گسترش استفاده از ایجنت‌های هوش مصنوعی در سازمان‌ها، اگرچه به اتوماسیون فرایندها سرعت بخشیده، اما یک مسیر حمله جدید برای هکرها ایجاد کرده است.
به‌تازگی مشخص شده است که مهاجمان می‌توانند با نفوذ به یک ایجنت آسیب‌پذیر، دستورات مخربی را به سایر ایجنت‌های شبکه ارسال کرده و آن‌ها را وادار به انجام اقداماتی مانند دسترسی غیرمجاز به اطلاعات حساس سازمانی کنند.
این تهدید توسط یک پژوهشگر امنیتی به نام سید انس محی‌الدین و در جریان بررسی سیستم‌های متعلق به سازمان‌های بزرگی چون گوگل، JPMorgan Chase، Rapid7 و برخی نهادهای دولتی شناسایی شد.
این حملات از ضعف‌های موجود در استاندارد ارتباطی Model Context Protocol (به اختصار MCP) که برای تعامل میان اپلیکیشن‌ها و ایجنت‌ها در شبکه‌های داخلی استفاده می‌شود، سوءاستفاده می‌کنند.
ریشه این مشکل به اعتماد بیش از حد سیستم‌ها به ارتباطات داخلی برمی‌گردد. برخی ایجنت‌های تخصصی مانند ابزارهای ترجمه یا تحلیل داده معمولاً فاقد لایه‌های امنیتی قدرتمند هستند. در نتیجه، زمانی که این ایجنت‌ها دستوری را از یک ایجنت داخلی دیگر دریافت می‌کنند، آن را بدون بررسی و اعتبارسنجی کافی اجرا می‌نمایند.
این ضعف به مهاجم اجازه می‌دهد با قرار دادن کدهای مخرب در مسیر پردازش یک ایجنت ضعیف‌تر، حمله خود را به ایجنت‌های مهم‌تر شبکه منتقل کند. این حملات در برخی موارد می‌توانند منجر به جعل درخواست سمت سرور یا SSRF شوند. وضعیتی که در آن سرور قربانی وادار می‌شود درخواست‌هایی را به منابع داخلی یا مقصدهای غیرمجاز مورد نظر مهاجم ارسال کند.
به عنوان یک نمونه جدی، محی‌الدین موفق شد با دستکاری پارامترهای مسیر در ابزار MCP Toolbox گوگل، این ابزار را وادار کند تا مسیر را به سمت یک مقصد داخلی تغییر داده و درخواستی را از طرف مهاجم ارسال کند. گوگل برای رفع این نقص، مجبور به اضافه کردن سیستم‌های بررسی محدوده IPهای مجاز و ایجاد فهرست مسدودشدگان شد.
محی‌الدین این نوع حمله را چرخش پروتکل نامیده زیرا مهاجم از طریق یک پروتکل وارد سیستم شده و سپس با سوءاستفاده از اعتماد میان پروتکل‌های مختلف مانند MCP و A2A، به بخش‌هایی دسترسی پیدا می‌کند که در ابتدا برای او مسدود بوده‌اند. با این حال، برخی دیگر از پژوهشگران امنیتی این حملات را نسخه پیشرفته‌تری از تزریق غیرمستقیم پرامپت می‌دانند.
کارشناسان امنیت سایبری هشدار می‌دهند که برای مقابله با این تهدیدات جدید، معماری‌های مبتنی بر ایجنت نباید اصل امنیتی اعتماد صفر را نادیده بگیرند. بر اساس این اصل، هر ایجنت باید تمام ورودی‌ها، حتی آن‌هایی را که از یک ایجنت داخلی دیگر دریافت می‌کند، مانند دستورات یک فرد ناشناس و غیرقابل اعتماد در نظر بگیرد و پیش از انجام هرگونه عملیات حساس، مجوزهای دسترسی را بررسی و تأیید کند.
در غیر این صورت، تنها یک ایجنت آلوده برای راه‌اندازی واکنش زنجیره‌ای و به خطر انداختن کل شبکه کافی خواهد بود.
