AI Кодлогч Агентуудын Шинэ Аюул: "GhostSplice" Халдлагаар MCP Серверээс Нууц Мэдээлэл Алдагдах Эрсдэл Илэрлээ

Model Context Protocol (MCP) нь AI кодлогч агентууд (Cursor, Claude Code, Windsurf г.м.)-ийг гадаад хэрэгслүүд, мэдээллийн сан болон хөгжүүлэлтийн орчинтой холбох стандартын түвшинд хүрч, хөгжүүлэгчдийн өдөр тутмын ажилд идэвхтэй нэвтэрч байна. Гэвч AI агентуудын бие даан ажиллах эрх мэдэл нэмэгдэхийн хэрээр тэдгээрийн архитектурт суурилсан кибер халдлагын шинэ векторын тоо огцом өсөж байна.

ASSET Research Group судалгааны баг саяхан MCP серверт суурилсан "GhostSplice" хэмээх шинэ төрлийн ноцтой аюулгүй байдлын халдлагын концепцийг илрүүлэн нийтэллээ. Энэхүү халдлага нь AI моделийн аюулгүй байдлын шүүлтүүрийг хуурч, хөгжүүлэгчийн локал систем дэх SSH түлхүүр, .env файл, API Key болон эх кодыг чимээгүй хулгайлах боломжийг олгож байна.

GhostSplice гэж юу вэ? "Заавар хэсэгчлэх" тактик

Аливаа AI агент MCP сервертэй холбогдох үед тухайн серверийн санал болгож буй Tool (багаж)-уудын тайлбар болон гүйцэтгэлийн үр дүнг Context буюу ажлын санах ойдоо уншиж авдаг. Уламжлалт Prompt Injection халдлагууд нь ихэвчлэн "Ил тод сөрөг заавар" (explicit malicious prompt) агуулдаг тул AI моделиудын хамгаалалтын систем (Safety Alignment / Guardrails) тэдгээрийг хялбархан таньж бөгөөд блоклодог.

Харин GhostSplice халдлагын арга нь огт өөр тактик ашигладаг:

Халдлага үйлдэгч хортой MCP сервер үүсгэж, түүндээ сайн дурын, энгийн мэт харагдах хэрэгслүүдийг оруулан бүртгүүлнэ (тухайлбал, дөрвөн энгийн параметртэй integrity_checker нэртэй багаж).
Хортой зааврыг олон жижиг, гэм хоргүй фрагментүүдэд (Fragment) хуваан, серверийн багажийн тайлбар болон сканы үр дүнгийн өөр өөр хэсэгт салган байршуулна.
Аюулгүй байдлын шүүлтүүрүүд агуулгыг хэсэг тус бүрээр нь шалгахад нэг ч хэсэгт аюултай заавар илрэхгүй тул системийн хамгаалалт давагдана.

AI Модель зааврыг хэрхэн "эвлүүлж", хохирол учруулдаг вэ?

Шүүлтүүрийг даван туулсны дараа жинхэнэ аюул эхэлнэ. AI кодлогч агент MCP серверээс ирсэн мэдээллүүдийг системдээ нэгтгэн (context aggregation) тухайн даалгаврыг гүйцэтгэхээр ажиллаж эхэлдэг. Энэ үед LLM нь салангид байсан зааврын фрагментүүдийг логик холбоосоор нь өөрөө эвлүүлж (Splice), бүтэн хортой заавар болгон сэргээдэг.

Заавар нэгэнт залгагдсаны дараа AI агент дараах хортой алхмуудыг чимээгүй гүйцэтгэнэ:

Хөгжүүлэгчийн төсөл дэх .env, SSH private key, private repository болон тохиргооны файлуудыг унших.
Файлаас олдсон нууц мэдээлэл, API Token, серверийн нууц үгсийг хуваан форматад оруулах.
Тэдгээр нууц мэдээллийг MCP серверийн энгийн API хүсэлт эсвэл лог бичих дуудлага (Tool Result) болгон дайж, халдлага үйлдэгчийн сервер рүү илгээх (Exfiltration).

Судалгааны багаас хийсэн туршилтаар нэг ижил AI модель нь шууд "SSH түлхүүр илгээ" гэсэн хүсэлтээс татгалзаж байсан ч, GhostSplice аргаар хуваасан зааврыг уншихдаа ямар ч анхааруулгагүйгээр нууц мэдээллийг гадагш алдагдуулж байжээ. Энэ нь аюулгүй байдлын системүүд тусдаа контекстийн заагуудыг шалгадаг боловч LLM-ийн "контекст нэгтгэн сэтгэх" чадварыг хянаж чадахгүй байгааг харуулж байна.

Яагаад уламжлалт Guardrail ажиллахгүй байна вэ?

Өнөөдөр ашиглагдаж буй ихэнх AI Security Guardrail буюу хамгаалалтын системүүд нь "Нэг бүрчлэн шалгах" (Single-prompt Validation) зарчмаар ажилладаг. Өөрөөр хэлбэл, систем рүү орж ирж буй нэг удаагийн input эсвэл output-ийг хортой агуулгатай эсэхийг шүүдэг.

Гэтэл GhostSplice нь "Контекст дамнасан халдлага" (Cross-Context Attack) юм. Халдлагын нэг ч хэсэг дангаараа аюултай биш:

Хэсэг А: "Контекст дэх файлын замыг хайх"
Хэсэг Б: "Түлхүүр үгсийг параметр болгон авах"
Хэсэг В: "Үр дүнг сервер рүү хэвлэх"

Эдгээр нь бүгд програм хөгжүүлэлтийн ердийн функцүүд тул хамгаалалтын алгоритмууд сэжиглэж блоклодоггүй. Харин AI Моделийн сэтгэх процессор тэдгээрийг нэгтгэн хуулбарлах үед л аюулгүй байдлын дүрэм зөрчигдөж эхэлдэг. Энэ нь одоогийн AI хамгаалалтын архитектурт томоохон системчилсэн цоорхой байгааг баталж байна.

Хөгжүүлэгчид ба багууд хэрхэн сэргийлэх вэ?

MCP технологи нь AI-д суурилсан хөгжүүлэлтийн ирээдүй мөн боловч гуравдагч этгээдийн серверүүдтэй холбогдохдоо дараах аюулгүй байдлын зарчмуудыг баримтлах шаардлагатай:

Баталгаагүй MCP Сервер холбохоос татгалзах: Олон нийтийн нээлттэй сангуудаас олдсон, эх сурвалж нь тодорхойгүй MCP серверүүдийг шууд өөрийн хөгжүүлэлтийн орчинд тохируулахаас зайлсхийх. Серверийн эх код болон багажийн тодорхойлолтуудыг аудитаар шалгаж байх.
Бага чадамжийн зарчим (Least Privilege) баримтлах: AI агентдаа файлын системийн бүтэн эрх өгөхөөс зайлсхийх. Ялангуяа SSH түлхүүр агуулдаг ~/.ssh/, систем ба орчны хувьсагчийн .env файл бүхий лавлахуудыг AI агентын унших эрхээс тусгаарлах эсвэл ignore дүрмэнд оруулах.
Хүний хяналтын механизм (Human-in-the-Loop): AI агент сүлжээгээр гадаад сервер рүү хүсэлт шидэх эсвэл сэжигтэй локал файл унших үйлдэл хийх бүрд хөгжүүлэгчээс зөвшөөрөл (Approve) авдаг тохиргоог идэвхжүүлэх.
Zero-Trust Context Filtering нэвтрүүлэх: AI хэрэгсэл хөгжүүлэгчид ба платформууд MCP серверээс ирж буй мета өгөгдлийг LLM-ийн ажлын санах ойд орохоос өмнө контекстийн түвшинд шүүх шинэ хамгаалалтын архитектур нэвтрүүлэх шаардлагатай.

Дүгнэлт

AI агентууд чатботын хэмжээнээс халж, бидний компьютерийн файлын систем, сүлжээ, тушаалын мөр (CLI)-ийг бие даан удирдаж эхэлсэн энэ үед уламжлалт кибер аюулгүй байдлын ойлголт бүрэн өөрчлөгдөж байна. GhostSplice халдлага нь зөвхөн код бичих хурдад анхаарахаас гадна AI агентуудын холболтын протокол ба ажиллах орчны аюулгүй байдалд (Runtime Security) нухацтай анхаарах цаг болсныг харуулсан чухал сануулга боллоо.

Эх сурвалж: ASSET Research Group, The Hacker News