محققان امنیت سایبری شرکت Check Point چندین آسیب‌پذیری جدی در ابزار کدنویسی هوش مصنوعی «Claude Code» شرکت Anthropic کشف و افشا کرده‌اند که می‌توانند منجر به اجرای کد از راه دور (remote code execution) و سرقت کلیدهای API شوند. این آسیب‌پذیری‌ها از طریق مکانیزم‌های پیکربندی از جمله Hooks، سرورهای پروتکل زمینه مدل (Model Context Protocol/MCP) و متغیرهای محیطی (environment variables) قابل بهره‌برداری هستند؛ به گونه‌ای که صرف باز کردن یک مخزن کد (repository) مخرب می‌تواند برای مهاجم کافی باشد تا کلیدهای API فعال توسعه‌دهنده را به سرقت ببرد، ترافیک احراز هویت‌شده را به زیرساخت خارجی هدایت کند و اعتبارنامه‌ها را به دست آورد.
سه آسیب‌پذیری شناسایی‌شده شامل دو نقص تزریق کد (code injection) با امتیاز CVSS برابر ۸.۷ (CVE-2025-59536 و یک آسیب‌پذیری بدون شناسه CVE) و یک نقص افشای اطلاعات (information disclosure) با شناسه CVE-2026-21852 و امتیاز ۵.۳ هستند که همگی در نسخه‌های مختلف بین سپتامبر ۲۰۲۵ تا ژانویه ۲۰۲۶ رفع شده‌اند. محققان Check Point هشدار دادند که این یافته‌ها نشان می‌دهد در محیط‌های توسعه مبتنی بر هوش مصنوعی، زنجیره تأمین (supply chain) نه تنها از کد منبع، بلکه از لایه‌های اتوماسیون پیرامون آن آغاز می‌شود و فایل‌های پیکربندی عملاً بخشی از لایه اجرایی سیستم محسوب می‌شوند.
کلمات کلیدی : آسیب‌پذیری Claude Code, اجرای کد از راه دور, سرقت کلیدهای API, امنیت ابزارهای هوش مصنوعی, تزریق کد در Claude, آسیب‌پذیری Anthropic
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.