ہم سائبر سیکیورٹی میں AI کے بارے میں ایک ہی زاویے سے پڑھنے کے عادی ہیں: ایک حملہ آور جو تیزی سے آگے بڑھنے کے لیے ایجنٹس استعمال کرتا ہے۔ دوسرا زاویہ آپ کے ادارے کے لیے زیادہ اہم ہے اور اس پر بہت کم توجہ دی جاتی ہے۔ جو ایجنٹ آپ اپنی ڈیولپر مشین پر چلاتے ہیں، وہ خود ایک نئی اٹیک سطح ہے۔ دو مہینوں کے دوران، تین آزاد تحقیقی گروپوں نے ایسے نتائج شائع کیے جو سب ایک ہی سمت کی نشاندہی کرتے ہیں۔

ان واقعات میں مشترک بات ماڈل کی کوئی خامی یا کوئی غلط جواب نہیں ہے۔ ایجنٹ کبھی اپنے سینڈ باکس سے باہر نہیں نکلا اور اس نے کبھی کوئی اصول نہیں توڑا۔ ہوا یہ کہ ایجنٹ نے پروجیکٹ کے اندر ایک فائل پڑھی یا لکھی، اور پھر سینڈ باکس سے باہر چلنے والے ایک قابل اعتماد ٹول نے اس فائل کے مواد کو چلا دیا۔ سینڈ باکس قائم رہا۔ دراندازی اس کے گرد سے گزر گئی۔

طریقہ کار: Git کی برسوں پرانی کارکردگی کی ایک سیٹنگ

سب سے واضح مثال Manifold Security نے 2 ستمبر 2026 کو GitSpawn کے نام سے شائع کی۔ یہ core.fsmonitor نامی پروجیکٹ کی سطح کی Git سیٹنگ پر مبنی ہے، جو کارکردگی کا ایک جائز اور دستاویزی آپشن ہے جس کی قدر ایک کمانڈ ہوتی ہے جسے Git پوری ڈائریکٹری اسکین کرنے کے بجائے تبدیل شدہ فائلوں کو جلدی پہچاننے کے لیے چلاتا ہے۔

اب دونوں حصوں کو ساتھ ملائیے:

  • ایک AI کوڈنگ ایجنٹ جب کسی پروجیکٹ پر کام شروع کرتا ہے تو ریپوزیٹری کی حالت سمجھنے کے لیے خود بخود git status اور git diff جیسی Git کمانڈز چلاتا ہے۔ یہ معمول کا اور ضروری رویہ ہے۔
  • اگر ریپوزیٹری میں بدنیتی پر مبنی core.fsmonitor قدر موجود ہو تو محض ان کمانڈز کو چلانے سے حملہ آور کی کمانڈ چل جاتی ہے۔

نتیجہ یہ کہ کوڈ ریپوزیٹری کھولنا پڑھنے کا واقعہ نہیں رہتا بلکہ چلانے کا واقعہ بن جاتا ہے۔ نہ کوئی کلک، نہ کوئی منظوری، نہ ڈیولپر کو دکھایا گیا کوئی اشارہ۔ رپورٹ کے مطابق آٹھ کمانڈ لائن ایجنٹس متاثر تھے، اور ان میں سے کئی کے لیے پیچ جاری ہوئے: goose میں 1.44.0، core.fsmonitor راستے کے لیے Claude Code میں 2.1.196، Codex CLI میں 0.131.0، اور اس کے ساتھ Cursor۔ رپورٹ نے بتایا کہ اشاعت کے وقت چار راستے ابھی تک بغیر پیچ کے تھے۔ اس قسم کو CVE-2026-72718، CVE-2026-19592 اور CVE-2026-55607 سمیت شناخت کنندگان کے تحت ٹریک کیا گیا۔

ایک واقعہ نہیں بلکہ پوری ایک قسم

GitSpawn سے چھ ہفتے پہلے، Pillar Security کے محققین نے 20 جولائی 2026 کو ایک سلسلہ شائع کیا جسے انہوں نے سینڈ باکس سے فرار کا ہفتہ کہا، جس میں تین وینڈرز کے چار کوڈنگ ایجنٹس میں سات کمزوریوں کو دستاویزی شکل دی گئی: Cursor، Codex، Gemini CLI اور Antigravity۔ طریقہ کار کے بارے میں ان کی وضاحت دو بار پڑھنے کے لائق ہے۔ ایجنٹ ڈبے کے اندر رہتا ہے اور ہر اصول کی پابندی کرتا ہے۔ وہ بس ایک فائل لکھتا ہے جسے ڈبے کے باہر کا ایک قابل اعتماد ٹول بعد میں چلاتا، لوڈ کرتا یا اسکین کرتا ہے۔

  • Cursor میں، ورک اسپیس کے زیر کنٹرول ایک ہک کنفیگریشن فائل نے سینڈ باکس کے باہر عمل درآمد ممکن بنایا، جسے CVE-2026-48124 کے طور پر ٹریک کیا گیا اور ورژن 3.0.0 میں درست کیا گیا۔
  • Codex CLI میں، کمانڈز کی اجازت والی فہرست git show پر صرف اس کے نام کی بنیاد پر بھروسہ کرتی تھی، حالانکہ اسے دیے گئے پیرامیٹرز اسے صرف پڑھنے سے آگے لے جا سکتے ہیں۔ ورژن 0.95.0 میں درست کیا گیا۔
  • Docker ساکٹ کے ایک مسئلے نے Codex، Cursor اور Gemini CLI کو بیک وقت متاثر کیا۔
  • Antigravity میں، macOS Seatbelt کی ممانعتی فہرست کو بائی پاس کرنے کا مسئلہ اور ایڈیٹر کی ٹاسک کنفیگریشن کا ایک مسئلہ، جن دونوں کو Google نے استحصال کے لیے مشکل قرار دیا۔

پھر 10 ستمبر 2026 کو Upstarts Media نے Accomplish نامی ایک اسٹارٹ اپ کی جانب سے تیسرے انکشاف کی خبر دی، جو Claude Code، Codex اور Cursor میں رسنے والے سینڈ باکسز کے بارے میں تھا۔ وہاں دلچسپ عدد کمزوری نہیں بلکہ اسے درست کرنے کا وقت ہے: Cursor کا مسئلہ تقریباً ایک ہفتے میں حل ہو گیا، OpenAI کے دو مسائل اگست میں، جبکہ Anthropic کے مسئلے میں درجنوں ریلیزز کے دوران تقریباً پچاس دن لگے۔ تین تحقیقی گروپ، تین رپورٹیں، دو مہینے، ایک پیٹرن۔

اگر آپ کبھی کوڈ نہیں لکھتے تب بھی یہ کیوں اہم ہے

کیونکہ خطرہ ایجنٹ پر نہیں پڑتا۔ یہ اس مشین پر پڑتا ہے جو اسے چلا رہی ہے اور اس نیٹ ورک پر جس میں وہ مشین موجود ہے۔ ڈیولپر ورک اسٹیشن کسی بھی کمپنی کے سب سے زیادہ اختیارات والے آلات میں سے ایک ہوتا ہے: اس میں سرور تک رسائی کی کیز، ڈیپلائمنٹ ٹوکنز اور اکثر پروڈکشن ڈیٹا بیس سے ایک کھلا کنکشن ہوتا ہے۔ اس پر ایک کمانڈ کا چلنا کوئی چھوٹا واقعہ نہیں۔

سعودی مارکیٹ میں یہ منظرنامہ محض نظریاتی نہیں ہے۔ ان صورتوں کو اپنی کمپنی سے ملا کر دیکھیے:

  • ایک بیرونی ٹھیکیدار یا ڈیولپمنٹ ایجنسی کوڈ فراہم کرتی ہے جسے آپ کی ٹیم پھر آپ کے نیٹ ورک کے اندر کی مشین پر AI ایجنٹ کے ساتھ کھولتی ہے۔
  • ایک اوپن سورس پروجیکٹ جسے کوئی ڈیولپر کسی لائبریری یا فوری اصلاح کو آزمانے کے لیے ڈاؤن لوڈ کرتا ہے۔
  • ای میل یا WhatsApp کے ذریعے بھیجی گئی ایک فائل کسی سپلائر کی جانب سے، جسے ان زپ کر کے سیدھا ایڈیٹر میں کھول لیا جاتا ہے۔
  • ملازمت کا ایک امیدوار جو ایک نمونہ پروجیکٹ جمع کراتا ہے جسے کوئی تکنیکی جائزہ کار کھولتا ہے۔
  • ایک پرانی برانچ یا منتقل شدہ ریپوزیٹری جو کسی حصول یا پروجیکٹ کی حوالگی کے دوران سونپی جاتی ہے۔

ان میں سے ہر صورت میں ان کہا مفروضہ یہ ہے کہ فائلوں کو پڑھنے کے لیے کھولنا ایک محفوظ عمل ہے۔ یہی مفروضہ ٹوٹا ہے۔

اس ہفتے کیا کریں

پانچ اقدامات، اور پہلے کے لیے کسی بجٹ کی ضرورت نہیں:

  1. آج ہی پوری ٹیم میں ایجنٹ ٹولز کو اپ ڈیٹ کریں۔ ان میں سے زیادہ تر ٹولز کے لیے پیچ موجود ہیں، اور اصل فائدہ تب ہے جب صرف ایک شخص نہیں بلکہ ہر کوئی پیچ شدہ ورژن پر ہو۔ آغاز یہ جاننے سے کریں کہ کون کیا اور کس ورژن پر چلا رہا ہے، کیونکہ یہ فہرست عموماً موجود ہی نہیں ہوتی۔
  2. آنے والے کوڈ کو ناقابل اعتماد مواد سمجھیں۔ کسی ٹھیکیدار یا کھلے ذریعے سے آنے والا کوڈ پڑھنے کی دستاویز نہیں، بلکہ چلنے والی چیز ہے۔ پہلی بار اسے کام کے نیٹ ورک سے الگ کسی مشین یا کنٹینر میں کھولیں۔
  3. ڈیولپمنٹ مشین کو پروڈکشن کیز سے الگ رکھیں۔ جس مشین پر بیرونی ذرائع کے پروجیکٹس کھولے جاتے ہیں، اس پر لائیو سرور ٹوکنز نہ رکھیں۔ تب نقصان اسی ڈیوائس تک محدود رہتا ہے۔
  4. ڈیپلائمنٹ ذاتی لیپ ٹاپ سے نہیں بلکہ مرکزی پائپ لائن سے کریں۔ جب ڈیپلائمنٹ محدود اجازتوں والی ایک ہی بلڈ پائپ لائن سے گزرتی ہے تو کسی ایک مشین میں دراندازی پروڈکشن تک پہنچنے کا راستہ نہیں رہتی۔
  5. آؤٹ سورس ڈیولپمنٹ کے معاہدوں میں ایک شق شامل کریں۔ آپ کو یہ طے کرنے کا حق ہے کہ کوڈ کیسے اور کس ریپوزیٹری سے فراہم کیا جائے، اور وینڈر سے اپنے ٹولز اپ ڈیٹ رکھنے کا تقاضا کرنے کا بھی۔ یہ معاہدے کی شرط ہے، کوئی تکنیکی بحث نہیں۔

مقامی سطح پر ان میں سے کچھ بھی اختیاری اچھی روایت نہیں ہے۔ نیشنل سائبر سیکیورٹی اتھارٹی (NCA) کی جانب سے جاری کردہ بنیادی سائبر سیکیورٹی کنٹرولز میں اینڈ پوائنٹ سیکیورٹی، تبدیلی اور ڈیولپمنٹ کے انتظام کی سیکیورٹی، اور تیسرے فریق کی سیکیورٹی کے لیے واضح شعبے شامل ہیں، جبکہ ذاتی ڈیٹا کے تحفظ کی ذمہ داری ذاتی ڈیٹا کے تحفظ کے قانون (PDPL) کے تحت ادارے پر ہی رہتی ہے۔ اگر دروازہ کسی ایسی ڈیولپر مشین کے ذریعے کھلا جس نے وینڈر کا پروجیکٹ کھولا تھا، تو اس سے ذمہ داری کم نہیں ہوتی۔

Origami کا نقطہ نظر

ہم ان تین رپورٹوں کو ایک ایسے خیال کی اصلاح کے طور پر دیکھتے ہیں جو تیزی سے پھیلا: کہ جب تک ایجنٹ سینڈ باکس میں بند ہے، سینڈ باکس کافی ہے۔ ان کمزوریوں نے آئسولیشن نہیں توڑی۔ انہوں نے ایک جائز پل استعمال کیا جو ڈبے کے اندر لکھی گئی چیز کو باہر چلنے والے ٹول تک لے جاتا ہے۔ اس کا مطلب ہے کہ صحیح سوال یہ نہیں کہ ایجنٹ سینڈ باکس میں ہے یا نہیں، بلکہ یہ ہے کہ ایجنٹ جو کچھ تیار کرتا ہے اسے کون سے ٹولز پڑھتے ہیں، اور وہ ٹولز کن اختیارات کے ساتھ چلتے ہیں۔

کلائنٹس کے ہاں ہم جو دیکھتے ہیں اس سے ایک عملی مشاہدہ: ڈیولپمنٹ ٹیموں میں AI ٹولز کا استعمال اسے منظم کرنے والی کسی بھی پالیسی سے مہینوں آگے چلتا ہے۔ ایک ڈیولپر کوئی ٹول آزماتا ہے، اسے پسند آتا ہے، اور وہ کسی فیصلے، جائزے یا فہرست کے بغیر روزمرہ کے کام کا حصہ بن جاتا ہے۔ مسئلہ ٹول نہیں ہے۔ مسئلہ یہ ہے کہ وہ ایسے دروازے سے داخل ہوا جس پر کوئی نظر نہیں رکھتا۔ کلائنٹس کے ماحول کا جائزہ لیتے وقت ہم ٹھیک یہیں سے آغاز کرتے ہیں: ٹیم کی مشینوں پر اصل میں کون سے ٹولز چلتے ہیں، کن اختیارات کے ساتھ، اور اگر آج رات ان میں سے کسی ایک پر ایک کمانڈ چل جائے تو کیا ہوگا۔ اگر آپ اس زاویے سے جائزہ چاہتے ہیں تو آپ ہمیں رابطے کے صفحے پر پائیں گے۔

خلاصہ

دو مہینوں میں تین آزاد انکشافات ایک ہی بات کہتے ہیں: AI کوڈنگ ایجنٹ پروجیکٹ کھولنے کو پڑھنے سے بدل کر چلانے میں تبدیل کر دیتا ہے، اور اس کے لیے بس اتنا کافی ہے کہ کوئی بیرونی فریق کنفیگریشن فائل میں ایک سطر رکھ دے۔ زیادہ تر ٹولز کے لیے پیچ جاری ہوئے اور کچھ راستے کھلے رہ گئے، لیکن یہ سبق کسی بھی ریلیز سے زیادہ دیر تک باقی رہے گا۔ زیادہ اختیارات والی مشین پر آپ جو بھی ٹول چلاتے ہیں وہ آپ کی اٹیک سطح کا حصہ ہے، چاہے آپ کی پالیسیوں میں اس کا ذکر ہو یا نہ ہو۔ ایک سوال سے آغاز کریں: آپ کی ٹیم میں اس وقت کون AI ایجنٹ چلا رہا ہے، کس مشین پر، اور کس ورژن پر؟

ذرائع