عامل حمله خودکار «حالت اسکای‌نت» مدل‌های هوش مصنوعی دیگران را می‌دزدد
تیم سیمنتک عاملی را شناسایی کرد که با ربودن مدل‌های زبانی بدون حفاظ، تا ۱۰۰ هزار گام حمله را بدون تأیید انسان پیش می‌برد و استخراج رمزارز می‌کند.
پژوهشگران تیم Threat Hunter شرکت سیمنتک از کشف یک عامل (agent) حمله خودکار خبر داده‌اند که در سراسر اینترنت دنبال سرویس‌های مدل زبانی بدون احراز هویت یا کلیدهای API سرقت‌شده می‌گردد. این عامل مدل پیداشده را به «موتور استدلال» حمله تبدیل می‌کند. دستورهای آن شامل حلقه‌ای به نام «حالت اسکای‌نت» است که اجازهٔ اجرای تا ۱۰۰ هزار گام بدون تأیید انسان را می‌دهد. گزارش سیمنتک ۲۱ اکتبر ۲۰۲۶ منتشر شد و رسانه‌ها از ۲۴ اکتبر به آن پرداختند.
عامل چطور کشف شد و چه می‌کند
به گفتهٔ سیمنتک، پژوهشگران تابستان ۲۰۲۶ با راه‌اندازی یک «هانی‌پات» هوش مصنوعی، یعنی سرویسی ساختگی که شبیه یک مدل زبانی بی‌حفاظ روی اینترنت به نظر می‌رسد، کل مجموعه دستورهای عامل را ثبت کردند. در بازهٔ پایش، این هانی‌پات بیش از ۱۲۷ هزار درخواست خارجی از ده‌ها هزار آدرس مختلف دریافت کرده است.
عامل به‌دنبال نقاط پایانی سازگار با قالب درخواست OpenAI می‌گردد: مدل‌های خودمیزبان، دروازه‌های هوش مصنوعی و سرورهای MCP. پس از پیدا کردن هدف، برنامه‌ریزی و هدایت حمله را به همان مدل می‌سپارد. اسکن، سوءاستفاده از آسیب‌پذیری و استخراج رمزارز را ماژول‌های خود ابزار روی قربانیان دیگر انجام می‌دهند. کارهای فهرست‌شده شامل سرقت پایگاه داده، جمع‌آوری رمز و کلید، اجرای کد از راه دور و ماینر مونرو است.
نکات کلیدی
- حداکثر ۱۰۰ هزار گام بدون تأیید انسان
- حدود ۷۴ ابزار تهاجمی در دستورهای ثبت‌شده
- هدف: نقاط پایانی مدل زبانی، دروازهٔ هوش مصنوعی و MCP
لایه‌های دور زدن محدودیت مدل
درخواست‌ها پنج لایه دارند. دو لایهٔ نخست هویت مدل را پنهان می‌کنند و با ادعای «محیط توسعهٔ مجاز»، خواندن فایل‌های .env و کلیدها را کار عادی برنامه‌نویسی جلوه می‌دهند. دو لایهٔ بعدی یک شخصیت جیلبریک است که مدل را به نپذیرفتن هیچ درخواستی و پرهیز از واژه‌هایی مثل «غیرقانونی» یا «اخلاقی» وادار می‌کند. لایهٔ پنجم تعریف ابزارهاست؛ از کشف دارایی در مقیاس اینترنت و مدیریت بات‌نت تا ماژول‌های اجرای کد برای فریم‌ورک‌هایی مانند Django، Laravel، Next.js و Flask، و حملهٔ SSRF.
به گفتهٔ سیمنتک، لایه‌های جیلبریک عمدتاً آماده و عمومی هستند و هیچ تکنیکی به‌تنهایی تازه نیست. تازگی کار در یکپارچه‌سازی آن‌ها در یک عامل است که برنامه‌ریزی را به مدلی قرضی می‌سپارد.
چرا مهم است
این روش دو دسته قربانی دارد. صاحب نقطهٔ پایانی در معرض دید هزینهٔ پردازش یا توکن‌ها را می‌پردازد و هر سروری که نفوذ شود داده از دست می‌دهد و برای ماینینگ به کار گرفته می‌شود. سیمنتک می‌گوید مهاجمان با این کار ناشناس می‌مانند و حساب‌شان از سوی ارائه‌دهندهٔ مدل مسدود نمی‌شود.
برای برنامه‌نویسان، درس عملی روشن است: هر سرویس سازگار با API مدل‌های زبانی، شامل Ollama، vLLM، پراکسی‌های LiteLLM و سرورهای MCP، نباید بدون احراز هویت روی اینترنت باز باشد. کلیدهای API باید در متغیرهای محیطی و با سقف مصرف نگهداری شوند، نه در مخزن کد. مقالهٔ منتشرشده توصیهٔ دفاعی صریحی نیاورده و این موارد برداشت از ماهیت حمله است.
در ایران، تحریم‌ها باعث شده بسیاری از تیم‌ها مدل‌ها را خودشان روی سرور داخل یا خارج از کشور میزبانی کنند و بعضی سرویس‌ها گاهی بی‌حفاظ می‌مانند؛ این گروه‌ها هدف طبیعی چنین اسکنی‌اند.
جمع‌بندی
سیمنتک می‌گوید شواهدی از استفادهٔ این ابزار در حملات واقعی ندارد و آن را به هیچ فرد یا گروهی نسبت نداده است، اما ابزار را بیش از یک نمونهٔ آزمایشی می‌داند. پیام اصلی این است که مهاجمان به‌جای فریب چت‌بات‌ها، هوش مصنوعی را در هستهٔ ابزار حمله می‌گذارند و بستن دسترسی‌های بی‌احراز هویت به مدل‌ها اکنون یک ضرورت امنیتی است.
منابع
- The Register: Autonomous attack agent in 'Skynet mode' hijacks other modelstheregister.com
- Infosecurity Magazine: Symantec Uncovers AI Agent Hijacking Models for Autonomous Cyber-Attacksinfosecurity-magazine.com
این خبر بر اساس منابع بالا به فارسی بازنویسی و خلاصه شده است؛ برای جزئیات کامل به منبع اصلی مراجعه کنید.