عزل وكلاء البرمجة بالذكاء الاصطناعي على VPS: AGENTS.md ملغّم

ما يكشفه بحث Forever Security

ما تثبته الدراسة وما لا تقوله

• المثبت — يكفي ملف تعليمات في دليل العمل لتوجيه الوكيل، دون استغلال أي ثغرة برمجية.
• الشرط — يتطلب الهجوم أن يشغّل المستخدم الوكيل في المجلد المعني. ووفق BleepingComputer توصي OpenAI وAnthropic أصلًا بتشغيل الوكيل في دليل المشروع.
• حمولات غير ضارة — نسبتا 90 % ونحو 50 % مصدرهما اختبارات بحمولة غير خطرة؛ فهما لا تقيسان هجمات حقيقية ولا تنطبقان على كل الأدوات.
• طريقة التسليم مجهولة — لم يتمكن الباحثون من تحديد كيف وصل ملف العميل إلى تنزيلاته: وتبقى صفحة الويب مجرد فرضية.
• Cursor CLI — ذُكرت أداة شُغّلت من ذلك المجلد، لكنها لم تُوصف بأنها اختُبرت.
• قراءتنا — قد يحتوي مستودع مستنسخ على ملف تعليماته الخاص. هذا استنتاج منا وليس نتيجة من الدراسة.

تشغيل الوكيل في المجلد الصحيح والموافقة على الأوامر: فلماذا خادم منفصل؟

المتطلبات: ما تحتاجه لبناء الـ VPS

بناء الـ VPS في تسع خطوات

1. 01

   إنشاء مستخدم بلا صلاحيات

   sudo adduser --disabled-password --gecos "" agent
id agent
sudo -l -U agent
   يجب ألا يعرض الأمر الثاني المجموعة sudo، ويجب أن يجيب الثالث بأن المستخدم غير مخوَّل بتنفيذ sudo. الحساب بلا كلمة مرور: تدخل إليه بالأمر sudo -iu agent من حساب الإدارة. خصّص VPS لكل عميل حتى لا يرى المستخدم agent في خادم إلا مشاريع ذلك العميل.

2. 02

   تخصيص دليل لكل مشروع

   sudo install -d -o agent -g agent -m 700 /srv/agents/projet-a
   شغّل الوكيل دائمًا من هذا الجذر، وليس من / أو ~ أو مجلد تنزيلات: فالدليل الأب الواسع يحمّل ملفات تعليمات لم تراجعها. ولجلب الشيفرة ادخل جلسة الوكيل ثم استنسخ:
   sudo -iu agent
git clone <url-du-dépôt> /srv/agents/projet-a
   استخدم مفتاح نشر للقراءة فقط، يُولَّد على هذه الآلة ويخص مستودع المشروع.

3. 03

   قطع الوصول إلى مفاتيحك

   sudo -iu agent printenv SSH_AUTH_SOCK
echo 'AllowAgentForwarding no' | sudo tee /etc/ssh/sshd_config.d/10-agents.conf
sudo sshd -t && sudo systemctl reload ssh
   يجب ألا يعرض الأمر الأول شيئًا: لا يُمرَّر أي وكيل SSH إلى جلسة وكيل البرمجة. اتصل بالآلة عبر ssh -o ForwardAgent=no. لا تضع أي مفتاح نشر للإنتاج على هذا الخادم، ولا أي ملف إعدادات يخص عميلًا آخر.

4. 04

   حصر متغيرات البيئة في المشروع

   sudo -iu agent
install -m 600 /dev/null ~/.agent-env
   ثم حرّر ~/.agent-env ليحوي رمز المزوّد فقط، بأقل نطاق ممكن، مخصصًا لهذه الآلة وقابلًا للإلغاء. شغّل الوكيل ببيئة مفرَّغة حتى لا يرث أي متغير من جلستك:
   env -i HOME="$HOME" PATH="$PATH" TERM="$TERM" HTTPS_PROXY=http://127.0.0.1:8888 bash -c 'set -a; . ~/.agent-env; cd /srv/agents/projet-a && exec claude'
   استبدل claude بأمر أداتك. وإن كانت الأداة تتصل بحساب (OAuth) بدل مفتاح واجهة برمجة، فإن الرمز يوجد في الدليل الشخصي للمستخدم: وهو الرمز الذي رأت الدراسة أنه انكشف مع Claude Code. فضّل مفتاح واجهة برمجة مخصصًا تلغيه عند حذف الخادم.

5. 05

   إغلاق الدخول بـ ufw

   sudo ufw default deny incoming
sudo ufw limit 22/tcp
sudo ufw enable
   أبقِ جلسة SSH ثانية مفتوحة أثناء التفعيل. يرشّح ufw بالعنوان والمنفذ، لا باسم المضيف ولا بالمستخدم: ولهذا يُضبط الخروج في الخطوتين التاليتين بوكيل وسيط وnftables.

6. 06

   تثبيت وكيل خروج بقائمة سماح

   sudo apt install tinyproxy
   في /etc/tinyproxy/tinyproxy.conf اضبط Listen 127.0.0.1, Port 8888, FilterDefaultDeny Yes, Filter "/etc/tinyproxy/allowlist" ثم اكتب القائمة:
   printf '%s\n' '^registry\.npmjs\.org$' '^api\.anthropic\.com$' | sudo tee /etc/tinyproxy/allowlist
sudo systemctl restart tinyproxy
   كل سطر تعبير نمطي على اسم المضيف. استبدل واجهة المثال بواجهة مزوّدك المأخوذة من وثائقه، ولا تضف ^github\.com$ إلا إذا طلبها المشروع. تصف وثائق tinyproxy ترشيحًا بحسب النطاق، لكنها لا تذكر أنه يُطبَّق على مضيف أنفاق HTTPS (CONNECT): فهذا غير موثَّق ويجب اختباره. لا تعتبر هذا الترشيح مسلَّمًا به قبل اختبار الخطوة 8.

7. 07

   منع الوكيل من أي خروج آخر بـ nftables

   أضف في نهاية /etc/nftables.conf، بعد السطر flush ruleset:
   table inet agent_egress {
chain output {
type filter hook output priority 0; policy accept;
meta skuid "agent" oifname "lo" tcp dport 8888 accept
meta skuid "agent" limit rate 5/minute log prefix "agent-egress-drop: "
meta skuid "agent" counter drop
}
}
   لم يعد المستخدم agent يصل إلا إلى الوكيل المحلي؛ وما عداه يُسجَّل ثم يُسقَط. افحص الصياغة قبل التفعيل:
   sudo nft -c -f /etc/nftables.conf
sudo systemctl enable --now nftables

8. 08

   اختبار صمود الترشيح

   sudo -u agent curl -sS --max-time 5 https://example.com
sudo -u agent curl -sS -x http://127.0.0.1:8888 https://example.com
sudo -u agent curl -sS -x http://127.0.0.1:8888 -o /dev/null -w '%{http_code}\n' https://registry.npmjs.org/-/ping
   يجب أن ينتهي الأمر الأول بانتهاء المهلة لأن جدار الحماية يُسقط الاتصال المباشر. ويجب أن يفشل الثاني برفض من الوكيل الوسيط (مع curl، رسالة من نوع CONNECT tunnel failed؛ والرمز الدقيق في سجل tinyproxy). ويجب أن يجيب الثالث بالرمز 200. هذه النتائج هي المتوقعة: عاينها بنفسك على آلتك. وإن نجح الأمر الثاني فالترشيح لا يغطي أنفاق HTTPS: فانتقل إلى وكيل وسيط تغطي وثائقه CONNECT، وصحّح ذلك قبل تشغيل الوكيل.

9. 09

   التخطيط لحذف الخادم

   احفظ هذه الأوامر في سكربت خاضع للإصدارات. يُحذف الـ VPS المشبوه ويُعاد إنشاؤه من الصورة الأصلية، وتلغي رمز المزوّد. أما وصولك أنت إلى الخادم فمرّره عبر مضيف بوابة (bastion) بدل التعريض المباشر: ويغطي دليل bastion host المرتبط أسفل الصفحة هذه النقطة.

كل ضمانة تحدّ من شيء محدد

مرّر الجدول أفقيًا

مراجعة ملفات التعليمات قبل أن يتبعها الوكيل

حالة الحزمة function-color: ما يغيّره الترشيح وما لا يغيّره

استكشاف الأخطاء: ما ستصادفه من أخطاء

• رفض sudo للمستخدم agent — سلوك متوقَّع: المستخدم بلا أي صلاحية، ويتوقف نص الرفض الدقيق على إصدار sudo. نفّذ العملية بحساب الإدارة، ولا تضف agent إلى المجموعة sudo أبدًا.
• فشل نفق CONNECT (مع curl، رسالة من نوع CONNECT tunnel failed) — الأرجح أن الوكيل الوسيط رفض المضيف؛ والرمز الدقيق يتوقف على tinyproxy ويظهر في سجله. اقرأ اسمه في /var/log/tinyproxy/tinyproxy.log ثم أضفه إلى القائمة فقط إذا احتاجته الأداة.
• بحسب الأداة، انتهاء مهلة أو فشل في الشبكة (مثل ETIMEDOUT أو fetch failed) — تحاول الأداة اتصالًا مباشرًا يُسقطه nftables. تحقق من أن HTTPS_PROXY مُصدَّر في جلسة الوكيل. بعض العملاء يتجاهلون هذا المتغير: فيفشلون فشلًا مغلقًا، وتبيّن وثائقهم إن كانوا يقبلون وكيلًا وسيطًا.
• Permission denied عند قراءة مجلد مستخدم آخر — هذا هو العزل يؤدي عمله. وإن احتاج الوكيل إلى ملف فانسخه إلى دليل المشروع.
• انقطاع اتصال SSH بعد ufw enable — كانت قاعدة المنفذ 22 ناقصة، أو يستمع SSH على منفذ آخر. من وحدة تحكم الـ VPS نفّذ sudo ufw status ثم sudo ufw allow <المنفذ>/tcp.

ما لا يحلّه هذا الخادم

للوكالة: خادم VPS لكل عميل

الوثائق الرسمية