ماجرای باگ خطرناک ایجنت Muse؛ وقتی حفره امنیتی هوش مصنوعی متا پای زاکربرگ را وسط کشید!

متا تنها ۱۱ روز پیش از رونمایی رسمی ایجنت هوش مصنوعی Muse در ۸ سپتامبر، چند آسیب‌پذیری حساس از نوع فرار از ماشین مجازی (KVM Escape) در آن شناسایی کرد؛ خطایی آن‌قدر پرریسک که متا برای محافظت از مرزهای امنیتی سرورهایش، جایزه سنگین ۳۰۰ هزار دلاری تعیین کرده بود.

بر اساس اسناد داخلی و اظهارات یک منبع آگاه که رسانه 404 Media به آن‌ها دست یافته، مهندسان متا در هفته‌های پایانی منتهی به عرضه، چندین رخنه امنیتی در لایه مجازی‌سازی Muse پیدا کرده بودند. جالب اینجاست که طبق همین گزارش، حداقل یکی از این باگ‌ها آن‌قدر بحرانی بوده که گزارشش مستقیماً به مارک زاکربرگ رسیده است.

شاید اصطلاح فرار از KVM (یا KVM Escape) در نگاه اول شبیه یکی از همان اصطلاحات پیچیده فنی به نظر برسد، اما درکش اصلاً سخت نیست. ماشین مجازی ایجنت Muse را مثل یک واحد آپارتمان شخصی در نظر بگیرید که کاملاً از بقیه واحدهای ساختمان جدا شده است. حالا «فرار از KVM» دقیقاً مثل این است که توی دیوار خانه‌تان دری مخفی پیدا کنید که مستقیم به اتاق تأسیسات کل برج باز می‌شود؛ همان‌جایی که تابلوهای برق اصلی، فلکه‌های آب و کلیدهای مادر ساختمان قرار دارند!

در ماجرای Muse، این اتاق تأسیسات همان زیرساخت‌ها و سرور‌های اصلی متا (Production) و سرویس‌هایی است که خودتان به ایجنت اجازه دسترسی به آن‌ها را داده‌اید. بنابراین، نفوذ به این بخش صرفاً یک باگ محدود به حساب شما نیست، بلکه یک تهدید امنیتی بزرگ برای کل زیرساخت عملیاتی به حساب می‌آید.

در یک پست داخلی به‌تاریخ ۱۸ سپتامبر که توسط مدیران ارشد زیرساخت متا یعنی سوروپا بیسواس (Surupa Biswas)، فرانسوا ریچارد (Francois Richard) و جاش بَری (Josh Barry) منتشر شد و 404 Media آن را فاش کرد، ماجرا خیلی روشن توضیح داده شده است: «ما با Muse داریم رسماً ایجنت‌ها را از طرف کاربران نهایی میزبانی و اجرا می‌کنیم؛ رویکردی که یک پارادایم کاملاً متفاوت و تازه است.»

طبق همین گزارش، تیم‌های فنی متا شب‌ها و روز‌های آخر هفته را بی‌وقفه کار کردند تا لایه‌های امنیتی را سفت‌وسخت‌تر کنند؛ کار‌هایی مثل محدود کردن دامنه شبکه ایجنت‌ها و بستن مقصدهایی که از داخل ماشین‌های مجازی قابل‌دسترسی بودند. البته این اطلاعات از اسناد درزکرده و منابع ناشناس به دست آمده و متا در بیانیه‌های عمومی هرگز به این التهاب و بحران اشاره نکرده؛ این شرکت صرفاً گفته که تست‌های امنیتی گسترده‌ای انجام داده و روند ایمن‌سازی محصول همچنان ادامه دارد.

اما یک عدد به‌تنهایی گویای همه‌چیز است: برنامه پاداش کشف باگ (Bug Bounty) متا، نفوذ به مرز میان Muse و سرور‌های اصلی را در بالا‌ترین رده حساسیت قرار داده و برای گزارش‌های معتبر تا سقف ۳۰۰ هزار دلار پاداش نقدی می‌دهد.

یک آسیب‌پذیری پایان ماجرا نبود!

افشاگری‌های بعد از عرضه نشان داد که وصله‌های امنیتی پیش از انتشار، تازه بخش کوچکی از ماجرا را حل کرده بودند.

مدت کوتاهی پس از انتشار Muse، پاتریک واردل (Patrick Wardle)، پژوهشگر باسابقه امنیت، از یک آسیب‌پذیری روز-صفر (Zero-day) در نسخه سیستم‌عامل مک پرده برداشت. یک تنظیمات ثبت‌نشده به برنامه‌های محلی اجازه می‌داد بخش تایپ صوتی Muse را به سمت سرور تحت کنترل هکر بفرستند و عملاً فایل‌های صوتی، پرامپت‌ها و داده‌های احراز هویت را لو بدهند.

متا با انتشار یک پچ اضطراری (Hotfix) این مشکل را جمع کرد و گفت این خطا صرفاً یک باگ «ارتقای سطح دسترسی محلی» بوده که نیاز به اجرای بدافزار از قبل روی سیستم کاربر داشته است. دیوید سینگلتون از آزمایشگاه هوش جامع متا هم در گفتگو با وبسایت ورج موضع مشابهی گرفت. با این حال، میان واردل و متا بر سر عملی بودن این نفوذ اختلاف نظر وجود داشت؛ چرا که یک حمله مهندسی اجتماعی از راه دور هم می‌توانست بستر دسترسی محلی را بسازد.

نگرانی بزرگ‌تر پاتریک واردل که در گزارش 404 Media بازتاب یافته، ریشه در یک مشکل ساختاری دارد: «حتی یک نقص کوچک در KVM (یا کانفیگ اشتباه یکی از سرویس‌های داخلی) می‌تواند کدهای دلخواه کاربر را به دسترسی آزاد روی سرور‌های عملیاتی تبدیل کند.»

البته این یک ارزیابی ریسک است و به معنی نفوذ واقعی به سرور‌ها نیست. با این حال در رویدادی دیگر، گزارش شد که یکی از کاربران توانسته با هدایت ایجنت Muse، فهرست فالوورهای اینستاگرام (و حتی فالوورهای آن‌ها) را به صورت یک‌جا استخراج کند؛ کاری که نباید مجاز می‌بود و تیم‌های امنیتی متا را به تکاپو انداخت.

سپردن دسترسی تمام‌عیار حساب‌ها به یک ایجنت هوش مصنوعی و بعد متوجه شدن اینکه قفل‌ها تازه در حال تست شدن بوده‌اند، شبیه آزمایش نسخه آزمایشی یک نرم‌افزار نیست؛ بیش‌تر شبیه سپردن سوییچ ماشین به پارکبان است، آن هم قبل از اینکه ترمزها تست شده باشند!

استانداردی که کل صنعت باید جدی بگیرد

سؤال اصلی این نیست که آیا متا باید محصولش را منتشر می‌کرد یا نه؛ بلکه بحث بر سر این است که کلمه «آماده» برای ایجنت‌هایی با این سطح از دسترسی واقعاً چه معنایی باید داشته باشد.

هوش مصنوعی ایجنت‌محور (Agentic AI) در یک نقطه حساس قرار گرفته است. کدهای در اختیار کاربر درست داخل زیرساخت ابری و در مجاورت سرور‌های عملیاتی اجرا می‌شوند و کاربر کنترل زیادی داخل ماشین مجازی دارد. همین مسئله، مرز مجازی‌سازی را از یک سندباکس ساده به یک کمربند امنیتی حیاتی تبدیل می‌کند.

متا اعلام کرده که قصد دارد قابلیت ماشین‌های مجازی محرمانه (Confidential VM) را برای Muse توسعه دهد تا حتی خود مهندسان متا هم نتوانند به داده‌های کاربر دسترسی پیدا کنند. البته طبق گزارش ونچربیت، زمان عرضه و جزییات فنی این قابلیت هنوز قطعی نیست.

امکانات جذابی که Muse نوید می‌دهد واقعاً ارزش دنبال کردن را دارد؛ اما راحتی‌ای که بر پایه امنیت متزلزل و شتاب‌زده بنا شود، استانداردی است که باید کل صنعت هوش مصنوعی را در برابرش پاسخگو نگه داریم؛ از همین امروز، قبل از اینکه زمان عرضه ابزار بعدی فرا برسد.