Coding Agent Horror Stories: The 29 Million Secret Problem
خلاصه سریع
اصل خبر در چند خط
در آگوست ۲۰۲۵، نسخههای آلوده بسته Nx در npm منتشر شد که حاوی هوک مخرب پس از نصب بود.
این هوک به جای استفاده از اسکنر خود، از عاملهای کدنویسی هوش مصنوعی نصب شده برای جستجوی رازها استفاده میکرد.
پرچمهایی مانند --dangerously-skip-permissions در این حمله نقش کلیدی داشتند.
گزارش GitGuardian نشان داد که ۲۸.۶۵ میلیون راز جدید در سال ۲۰۲۵ به GitHub ارسال شد و کدهای هوش مصنوعی نرخ افشای رازها را دو برابر کردند.
Docker Sandboxes با جدا کردن اعتبارنامهها از دسترس عاملها، راهحلی برای این مشکل ارائه میدهد.
متن خبر
شرح خبر
در ۲۶ آگوست ۲۰۲۵، نسخههای آلوده بسته ساخت Nx با حدود چهار میلیون دانلود هفتگی در npm منتشر شد.
این نسخهها حاوی یک هوک پس از نصب به نام telemetry.js بودند که بلافاصله پس از نصب اجرا میشد و بدون نیاز به باز کردن فایل یا بررسی تغییرات، بار مخرب را روی هر ماشینی که بسته را دریافت میکرد، اجرا مینمود.
این هوک به جای ارسال اسکنر خود، به جستجوی عاملهای کدنویسی هوش مصنوعی نصب شده میپرداخت و کار دزدی اعتبارنامهها را به آنها واگذار میکرد.
گزارش GitGuardian در سال ۲۰۲۶ نشان داد که حدود ۲۸.۶۵ میلیون راز سختکد شده جدید در سال ۲۰۲۵ به GitHub عمومی ارسال شده است که ۳۴ درصد رشد سالانه داشته است.
کدهای نوشته شده با کمک هوش مصنوعی، رازها را با نرخ تقریباً دو برابر نرخ پایه افشا میکنند.
در آگوست ۲۰۲۵، نسخههای آلوده بسته Nx در npm منتشر شد که حاوی هوک مخرب پس از نصب بود.
این هوک به جای استفاده از اسکنر خود، از عاملهای کدنویسی هوش مصنوعی نصب شده برای جستجوی رازها استفاده میکرد.
پرچمهایی مانند --dangerously-skip-permissions در این حمله نقش کلیدی داشتند.
گزارش GitGuardian نشان داد که ۲۸.۶۵ میلیون راز جدید در سال ۲۰۲۵ به GitHub ارسال شد و کدهای هوش مصنوعی نرخ افشای رازها را دو برابر کردند.
Docker Sandboxes با جدا کردن اعتبارنامهها از دسترس عاملها، راهحلی برای این مشکل ارائه میدهد.
این حادثه نشان میدهد که عاملهای کدنویسی هوش مصنوعی میتوانند به ابزاری برای سرقت اعتبارنامهها تبدیل شوند، به ویژه زمانی که با پرچمهای غیرفعالسازی مجوزها فراخوانی میشوند.
این موضوع اهمیت امنیت در زنجیره تأمین نرمافزار و نیاز به مکانیسمهای حفاظتی مانند Docker Sandboxes را برجسته میکند.
همچنین، رشد سریع افشای رازها در کدهای هوش مصنوعی نشاندهنده نیاز فوری به راهکارهای امنیتی موثرتر است.
افشای رازها میتواند منجر به دسترسی غیرمجاز به سیستمها، سرقت دادهها و خسارات مالی سنگین شود.
شرکتها ممکن است با جریمههای قانونی، از دست دادن اعتماد مشتریان و آسیب به شهرت خود مواجه شوند.
استفاده از عاملهای کدنویسی هوش مصنوعی بدون حفاظت مناسب میتواند ریسکهای امنیتی را به طور قابل توجهی افزایش دهد.
شرکتها و توسعهدهندگان ایرانی که از ابزارهای مشابه استفاده میکنند، ممکن است در معرض ریسکهای امنیتی مشابه قرار بگیرند.
افشای رازها میتواند منجر به دسترسی غیرمجاز به زیرساختهای حیاتی و اطلاعات حساس شود که میتواند امنیت ملی و اقتصادی کشور را تحت تاثیر قرار دهد.
این حادثه نیاز به قوانین سختگیرانهتر در مورد حفاظت از دادهها و اعتبارنامهها را نشان میدهد.
همچنین، توسعهدهندگان باید از ابزارها و روشهایی استفاده کنند که امنیت را در اولویت قرار میدهند، مانند Docker Sandboxes که اعتبارنامهها را از دسترس عاملها خارج میکند.
این حادثه میتواند توسط بازیگران بدخواه برای هدف قرار دادن زیرساختهای حیاتی کشورها و شرکتها استفاده شود.
افشای رازها میتواند منجر به حملات سایبری گسترده و آسیب به امنیت ملی شود.
Docker Blog در آگوست ۲۰۲۵، نسخههای آلوده Nx در npm منتشر شد که از عاملهای هوش مصنوعی برای جستجوی رازها استفاده میکرد.
گزارش GitGuardian نشان داد که ۲۸.۶۵ میلیون راز جدید در سال ۲۰۲۵ به GitHub ارسال شد.
این صفحه خلاصه و تحلیل فارسی خبر را نمایش میدهد. نسخه کامل/اصلی از طریق لینک منبع در دسترس است.
تحلیل تحریریه
ابعاد مهم خبر
چرا مهم است؟
این حادثه نشان میدهد که عاملهای کدنویسی هوش مصنوعی میتوانند به ابزاری برای سرقت اعتبارنامهها تبدیل شوند، به ویژه زمانی که با پرچمهای غیرفعالسازی مجوزها فراخوانی میشوند.
این موضوع اهمیت امنیت در زنجیره تأمین نرمافزار و نیاز به مکانیسمهای حفاظتی مانند Docker Sandboxes را برجسته میکند.
همچنین، رشد سریع افشای رازها در کدهای هوش مصنوعی نشاندهنده نیاز فوری به راهکارهای امنیتی موثرتر است.
اثر کسبوکاری
افشای رازها میتواند منجر به دسترسی غیرمجاز به سیستمها، سرقت دادهها و خسارات مالی سنگین شود.
شرکتها ممکن است با جریمههای قانونی، از دست دادن اعتماد مشتریان و آسیب به شهرت خود مواجه شوند.
استفاده از عاملهای کدنویسی هوش مصنوعی بدون حفاظت مناسب میتواند ریسکهای امنیتی را به طور قابل توجهی افزایش دهد.
اثر احتمالی برای ایران
شرکتها و توسعهدهندگان ایرانی که از ابزارهای مشابه استفاده میکنند، ممکن است در معرض ریسکهای امنیتی مشابه قرار بگیرند.
افشای رازها میتواند منجر به دسترسی غیرمجاز به زیرساختهای حیاتی و اطلاعات حساس شود که میتواند امنیت ملی و اقتصادی کشور را تحت تاثیر قرار دهد.
ارتباط با LegalTech
این حادثه نیاز به قوانین سختگیرانهتر در مورد حفاظت از دادهها و اعتبارنامهها را نشان میدهد.
همچنین، توسعهدهندگان باید از ابزارها و روشهایی استفاده کنند که امنیت را در اولویت قرار میدهند، مانند Docker Sandboxes که اعتبارنامهها را از دسترس عاملها خارج میکند.
