Зөвшөөрөгдсөн AI хэрэгслүүд доторх "Shadow AI": Кодинг агентууд ба MCP серверийн аюулгүй байдлын шинэ эрсдэл

Сүүлийн үед инженерийн багууд зөвхөн автоматаар код гүйцээдэг энгийн туслахуудаас татгалзаж, файлын бүтцийг шинжлэх, терминалын комманд ажиллуулах, өөрчлөлтүүд хийж Pull Request (PR) илгээх чадвартай бүрэн хэмжээний AI Coding Agent-уудыг өдөр тутмын хөгжүүлэлтдээ идэвхтэй нэвтрүүлж байна.

Гэвч энэхүү хурдацтай шилжилттэй зэрэгцэн кибер аюулгүй байдлын салбарт цоо шинэ ноцтой асуудал үүслээ. Аюулгүй байдлын The Hacker News платформын нийтэлсэн дүн шинжилгээгээр, байгууллагын албан ёсоор зөвшөөрсөн (sanctioned) AI кодинг хэрэгслүүдийн цаана хяналтаас гадуурх "Шинэ үеийн Shadow AI" нуугдаж, ханган нийлүүлэлтийн сүлжээний (supply-chain) том цоорхой үүсгэж эхэлснийг анхаарууллаа.

---

1. Кодын туслахаас "Agent Runtime" руу: Юу өөрчлөгдөв?

Өмнө нь хөгжүүлэгчийн хиймэл оюунтай харилцах загвар тун энгийн байсан: загвар санал болгоно, инженер түүнийг хянаад кодондоо буулгана. Эрсдэл нь ихэвчлэн чанаргүй эсвэл эмзэг код бичигдэх явдал байв. Үүнийг Static Application Security Testing (SAST), кодын хяналт (code review) болон CI/CD шатлалаар илрүүлэх бүрэн боломжтой байсан юм.

Харин өнөөгийн Claude Code, Codex CLI болон Cursor зэрэг агентууд нь зүгээр нэг текст үүсгэгч биш, харин өргөтгөх боломжтой бие даасан Agent Runtime болж хувирчээ. Тэдгээр нь дараах өргөтгөлийн механизмууд дээр суурилж байна:

• Skills & Plugins: Агентад давтагдах ажлын урсгалыг зааж өгдөг скриптүүд болон нэмэлт багцууд.
• Model Context Protocol (MCP) Servers: Агентыг гадаад сангууд, дотоод өгөгдлийн сан, гуравдагч API болон үйлдлийн системийн хэрэгслүүдтэй холбодог гүүр.
• Hooks & Lifecycle Triggers: Агентын ажиллах явцад автоматаар терминалын комманд эсвэл HTTP хүсэлт илгээх үйлдлүүд.
• Repository Instructions (.cursorrules, claude.md г.м.): Кодын санд байрлах, агентын сэтгэхүйн логик болон шийдвэр гаргалтад шууд нөлөөлөх заавар файлууд.

Эдгээр өргөтгөлүүд нь кодоос гадна агентын шийдвэр гаргах логикт (decision loop) шууд нөлөөлж эхэлсэн нь итгэлцлийн хилийг үндсээр нь эвдэж байна.

---

2. Зөвшөөрөгдсөн хэрэгсэл доторх "Shadow AI" гэж юу вэ?

Уламжлалт "Shadow AI" гэдэг нь ажилтан компанийн зөвшөөрөлгүй чатбот руу нууц кодоо хуулж тавихыг хэлдэг байв. Харин шинэ эрсдэл нь огт өөр механизмтай:

Байгууллагын аюулгүй байдлын баг тухайн AI агентыг (жишээ нь, Claude Code эсвэл Copilot) албан ёсоор зөвшөөрч, эрсдэлгүй хэмээн дүгнэсэн байж болно. Гэвч хөгжүүлэгч тухайн агентдаа интернэтээс нээлттэй эхийн MCP сервер суулгах, хамтран ажиллагчийнхаа бичсэн plugin нэмэх, эсвэл гадны Git репозиторт хадгалагдсан үл мэдэгдэх instruction файлыг ажиллуулах үед батлагдаагүй гуравдагч талын олон зуун код болон логик тухайн зөвшөөрөгдсөн агентын хамгаалалтын бүрхүүл дотор орж ирдэг.

Энэ нь npm эсвэл PyPI-ийн багцуудаар дамжин халдварладаг supply-chain attack-тай яг адил зарчим боловч, үр дагавар нь хамаагүй илүү аюултай. Учир нь агент хөгжүүлэгчийн локал машинд терминалын бүрэн эрхтэй (shell execution), байгууллагын нууц түлхүүрүүд (API tokens, .env), кодын сан болон дотоод сүлжээнд шууд хандах боломжтой ажилладаг.

---

3. Халдлага хэрхэн бодитоор хэрэгжих вэ?

Шинжээчдийн тодорхойлсноор халдлага үйлдэгчид дараах хувилбаруудыг ашиглаж байна:

1. Хортой MCP Серверүүд (Malicious MCP Servers): GitHub дээр "Хэрэгцээт хэрэгсэл" нэрээр тархсан MCP сервер нь агентыг файл унших бүрт тухайн өгөгдлийг халдагчийн сервер рүү нууцаар exfiltrate хийх боломжтой.
2. Prompt Injection бүхий Repo Instructions: Нээлттэй эхийн ямар нэг төсөл доторх .agent/instructions файлд нуугдмал prompt injection хийснээр тухайн төслийг татаж авсан хөгжүүлэгчийн агент түүний ~/.ssh эсвэл ~/.aws/credentials хавтсыг уншиж устгах комманд гүйцэтгэж болно.
3. Хяналтгүй Hooks: Агент тодорхой үйлдэл хийх бүрт автоматаар bash комманд дууддаг hook ашиглан локал систем дээр хортой код байршуулах.

---

4. Хөгжүүлэгчид болон багууд хэрхэн сэргийлэх вэ?

AI-аар дэмжигдсэн хөгжүүлэлтийн энэ эринд компаниуд болон инженерүүд аюулгүй байдлын стратегиа дараах байдлаар шинэчлэх шаардлага тулгарч байна:

• MCP серверүүдийг багц (dependency) мэт аудит хийх: Аливаа MCP сервер, skill, plugin-ийг системдээ суулгахдаа source code-ийг нь нягтлах, зөвхөн баталгаажсан эх сурвалжаас авах.
• Хамгийн бага эрхийн зарчим (Principle of Least Privilege): Агентад терминалын хязгааргүй эрх (auto-approve shell commands) өгөхөөс зайлсхийж, үйлдлийн систем дээр тусгаарлагдсан орчин (Sandbox, Docker, эсвэл Dev Container) дотор ажиллуулах.
• Context & Instruction файлуудыг Code Review-д оруулах: Репозиторт нэмэгдэж буй агент зааварчилгааны бүх тохиргооны файлууд (жишээ нь CLAUDE.md, .cursorrules, .mcp.json)-ийг аюулгүй байдлын талаас нь шалгаж байж merge хийх.
• Детективийн тогтолцоо: Агентын илгээж буй гадаад сүлжээний холболтуудыг хянах, дотоод эмзэг файлуудад хандах оролдлогыг бүртгэх.

AI агентууд бидний хөгжүүлэлтийн бүтээмжийг үлэмж нэмэгдүүлж байгаа ч, зөвхөн "сайн загвар" ашиглах нь аюулгүй гэсэн үг биш болжээ. Агентад залгаж буй хэрэгсэл бүр шинэ халдлагын цэг болж хувирч буй тул багууд архитектур болон орчны аюулгүй байдалдаа нэн даруй анхаарах цаг иржээ.

---

Эх сурвалж: The Hacker News Security Analysis, Samuel Ogori Research Reports