هشدار امنیتی: اتصال ایجنت‌های هوش مصنوعی به سرویس‌های خارجی شعاع حملات را منفجر می‌کند

هنگام کار با ایجنت‌های هوش مصنوعی، فرار از «مثلث مرگبار» امنیتی (شامل دسترسی به داده‌های خصوصی، قرار گرفتن در معرض محتوای غیرقابل‌اعتماد و وجود کانال ارتباطی با دنیای بیرون) به‌خودی‌خود چالش بسیار بزرگی به حساب می‌آید.

اما استفاده از کانکتورها (همان قابلیت‌های اتصال به سرویس‌های شخص ثالث نظیر جیمیل یا اسلک) دایره این نگرانی‌ها را چنان وسعت می‌بخشد که ارزیابی دقیق سازوکارهای دفاعی و امنیتی را عملاً به امری به‌شدت دشوار تبدیل می‌کند.

شرکت امنیت هوش مصنوعی پرامپت‌آرمور (PromptArmor) به‌تازگی نحوه تعامل چت‌بات‌های هوش مصنوعی ChatGPT محصول اوپنای‌آی و Claude ساخت آنتروپیک را با این کانکتورها زیر ذره‌بین برده است؛ تحلیلی که نتایج به‌دست‌آمده از آن به‌هیچ‌وجه اطمینان‌بخش نیست.

شانکار کریشنان، یکی از هم‌بنیان‌گذاران پرامپت‌آرمور، توضیح می‌دهد که استقبال گسترده سازمان‌ها از کانکتورها و نرخ بسیار بالای تغییرات مداوم در این ابزارها، توجه کارشناسان را به خطرات امنیتی اکوسیستم کانکتورها جلب کرده است.

کانکتورها در واقع بر پایه سرورهای پروتکل متن کانتکست (MCP) ساخته شده‌اند و بخشی از خطرات ذاتی آنها را به ارث می‌برند. کریشنان در این باره می‌گوید: «در زمینه کانکتورها، عمده ریسک‌ها مربوط به نوع ابزارها، حوزه اختیارات آنها، مقصد نهایی داده‌ها و اقداماتی است که روی این اطلاعات انجام می‌گیرد.»

کانکتورها که حدود یک سال پیش برای مدل‌های Claude و ChatGPT رونمایی شدند، اخیراً تحولات پرشتابی را تجربه کرده‌اند. طبق یافته‌های پرامپت‌آرمور، ۹۳۱ مورد از ۲٬۵۱۷ کانکتور فعال (معادل ۳۷ درصد) تنها ظرف یک بازه شش‌هفته‌ای از اواسط مه تا پایان ژوئن تغییر کرده‌اند؛ واقعیتی که نشان می‌دهد هرگونه ارزیابی امنیتی قبلی بر مبنای قابلیت‌های اعلام‌شده، ممکن است دیگر هیچ اعتباری نداشته باشد.

یافته‌های این شرکت امنیتی فاش می‌کند که ۱٬۶۸۶ ابزار جدید به کانکتورهای فعالِ موجود اضافه شده است؛ تحولی که راه‌های تازه‌ای را برای دسترسی مدل‌های هوش مصنوعی به داده‌های کاربران و تعامل با سرویس‌های شخص ثالث ایجاد می‌کند.

همچنین مشخص شد توضیحات متنی ۱٬۱۲۷ ابزار بازنویسی شده است؛ تغییری اساسی که می‌تواند زمان و نحوه تصمیم‌گیری مدل هوش مصنوعی را برای فراخوانی یک ابزار خاص به‌کلی دگرگون سازد.

علاوه بر این، تغییرات متنوع دیگری نیز شناسایی شده که همگی پتانسیل افزایش نگرانی‌های امنیتی داده‌ها را دارند و می‌توانند فرضیات نظارتی و سیاست‌های حاکمیتی سازمان‌ها را با چالش‌های جدی روبه‌رو کنند.

پرامپت‌آرمور کانکتور دراپ‌باکس (Dropbox) را به‌عنوان شاهدی بر این ادعا مثال می‌زند؛ در آغاز این مطالعه، کانکتور دراپ‌باکس تنها ۸ ابزار را ارائه می‌داد، اما در پایان تحقیق این رقم به ۲۴ ابزار افزایش یافت. همچنین ابزارهای دارای قابلیت نوشتن از ۳ مورد به ۱۰ مورد رسید و در حالی که پیش از آن هیچ ابزاری با پتانسیل تخریب وجود نداشت، ۴ ابزار با قابلیت‌های بالقوه مخرب به آن افزوده شد؛ ضمن اینکه دامنه دسترسی‌ها دستخوش تغییر شد و دستورالعمل‌های تازه‌ای نیز برای مدل به آن تزریق گردید.

اگر این دغدغه‌ها کافی به نظر نمی‌رسد، جالب است بدانید کانکتورها می‌توانند مانند وب‌سایت‌های مزاحمی عمل کنند که ده‌ها اسکریپت ردیابی را به اجرا درمی‌آورند: این کانکتورها در موارد متعدد داده‌های کاربران را به سرویس‌های هوش مصنوعی جانبی ارسال می‌کنند.

کارشناسان پرامپت‌آرمور با ارزیابی ۷٬۵۱۷ ابزار مورد استفاده در ۴۸۷ کانکتور مدل Claude دریافتند ۱۸۹ کانکتور (یعنی حدود ۲ مورد از هر ۵ کانکتور) احتمالاً سرویس‌های هوش مصنوعی بیرونی و متفرقه را فراخوانی می‌کنند.

این شرکت امنیتی در گزارش خود می‌نویسد: «به‌عنوان نمونه، اگر ایجنت هوش مصنوعی Claude شما ابزار کانکتور زوم (Zoom) را برای جستجوی متنی جلسات به کار گیرد و درخواستی حاوی اطلاعات حساس به آن ارسال کند، هوش مصنوعی زوم ممکن است آن داده‌ها را به هر یک از ۱۰ پردازشگر فرعی خود بفرستد تا از طریق یکی از ۸ خانواده مدلی مختلفی که استفاده می‌کند، پاسخ نهایی را تولید کند.»

کریشنان یادآور می‌شود: «مسئله اصلی این است که اکثر تیم‌های امنیتیِ مسئول تأیید ابزارها، صرفاً خودِ کانکتور را ارزیابی می‌کنند و از این واقعیت بی‌خبرند که شرکت ارائه‌دهنده سرویس، مدل‌های هوش مصنوعی دیگری را در پشت صحنه صدا می‌زند و پردازشگرها و شرایط خدماتی جدیدی اضافه می‌کند. از همین رو، کارشناسی که ریسک‌های مدل Claude را با وسواس ارزیابی کرده، ممکن است اصلاً نداند کانکتور مربوطه داده‌ها را به سرویس‌های هوش مصنوعی جانبی منتقل می‌کند.»

حتی شرکت آنتروپیک نیز در مستندات رسمی کانکتورهای Claude صراحتاً اذعان می‌کند که راهکارهای امنیتی این پلتفرم لزوماً نحوه پردازش داده‌ها در سرویس‌های شخص ثالث را پوشش نمی‌دهد.

این شرکت هوش مصنوعی توضیح می‌دهد: «سرویس‌های متصل، داده‌ها را روی زیرساخت اختصاصی خود و تحت ضوابط خودشان پردازش می‌کنند که ممکن است حتی در خارج از خاک ایالات متحده مستقر باشند. بنابراین تنظیماتی نظیر محدود کردن فرآیند استنتاج Claude به داخل آمریکا در پلن‌های سازمانی، هیچ تأثیری بر موقعیت جغرافیایی و شیوه فعالیت سرویس‌های شخص ثالث ندارد.»

کریشنان هشدار می‌دهد که این کانکتورها سطح حمله علیه سیستم‌های مبتنی بر هوش مصنوعی را به‌شکل چشمگیری گسترش می‌دهند.

او در جمع‌بندی صحبت‌هایش می‌گوید: «وقتی پای داده‌های حساس جدید، محتوای غیرقابل‌اعتماد و امکان اجرای اقدامات پرخطر به میان می‌آید، شعاع تخریب یک حمله سایبری به نقطه انفجار می‌رسد. ما به‌تازگی یک آسیب‌پذیری نگران‌کننده را در مدل کدکس (Codex) مستند کردیم که نشان می‌داد حتی با وجود تنها یک کانکتور ایمیل، ترکیب داده‌های حساس و غیرقابل‌اعتماد می‌تواند بستر را برای سرقت و افشای مکاتبات محرمانه حقوقی و مالی فراهم سازد.»