مدل‌های زبانی چگونه ۶۸۰ حفرهٔ امنیتی را در ۶۵ پروژه یافتند؟

تصور کنید یک تیم امنیتی داشته باشید که هر ثانیه هزاران خط کد را با دقت یک متخصص بررسی می‌کند و هر حفره‌ای را پیش از هکرها می‌بندد. این دیگر یک رویای مدیریتی نیست، بلکه خروجی عملیاتی سرویس Chainguard Harness است که در ۱۴ اکتبر ۲۰۲۶ برای اتوماسیون شناسایی نقاط ضعف امنیتی و ارائه اصلاحات مستقیم به تیم‌های مهندسی عرضه شد. این سرویس در مقیاس وسیعی عمل می‌کند؛ به طوری که تا کنون بیش از ۶۸۰ آسیب‌پذیری در ۶۵ پروژه مختلف شناسایی کرده است.

این سرویس از مدل Claude Mythos 5.1 بهره می‌برد؛ یک مدل پیشرو (Frontier Model) که به‌طور اختصاصی برای شکار نقص‌های منطقی قابل بهره‌برداری و آسیب‌پذیری‌های تزریق (Injection) طراحی شده است. این مدل به‌جای بررسی متنی ساده، روی نسخه‌های زنده و ایزوله‌شده از اپلیکیشن‌ها حمله می‌کند تا نقاط ضعف واقعی را بیابد. همان‌طور که در تحلیل‌های قبلی ما درباره‌ی امنیت مدل‌های بازمتن اشاره کردیم، انتقال از اسکن‌های ایستا به تحلیل‌های پویا، مرز دفاع در برابر حملات مدرن را جابه‌جا می‌کند. Chainguard همزمان با رونمایی از این سرویس، یک لیست انتظار برای دسترسی به نسخه بتا (Beta Waitlist) را نیز فعال کرد.

به طور تاریخی، اکثر ابزارهای امنیتی مبتنی بر مدل‌های پیشرو تنها در اختیار حلقه کوچکی از سازمان‌هایی بود که از زیرساخت‌های حیاتی محافظت می‌کردند. Chainguard با ارائه این قابلیت به شرکت‌هایی که فاقد تخصص داخلی در امنیت یا دسترسی مستقیم به مدل‌های سطح بالا هستند، این انحصار را می‌شکند. این تغییر، شکار آسیب‌پذیری‌های مبتنی بر هوش مصنوعی را از یک دارایی تخصصی در سطح دولتی به یک سرویس سازمانی قابل خریداری از طریق Claude Marketplace تبدیل می‌کند. این تحول در حالی رخ می‌دهد که پیش‌تر شاهد استفاده‌ی تخریبی از مدل‌های پیشرفته‌ی کلود برای نفوذ به زیرساخت‌های امنیتی بودیم و اکنون Chainguard سعی دارد همین قدرت را در جهت دفاعی به کار گیرد.

دن لورنس، مدیرعامل و یکی از بنیان‌گذاران Chainguard، تأکید می‌کند که هر بار این شرکت سرویس Harness را روی یک کد متمرکز کرده، آسیب‌پذیری‌های جدی و قابل بهره‌برداری پیدا کرده است. این یافته‌ها شامل نرم‌افزارهایی می‌شود که پیش از این بارها اسکن شده بودند و حتی کدهایی که زیرساخت‌های حیاتی را مدیریت می‌کردند. این امر به تیم‌های امنیتی گزینه‌ای قابل اعتماد می‌دهد تا آسیب‌پذیری‌های اثبات‌شده و اصلاحاتی را دریافت کنند که مهندسان می‌توانند بلافاصله آن‌ها را در محیط عملیاتی مستقر کنند.

سازوکار شکار آسیب‌پذیری

برای جلوگیری از توهم (Hallucination) — شبیه دوستی که با اطمینان خاطری خاطره‌ای اشتباه را تعریف می‌کند — این سامانه یک خط لوله پنج‌مرحله‌ای سخت‌گیرانه را طی می‌کند تا اطمینان حاصل شود یافته‌ها واقعی هستند. مشتریان مخازن کد خود را از طریق اپلیکیشن Chainguard GitHub با دسترسی «فقط خواندنی» متصل می‌کنند یا یک آرشیو از سورس‌کد را آپلود می‌کنند. سپس سیستم اپلیکیشن را دقیقاً همان‌گونه که قرار است در محیط تولید (Production) عرضه شود، از سورس می‌سازد.

• راه‌اندازی محیط: یک مدل مجزا اپلیکیشن را می‌سازد، وابستگی‌ها (Dependencies) و ابزارهای مورد نیاز را فراخوانی می‌کند و آن را درون یک میکرو-ماشین مجازی (microVM) ایزوله اجرا کرده و سپس متوقف (Suspend) می‌کند.
• کاوش: مدل Mythos 5.1 ماشین مجازی را فعال کرده و با تحلیل اپلیکیشن در حال اجرا، تاریخچه گیت (Git History)، سورس وابستگی‌ها و پیکربندی‌های ساخت (Build Configuration)، به دنبال نقص‌های منطقی، تزریق و تخلیه منابع می‌گردد و همزمان پاسخ‌های زنده اپلیکیشن را رصد می‌کند.
• محبوس‌سازی: مرحله شکار بدون هیچ‌گونه دسترسی به شبکه (Network Egress) و بدون اعتبارنامه‌ها انجام می‌شود. حلقه عامل (Agent Loop) خارج از محیط سندباکس اجرا شده و هر فراخوانی ابزار و هر دستور را ثبت می‌کند. کد مورد آزمایش به عنوان داده‌ای غیرقابل‌اعتماد تلقی می‌شود تا از تزریق پرامپت (Prompt Injection) که ممکن است در کدهای تحلیل‌شده پنهان باشد، جلوگیری شود.
• اعتبارسنجی: هر اکسپلویت در یک محیط microVM تازه تکرار می‌شود؛ اگر اکسپلویت هر بار با موفقیت اجرا نشود، دور ریخته می‌شود. اصلاحات پیشنهادی نیز به همین ترتیب تأیید می‌شوند: اکسپلویت باید در برابر کد فعلی موفق شود و در برابر کد اصلاح‌شده شکست بخورد.
• بازبینی انسانی: هر گزارش و اصلاحیه پیش از رسیدن به دست مشتری، باید توسط یک مهندس نام‌برده از Chainguard بازبینی و تأیید شود. تنها کارکنان Chainguard مدل را مدیریت می‌کنند و هیچ شخص خارجی نمی‌تواند به مدل دستور دهد یا خروجی‌های خام آن را ببیند.

مورد عملی: شناسایی باگ در vLLM

برای اثبات کارایی این سیستم، Chainguard در ۱۳ اکتبر ۲۰۲۶ یافته‌ای را درباره vLLM — یک موتور متن‌باز برای سرویس‌دهی مدل‌های زبانی بزرگ (LLM) — منتشر کرد. سرویس Harness باگی را کشف کرد که در آن یک کلاینت می‌توانست خروجی درخواست کلاینت دیگر را در یک موتور مشترک تحمیل کند. این اتفاق به این دلیل رخ می‌داد که پارامتر درخواست allowed_token_ids — که توکن‌های تولید شده را محدود می‌کند — پس از پایان یک درخواست پاک‌سازی نمی‌شد و اجازه می‌داد درخواست‌های بعدی محدودیت‌های قبلی را به ارث ببرند.

بر اساس پست پژوهشی این شرکت، عملیات بررسی vLLM به مدت ۱۰ ساعت و ۴۸ دقیقه به طول انجامید و تقریباً ۱۱۵ میلیون توکن (Token) — تکه‌های کوچکی از متن شبیه برش‌های کیک که مدل می‌خورد — را پردازش کرد. مدل ۳۰ بخش از پروژه را کاوش کرد که منجر به ۳۷ یافته کاندید شد؛ از این میان، مواردی که روی یک میزبان پاک (Clean Host) بازتولید شدند، مورد بررسی قرار گرفتند و در نهایت ۱۳ مورد از آن‌ها از فیلتر بازبینی مهندسی عبور کردند. جالب اینجاست که این باگ از ۲۸ مه ۲۰۲۶ در ردیف مشکلات عمومی (Issue Tracker) وجود داشت، اما به عنوان یک باگ معمولی برچسب خورده بود، نه یک حفره امنیتی.

شرکت Chainguard این اکسپلویت را در ۳ تلاش از ۳ بار با موفقیت بازتولید کرد. آن‌ها تأثیر این نقص را در ۲۳ سپتامبر ۲۰۲۶ به نگهدارندگان پروژه گزارش کردند. تیم vLLM شدت این مشکل را «پایین» (Low) ارزیابی کرد و یک اصلاحیه تک‌خطی (به همراه یک اصلاح مرتبط) را در نسخه v0.31.0 در تاریخ ۲ اکتبر ۲۰۲۶ منتشر کرد. در نهایت، توصیه‌نامه امنیتی GHSA-6cxc-2vcg-w5qc در ۶ اکتبر ۲۰۲۶ منتشر شد.

تغییر در پارادایم اسکن نرم‌افزاری

Chainguard گزارش می‌دهد که تاکنون Harness را روی بیش از ۶۵ پروژه اجرا کرده و بیش از ۶۸۰ یافته را اعتبارسنجی کرده است. این دستاورد حاصل پیوستن Chainguard به پروژه Glasswing شرکت Anthropic است. هنگامی که این ابزار نقصی را در یک وابستگی متن‌باز می‌یابد، از یک فرآیند افشای هماهنگ به نام Athena استفاده می‌کند تا پیش از ارائه نسخه اصلاح‌شده از طریق Chainguard Repository، نگهدارندگان بالادستی را مطلع سازد.

این رویکرد فرض بنیادین اسکن نرم‌افزاری را تغییر می‌دهد. اسکنرهای سنتی به دنبال الگوهای شناخته‌شده (Known Patterns) می‌گردند، اما Harness مانند یک عامل (Agent) — شبیه دستیاری هوشمند که می‌تواند ابزارها را به کار بگیرد — عمل می‌کند که منطق اجرای برنامه را می‌فهمد. برای یک مالک کسب‌وکار، این به معنای کاهش شدید پنجره زمانی مواجهه با نقص‌های سبک «روز صفر» (Zero-day) است که ممکن است حتی از چشم حسابرسان انسانی نیز پنهان بماند.

دسترسی و مدل تجاری

برای سازمان‌هایی که در حال حاضر از خدمات Anthropic استفاده می‌کنند، فرآیند تهیه این سرویس بسیار ساده شده است. Harness به عنوان یک «پیش‌نمایش فناوری» (Technology Preview) تحت توافق‌نامه خدمات و مجوز اصلی Chainguard ارائه می‌شود. شرکت Anthropic مدیریت صورت‌حساب‌ها را بر عهده دارد و به مشتریانی که تعهدات مالی قبلی با Anthropic دارند اجازه می‌دهد از مسیر «درخواست برای خرید» در Marketplace استفاده کرده و هزینه‌های هوش مصنوعی خود را یکپارچه کنند.

دانیلا هورتادو، مدیر امنیت تجاری Anthropic، اشاره کرد که مدل‌هایی مثل Mythos 5.1 می‌توانند حفره‌هایی را پیدا کنند که سال‌ها نادیده گرفته شده‌اند. او تأکید کرد که با محصور کردن مدل در محیط‌های ایزوله، بازتولید خطا و بازبینی انسانی، هر یافته پیش از تحویل کاملاً تأیید می‌شود. گزارش نهایی ارائه شده به مشتری شامل یک خلاصه مدیریتی، سطح شدت، تأثیر، مراحل تأیید و یک کد اصلاحی است که دقیقاً برای کدبیس خاص آن مشتری نوشته شده است.

سازمان‌های علاقه‌مند در حال حاضر می‌توانند به لیست انتظار بتا بپیوندند یا از طریق Claude Marketplace درخواست دهند تا تست کدبیس خود را با مدل Mythos 5.1 آغاز کنند.

گام بعدی شما

• اگر از موتورهای سرویس‌دهی مدل مانند vLLM استفاده می‌کنید، فوراً به نسخه v0.31.0 یا بالاتر به‌روزرسانی کنید.
• برای تیم‌های DevOps، بررسی کنید که آیا ابزارهای اسکن فعلی شما فقط الگو-محور هستند یا می‌توانند منطق اجرای برنامه را تحلیل کنند.
• در صورت داشتن بودجه ابری در Anthropic، درخواست دسترسی به بتای Harness را از طریق Marketplace ثبت کنید.

اما تأمین سخت‌افزاری برای اجرای چنین مدل‌های شکارچی در مقیاس وسیع، چالش بعدی است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.