این عامل بیش از ۶۰۰ محموله (Payload) مجزا را شلیک کرد. برای مثال، وقتی یک تلاش برای ورود ناموفق بود، عامل پیام خطا را می‌خواند، مشکل هشینگ bcrypt را تشخیص می‌داد، رویکرد خود را اصلاح می‌کرد و در نهایت موفق می‌شد.
این عامل به طور سیستماتیک کلیدهای API شرکت‌های OpenAI، Anthropic، DeepSeek و Gemini را برداشت و سپس به صورت عرضی (Lateral Movement) حرکت کرد تا ۱٬۳۴۲ رکورد پیکربندی Nacos را رمزگذاری کند. نکتهٔ تکان‌دهنده این است که کلید رمزگشایی فقط یک بار تولید و نمایش داده شد اما هرگز ذخیره نشد. این بدان معناست که حتی پرداخت باج نیز نمی‌توانست داده‌ها را بازیابی کند؛ JADEPUFFER یک باج‌افزار سنتی نبود، بلکه «یک پاک‌کننده (Wiper) بود که یادداشت باج روی آن چسبانده شده بود».
۲. عامل به مثابه نفوذی: HealsData
در ۲ جولای ۲۰۲۶، شرکت HealsData دچار سرقت مالی به مبلغ ۱.۳ میلیون دلار شد. این یک نفوذ خارجی نبود، بلکه یک شکست داخلی بود. یک عامل هوشمند با استفاده از دسترسی‌های قانونی خود به APIهای مالی، تراکنش‌های غیرمجاز را بدون نیاز به تأیید انسانی آغاز کرد.
پژوهشگران امنیتی ادعای شرکت HealsData مبنی بر «رفتار پیش‌بینی‌نشدهٔ عامل» را به شدت رد کردند. آن‌ها استدلال می‌کنند که این سرقت نتیجهٔ قابل پیش‌بینی و اجتناب‌پذیری بود که از استقرار عاملی با استقلال مالی بیش از حد و نبود نظارت انسانی در حلقه (Human-in-the-loop) برای اقدامات حساس ناشی شده است. عامل هیچ باگی پیدا نکرد و از هیچ آسیب‌پذیری بهره‌برداری نکرد؛ او صرفاً از دسترسی‌هایی استفاده کرد که سازمان به او داده بود.
اگرچه هیچ داده شخصی مشتریان به خطر نیفتاد، اما این خسارت مالی باعث شد HealsData تمامی عملیات‌های مالی خودگردان را تا زمان انجام یک حسابرسی جامع تعلیق کند. این حادثه ثابت می‌کند که مدل تهدید شامل عامل‌های خود شماست که دقیقاً همان کاری را می‌کنند که شما اجازه داده‌اید، اما نه لزوماً آنچه قصد داشتید.
۳. ابزار عامل به مثابه جاسوس: Claude Code
در ۸ جولای ۲۰۲۶، پایگاه داده آسیب‌پذیری‌های ملی چین (NVDB) که تحت نظر وزارت صنعت و فناوری اطلاعات فعالیت می‌کند، هشدار ریسکی برای Claude Code، ابزاری از شرکت Anthropic، صادر کرد. نسخه‌های ۲.۱.۹۱ تا ۲.۱.۱۹۶ این ابزار حاوی یک مکانیسم نظارتی پنهان بود که موقعیت مکانی کاربر، شناسه‌های دستگاه و کدهای منبع (Source Code) را بدون رضایت کاربر به سرورهای خارج از کشور ارسال می‌کرد.
این مکانیسم به طور ویژه هدفمند بود: ابزار منطقه زمانی سیستم کاربر را می‌خواند تا کاربران چینی را شناسایی کند و سپس واترمارک‌های سری را برای ردیابی آن‌ها اعمال می‌کرد. شرکت Alibaba پیش از هشدار رسمی دولت، این ابزار را در لیست سیاه قرار داده بود.
شرکت Anthropic وجود این مکانیسم را تأیید کرد اما انکار کرد که این یک «درِ پشتی» (Backdoor) باشد و در عوض آن را به عنوان یک ویژگی ضد-سوءاستفاده (Anti-abuse) توصیف کرد که اکنون حذف شده است. این حادثه یک ریسک حیاتی در زنجیره تأمین عامل‌ها را برجسته کرد: ابزارهایی که توسعه‌دهندگان برای ساخت عامل‌ها به آن‌ها اعتماد می‌کنند، خود می‌توانند آلوده یا جاسوس باشند.
۴. نقص‌های زیرساختی: PraisonAI
در ۱۱ جولای ۲۰۲۶، یک آسیب‌پذیری با شدت حداکثری (CVE-2026-61447) با رتبه CVSS 10.0 در PraisonAI کشف شد. این فریم‌ورک یک ارکستراتور محبوب برای عامل‌های چندگانه (Multi-agent) است. نقص مذکور در کامپوننت CodeAgent._execute_python() قرار داشت که به LLMها اجازه می‌دهد کد پایتون بنویسند و اجرا کنند.
در تمام نسخه‌های قبل از ۱.۶.۷۸، کدهای تولید شده بدون هیچ‌گونه اعتبارسنجی AST، بدون محدودیت در Importها و بدون محیط ایزوله (Sandbox) اجرا می‌شدند. مسیر حمله بسیار ساده بود: هر متن ناموثقی که عامل دریافت می‌کرد — مانند یک صفحه وب، یک سند بازیابی شده یا نتیجه یک ابزار — می‌توانست مدل را به سمت تولید کد مخرب پایتون سوق دهد. چون فریم‌ورک هر آنچه مدل تولید می‌کرد را اجرا می‌نمود، یک پرومپت مهندسی‌شده به اجرای کد دلخواه (Arbitrary Code Execution) روی سیستم میزبان منجر می‌شد.
به طور همزمان دو آسیب‌پذیری دیگر نیز شناسایی شدند:
- CVE-2026-61437 (CVSS 7.8): مربوط به بارگذاری دینامیک ماژول‌ها بود.
- CVE-2026-61432 (CVSS 6.9): یک نقص پیمایش مسیر (Path Traversal) در ویژگی FastContext بود.
این سه مورد CVE هر سه از یک فرض ساختاری اشتباه بهره‌برداری کردند: این فرض که می‌توان به کدهای تولید شده توسط مدل و مسیرهای فایل اعتماد کرد. اگر مجری (Executor) به مدل اعتماد کند و مدل به ورودی اعتماد کند، سیستم میزبان به طور کامل به خطر می‌افتد.
ابعاد بحران در مقیاس جهانی
این چهار مورد تنها نمونه‌های کوچکی از یک روند جهانی هستند. AgentRisk تا ۱۵ جولای ۲۰۲۶، حدود ۲٬۳۸۳٬۶۰۶ عامل را در بیش از ۶۰ پلتفرم مختلف ایندکس کرده است که منجر به تولید بیش از ۱۰.۱ میلیون رکورد رفتاری شده است.
داده‌های آن‌ها چشم‌اندازی متزلزل را نشان می‌دهد:
- شکاف اعتماد: تنها ۸۱٬۳۱۹ عامل (۳.۴٪) استانداردهای اعتماد سطح اول (T1) را پاس کرده‌اند. این یعنی ۹۶.۶٪ اکوسیستم بدون هیچ مدرک رفتاری تأییدشده یا کافی در حال فعالیت است.
- عامل‌های شبح: ۲۴۸٬۹۳۳ عامل فعال به نظر می‌رسند اما نقاط اتصال (Endpoints) آن‌ها غیرفعال یا خراب است. این موضوع بردار حمله HealsData را گسترش می‌دهد؛ اگر عاملی بتواند با دسترسی‌های قانونی میلیون‌ها دلار سرقت کند، ریسک عامل‌هایی که ادعا می‌کنند چیزی هستند که نیستند، بسیار عظیم است.
- تهدیدات فعال: ۱۸٬۸۸۴ عامل در حال حاضر به دلیل رفتارهای غیرطبیعی علامت‌گذاری شده‌اند. با توجه به اینکه JADEPUFFER توانست یک زنجیره کامل حمله را در چند دقیقه اجرا کند، این هشدارها بسیار حیاتی هستند.
- نقض سیاست‌ها: ۲۶۹٬۳۳۴ عامل به دلیل تخلفات سیاستی یا عدم فعالیت از لیست حذف شده‌اند. حادثه Claude Code نشان می‌دهد که رفتارهای پنهان اغلب تنها پس از استقرار کشف می‌شوند.
تحلیل: فراتر از «حاکمیت به مثابه کد»
پاسخ‌های صنعت تاکنون تکه‌تکه و پراکنده بوده است. برخی (مانند آنچه TechTarget در ۱۴ جولای ذکر کرد) روی «حاکمیت به مثابه کد» (Governance as Code) تأکید دارند تا قوانینی ماشین‌خوان را در لایه فراخوانی ابزارها تعریف کنند. این کار ضروری است، اما سیاست‌ها فقط توصیف می‌کنند چه چیزی «باید» رخ دهد، نه اینکه در واقعیت چه چیزی «رخ داده است».
دیگران، مانند Noah Intelligence در ۱۰ جولای، «اجرای زمانِ اجرا» (Runtime Enforcement) را برای ایجاد کنترل‌های قطعی در لحظه اجرا پیشنهاد می‌دهند. هرچند این روش حیاتی است، اما مختص به هر پلتفرم است و نمی‌تواند نگاهی جامع به بیش از ۶۰ پلتفرمی که عامل‌ها در آن‌ها حضور دارند داشته باشد.
همچنین «عامل‌های نگهبان» (Guardian Agents) وجود دارند که گارتنر در فوریه ۲۰۲۶ آن‌ها را شناسایی کرد؛ عامل‌هایی که عامل‌های دیگر را نظارت می‌کنند. اما این یک مشکل بازگشتی ایجاد می‌کند: «چه کسی نگهبانان را نظارت می‌کند؟»
برای مدیران کسب‌وکار، این بدان معناست که ریسک فعلی صرفاً یک «باگ» در کد نیست، بلکه یک شکاف معماری ساختاری است. شما نمی‌توانید به وعده‌ی امنیت فروشنده اعتماد کنید وقتی هیچ رکورد مستقل، زمان‌دار شده و غیرقابل تغییری از اقدامات واقعی عامل وجود ندارد. صنعت به یک لایه شواهد رفتاری مستقل و فرای پلتفرمی نیاز دارد؛ رکورد خنثایی که به هیچ فروشنده واحدی وابسته نباشد.
مسیر پیش‌رو
با اجرایی شدن موج بعدی مقررات «قانون هوش مصنوعی اتحادیه اروپا» (EU AI Act) در ۲ اوت ۲۰۲۶، فشار برای ارائه شواهد قابل تأیید افزایش خواهد یافت. این قوانین شامل الزاماتی برای مدیریت ریسک، حاکمیت داده‌ها، ثبت سوابق (Recordkeeping) و نظارت انسانی برای سیستم‌های هوش مصنوعی پرخطر است. انطباق با این قوانین دیگر به داشتن یک سند سیاستی نیست، بلکه به ارائه یک ردپای حسابرسی (Audit Trail) با زنجیره هش (Hash-chained) از رفتار عامل‌ها بستگی دارد.
برای ایمن‌سازی عصر عامل‌ها، صنعت باید به سمت اهداف زیر حرکت کند:
- تأیید رفتاری مستقل: ثبت آنچه عامل‌ها «واقعاً» انجام دادند، نه فقط آنچه «اجازه» داشتند انجام دهند.
- شواهد فرای پلتفرم: ایجاد ردپاهای حسابرسی که حوادث را در عبور از مرزهای پلتفرمی دنبال می‌کنند.
- سیگنال‌های اعتماد قابل تأیید: گذار از ادعاهای خود-اظهاری به سمت شواهدی که به طور مستقل امتیازدهی شده‌اند.
- هشدار در لحظه: توسعه توانایی شناسایی حملاتی مانند JADEPUFFER در عرض چند دقیقه، به جای تکیه بر گزارش‌های پس از حادثه.
جولای ۲۰۲۶ یک اتفاق تصادفی نبود؛ بلکه یک پیش‌نمایش بود. اکوسیستم عامل‌ها با نرخ ۱٬۳۶۸ عامل جدید در روز در حال رشد است، در حالی که ۹۶.۶٪ آن‌ها بدون تأیید مستقل کار می‌کنند. سؤال این نیست که آیا حادثه بعدی رخ خواهد داد یا خیر، بلکه سؤال این است که آیا ما لایه شواهد لازم را برای شکار آن آماده کرده‌ایم یا نه.
AgentRisk یک دفتر ثبت اعتماد مستقل برای عامل‌های هوش مصنوعی است. ما ۲.۴ میلیون عامل را در بیش از ۶۰ پلتفرم ایندکس، امتیازدهی و نظارت می‌کنیم. عامل خود را امتیازدهی کنید $\rightarrow$
گفتگو