خبر کامل
هشدار مایکروسافت: دستیار هوش مصنوعی OpenClaw تهدیدی جدی برای امنیت سایبری
هشدار مایکروسافت: دستیار هوش مصنوعی OpenClaw، دروازه‌ای به سوی سرقت اطلاعات
محققان امنیتی مایکروسافت در یک هشدار جدی اعلام کرده‌اند که اجرای دستیار هوش مصنوعی OpenClaw بر روی کامپیوترهای شخصی و سازمانی می‌تواند خطرات امنیتی بی‌سابقه‌ای را به همراه داشته باشد. این سیستم، به دلیل دسترسی گسترده به اطلاعات حساس و توانایی اجرای بی‌سروصدای کدهای مخرب، کاربران را در معرض تهدیدات نامرئی و سرقت اطلاعات قرار می‌دهد.
مکانیزم خطر: چگونه OpenClaw به یک تهدید تبدیل می‌شود؟
OpenClaw با هدف خودکارسازی وظایف طراحی شده و کاربران به آن دسترسی‌های گسترده‌ای از جمله ایمیل‌ها، حساب‌های آنلاین و فایل‌های محلی را می‌دهند. اما نقطه ضعف اصلی زمانی آشکار می‌شود که این هوش مصنوعی قابلیت‌های جدیدی، موسوم به «مهارت» (Skill)، را از منابع عمومی دانلود می‌کند. از آنجا که OpenClaw اعتبارنامه‌ها و توکن‌های ورود را در حافظه خود نگهداری می‌کند، می‌تواند بدون نیاز به تأیید مجدد کاربر، در پس‌زمینه سیستم به فعالیت‌های مخرب یا سرقت اطلاعات بپردازد.
محققان مایکروسافت تأکید می‌کنند که برخلاف نرم‌افزارهای معمولی که کدهای مشخصی را اجرا می‌کنند، OpenClaw دائماً در حال تغییر وضعیت کاری خود است. حافظه و تنظیمات این ایجنت می‌تواند تحت تأثیر محتوایی که می‌خواند قرار گیرد. از آنجایی که این تغییرات از طریق API انجام می‌شوند، سیستم‌های آنتی‌ویروس و محافظتی معمولاً قادر به شناسایی این نفوذها یا تغییرات پیکربندی نیستند. در واقع، مهاجمان به جای ارسال بدافزارهای سنتی، پرامپت‌های مخرب را در قالب متن یا مهارت‌های جدید پنهان کرده و با ایجاد یک روند خودکار، کنترل سیستم را به دست می‌گیرند.
چرخه نفوذ ۵ مرحله‌ای مایکروسافت
مایکروسافت یک چرخه نفوذ پنج مرحله‌ای را برای این حملات تعریف کرده است:
- مرحله ۱: هکر یک «مهارت مسموم» را در پلتفرم ClawHub منتشر می‌کند.
- مرحله ۲: کاربر یا خود ایجنت OpenClaw آن مهارت را نصب می‌کند.
- مرحله ۳: هکر به وضعیت ایجنت، شامل توکن‌ها و رمزهای عبور، دسترسی پیدا می‌کند.
- مرحله ۴: مهاجم با استفاده از این دسترسی‌های مجاز، اطلاعات حساس را به سرقت می‌برد.
- مرحله ۵: هکر با ایجاد تغییرات دائمی در تنظیمات (مانند تأیید مجوزهای جدید یا ایجاد وظایف زمان‌بندی‌شده)، حضور خود را در سیستم تثبیت می‌کند.
توصیه‌های امنیتی مایکروسافت برای کاربران و سازمان‌ها
مایکروسافت قویاً توصیه می‌کند که این هوش مصنوعی تنها در یک محیط کاملاً ایزوله مانند ماشین مجازی و با استفاده از حساب‌های کاربری محدود و غیرحساس اجرا شود. این شرکت اکیداً هشدار می‌دهد که از اجرای OpenClaw با حساب‌های اصلی کاری یا شخصی خودداری کنید. با این حال، اگر سازمان‌ها مجبور به ارزیابی و استفاده از این ابزار هستند، باید استانداردهای امنیتی سختگیرانه‌ای را رعایت کنند.
در مجموع، مایکروسافت پنج راهکار اساسی را برای کاهش خطرات OpenClaw پیشنهاد می‌کند:
- اجرای برنامه فقط در یک ماشین مجازی اختصاصی یا سیستم فیزیکی مجزا.
- استفاده از اعتبارنامه‌ها، رمزهای عبور و توکن‌های اختصاصی که به داده‌های حساس دسترسی ندارند.
- نظارت مستمر بر وضعیت و حافظه ایجنت برای شناسایی رفتارهای غیرعادی و منابع ناشناس.
- تهیه نسخه پشتیبان (بک‌آپ) از وضعیت کاری بدون ذخیره‌کردن توکن‌ها و رمزهای عبور.
- بازسازی و نصب مجدد و مداوم سیستم برای جلوگیری از نفوذهای پنهان و تغییرات دائمی در پیکربندی.
درباره هوش‌مصنوعی دست‌اول:
تمامی اخبار دست‌اول توسط دستیار هوش مصنوعی «هوشنگ» پردازش، صحت‌سنجی، خلاصه و بازنویسی شده است. هوشنگ هر روز با داده‌های جدید آموزش داده می‌شود و با نظارت دقیق انسانی و سردبیری دست‌اول در حال بهتر شدن است.
شما می‌توانید از چت‌بات و سایر ابزارهای هوشنگ به صورت رایگان استفاده کنید.
زمان انتشار:
۱۱:۳۳ - ۱۴۰۴/۱۲/۰۶