Manus AI एजेंट में ईमेल प्रॉम्प्ट इंजेक्शन: चेतावनी से पहले कोड चला

Salt Labs के अनुसार तैयार किया गया ईमेल Manus को उपयोगकर्ता को चेतावनी देने से पहले सर्वर-साइड रनटाइम में कोड चलाने के लिए प्रेरित कर सकता था। शोधकर्ताओं का कहना है कि उन्होंने जिम्मेदारी से खुलासा किया और समस्या ठीक हो गई है; कोई CVE या वास्तविक पीड़ित-समझौता रिपोर्ट नहीं हुआ।^[1]

💡 आसान भाषा में (ELI5)

डाक कक्ष के ऐसे कर्मचारी की कल्पना करें जो पत्र पढ़कर उसमें छिपे निर्देशों का पालन कर लेता है और बाद में प्रबंधक से पूछता है कि पत्र भरोसेमंद था या नहीं। चेतावनी कार्रवाई के बाद आती है। सुरक्षा सीमा को शुरू से ही अविश्वसनीय पत्र-पाठ को चलाए जा सकने वाले निर्देश बनने से रोकना चाहिए।^[1]

इस पेज के मुख्य शब्द

अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन: उपयोगकर्ता के सीधे अनुरोध के बजाय उस सामग्री में रखे निर्देश जिसे AI को देखना है, जैसे ईमेल।^{[1], [5]}
एजेंट रनटाइम: वह प्रक्रिया और टूल जिनका एजेंट उपयोग कर सकता है। अनुमतियाँ और अलगाव तय करते हैं कि मॉडल से प्रभावित कार्रवाई का असर कितना होगा।^{[1], [6]}
निष्पादन-पूर्व नियंत्रण: ऐसा नियंत्रण जो कोड चलने या टूल कॉल होने से पहले कार्रवाई रोकता है। बाद में आई चेतावनी निष्पादन नहीं रोक सकती।^{[1], [6]}
CWE-94 (संपादकीय मानचित्रण): कोड निर्माण या निष्पादन पर अनुचित नियंत्रण। FlawOpen इसे अविश्वसनीय सामग्री से कोड बनने की प्रदर्शित सीमा के वैचारिक मानचित्रण के रूप में उपयोग करता है; Salt Labs ने CWE या CVE नहीं दिया।^{[4], [1]}

फ्रेमवर्क मैपिंग

MITRE CWE के लिए FlawOpen की वैचारिक मैपिंग; किसी विक्रेता या CVE रिकॉर्ड ने इस शोध प्रदर्शन को यह कमजोरी ID नहीं दी है। CWE-94
OWASP GenAI 2025 — LLM01:2025 प्रॉम्प्ट इंजेक्शन
OWASP GenAI 2025 — LLM06:2025 अत्यधिक एजेंसी

हमले का चरण-दर-चरण प्रवाह

चरण 1

उपयोगकर्ता Manus से ईमेल देखने को कहता है

Salt Labs के अनुसार नियंत्रित परीक्षण में Manus को इनबॉक्स देखने के लिए कहना पर्याप्त था; अतिरिक्त क्लिक या क्रेडेंशियल चोरी की जरूरत नहीं थी।^[1]

चरण 2

ईमेल अविश्वसनीय सामग्री देता है

सामान्य ईमेल सामग्री में निर्देश छिपे थे। मॉडल का वर्गीकरण या चेतावनी उस डेटा की सुरक्षा सीमा नहीं है।^[1]

चरण 3

सामग्री सर्वर-साइड निष्पादन पथ तक पहुँचती है

Salt Labs बताता है कि Manus ने Node.js रनटाइम के माध्यम से सामग्री संसाधित की और चेतावनी तथा अनुमोदन संकेत दिखने से पहले कोड चलाया। सटीक आंतरिक कार्यान्वयन सार्वजनिक नहीं है; यह शोधकर्ताओं का विवरण है, स्रोत-कोड ऑडिट नहीं।^[1]

चरण 4

निष्पादन संदर्भ जुड़ी सेवाओं की अनुमतियों तक पहुँचता है

Salt Labs के नियंत्रित परीक्षण में रनटाइम उपयोगकर्ता से जुड़ी सेवाओं के टोकन तक पहुँच सकता था। संभावित प्रभाव उस वातावरण में उपलब्ध एकीकरण और अनुमतियों पर निर्भर था।^[1]

चरण 5

खुलासा की गई समस्या ठीक की गई

Salt Labs कहता है कि उसने Meta के बग-बाउंटी कार्यक्रम से समस्या बताई और विशिष्ट तरीका अब उपयोग योग्य नहीं है। यह शोधकर्ताओं का प्रदर्शन था, ग्राहक-उल्लंघन की रिपोर्ट नहीं; कोई CVE या सार्वजनिक पैच डिफ़ उपलब्ध नहीं है।^[1]

सोर्स कोड: कमज़ोर बनाम सुरक्षित कार्यान्वयन

Salt Labs ने Manus का असुरक्षित स्रोत कोड या विक्रेता का पैच डिफ़ प्रकाशित नहीं किया। ये उदाहरण सामान्य भरोसा-सीमा की गलती और रक्षात्मक संरचना दिखाते हैं; उत्पाद का पुनर्निर्माण नहीं हैं। अविश्वसनीय ईमेल को बिना निष्पादन क्षमता वाले सारांश प्रवाह में रखें। कोई टूल या रनटाइम कार्रवाई करे उससे पहले अलग सर्वर नीति को वही सटीक कार्रवाई अधिकृत करनी चाहिए।^{[1], [6]}

कमज़ोर कार्यान्वयन

// असुरक्षित डिज़ाइन का उदाहरण; यह Manus का स्रोत कोड नहीं है।
async function inspectEmail(email: Email) {
  return agent.process(email.body, { tools: [serverSideRuntime] });
}

सुरक्षित और सुदृढ़ फ़िक्स

// अधिक सुरक्षित सीमा का उदाहरण; Manus का कार्यान्वयन या पैच नहीं।
async function inspectEmail(email: Email, session: AuthenticatedSession) {
  const summary = SummarySchema.parse(
    await readOnlyModel.summarize({ content: email.body })
  );
  const proposal = ActionRequestSchema.parse(
    await readOnlyModel.proposeAction({ summary })
  );
  if (!proposal) return summary;

  const approval = await approvalStore.consumeExact({
    actorId: session.userId,
    action: proposal.action,
    resourceId: proposal.resourceId
  });
  const permit = await serverPolicy.authorize({
    actorId: session.userId,
    action: proposal.action,
    resourceId: proposal.resourceId,
    approval
  });
  if (!permit.allowed) throw new Error("Action denied");
  return narrowTools.execute(permit.approvedAction);
}

इंजीनियरिंग और सिस्टम सुरक्षा चेकलिस्ट

✓ईमेल, अटैचमेंट, उद्धृत वार्तालाप और प्राप्त वेब सामग्री को अविश्वसनीय डेटा मानें, भले ही मॉडल उन्हें सुरक्षित या दुर्भावनापूर्ण बताए।^{[1], [5]}
✓ईमेल सारांश को सामान्य प्रयोजन कोड रनटाइम बुलाने न दें। केवल-पठन विश्लेषण को टूल निष्पादन से अलग रखें और सीमित, प्रकार-सुरक्षित टूल उपयोग करें।^{[1], [6]}
✓सर्वर नीति में निष्पादन से पहले अनुमति लागू करें; अनुमोदन को प्रमाणित उपयोगकर्ता, सटीक कार्रवाई और संसाधन तथा कम अवधि से बाँधें।^[6]
✓रनटाइम को वास्तव में अलग रखें: सामग्री संसाधित करने वाले वातावरण में OAuth टोकन या व्यापक कनेक्टर क्रेडेंशियल न रखें।^{[1], [6]}
✓अनुमोदन, ऑडिट या नीति मूल्यांकन उपलब्ध न हो तो डिफ़ॉल्ट रूप से रोकें। निष्पादन के बाद दिखी चेतावनी रोकथाम नहीं है।^[6]
✓टूल-कॉल और रनटाइम रिकॉर्ड सुरक्षित रखें; परीक्षण करें कि दुर्भावनापूर्ण ईमेल अनुमति से पहले निष्पादन नहीं करा सकता।^{[1], [6]}
✓Salt Labs के अनुसार खुलासा की गई समस्या ठीक है। Manus की वर्तमान सुरक्षा सूचना जाँचें और यह न मानें कि हर एजेंट प्लेटफ़ॉर्म में यही खामी है।^[1]

स्रोत

← AI Security Directory →