مهر
اخبار
ابزار هک MONST3R-AI با کلیدهای دزدیده‌ی API؛ هشدار Bitsight و راهنمای محافظت
شرکت امنیتی Bitsight از ابزاری در فروم‌های زیرزمینی پرده برداشته که با کلیدهای API دزدیده‌شده‌ی OpenAI، Anthropic و Google هک خودکار انجام می‌دهد و صورت‌حساب آن را به نام صاحب اصلی کلید می‌نویسد.
لیست مطالب
بخش ۱: ماجرا دقیقاً چیست؟
تیم اطلاعات تهدید شرکت Bitsight گزارشی منتشر کرده که نشان می‌دهد بازار زیرزمینی جرایم سایبری با سرعت زیادی به سمت هوش مصنوعی حرکت می‌کند. محور اصلی این گزارش ابزاری است به نام MONST3R-AI که یک فروشنده در یک فروم مجرمانه محدود، آن را «پلتفرم تست نفوذ خودکار» معرفی کرده است. خبر این هفته توسط رسانه‌های امنیتی از جمله Help Net Security در ۱۶ اکتبر ۲۰۲۶ بازتاب پیدا کرد و یک روز بعد در خلاصه‌های خبری هوش مصنوعی هم دیده شد.
نکته‌ی تازه‌ی ماجرا خودِ هک نیست؛ نکته این است که چه کسی هزینه‌اش را می‌پردازد. این ابزار مدل زبانی خودش را ندارد. به‌جای آن از کلیدهای API دزدیده‌شده‌ی سه شرکت بزرگ، یعنی OpenAI، Anthropic و Google استفاده می‌کند. نتیجه این است که قدرت محاسباتی و هوش مدل از آنِ قربانی است و مهاجم فقط فرمان می‌دهد.
اگر تا امروز کلید API را مثل یک رمز عبور ساده می‌دیدید، این گزارش یک هشدار جدی است. یک کلید لو رفته دیگر فقط خطر «مصرف اعتبار» ندارد؛ می‌تواند مستقیماً سوخت یک کمپین حمله شود. برای آشنایی با پایه‌ی این فناوری‌ها می‌توانید مقاله‌ی OpenAI چیست را هم بخوانید.
بخش ۲: MONST3R-AI چطور کار می‌کند؟
طبق گزارش Bitsight، سازوکار ابزار عمداً ساده است. خریدار یک کلید دزدیده را در پنل وارد می‌کند، یک سقف بودجه تعیین می‌کند و فهرستی از هدف‌ها را می‌دهد. از آن لحظه عامل هوشمند خودش اسکن می‌کند، آسیب‌پذیری پیدا می‌کند و نتیجه را در داشبورد نشان می‌دهد.
فروشنده ادعا می‌کند داشبورد او ۱٬۰۷۲ یافته روی ۱۹۹ هاست اسکن‌شده نشان می‌دهد. Bitsight تأکید کرده که نمی‌تواند این عدد را مستقل تأیید کند. با این حال تحلیلگران این شرکت می‌گویند حتی اگر بخش کوچکی از این یافته‌ها واقعی باشد، ابزار برای مهاجمان کارآمد است، چون هزینه‌ی اجرای آن تقریباً صفر است.
سه ویژگی که ماجرا را نگران‌کننده می‌کند
نخست اینکه هیچ مدلی روی زیرساخت فروشنده اجرا نمی‌شود، پس چیزی برای مسدود کردن یا ردیابی در سمت او وجود ندارد. دوم اینکه صورت‌حساب به نام صاحب کلید ثبت می‌شود و ترافیک ممکن است شبیه مصرف عادی دیده شود. سوم اینکه ساختار «کلید + سقف بودجه + فهرست هدف» به هر فرد کم‌تجربه‌ای اجازه می‌دهد حمله‌ی خودکار راه بیندازد.
بخش ۳: چرا کلید API دزدیده‌شده این‌قدر ارزشمند است؟
کلید API در عمل یک «بلیت ورود» به مدل است. هر کس آن را داشته باشد می‌تواند با حساب شما درخواست بفرستد، بدون اینکه رمز عبور یا ورود دومرحله‌ای ببیند. به همین دلیل کلیدها هدف اصلی مهاجمان شده‌اند. Bitsight پیش‌بینی می‌کند کلیدهای دزدیده‌شده بیشتر برای تغذیه‌ی اسکنرهایی مثل همین ابزار فروخته شوند.
ارزش کلید سه لایه دارد. لایه‌ی اول هزینه‌ی مستقیم است، چون هر توکن مصرفی از حساب شما کسر می‌شود. لایه‌ی دوم شهرت و محدودیت حساب است، زیرا اگر مصرف مشکوک ثبت شود ممکن است حساب شما محدود یا مسدود شود. لایه‌ی سوم ناشناس ماندن مهاجم است: لاگ‌های ارائه‌دهنده به نام شما ثبت می‌شود، نه او.
یک نکته‌ی مهم برای کسانی که با آموزش‌های ChatGPT یا API کار می‌کنند: کلیدی که فقط برای یک آزمایش ساده ساخته‌اید و در یک مخزن گیت‌هاب جا مانده، دقیقاً همان چیزی است که ربات‌های جست‌وجوگر پیدا می‌کنند.
بخش ۴: بازار زیرزمینی چطور به سمت هوش مصنوعی رفته است؟
Bitsight از فوریه تا اوت ۲۰۲۶ هزاران پست را در ۱۶ فروم زیرزمینی بررسی کرده است. نتایج تصویر روشنی از جهت حرکت مجرمان می‌دهد. اشاره به عامل‌های هوشمند، تزریق دستور غیرمستقیم (indirect prompt injection) و پروتکل MCP حدود ۶۷ درصد رشد کرده است. کل گفت‌وگوهای مرتبط با هوش مصنوعی ۴۵ درصد بیشتر شده و موضوع جیلبریک با رشد تقریبی ۷۵ درصد همچنان بالاترین بحث است.
در مقابل، اشاره به باج‌افزار ۴۹ درصد و فیشینگ ۸٫۵ درصد کاهش یافته است. تحلیلگران می‌گویند بخشی از افت باج‌افزار می‌تواند به برخورد پلیسی و مهاجرت مجرمان به کانال‌های بسته مربوط باشد، پس این اعداد را نباید به معنای کم شدن خطر باج‌افزار گرفت.
جالب اینکه نام ابزارهای مجرمانه‌ی برندشده مثل WormGPT و FraudGPT ۸٫۷ درصد کمتر برده می‌شود. WormGPT در سال ۲۰۲۶ هک شد و ایمیل، اطلاعات پرداخت و سطح اشتراک حدود ۱۹ هزار کاربر آن لو رفت. به نظر می‌رسد مجرمان ترجیح می‌دهند به‌جای ابزار اختصاصی، از مدل‌های اصلی یا متن‌باز استفاده کنند.
بخش ۵: مدل‌های متن‌باز و دسترسی ارزان
یکی از یافته‌های گزارش، رشد اشاره به مدل‌های متن‌باز مانند GLM و DeepSeek است. دلیل آن روشن است: وقتی مدل روی سروری اجاره‌ای اجرا شود، هیچ ارائه‌دهنده‌ای درخواست‌ها را بررسی نمی‌کند، لاگ نگه نمی‌دارد و حساب کسی را مسدود نمی‌کند. برخی کاربران در فروم‌های چینی‌زبان و روسی‌زبان مدل‌ها را بر اساس میزان همکاری‌شان رتبه‌بندی می‌کنند و حتی با روشی به نام abliteration رفتارهای ایمنی مدل را خودشان حذف می‌کنند.
بازار فروش دسترسی ارزان هم فعال است. سرویس CloseRouter مدل‌های متن‌باز و تجاری را حدود ۰٫۱۰ دلار به ازای هر میلیون توکن تبلیغ کرده و قیمت GLM در آن ۰٫۰۵۳ دلار برای هر میلیون توکن ورودی بوده، در حالی که قیمت رسمی API حدود ۱٫۱۲ دلار است. چنین اختلافی نشان می‌دهد دسترسی ارزان یا دزدیده‌شده به بخشی از اقتصاد زیرزمینی تبدیل شده است.
این موضوع به بحث بزرگ‌تری هم وصل است: توانایی و محدودیت‌های واقعی هوش مصنوعی. در مقاله‌ی پتانسیل و محدودیت‌های واقعی هوش مصنوعی دیده‌ایم که همان قدرتی که کار تولیدی را سریع می‌کند، در دست مهاجم هم کارآمد می‌شود.
بخش ۶: کمپین FakeGit و خطر سرورهای MCP جعلی
بخش دیگر گزارش درباره‌ی کمپین FakeGit است که به بازیگری با نام Water Kurita نسبت داده شده. در این کمپین حدود ۷٬۶۰۰ مخزن جعلی گیت‌هاب ساخته شد تا بدافزار SmartLoader را پخش کند. بیش از ۸۰۰ مورد از آن‌ها خود را «مهارت هوش مصنوعی» یا سرور MCP معرفی کرده بودند، از جمله نمونه‌ای شبیه «Docker MCP Gateway»، تا در رجیستری‌های عمومی عامل‌های هوشمند نمایه شوند.
پیام این بخش برای توسعه‌دهندگان روشن است. هر افزونه، مهارت یا سرور MCP که روی سیستم خود نصب می‌کنید به کلیدها و فایل‌های شما دسترسی پیدا می‌کند. اگر منبع آن را بررسی نکنید، ممکن است همان کلیدی که امروز سالم است فردا در بازار زیرزمینی فروخته شود.
در گزارش دو نمونه از حمله‌ی کمک‌گرفته از عامل هوشمند هم آمده است. در یکی، عاملی با کمک دیساسمبلر IDA Pro یک سرریز بافر پیدا کرد و طرح اکسپلویت نوشت. در دیگری، عامل مرورگری برای نفوذ به حساب Notion یک سازمان به کار رفت. این مثال‌ها نشان می‌دهند عامل‌های هوشمند فقط ابزار تبلیغاتی نیستند و در عمل در زنجیره‌ی حمله جا باز کرده‌اند.
بخش ۷: چه کسانی بیشتر در خطرند؟
توسعه‌دهندگان مستقل و تیم‌های کوچک بیشترین خطر را دارند، چون معمولاً کلید را در فایل‌های محیطی، اسکریپت‌های آزمایشی یا حتی پیام‌های چت نگه می‌دارند. کسی که چند ابزار خودکار، ربات تلگرام یا افزونه‌ی وردپرس با API هوش مصنوعی دارد هم در همین گروه است.
شرکت‌هایی که چند کارمند با کلیدهای شخصی به سرویس‌ها وصل می‌شوند نیز در معرض‌اند، چون کلیدها پراکنده‌اند و کسی فهرست دقیقی از آن‌ها ندارد. به همین دلیل مدیریت متمرکز کلیدها در استفاده‌ی تجاری از هوش مصنوعی به یک ضرورت تبدیل شده است.
کاربران عادی چت‌بات‌ها مستقیماً با این تهدید روبه‌رو نیستند، اما اگر از سرویس‌های واسطه یا برنامه‌های غیررسمی استفاده می‌کنند که از شما کلید API می‌خواهند، باید بدانند کلیدشان به دست یک شخص ثالث می‌رسد.
بخش ۸: راهنمای عملی محافظت از کلید API
توصیه‌های زیر هم از جمع‌بندی گزارش Bitsight و هم از اصول معمول امنیت اطلاعات می‌آید. سعی کنید همین امروز آن‌ها را اجرا کنید.
۱. کلیدهای لو رفته را فوراً بچرخانید
اگر کلیدی را در کد، چت، مخزن یا اسکرین‌شات منتشر کرده‌اید، آن را باطل و کلید جدید بسازید. تا زمان چرخش، هر استفاده‌ی دیگری از آن می‌تواند شبیه مصرف عادی دیده شود.
۲. سقف هزینه و هشدار مصرف تعریف کنید
در پنل ارائه‌دهنده سقف ماهانه و هشدار مصرف بگذارید. اگر کلیدی دزدیده شود، سقف تعیین‌شده جلوی یک صورت‌حساب بزرگ را می‌گیرد.
۳. برای هر پروژه یک کلید جدا بسازید
با کلید جداگانه برای هر ابزار، هنگام نشت می‌دانید منبع کجاست و فقط همان را باطل می‌کنید. دسترسی هر کلید را تا جای ممکن محدود کنید.
۴. کلید را در کد و مخزن نگذارید
از متغیرهای محیطی یا مدیر رمز استفاده کنید و ابزار اسکن اسرار را روی مخزن‌ها فعال کنید. Bitsight توصیه می‌کند نشت کلید هوش مصنوعی را به اندازه‌ی نشت اعتبارنامه‌ی AWS جدی بگیرید.
۵. منبع هر سرور MCP و افزونه را بررسی کنید
قبل از نصب، سازنده، تاریخچه‌ی مخزن و تعداد ستاره‌ها را ببینید. عامل‌های کدنویسی محلی را از پوشه‌های حساس و دستورهای شل دور نگه دارید مگر اینکه یک انسان تأیید کند.
۶. الگوی مصرف را زیر نظر بگیرید
اگر مصرف شبانه، درخواست از آی‌پی ناشناس یا جهش ناگهانی توکن دیدید، به آن شک کنید. عامل‌هایی که با مرورگر بدون رابط کار می‌کنند ریتم متفاوتی از انسان دارند و بررسی نرخ ورود عادی به Notion، Slack و GitHub می‌تواند آن‌ها را آشکار کند.
اگر می‌خواهید دستورها و درخواست‌هایتان را بهتر بنویسید و مصرف توکن را بهینه کنید، راهنمای نوشتن پرامپت برای مبتدیان کمک می‌کند.
بخش ۹: سؤالات متداول
آیا OpenAI، Anthropic و Google در این ماجرا مقصرند؟
بر اساس گزارش Bitsight، مشکل از سوءاستفاده از کلیدهای دزدیده‌شده است، نه ضعف مستقیم این سرویس‌ها. اما آنچه به‌عنوان «نفوذ به کلید» رخ می‌دهد معمولاً از سمت کاربر یا ابزار واسط است. ارائه‌دهندگان می‌توانند محدودیت‌های مصرف و تشخیص ناهنجاری را تقویت کنند، ولی مسئولیت نگه‌داری کلید با صاحب حساب است.
آیا آمار ۱٬۰۷۲ یافته روی ۱۹۹ هاست قابل اعتماد است؟
خیر، این عدد ادعای خود فروشنده است. Bitsight اعلام کرده نمی‌تواند آن را از داشبورد فروشنده تأیید کند، پس باید آن را یک ادعای تبلیغاتی دانست.
چگونه بفهمم کلیدم دزدیده شده است؟
نشانه‌ها شامل مصرف غیرمنتظره، درخواست‌های بیرون از ساعت‌های معمول و جهش در صورت‌حساب است. بهترین کار این است که هر چند وقت یک بار داشبورد مصرف را بررسی کنید و کلیدهای قدیمی را باطل کنید.
آیا استفاده از مدل‌های متن‌باز امن‌تر است؟
مدل متن‌باز به‌خودی‌خود بد یا خوب نیست. نگرانی گزارش این است که مجرمان می‌توانند آن‌ها را روی سرور اجاره‌ای بدون نظارت اجرا کنند. برای کاربر عادی انتخاب مدل از منبع معتبر و رعایت اصول امنیتی مهم‌تر از نوع مجوز است. برای مقایسه‌ی دو مدل شناخته‌شده، مقایسه‌ی ChatGPT و DeepSeek را ببینید.
آیا برای توسعه‌دهندگان تازه‌کار هم این مسائل اهمیت دارد؟
بله، بیشتر از همه. در بحث توسعه‌دهنده‌ی تنها در برابر مهندس واقعی هم دیدیم که تولید سریع کد با هوش مصنوعی اگر با درک امنیتی همراه نباشد، همین نشت‌ها را به همراه دارد.
بخش ۱۰: این خبر برای آینده‌ی امنیت هوش مصنوعی چه معنایی دارد؟
نخستین نتیجه این است که مرز «ابزار هوش مصنوعی» و «ابزار حمله» باریک شده است. وقتی یک عامل هوشمند می‌تواند به‌جای انسان اسکن کند، تحلیل کند و گزارش بسازد، هزینه‌ی راه‌اندازی یک حمله پایین می‌آید و مهاجمان بیشتری وارد صحنه می‌شوند.
نتیجه‌ی دوم به مدل کسب‌وکار ارائه‌دهندگان برمی‌گردد. چون پرداخت بر اساس کلید انجام می‌شود، کلید دزدیده‌شده معادل «کارت اعتباری بدون رمز» است. انتظار می‌رود شرکت‌ها محدودیت‌های سخت‌تری مانند قفل کردن کلید روی آی‌پی یا دامنه، هشدار ناهنجاری و کلیدهای کم‌عمر را گسترش دهند. در همین حال خبرهای دیگر این هفته، از جمله آخرین اخبار هوش مصنوعی، نشان می‌دهد امنیت به یکی از داغ‌ترین موضوعات صنعت تبدیل شده است.
نتیجه‌ی سوم متوجه کاربران است: هر کسی که از API استفاده می‌کند، ناخواسته بخشی از زنجیره‌ی امنیتی است. چرخش منظم کلید، سقف هزینه و بررسی منبع افزونه‌ها دیگر کارهای «حرفه‌ای‌ها» نیست؛ حداقل عادت لازم برای هر کسی است که با مدل‌های زبانی کار می‌کند.
نسخهٔ فوری این مطلب در تلگرام: اینجا بخوانید
