Agentjacking Attacks

সাইবার নিরাপত্তা গবেষকরা এজেন্টজ্যাকিং নামে একটি নতুন আক্রমণ কৌশল উন্মোচন করেছেন, যা এমন একটি পদ্ধতি যার মাধ্যমে কৃত্রিম বুদ্ধিমত্তা সম্পন্ন কোডিং সহকারীদেরকে কাজে লাগিয়ে ডেভেলপারদের সিস্টেমে আক্রমণকারীর নিয়ন্ত্রিত কোড কার্যকর করানো যায়।

এই আক্রমণটি বহুল ব্যবহৃত ওপেন-সোর্স এরর ট্র্যাকিং ও পারফরম্যান্স মনিটরিং প্ল্যাটফর্ম সেন্ট্রি (Sentry)-এর মাধ্যমে তৈরি একটি ভুয়া এরর রিপোর্টকে কাজে লাগায়। গবেষকদের মতে, এই দুর্বলতাটি সেন্ট্রির ইভেন্ট ইনজেশন মেকানিজম এবং মডেল কনটেক্সট প্রোটোকল (MCP)-এর মাধ্যমে এআই সিস্টেমের সাথে এর ইন্টিগ্রেশন সম্পর্কিত একটি মৌলিক স্থাপত্যগত ত্রুটি থেকে উদ্ভূত হয়েছে।

যেহেতু Sentry একটি বৈধ ডেটা সোর্স নেম (DSN) আছে এমন যে কারো কাছ থেকে যথেচ্ছ ইভেন্ট পেলোড গ্রহণ করে, তাই আক্রমণকারীরা এরর রিপোর্টে ক্ষতিকারক কন্টেন্ট ঢুকিয়ে দিতে পারে। পরবর্তীতে যখন এই রিপোর্টগুলো Sentry MCP সার্ভারের মাধ্যমে Claude Code বা Cursor-এর মতো AI কোডিং অ্যাসিস্ট্যান্ট দ্বারা সংগ্রহ করা হয়, তখন ঢুকিয়ে দেওয়া কন্টেন্টকে বৈধ ট্রাবলশুটিং নির্দেশিকা হিসেবে ব্যাখ্যা করা হতে পারে।

আক্রমণের পেছনের স্থাপত্যগত ত্রুটি

এজেন্টজ্যাকিংয়ের মূলে রয়েছে এমসিপি-সংযুক্ত বাহ্যিক পরিষেবাগুলোর দ্বারা সৃষ্ট একটি বিশ্বাসের সংকট। সেন্ট্রি এমসিপি সার্ভার ইভেন্ট ডেটাকে এআই এজেন্টদের কাছে বিশ্বস্ত আউটপুট হিসেবে ফেরত পাঠায়, এমনকি যখন সেই ডেটা যাচাইবিহীন উৎস থেকে আসে।

এর ফলে, এআই কোডিং এজেন্টরা নির্ভরযোগ্যভাবে নির্ধারণ করতে পারে না যে কোনো ত্রুটিপূর্ণ ঘটনা প্রকৃত অ্যাপ্লিকেশন ব্যর্থতার কারণে ঘটেছে, নাকি কোনো হুমকি সৃষ্টিকারী পক্ষ ইচ্ছাকৃতভাবে তা ঘটিয়েছে। বিশ্বস্ত বিষয়বস্তু এবং ক্ষতিকারক ইনপুটের মধ্যে পার্থক্য করতে না পারার এই অক্ষমতা, যখনই এজেন্ট প্রদত্ত নির্দেশাবলী প্রক্রিয়াকরণ ও অনুসরণ করে, তখনই যথেচ্ছ কোড কার্যকর হওয়ার একটি পথ তৈরি করে।

একটি সফল অনুপ্রবেশের ফলে অত্যন্ত সংবেদনশীল তথ্য ফাঁস হতে পারে, যার মধ্যে রয়েছে এনভায়রনমেন্ট ভেরিয়েবল, গিট ক্রেডেনশিয়াল, ব্যক্তিগত রিপোজিটরি ইউআরএল এবং ডেভেলপারের পরিচয় সংক্রান্ত তথ্য। উল্লেখযোগ্যভাবে, এই আক্রমণের জন্য ফিশিং ক্যাম্পেইন, ম্যালওয়্যার স্থাপন বা লক্ষ্যবস্তুর অবকাঠামোতে পূর্ববর্তী অনুপ্রবেশের প্রয়োজন হয় না।

এজেন্টজ্যাকিং অ্যাটাক চেইন কীভাবে কাজ করে

আক্রমণটি বেশ কয়েকটি সুপরিকল্পিত পর্যায়ের মধ্য দিয়ে সংঘটিত হয়:

• একজন আক্রমণকারী লক্ষ্যবস্তু প্রতিষ্ঠানের সেন্ট্রি ডিএসএন (Sentry DSN) শনাক্ত করে, যা একটি সর্বজনীন ও শুধুমাত্র লেখার অনুমতিযুক্ত পরিচয়পত্র এবং সাধারণত ওয়েবসাইটগুলোতে এমবেড করা থাকে।
• প্রকাশিত DSN ব্যবহার করে, একটি POST অনুরোধের মাধ্যমে Sentry-এর ইনজেশন এন্ডপয়েন্টে একটি ক্ষতিকর ত্রুটি ইভেন্ট জমা দেওয়া হয়।
• ইনজেক্ট করা ইভেন্টটিতে মেসেজ ফিল্ড এবং কনটেক্সট কী-এর নামের মধ্যে বিশেষভাবে তৈরি করা মার্কডাউন কন্টেন্ট এমবেড করা থাকে।
• যখন Sentry MCP সার্ভার ইভেন্টটি গ্রহণ করে, তখন ক্ষতিকারক বিষয়বস্তুটি এমন কাঠামোগত তথ্য হিসেবে প্রদর্শিত হয় যা দেখতে Sentry-দ্বারা তৈরি বৈধ নির্দেশনার মতোই লাগে।
• পরবর্তীতে একজন ডেভেলপার একটি এআই কোডিং অ্যাসিস্ট্যান্টকে Sentry-এর অমীমাংসিত সমস্যাগুলো তদন্ত বা সমাধান করার নির্দেশ দেন।

• এআই এজেন্ট এমসিপি-এর মাধ্যমে সেন্ট্রিকে কোয়েরি করে এবং আক্রমণকারী-নিয়ন্ত্রিত ইভেন্টটি গ্রহণ করে।

• ক্ষতিকারক নির্দেশাবলীগুলোকে বিশ্বস্ত প্রতিকারমূলক পদক্ষেপ হিসেবে গণ্য করা হয়, যার ফলে এআই এজেন্ট ডেভেলপারের বিশেষাধিকার নিয়ে আক্রমণকারীর সরবরাহ করা কোড কার্যকর করে।

কেন আক্রমণটি এত কার্যকর

এজেন্টজ্যাকিংয়ের সবচেয়ে উদ্বেগজনক দিকগুলোর মধ্যে একটি হলো, আক্রমণকারীরা কখনোই ভুক্তভোগীর অবকাঠামোর সাথে সরাসরি যোগাযোগ করে না। এর পরিবর্তে, একটি সাধারণ ত্রুটি প্রতিবেদনের আড়ালে ক্ষতিকারক নির্দেশাবলী লুকিয়ে রাখা হয়।

যখন ডেভেলপাররা তাদের এআই কোডিং এজেন্টের কাছে সহায়তা চান, তখন পরিবর্তিত ত্রুটির বার্তাটিকে একটি বৈধ সমাধান সুপারিশ হিসেবে ব্যাখ্যা করা হয়। এরপর এআই এজেন্টটি ডেভেলপারের নিজস্ব অনুমতি ব্যবহার করে তার মেশিনে নির্দেশাবলী কার্যকর করে।

এজেন্টজ্যাকিং বিশেষভাবে বিপজ্জনক, কারণ এটি ডেভেলপার এবং এআই অ্যাসিস্ট্যান্টদের মধ্যকার বিশ্বস্ত সম্পর্ককে লক্ষ্যবস্তু করে। মার্কডাউন ইনজেকশন কৌশলটি এতটাই বিশ্বাসযোগ্যভাবে ডিজাইন করা হয় যে, এআই এজেন্ট ক্ষতিকারক বিষয়বস্তু এবং সেন্ট্রি-দ্বারা-উৎপাদিত আসল নির্দেশনার মধ্যে পার্থক্য করতে পারে না।

ব্যাপক প্রচার এবং বিক্রেতার প্রতিক্রিয়া

গবেষকরা বৈধ এবং ইনজেক্টেবল সেন্ট্রি ডিএসএন সহ কমপক্ষে ২,৩৮৮টি সংস্থা শনাক্ত করেছেন বলে জানা গেছে, যা এই সমস্যার সম্ভাব্য ব্যাপকতা তুলে ধরে।

সেন্ট্রি এই পর্যবেক্ষণগুলো স্বীকার করেছে, কিন্তু প্রাপ্ত তথ্য অনুযায়ী তারা এই সিদ্ধান্তে পৌঁছেছে যে একটি সম্পূর্ণ প্রযুক্তিগত সমাধান সম্ভব নয়। এর পরিবর্তে, সংস্থাটি একটি বৈশ্বিক কন্টেন্ট-ফিল্টারিং ব্যবস্থা চালু করেছে, যার উদ্দেশ্য হলো এই আক্রমণের সাথে যুক্ত একটি নির্দিষ্ট পরিচিত পেলোড প্যাটার্নকে ব্লক করা।

এআই এজেন্টরাই হয়ে উঠছে নতুন আক্রমণের ক্ষেত্র।

এজেন্টজ্যাকিংয়ের আবির্ভাব দেখিয়ে দেয় যে, কীভাবে এআই কোডিং অ্যাসিস্ট্যান্টগুলো দ্রুত একটি নতুন ও আকর্ষণীয় আক্রমণের ক্ষেত্র হয়ে উঠছে। প্রচলিত নিরাপত্তা ব্যবস্থাগুলোকে লক্ষ্যবস্তু করার পরিবর্তে, আক্রমণকারীরা সংস্থাগুলোর দ্বারা প্রকাশ্যে উন্মুক্ত করা বিশ্বস্ত ডেটা প্রবাহকে কাজে লাগাতে পারে।

এই আক্রমণটি এন্ডপয়েন্ট ডিটেকশন অ্যান্ড রেসপন্স (EDR) সলিউশন, ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল (WAF), আইডেন্টিটি অ্যান্ড অ্যাক্সেস ম্যানেজমেন্ট (IAM) সিস্টেম, ভিপিএন, ক্লাউডফ্লেয়ার সুরক্ষা এবং প্রচলিত ফায়ারওয়াল সহ অনেক প্রচলিত নিরাপত্তা প্রযুক্তিকে বাইপাস করতে সক্ষম। যেহেতু আক্রমণ শৃঙ্খল চলাকালীন সম্পাদিত প্রতিটি পদক্ষেপ অনুমোদিত এবং বৈধ বলে মনে হয়, তাই নিরাপত্তা সরঞ্জামগুলির সনাক্ত করার মতো কোনো সুস্পষ্ট ক্ষতিকারক কার্যকলাপ নাও থাকতে পারে।

যেহেতু সংস্থাগুলো এআই-সহায়তাযুক্ত সফটওয়্যার উন্নয়নের ব্যবহার দ্রুততর করছে, এজেন্টজ্যাকিং একটি জোরালো অনুস্মারক হিসেবে কাজ করে যে, যখন বাহ্যিক ডেটা উৎসগুলোকে সহজাতভাবে বিশ্বাসযোগ্য বলে ধরে নেওয়া হয়, তখন এআই এজেন্টদের ওপর রাখা বিশ্বাস নিজেই একটি নিরাপত্তা ঝুঁকিতে পরিণত হতে পারে।