سیکورٹی محققین نے یہ ثابت کیا ہے کہ چار بڑے پیمانے پر استعمال ہونے والے AI کوڈنگ ایجنٹس کی حفاظت کرنے والے سینڈ باکسز - کرسر، اوپن اے آئی کا کوڈیکس، گوگل کا جیمنی سی ایل آئی، اور اینٹی گریویٹی - سینڈ باکس پر حملہ کیے بغیر ہی بچ سکتے ہیں۔ 20 جولائی 2026 کو پِلر سیکیورٹی کی تحقیقی ٹیم کے ذریعے شائع ہونے والی اور بلیپنگ کمپیوٹر کے ذریعے رپورٹ کی گئی یہ نتائج اس بات میں ساختی کمزوری کو ظاہر کرتی ہیں کہ کس طرح AI کوڈنگ ٹولز اس کوڈ کو الگ کر دیتے ہیں جو ان کے ایجنٹ ڈویلپر مشینوں پر چلاتے ہیں۔
یہ تحقیق ایجنٹ کی حفاظت پر بریکنگ AI نیوز سے باخبر رہنے والے ہر شخص کے لیے ایک اہم ڈیٹا پوائنٹ ہے، کیونکہ یہ ظاہر کرتا ہے کہ ایک مکمل طور پر تعمیل کرنے والا ایجنٹ بھی — جو اپنے سینڈ باکس کے اندر موجود ہر اصول کی پابندی کرتا ہے — اب بھی پھیل سکتا ہے۔ خامی ایجنٹ کے رویے میں نہیں بلکہ ٹرسٹ باؤنڈری میں ہے جو سینڈ باکس فرض کرتا ہے۔
فرار کیسے کام کرتے ہیں۔
کلیدی بصیرت دھوکہ دہی سے آسان ہے۔ جدید AI کوڈنگ ایجنٹ ایک سینڈ باکس کے اندر چلتے ہیں جو ایک لکیر کھینچتا ہے: ایجنٹ پراجیکٹ ورک اسپیس کے اندر بھروسہ کیا جاتا ہے، اور میزبان باہر محفوظ ہوتا ہے۔ مفروضہ یہ ہے کہ ورک اسپیس کے اندر فائلیں غیر فعال ہیں - ڈیٹا، کمانڈز نہیں۔
لیکن وہ غیر فعال نہیں ہیں۔ سینڈ باکس کے باہر چلنے والے ٹولز ان فائلوں کو مسلسل پڑھتے اور ان پر عمل کرتے ہیں۔ مربوط ترقیاتی ماحول ازگر کے ترجمانوں کو حل کرتا ہے، گٹ انٹیگریشن اسکین ریپوزٹریز، VS کوڈ ٹاسک فائلز چلاتا ہے، ہک انجن فائر کمانڈز، اور ڈوکر ڈیسک ٹاپ ایک مقامی ساکٹ کو بے نقاب کرتا ہے۔ ایک سینڈ باکسڈ ایجنٹ ہر اس قاعدے کی تعمیل کرسکتا ہے جو اسے دیا گیا ہے اور پھر بھی ایک فائل لکھ سکتا ہے جسے بعد میں ان بیرونی ٹولز میں سے کوئی ایک عملدرآمد، لوڈ، یا اسکین کرتا ہے۔
BleepingComputer کی رپورٹنگ کے مطابق، فرار "خود ہی ہوتا ہے": ایجنٹ باکس کے اندر رہتا ہے، ہر اصول کی پیروی کرتا ہے، اور صرف ایک فائل لکھتا ہے جسے بعد میں باکس کے باہر ایک قابل اعتماد ٹول چلتا ہے۔ ایجنٹ کبھی نہیں ٹوٹتا۔ بریک آؤٹ اس کی جانب سے سافٹ ویئر کے ذریعے کیا جاتا ہے جس پر ڈویلپر پہلے ہی بھروسہ کرتا ہے۔
محرک: فوری انجیکشن
وہ طریقہ کار جو ان فراروں کو حرکت میں لاتا ہے وہ فوری انجیکشن ہے - وہی کمزوری جس نے تمام ڈومینز میں AI ایجنٹوں کو دوچار کیا ہے۔ README فائل میں لگائی گئی ایک بدنیتی پر مبنی ہدایات، ایک GitHub مسئلہ، پروجیکٹ کا انحصار، یا کوڈ ڈِف ایک بار ڈویلپر کی مشین پر ایک مقامی کارروائی بن جاتا ہے جب ایجنٹ اس پر کارروائی کرتا ہے۔
یہ سینڈ باکس ریسرچ کو AI سیکیورٹی میں ایک وسیع تر پیٹرن سے جوڑتا ہے۔ ایجنٹ کو سمجھوتہ کرنے یا جیل توڑنے کی ضرورت نہیں ہے۔ اسے اپنے معمول کے کام کے دوران صرف زہر آلود ان پٹ کا سامنا کرنا پڑتا ہے - فائل کو پڑھنا، پل کی درخواست کا جائزہ لینا، پیکج انسٹال کرنا - اور پھر صحیح جگہ پر صحیح فائل لکھ کر ایمبیڈڈ ہدایات پر عمل کرنا۔ سینڈ باکس لکھنے کی اجازت دیتا ہے، کیونکہ فائلیں لکھنا بالکل وہی ہے جو کوڈنگ ایجنٹ کو کرنا ہوتا ہے۔
'سینڈ باکس فرار کا ہفتہ'
Pillar Security کی ریسرچ ٹیم — Eilon Cohen, Dan Lisichkin, اور Ariel Fogel — نے کئی مہینوں میں بائی پاسز کو دوبارہ تیار کیا اور انہیں ایک سیریز کے طور پر شائع کیا جسے وہ "Sandbox Escapes کا ہفتہ" کہتے ہیں، روزانہ ایک تحریر جاری کرتے ہوئے۔ محققین نے اپنے سات نتائج کو چار مختلف ناکامی طریقوں میں ترتیب دیا۔
ایک زمرہ وہ ہے جسے وہ مسترد شدہ سینڈ باکسز کے طور پر بیان کرتے ہیں — سینڈ باکس جو صرف محفوظ لوگوں کی اجازت دینے کے بجائے مخصوص خطرناک کارروائیوں کو روکنے کی کوشش کرتے ہیں۔ انکار کرنے والے بدنام زمانہ طور پر نازک ہوتے ہیں کیونکہ وہ ہر ممکنہ حملے کی توقع پر انحصار کرتے ہیں، اور فرار یہ ظاہر کرتے ہیں کہ کس طرح ایک ایجنٹ ایک بیرونی ٹول کی فہرست میں شامل کر کے بلاک شدہ کارروائی کو روک سکتا ہے جو پہلے کبھی انکار کرنے والوں میں شامل نہیں تھا۔
چار متاثرہ ٹولز — کرسر، اوپن اے آئی کا کوڈیکس، گوگل کا جیمنی سی ایل آئی، اور اینٹی گریویٹی — صارفین کے IDE پلگ ان سے لے کر انٹرپرائز کمانڈ لائن ٹولز تک AI کوڈنگ ایجنٹ مارکیٹ کے ایک وسیع کراس سیکشن کی نمائندگی کرتے ہیں۔ اس وسعت سے پتہ چلتا ہے کہ مسئلہ کسی ایک پروڈکٹ میں بگ نہیں ہے بلکہ ایک مشترکہ تعمیراتی مفروضہ ہے جسے تحقیق باطل کر دیتی ہے۔
ایجنٹ کی معیشت کے لیے یہ کیوں اہمیت رکھتا ہے۔
مضمرات انفرادی ڈویلپرز سے آگے بڑھتے ہیں۔ چونکہ کوڈنگ ایجنٹ خودکار پائپ لائنوں، مسلسل انضمام کے نظام، اور خود مختار ورک فلو میں سرایت کر رہے ہیں، ایک سینڈ باکس فرار سپلائی چین حملوں کے لیے ممکنہ قدم بن جاتا ہے۔ ایک حملہ آور جو زہر آلود فائل کو ذخیرے میں لے سکتا ہے — انحصار کے ذریعے، ایک کلون شدہ ریپو، یا ایک سمجھوتہ کنٹریبیوٹر — ایک قابل اعتماد کوڈنگ ایجنٹ کو ڈویلپر کی مشین پر ایک ایگزیکیوشن ویکٹر میں تبدیل کر سکتا ہے۔
یہ خطرہ کی وہی کلاس ہے جو 2026 کے اوائل میں منظر عام پر آئی تھی، جب محققین نے پایا کہ کرسر میں بدنیتی پر مبنی ذخیرہ کھولنے سے ونڈوز پر خاموشی سے کوڈ کو لاگو کیا جا سکتا ہے۔ سینڈ باکس فرار اس خطرے کو عام کرتا ہے: یہ ایک ٹول یا ایک پلیٹ فارم نہیں ہے، بلکہ سینڈ باکس والے ایجنٹوں اور ان کے آس پاس موجود قابل اعتماد ٹولز کے درمیان تعامل کا ماڈل ہے۔
قابل اعتماد فائلوں کا مشکل مسئلہ
بنیادی مشکل یہ ہے کہ کوڈنگ ایجنٹ کا سینڈ باکس تمام ورک اسپیس فائلوں کو ایجنٹ کی افادیت کو خراب کیے بغیر ناقابل اعتماد نہیں سمجھ سکتا۔ ایجنٹ کو کوڈ، کنفیگریشن، اور اسکرپٹس لکھنے کی ضرورت ہوتی ہے، اور ان فائلوں کو ڈویلپر کے ٹولز کے ذریعے پڑھنے اور ان پر عمل کرنے کی ضرورت ہوتی ہے۔ اس اعتماد کو ختم کر دیں اور ایجنٹ کام نہیں کر سکتا۔ اسے محفوظ رکھیں اور فرار ویکٹر باقی رہتا ہے۔
ستون کی تحقیق ایک بھی ڈراپ ان فکس پیش نہیں کرتی ہے، اور یہی وجہ ہے کہ نتائج کی اہمیت ہے۔ وہ ایک ڈیزائن کے مسئلے کو تیار کرتے ہیں جس کو صنعت کو اجتماعی طور پر حل کرنا پڑے گا — ایجنٹ کے ورک اسپیس اور میزبان کی عملداری کی سطح کے درمیان مضبوط تنہائی کے ذریعے، ایجنٹ کی تحریر کردہ فائلوں پر دستخط یا تصدیق کے ذریعے، یا اس بات پر نظر ثانی کے ذریعے کہ کن ٹولز کو ورک اسپیس کے مواد کو خود کار طریقے سے چلانے کی اجازت ہے۔
آج کل کرسر، کوڈیکس، جیمنی سی ایل آئی، یا اینٹی گریوٹی استعمال کرنے والے ڈویلپرز کے لیے، غیر بھروسہ مند آدانوں کے ساتھ احتیاط کی ضرورت ہے: کلون شدہ ریپوزٹریز، تھرڈ پارٹی انحصار، اور تعاون شدہ کوڈ کو ممکنہ طور پر لے جانے والے فوری انجیکشن کے طور پر سمجھا جانا چاہیے جو نہ صرف ماڈل کو بلکہ اس کے ارد گرد موجود فائل سسٹم کو نشانہ بناتا ہے۔
AI سے آگے رہیں
AI سیکیورٹی، کوڈنگ ایجنٹس، اور انفراسٹرکچر کے خطرات کی جاری کوریج کے لیے جو وہ متعارف کراتے ہیں، ہماری AI انڈسٹری کوریج کی پیروی کریں۔
مزید AI خبریں پڑھیں
