प्रॉम्प्ट इंजेक्शन से सीक्रेट लीक: माइक्रोसॉफ्ट ने बताया कैसे एक AI एजेंट पल भर में पूरा सिस्टम हैक कर सकता है

जून 2026 की शुरुआत में, माइक्रोसॉफ्ट ने दुनिया भर की डेवलपमेंट टीमों के लिए एक कड़ी चेतावनी जारी की: एक AI एजेंट और जिन संवेदनशील जानकारियों (सीक्रेट्स) तक वह पहुंच सकता है, उनके बीच की सीमा हमारी कल्पना से कहीं पतली है। माइक्रोसॉफ्ट के खुलासे में बताया गया कि कैसे Anthropic के क्लॉड कोड GitHub एक्शन के एक सामान्य से टूल का इस्तेमाल करके ज़रूरी CI/CD क्रेडेंशियल्स चुराए जा सकते हैं। इसने साबित कर दिया कि एजेंटिक वर्कफ़्लो के सुरक्षा मॉडल को हर छोटी से छोटी बात पर बारीकी से ध्यान देने की ज़रूरत है।

कैसे क्लॉड कोड GitHub एक्शन ने लीक किए राज़?

5 जून, 2026 को माइक्रोसॉफ्ट थ्रेट इंटेलिजेंस द्वारा बताई गई यह खामी कोई जटिल जेलब्रेक नहीं थी। यह एजेंट के अंदर अलग-अलग टूल्स को एक-दूसरे से सुरक्षित रखने (सैंडबॉक्सिंग) की प्रक्रिया में एक बुनियादी विफलता थी ।

जब क्लॉड कोड को GitHub एक्शन के रूप में चलाया जाता था, तो यह पुल रिक्वेस्ट, इश्यूज़ और कमेंट्स जैसी अनट्रस्टेड सामग्री को प्रोसेस कर सकता था। इस सामग्री में छिपे दुर्भावनापूर्ण निर्देशों को कमांड एक्ज़ीक्यूट करने से रोकने के लिए, Anthropic ने अपने "Bash" टूल के लिए एनवायरनमेंट स्क्रबिंग लागू की थी। जब वर्कफ़्लो को बाहरी यूज़र्स द्वारा ट्रिगर किया जा सकता था, तब Bubblewrap जैसी आइसोलेशन तकनीकों का इस्तेमाल किया जाता था ।

लेकिन, "Read" टूल—जो मॉडल को फाइलों की सामग्री देखने देता है—के लिए ऐसा कोई आइसोलेशन नहीं था। यह एक इन-प्रोसेस फंक्शन कॉल के रूप में काम करता था और पूरे फाइल सिस्टम तक सीधी, बिना सैंडबॉक्स वाली पहुंच रखता था। इसमें /proc/self/environ नाम की वो संवेदनशील लिनक्स फाइल भी शामिल थी, जो किसी प्रोसेस के सभी एनवायरनमेंट वेरिएबल को उजागर करती है ।

एक हमला कुछ सीधे कदमों में अंजाम दिया जा सकता था:

1. एक हमलावर किसी ऐसे पब्लिक रिपॉज़िटरी में एक सीधा-सादा दिखने वाला इश्यू या पुल रिक्वेस्ट खोलता, जो क्लॉड कोड GitHub एक्शन का इस्तेमाल करता है।
2. उस इश्यू की बॉडी या किसी HTML कमेंट में AI एजेंट के लिए निर्देश छिपे होते, जो पेज को स्कैन करने वाले किसी इंसान को दिखाई नहीं देते।
3. जब वर्कफ़्लो ट्रिगर होता, तो AI मॉडल उस सामग्री को अपने संदर्भ के हिस्से के रूप में प्रोसेस करता और उसमें छिपे निर्देशों का पालन करते हुए /proc/self/environ फाइल को पढ़ लेता ।
4. इसके बाद, मॉडल को आगे निर्देश दिया जा सकता था कि वह इस डेटा को बाहर भेज दे, उदाहरण के लिए इसे एक कमेंट के तौर पर वापस पोस्ट करके। शोधकर्ताओं ने यह भी पाया कि हमले को और परिष्कृत करते हुए, ऑटोमेटेड सीक्रेट स्कैनर्स से बचने के लिए ANTHROPIC_API_KEY से पहले सात अक्षर (sk-ant-) हटा दिए जाते थे ।

यह अटैक सरफेस—जहां डेटा में छिपे हुए सामान्य-भाषा के निर्देश एक्ज़ीक्यूटेबल कमांड बन जाते हैं—प्रॉम्प्ट इंजेक्शन का मूल है। यह एक ऐसा खतरा है जो AI एजेंट्स के लिए सुरक्षा परिदृश्य को तेज़ी से परिभाषित कर रहा है।

एक एहतियाती पैच: खुलासे की समयरेखा

एक अहम बात यह है कि यह एक समन्वित खुलासा था जिसमें पहले समस्या का समाधान किया गया।

• 5 मई, 2026: Anthropic ने क्लॉड कोड 2.1.128 जारी किया, जिसने Read टूल के लिए वैसी ही सैंडबॉक्सिंग लागू करके इस खामी को कम किया, जैसी पहले से दूसरे एक्ज़ीक्यूशन पाथ पर लागू थी ।
• 5 जून, 2026: माइक्रोसॉफ्ट ने अपना विस्तृत खतरा विश्लेषण प्रकाशित किया, और पूरे उद्योग के लिए तत्काल सुरक्षा सिफारिशें देने के लिए इस केस स्टडी का उपयोग किया ।

एक बग से परे: AI एजेंट सिस्टम के विफल होने के सात नए तरीके

क्लॉड कोड का यह खुलासा एक बड़े सुरक्षा मूल्यांकन की पृष्ठभूमि में हुआ। एक दिन पहले, 4 जून, 2026 को, माइक्रोसॉफ्ट की AI रेड टीम ने अपनी Taxonomy of Failure Modes in Agentic AI Systems का वर्जन 2.0 प्रकाशित किया । यह बड़ा अपडेट, तैनात AI एजेंट्स के खिलाफ बारह महीनों की वास्तविक दुनिया की रेड-टीम एंगेजमेंट पर आधारित था, और इसमें विफलता की सात पूरी तरह से नई श्रेणियां जोड़ी गईं, जो एक सामान्य कोड-एक्ज़ीक्यूशन खामी से कहीं आगे तक जाती हैं।

ये नए विफलता मोड इस बात में एक महत्वपूर्ण बदलाव दर्शाते हैं कि सुरक्षा शोधकर्ता स्वायत्त AI सिस्टम के बारे में कैसे सोचते हैं:

1. एजेंटिक सप्लाई चेन कम्प्रोमाइज़: पारंपरिक सॉफ्टवेयर सप्लाई चेन हमलों के विपरीत जो दुर्भावनापूर्ण कोड पहुंचाते हैं, इसमें समझौता किए गए प्लगइन्स, MCP सर्वर, या प्रॉम्प्ट टेम्प्लेट शामिल होते हैं जो कोड स्कैनर्स को ट्रिगर किए बिना एजेंट के व्यवहार को बदलने के लिए सामान्य-भाषा के निर्देशों को इंजेक्ट करते हैं ।
2. गोल हाइजैकिंग: एक विरोधी ऐसे निर्देश तैयार करता है जो एक वैध कार्य को पूरा करने में मदद करते प्रतीत होते हैं, लेकिन चुपचाप एजेंट के अंतिम उद्देश्य को पुनर्निर्देशित कर देते हैं। एजेंट सॉफ्टवेयर के नज़रिए से बिना किसी समझौते के, हमलावर के लक्ष्य की ओर मोड़ दिया जाता है ।
3. इंटर-एजेंट ट्रस्ट एस्केलेशन: मल्टी-एजेंट सिस्टम में, एक समझौता किया हुआ एजेंट किसी सेंट्रल ऑर्केस्ट्रेटर को अपनी एक ऊंची-ट्रस्ट पहचान या बढ़ी हुई अनुमतियों का झूठा दावा कर सकता है, अगर वह ऑर्केस्ट्रेटर स्वतंत्र रूप से इसकी पुष्टि नहीं करता। यह क्लासिक "कन्फ्यूज्ड डेप्युटी" समस्या का सामान्य-भाषा वाला संस्करण है ।
4. कंप्यूटर यूज़ एजेंट (CUA) विज़ुअल अटैक: ग्राफिकल इंटरफेस को संचालित करने वाले एजेंट्स को ऐसी दृश्य जानकारी से हेरफेर किया जा सकता है जो इंसानों को स्पष्ट नहीं होती, जैसे कि छिपा हुआ टेक्स्ट, स्क्रीन से बाहर मौजूद UI एलिमेंट, या प्रॉम्प्ट इंजेक्शन पेलोड को एम्बेड करने वाली इमेज ।
5. सेशन कॉन्टेक्स्ट कंटैमिनेशन: एक सूक्ष्म हमला जिसमें एक लंबे, मल्टी-स्टेप एजेंट सेशन की शुरुआत में ही कोई विरोधी पक्षपातपूर्ण या दुर्भावनापूर्ण जानकारी डाल देता है। हो सकता है कि यह डेटा किसी भी एक कदम पर किसी सुरक्षा नियंत्रण को ट्रिगर न करे, लेकिन बाद की किसी असंबंधित कार्रवाई में एजेंट की तर्कशक्ति को दूषित कर देता है ।
6. MCP / प्लगइन एब्यूज़: मॉडल कॉन्टेक्स्ट प्रोटोकॉल (MCP) और प्लगइन आर्किटेक्चर से जुड़े अटैक सरफेस पर एक अपडेटेड फोकस, जो एजेंट की क्षमताओं को बढ़ाने का मानक तरीका बनते जा रहे हैं ।
7. कैपेबिलिटी / आर्किटेक्चर डिस्क्लोज़र: एजेंट खुद अपने संवेदनशील आंतरिक डिज़ाइन विवरण—जैसे कि टूल स्कीमा, मेमोरी इंटरफेस, या मानवीय मंज़ूरी को ट्रिगर करने वाला लॉजिक—लीक कर सकता है, जिससे हमलावर को भविष्य के और अधिक सटीक हमलों के लिए एक खाका मिल जाता है ।

इस विस्तारित टैक्सोनॉमी ने ढांचे को इसके मूल 27 विफलता मोड से बढ़ाकर 34 कर दिया, जो एजेंटिक सिस्टम की बढ़ती जटिलता और वास्तविक दुनिया में उनके बढ़ते प्रभाव को दर्शाता है ।

एक एजेंटिक दुनिया में CI/CD को मज़बूत बनाना

क्लॉड कोड केस और व्यापक टैक्सोनॉमी अपडेट के जवाब में, माइक्रोसॉफ्ट ने AI एजेंट्स को अपने बिल्ड पाइपलाइनों में एकीकृत करने वाली किसी भी टीम के लिए सुरक्षा अनुशंसाओं का एक सेट रेखांकित किया। इन दिशा-निर्देशों में इस बात पर ज़ोर दिया गया है कि आंशिक आइसोलेशन एक झूठी सांत्वना है।

• सभी अनट्रस्टेड सामग्री को इंजेक्शन वेक्टर मानें: बाहरी योगदानकर्ताओं के इश्यूज़, PRs, या कमेंट्स पर कभी भी ऑटोमेटिक रूप से AI एजेंट वर्कफ़्लो न चलाएं। इस सामग्री को संभावित रूप से खतरनाक इनपुट के रूप में देखा जाना चाहिए ।
• टूल्स को एक समान रूप से आइसोलेट करें: सैंडबॉक्स्ड Bash टूल और अनसैंडबॉक्स्ड Read टूल के बीच के अंतर ने दर्शाया कि एनवायरनमेंट स्क्रबिंग को एक समान रूप से लागू किया जाना चाहिए। एक भी अनसैंडबॉक्स्ड टूल पूरे वर्कफ़्लो से समझौता कर सकता है ।
• न्यूनतम विशेषाधिकार (लीस्ट प्रिविलेज) लागू करें: एजेंट की अपनी API कीज़ और एक्सेस टोकन का दायरा यथासंभव सीमित होना चाहिए, ताकि अगर वे उजागर हों तो नुकसान कम से कम हो। जब संभव हो, अल्पकालिक, उद्देश्य-सीमित क्रेडेंशियल्स के लिए OIDC का उपयोग करें ।
• ह्यूमन-इन-द-लूप अनुभव का ऑडिट करें: सुरक्षा नियंत्रण जो मानवीय समीक्षा पर निर्भर करते हैं, विफल हो सकते हैं यदि हमले का पेलोड रॉ Markdown या HTML कमेंट्स में छिपा हो जिसे समीक्षक कभी देख ही न पाए। मानवीय मंज़ूरी का कदम केवल उतना ही मज़बूत है, जितना कि मंज़ूरी के लिए दिखाई देने वाला डेटा ।
• एजेंट सप्लाई चेन की इन्वेंटरी बनाएं: टीमों को प्रत्येक तैनात एजेंट के लिए एक सॉफ्टवेयर बिल ऑफ मैटेरियल्स (SBOM) तैयार करना चाहिए, जो अब पारंपरिक सॉफ्टवेयर के लिए मानक बन चुकी सप्लाई-चेन दृश्यता को दर्शाता है ।

इन सभी दिशा-निर्देशों में एक मूल आर्किटेक्चरल सिद्धांत बुना हुआ है जिसे सुरक्षा समुदाय "रूल ऑफ टू" कहता है। मेटा के अक्टूबर 2025 के व्यावहारिक एजेंट सुरक्षा ढांचे से उत्पन्न यह नियम कहता है कि एक एजेंट को निम्नलिखित तीन शर्तों में से दो से अधिक को पूरा नहीं करना चाहिए: (क) अविश्वसनीय इनपुट को प्रोसेस करना, (ख) संवेदनशील डेटा तक पहुंच रखना, और (ग) बाहरी स्थिति को बदलने वाली कार्रवाइयों को अंजाम देने की क्षमता रखना । क्लॉड कोड की यह खामी इस सिद्धांत का एक क्लासिक उल्लंघन थी, क्योंकि एजेंट एक साथ एक अनट्रस्टेड PR से इनपुट हैंडल कर रहा था और उसके पास शक्तिशाली क्रेडेंशियल्स भी थे।