اگر به برنامه‌نویسان اجازه دهید ابزارهای هوش مصنوعی عامل‌محور را بدون نظارت مرکزی در ترمینال اجرا کنند، در واقع دسترسی ریشه (Root Access) به دارایی‌های معنوی شرکت را به آن‌ها می‌بخشید. یک حسابرسی امنیتی روی تیمی با بیش از ۶۰ مهندس فاش کرد که در حالی که استفاده از نسخه‌های وب امن بود، استقرار Claude Code در محیط ترمینال، دری باز برای مهاجمان است.
همان‌طور که در تحلیل قبلی ما درباره‌ی نقش مدل‌های آنتروپیک (Anthropic) در نوشتن ۸۰ درصد کدهای تولیدی اشاره کردیم، این چرخش به سمت ابزارهای کدنویسی عامل‌محور (Agentic) — یعنی ابزارهایی که مثل دستیاری هستند که خودش تصمیم می‌گیرد کدام فایل را باز کند و چه دستوری را اجرا نماید — ریسک را از مرورگر به سیستم فایل منتقل می‌کند. این چالش‌های امنیتی در سیستم‌های عامل‌محور جدید نیست؛ برای نمونه، نقص امنیتی در نایب‌سرگردان متا نشان داد که چگونه دسترسی‌های گسترده‌ی مدل‌ها می‌تواند منجر به افشای داده‌های حساس در مقیاس وسیع شود. برخلاف اپلیکیشن‌های وب، ابزارهای ترمینالی با دسترسی کامل کاربر اجرا می‌شوند و به‌جای نشست‌های موقت مرورگر، بر کلیدهای API دائمی تکیه دارند که سیستم‌های احراز هویت سنتی را دور می‌زنند.
بر اساس گزارش مفصل وب‌سایت dev.to در ۱۸ ژوئن ۲۰۲۶، دو آسیب‌پذیری مدل ذهنی این تیم را تغییر داد. مورد نخست (CVE-2025-59536 با امتیاز ۸.۷)، اجازه می‌داد یک فایل تنظیمات مخرب در مخازن کلون‌شده، قبل از نمایش پیام تأیید، دستورات پوسته را اجرا کند. مورد دوم (CVE-2026-21852 با امتیاز ۵.۳) به مهاجمان اجازه می‌داد متغیر ANTHROPIC_BASE_URL را تغییر داده و ترافیک API را برای سرقت کلیدهای دسترسی منحرف کنند. این آسیب‌پذیری‌ها در حالی رخ داد که توسعه‌دهندگان بسیاری از توانمندی‌های جستجوی پیشرفته در Claude Code برای تحلیل کدهای پیچیده و مستندات پنهان استفاده می‌کردند.
طبق مستندات این تیم، آن‌ها برای بستن این حفره‌ها یک دفاع چهارلایه پیاده کردند:
- درگاه API: جایگزینی کلیدهای خام با کلیدهای مجازی در TrueFoundry تا اعتبارنامه اصلی هرگز روی سیستم برنامه‌نویس نباشد.
- اجبار MDM: قفل کردن متغیرهای محیطی در سطح سیستم‌عامل با استفاده از Jamf و Ansible.
- محدودیت سیستم فایل: استقرار فایل
managed-settings.jsonبرای ممنوعیت دسترسی به پوشه‌های حساس مثل.sshیا.env. - حکمرانی MCP: متمرکز کردن دسترسی‌های پروتکل زمینهٔ مدل (MCP) — که مثل یک استاندارد مشترک برای اتصال مدل به ابزارهای خارجی است — از طریق یک درگاه برای جلوگیری از تزریق پرامپت (Prompt Injection) از ابزارهایی مثل جیرا.
گام بعدی شما
- تنظیمات محلی
.claudeرا در تمامی مخازن بررسی کنید تا فایل‌های تنظیمات غیرمعتبر وجود نداشته باشد. - از کلیدهای API دائمی در محیط محلی فاصله بگیرید و به سمت معماری Gateway حرکت کنید.
- دسترسی‌های فایل‌سیستمی ابزارهای AI را به پوشه‌های غیرحساس محدود کنید.
اما داستان سخت‌افزاری مدیریت این درگاه‌های امنیتی حتی پیچیده‌تر است؛ برای درک هزینه‌های زیرساختی این تغییرات، به تحلیل ما درباره تفاوت‌های استنتاج محلی و ابری مراجعه کنید.
گفتگو