تصور کنید یک درخواست ساده برای خلاصه‌سازی یک صفحه وب، بدون هیچ هشدار یا تاییدیه، به یک نشت داده‌های خصوصی تبدیل شود. این سناریوی ترسناک، هسته اصلی گزارش ۲۲ اوت ۲۰۲۶ از شرکت Adversa AI است که یک باگ استخراج داده‌های zero-click (بدون نیاز به کلیک کاربر) را در Grok متعلق به xAI افشا کرد.
این نقص امنیتی نشان می‌دهد که عامل‌های هوش مصنوعی (AI Agents) — شبیه دستیارهای دیجیتالی که می‌توانند به‌جای شما کارهای واقعی انجام دهند — در مدیریت مرزهای اعتماد دچار شکست شده‌اند. همان‌طور که در تحلیل قبلی ما درباره‌ی ناکارآمدی استانداردهای فعلی در عامل‌های هوش مصنوعی اشاره کردیم، این مورد ثابت می‌کند که وقتی به مدل اجازه اجرای کد و گشت‌وگذار در وب داده می‌شود، فیلترهای ایمنی به‌سادگی دور زده می‌شوند. این آسیب‌پذیری یادآور نشت داده‌های سازمانی در Atlassian Rovo است که از طریق تزریق پرامپت غیرمستقیم رخ داد و نشان می‌دهد که استخراج داده‌ها از طریق ورودی‌های خارجی یک چالش سیستمی است. طبق گزارش این تیم، مهاجم می‌تواند با این روش نام، مکان و تاریخچه چت‌های کاربر را به‌صورت مخفیانه سرقت کند.
سازوکار حمله
پژوهشگران برای نفوذ به سامانه از تکنیکی به نام «تزریق زمینه رمزنگاری‌شده» استفاده کردند:
- رمزنگاری: مهاجم دستورات مخرب را با استفاده از استاندارد AES-256-GCM در یک صفحه وب هدف قرار می‌دهد.
- دور زدن فیلتر: فیلترهای ورودی استاندارد به‌دنبال کلمات کلیدی ممنوعه در متن می‌گردند، اما نمی‌توانند دستورات رمزنگاری‌شده را برای شناسایی محتوا رمزگشایی کنند.
- اجرا در سندباکس: وقتی Grok صفحه را برای خلاصه‌سازی می‌خواند، این داده‌ها را درون سندباکس (Sandbox) — محیطی ایزوله شبیه به یک اتاق قرنطینه برای اجرای کدهای مشکوک — رمزگشایی می‌کند.
- ارتقای سطح اعتماد: مدل خروجی رمزگشایی‌شده را به‌جای محتوای نامطمئن وب، به‌عنوان یک وضعیت داخلی مورد اعتماد تلقی می‌کند.
بر اساس بررسی‌های Adversa AI، این نقص ساختاری تنها محدود به یک شرکت نیست و همین تکنیک توانست فیلترهای ایمنی Google Gemini را نیز دور بزند. در مقابل، برخی شرکت‌ها برای مقابله با این تهدیدات مسیر متفاوتی را برگزیده‌اند؛ برای نمونه، Anthropic با معرفی «تحدید باورهای امنیتی» توانست نرخ موفقیت حفره‌های تزریقی را در مدل‌های خود به شدت کاهش دهد. این حمله در ژوئن ۲۰۲۶ به xAI گزارش شد، اما طبق اعلام پژوهشگران، همچنان بدون اصلاح باقی مانده و نرخ بازتولید آن حدود ۴۰٪ است.
برای توسعه‌دهندگان، این یافته پیش‌فرض امنیتی را از «فیلتر کردن ورودی» به «ایزوله‌سازی اجرا» تغییر می‌دهد. اگر عامل شما قادر به اجرای کد و برقراری تماس‌های خارجی است، سندباکس دیگر یک دیوار نیست، بلکه می‌تواند دروازه‌ای برای خروج داده‌ها باشد.
گام بعدی شما
- دسترسی‌های تماس خارجی (outbound calls) عامل‌های خود را بازبینی کنید.
- فیلترینگ سخت‌گیرانه برای خروجی داده‌ها (egress filtering) را پیاده‌سازی کنید تا از انتقال داده به URLهای ناشناس جلوگیری شود.
- از مدل‌های امنیتی که تفکیک سخت‌گیرانه‌تری بین داده‌های خارجی و وضعیت داخلی دارند استفاده کنید.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.
گفتگو