بیش از ۳۰ آسیب‌پذیری امنیتی در محیط‌های توسعه یکپارچه (IDE) مبتنی بر هوش مصنوعی کشف شده است که می‌تواند منجر به سرقت داده و اجرای کد از راه دور شود. این آسیب‌پذیری‌ها که به‌طور جمعی IDEsaster نامیده شده‌اند، محصولات محبوبی مانند Cursor، Windsurf، GitHub Copilot، Zed.dev و Roo Code را تحت تأثیر قرار می‌دهند و ۲۴ مورد از آن‌ها شناسه CVE دریافت کرده‌اند. محقق امنیتی آری مارزوک توضیح داد که این حملات با ترکیب تزریق دستور (prompt injection) به مدل‌های زبانی بزرگ، فراخوانی خودکار ابزارها توسط عوامل هوش مصنوعی، و سوءاستفاده از ویژگی‌های مشروع IDE انجام می‌شوند.
برخی از حملات شناسایی‌شده شامل سرقت فایل‌های حساس از طریق تزریق دستور و ایجاد فایل JSON با اسکیمای راه دور، و همچنین اجرای کد مخرب از طریق دستکاری فایل‌های تنظیمات IDE است. مارزوک توصیه کرد که توسعه‌دهندگان تنها از IDE های هوش مصنوعی با پروژه‌های قابل اعتماد استفاده کنند و به سرورهای MCP (Model Context Protocol) مشکوک متصل نشوند. این کشفیات همزمان با شناسایی آسیب‌پذیری‌های مشابه در ابزارهای کدنویسی هوش مصنوعی دیگر مانند OpenAI Codex CLI و Google Antigravity است که نشان می‌دهد ابزارهای هوش مصنوعی چگونه سطح حمله دستگاه‌های توسعه را گسترش می‌دهند و نیاز به رویکرد امنیتی جدیدی به نام “Secure for AI” را برجسته می‌کنند.
کلمات کلیدی : آسیب‌پذیری امنیتی, محیط توسعه یکپارچه, هوش مصنوعی, تزریق دستور, اجرای کد از راه دور, IDEsaster
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.