بسته شواهد: چگونه نقص «DuneSlide» امنیت ویرایشگر کد هوش مصنوعی را بازتعریف می‌کند

ادغام هوش مصنوعی در توسعه نرم‌افزار، نحوه نگارش کد را به طور اساسی تسریع کرده است، اما همچنین دسته‌های کاملاً جدیدی از آسیب‌پذیری‌های امنیتی را نیز معرفی کرده است. در یادآوری آشکاری از این خطرات نوظهور، محققان امنیتی در آزمایشگاه‌های هوش مصنوعی Cato اخیراً دو نقص حیاتی را در ویرایشگر کد هوش مصنوعی محبوب Cursor فاش کردند.[1]

این آسیب‌پذیری‌ها که «DuneSlide» نامیده می‌شوند، به یک مهاجم اجازه می‌دهند تا کد دلخواه را روی دستگاه توسعه‌دهنده بدون نیاز به حتی یک کلیک یا تأیید اجرا کند. در حالی که این نقص‌ها حداکثر امتیاز شدت CVSS یعنی ۹.۸ را دارند، جامعه امنیت سایبری این افشاگری را به عنوان یک پیروزی دفاعی بزرگ تلقی می‌کند. این آسیب‌پذیری‌ها به طور مسئولانه گزارش شده و ماه‌ها قبل از اعلام عمومی، در نسخه ۳.۰ Cursor به طور کامل وصله شدند و یک طرح اولیه حیاتی برای ایمن‌سازی عوامل کدنویسی خودکار در اختیار صنعت قرار دادند.[1]

اهمیت کشف DuneSlide ناشی از ردپای گسترده Cursor در اکوسیستم نرم‌افزار سازمانی است. بر اساس برآوردهای صنعتی، این محیط توسعه یکپارچه (IDE) مبتنی بر هوش مصنوعی در حال حاضر توسط بیش از نیمی از شرکت‌های Fortune 500 استفاده می‌شود. یک رخنه در این لایه از زنجیره تأمین نرم‌افزار می‌تواند به طور نظری به مهاجمان اجازه دسترسی به کد منبع اختصاصی، اعتبارنامه‌های تولید و خطوط لوله یکپارچه‌سازی مداوم را بدهد.

برای درک نحوه عملکرد DuneSlide، لازم است مکانیک «تزریق غیرمستقیم پرامپت» (indirect prompt injection) را بررسی کنیم. برخلاف هک سنتی، که در آن مهاجم مستقیماً از یک باگ نرم‌افزاری سوءاستفاده می‌کند، تزریق پرامپت خود مدل هوش مصنوعی را به عنوان یک «معاون گیج» در نظر می‌گیرد. مهاجم دستورالعمل‌های مخرب را در داخل متن غیرفعالی پنهان می‌کند که انتظار می‌رود عامل هوش مصنوعی به طور خودکار آن را بخواند.[1]

در مورد Cursor، این متن غیرفعال می‌تواند پاسخی از یک سرور متصل به پروتکل زمینه مدل (MCP)، یک نتیجه جستجوی وب، یا یک فایل به ظاهر بی‌ضرر در یک مخزن دانلود شده باشد. هنگامی که توسعه‌دهنده یک سؤال معمولی از هوش مصنوعی می‌پرسد، عامل داده‌های آلوده را جذب می‌کند، دستورالعمل‌های پنهان را به عنوان دستورات قابل اعتماد تفسیر می‌کند و سعی می‌کند آنها را از طرف کاربر اجرا کند.

توسعه‌دهندگان Cursor از خطرات اجرای خودکار آگاه بودند. با شروع از خط انتشار ۲.x، این ویرایشگر تمام دستورات ترمینال تولید شده توسط هوش مصنوعی را به طور پیش‌فرض در داخل یک جعبه شنی (sandbox) محدود اجرا می‌کرد. این لایه جداسازی برای جلوگیری از خستگی تأیید طراحی شده بود—که به عامل اجازه می‌داد دستورات مفید را به طور خودکار اجرا کند، در حالی که به طور نظری مانع از اصلاح فایل‌های حیاتی سیستم می‌شد.

آسیب‌پذیری‌های DuneSlide، با این حال، نشان دادند که چگونه می‌توان این جعبه شنی را از درون شکست. نقص اول، که با عنوان CVE-2026-50548 پیگیری می‌شود، از یک تنظیم خاص در معماری جعبه شنی سوءاستفاده کرد. جعبه شنی به طور طبیعی به عامل هوش مصنوعی اجازه می‌دهد تا فایل‌ها را در دایرکتوری کاری فعلی خود بنویسد. محققان کشف کردند که با استفاده از تزریق پرامپت برای دستکاری پارامتر working_directory، عامل می‌تواند جعبه شنی را فریب دهد تا نوشتن در مسیرهای سیستم محدود شده را تأیید کند.[1]

هنگامی که عامل توانایی نوشتن در خارج از پوشه پروژه را به دست آورد، مسیر سوءاستفاده به طرز نگران‌کننده‌ای ساده شد. دستورالعمل‌های تزریق شده، هوش مصنوعی را هدایت کردند تا خود فایل اجرایی cursorsandbox را بازنویسی کند. با جایگزینی کمک‌کننده جعبه شنی با یک اسکریپت مخرب، مهاجم عملاً سیستم مهار را خنثی کرد و اطمینان حاصل کرد که تمام دستورات بعدی با امتیازات کامل سیستم اجرا می‌شوند.[1]

آسیب‌پذیری دوم، CVE-2026-50549، از طریق یک مکانیسم کاملاً مستقل به فرار مشابهی از جعبه شنی دست یافت. این نقص از موارد حاشیه‌ای در نحوه حل مسیرهای فایل و پیوندهای نمادین (symlinks) توسط Cursor سوءاستفاده کرد. یک مهاجم می‌توانست به عامل دستور دهد تا یک پیوند نمادین در داخل دایرکتوری پروژه تأیید شده ایجاد کند که به طور مخفیانه به یک فایل حساس در خارج از آن اشاره داشت.[1]

از آنجایی که منطق استانداردسازی مسیر عامل نتوانست مقصد نهایی پیوند نمادین را به درستی تأیید کند، جعبه شنی اجازه نوشتن خارج از محدوده را صادر کرد. هر دوی این آسیب‌پذیری‌ها یک چالش ساختاری در ابزارهای هوش مصنوعی مدرن را برجسته می‌کنند: دشواری حفظ مرزهای امنیتی سختگیرانه زمانی که به خود عامل استقلال داده می‌شود تا پارامترهای عملیاتی خود را تعریف کند.[1]

ماهیت «بدون نیاز به کلیک» این حملات نشان‌دهنده یک تغییر پارادایم در مدل‌سازی تهدید است. از لحاظ تاریخی، توسعه‌دهندگان آموزش دیده بودند که فایل‌های اجرایی را به دقت بررسی کنند و از اجرای اسکریپت‌های غیرقابل اعتماد خودداری کنند. با تزریق غیرمستقیم پرامپت، صرفاً عمل خواندن یک صفحه وب آلوده یا اشکال‌زدایی یک گزارش خطای مسموم توسط عامل هوش مصنوعی، برای راه‌اندازی یک رخنه کامل سیستم کافی است.

خوشبختانه، جدول زمانی افشای DuneSlide نشان‌دهنده یک وضعیت امنیتی در حال بلوغ در اکوسیستم توسعه هوش مصنوعی است. آزمایشگاه‌های هوش مصنوعی Cato این نقص‌ها را به طور خصوصی در فوریه ۲۰۲۶ گزارش کردند. پس از بررسی اولیه، تیم مهندسی Cursor با محققان همکاری کرد تا معماری جعبه شنی را بازنگری کند و وصله جامع را در Cursor 3.0 در ۲ آوریل منتشر کرد.[1]

تحلیلگران امنیتی خاطرنشان می‌کنند که DuneSlide یک حادثه منفرد نیست، بلکه آخرین مورد در مجموعه‌ای از فرارهای جعبه شنی است که ابزارهای عاملیت‌محور (agentic tools) را تحت تأثیر قرار می‌دهد. این مورد به دنبال افشاگری‌های مشابه در سال ۲۰۲۵، مانند آسیب‌پذیری‌های CurXecute و MCPoison، است که آنها نیز از تزریق پرامپت برای دور زدن محافظ‌های IDE استفاده کردند. این کشف‌های مکرر نشان می‌دهد که کل صنعت هنوز در حال کالیبره کردن تعادل بین استقلال هوش مصنوعی و امنیت میزبان است.

برای مدافعان فناوری اطلاعات سازمانی، بسته شواهد پیرامون DuneSlide اطلاعات واضح و قابل اجرا ارائه می‌دهد. اولویت فوری اطمینان از این است که همه تیم‌های توسعه به Cursor 3.0 یا نسخه‌های جدیدتر به‌روزرسانی کرده‌اند. فراتر از وصله کردن، تیم‌های امنیتی به طور فزاینده‌ای به توسعه‌دهندگان توصیه می‌کنند که اتصالات MCP خود را ممیزی کنند و با تمام داده‌های خارجی جذب شده توسط مدل‌های هوش مصنوعی به عنوان داده‌های بالقوه خصمانه رفتار کنند.

در نهایت، آسیب‌پذیری‌های DuneSlide به عنوان یک آزمون استرس حیاتی برای نسل بعدی توسعه نرم‌افزار عمل می‌کنند. با افشای شکنندگی جعبه‌های شنی اولیه هوش مصنوعی، محققان در حال اجبار به ایجاد معماری‌های انعطاف‌پذیرتر و با اعتماد صفر (zero-trust) هستند. همانطور که عوامل هوش مصنوعی وظایف خودکار پیچیده‌تری را بر عهده می‌گیرند، درس‌های آموخته شده از ایمن‌سازی ابزارهایی مانند Cursor برای ایمنی اقتصاد دیجیتال گسترده‌تر، اساسی خواهد بود.