آموزش تعاملی امنیت نرم‌افزار و هوش مصنوعی بر پایه Hacksplaining به همراه مهارت اختصاصی هرمس ایجنت

آموزش مفاهیم امنیت سایبری در بیشتر منابع دانشگاهی و دوره‌های سنتی، درگیر تعاریف انتزاعی و خسته‌کننده است. توسعه‌دهنده بدون آنکه به چشم خود ببیند چگونه یک کاراکتر کوتیشن ساده کوئری پایگاه‌داده را می‌شکند یا چگونه مدل زبانی دستورات را دور می‌زند، نمی‌تواند کد امن بنویسد. وب‌سایت Hacksplaining با ابداع سبک آموزش گام‌به‌گام و بصری، این معادله را تغییر داد. در این مقاله تخصصی از پایگاه دانش مستر هرمس، متدولوژی ۴۵ درس تعاملی هک و امنیت وب و هوش مصنوعی را تحلیل کرده و مهارت رسمی و قابل اجرای آن را برای هرمس ایجنت به صورت عمومی منتشر می‌کنیم.

۱. فلسفه آموزشی Hacksplaining: از سناریوی واقعی تا وصله امن

در رویکرد سنتی، ابتدا قوانین خشک امنیتی دیکته می‌شوند. اما در متدولوژی مدرن هک‌استیشن و Hacksplaining، فرآیند یادگیری بر پایه ۵ گام عملی استوار است:

1. پروفایل ریسک و متریک‌های ارزیابی: هر آسیب‌پذیری پیش از شروع کدنویسی بر اساس ۳ شاخص میزان شیوع (Prevalence)، سهولت نفوذ (Exploitability) و شدت خسارت (Impact) وزن‌دهی می‌شود و به استانداردهای بین‌المللی OWASP Top 10 و PCI DSS v4.0 متصل می‌گردد.
2. پروب مرزی بی‌خطر: کاربر ابتدا با ارسال کاراکترهای تست (مانند کوتیشن تکی، تگ‌های اسکریپت یا کاراکترهای اسکیپ) رفتار سامانه را محک می‌زند.
3. مشاهده پیام خطا و رفتار مفسر: بررسی دقیق استک‌تریس‌ها، خطاهای پایگاه داده یا تاخیرهای زمانی که نشان‌دهنده نبود اعتبارسنجی ورودی هستند.
4. کالبدشکافی کد منبع آسیب‌پذیر: نمایش دقیق خطی از کد که داده کنترل‌نشده کاربر را مستقیماً وارد موتور پردازش، دستورات خط فرمان یا پرامپت هوش مصنوعی کرده است.
5. پیاده‌سازی دفاع چندلایه (Defense in Depth): ارائه کد امن با پارامترایزیشن، اعتبارسنجی سخت‌گیرانه لیست سفید و فعال‌سازی هدرهای دفاعی مرورگر.

۲. دسته‌بندی ۴۵ سناریوی آموزشی در یک نگاه

مجموعه آموزش‌های تعاملی Hacksplaining طیف کاملی از بردارهای حمله وب و سرور را پوشش می‌دهد:

• حملات تزریق (Injection): تزریق کدهای SQL، تزریق دستورات سیستم‌عامل (Command Injection)، تزریق عبارات باقاعده (Regex ReDoS)، حملات XML External Entities و بمب‌های XML.
• آسیب‌پذیری‌های سمت کاربر و سشن: انواع حملات XSS (انعکاسی، ذخیره‌شده و مبتنی بر DOM)، سرقت کلیک (Clickjacking)، جعل درخواست میان‌وبگاهی (CSRF) و پیکربندی‌های شکننده CORS.
• احراز هویت و کنترل دسترسی: عدم کنترل دسترسی در سطح شیء (IDOR / BOLA)، انتساب انبوه (Mass Assignment)، تثبیت نشست (Session Fixation) و نشت اطلاعات کاربری.
• شبکه و زیرساخت سرور: جعل درخواست سمت سرور (SSRF)، ریدایرکت‌های باز (Open Redirects)، مسموم‌سازی هدر Host، دانگرید پروتکل‌های رمزنگاری و ربودن ساب‌دامین‌ها.

۳. نسل نوین امنیت: تهدیدات مدل‌های زبانی بزرگ (LLM Security)

بخش جدید و حیاتی این آموزش‌ها، آسیب‌پذیری‌های اختصاصی اپلیکیشن‌های مبتنی بر هوش مصنوعی مولد است که تیم‌های مهندسی با آن دست‌به‌گریبان هستند:

تزریق پرامپت (Prompt Injection)

وقتی دستیار هوش مصنوعی متن ورودی کاربر یا ایمیل دریافتی را بدون تفکیک ساختاری در پرامپت سیستمی قرار می‌دهد، مهاجم می‌تواند با عباراتی نظیر «دستورات قبلی را نادیده بگیر» رفتار مدل را تغییر داده و داده‌های سازمانی را سرقت کند. راهکار قطعی: جداسازی با تگ‌های ساختاریافته و محدودسازی دسترسی ابزارهای اجرایی مدل.

اسلوپ‌اسکواتینگ و مسموم‌سازی زنجیره تامین (Slopsquatting)

مدل‌های هوش مصنوعی در تولید کدهای پایتون یا نودجی‌اس گاهی نام کتابخانه‌ها را توهم (Hallucination) می‌کنند. هکرها این پکیج‌های خیالی را در PyPI یا npm ثبت کرده و کدهای مخرب درون آن‌ها قرار می‌دهند. راهکار: قفل کردن هش پکیج‌ها و بررسی قدمت و اعتبار مخازن پیش از نصب.

افشای اطلاعات حساس (Sensitive Data Leakage)

مدل‌هایی که با متون سازمانی بدون پاکسازی PII تقویت شده‌اند، با پرامپت‌های مهندسی‌شده کلیدهای خصوصی API و اطلاعات هویتی را فاش می‌سازند. فیلترهای خروجی سخت‌گیرانه و پاکسازی دیتاست پیش از ایندکس در پایگاه داده‌های برداری الزامی است.

۴. بسته مهارت هرمس ایجنت (Hermes Agent Security Skill)

برای اینکه توسعه‌دهندگان و کاربران مستر هرمس بتوانند این متدولوژی آموزشی را مستقیماً درون دستیار هوش مصنوعی و ترمینال خود اجرا کنند، مهارت تعاملی hacksplaining-security-training پیاده‌سازی شده است. این مهارت به ایجنت امکان می‌دهد:

• هر آسیب‌پذیری را در قالب سناریوی شبیه‌سازی‌شده تعاملی به کاربر آموزش دهد.
• کدهای ناقص برنامه‌نویس را بررسی و وصله امن به همراه تست تشخیصی ارائه کند.
• کوییزهای ۳ گزینه‌ای برای سنجش تسلط امنیتی توسعه‌دهنده برگزار نماید.

mkdir -p ~/.hermes/skills/security/hacksplaining-security-training
curl -sSL https://mrhermes.ir/wp-content/uploads/skills/hacksplaining-security-training.md -o ~/.hermes/skills/security/hacksplaining-security-training/SKILL.md

۵. نتیجه‌گیری و گام‌های بعدی

امنیت نرم‌افزار مجموعه‌ای از چک‌لیست‌های تئوری نیست، بلکه مهارتی تجربی و شهودی است. با بهره‌گیری از سناریوهای ملموس Hacksplaining و تجهیز دستیار هوش مصنوعی هرمس به این مهارت، تیم‌های توسعه می‌توانند آسیب‌پذیری‌ها را در همان مرحله بازبینی کد (Code Review) شناسایی و مسدود کنند.