কী ঘটেছে?

AI coding agent এখন শুধু কোড লিখে দেয় না—ফাইল পড়া, পরিবর্তন করা, কমান্ড চালানো, ওয়েবসাইট থেকে তথ্য সংগ্রহ এবং সফটওয়্যার পরীক্ষা করার মতো কাজও করতে পারে। ফলে এসব এজেন্টকে যদি দীর্ঘ সময় মানুষের অনুমোদন ছাড়াই কাজ করার সুযোগ দেওয়া হয়, তাহলে একটি সাধারণ ওয়েবপেজ, README, ডকুমেন্টেশন বা অন্য কোনো untrusted content-ও নিরাপত্তার ঝুঁকিতে পরিণত হতে পারে।

এই ঝুঁকিই নতুন করে সামনে এসেছে Claude Code Opus 5-এর Auto Mode নিয়ে প্রকাশিত গবেষণায়।

নিরাপত্তা গবেষক Johann Rehberger, যিনি Embrace The Red ব্লগে গবেষণা প্রকাশ করেন, দেখিয়েছেন—একটি সাধারণ ওয়েবসাইট summarize করার অনুরোধকে কেন্দ্র করে তৈরি indirect prompt-injection chain Claude Code-কে এমন কাজ করাতে পারে, যার শেষ পর্যায়ে attacker-controlled code execution সম্ভব হয়।

গুরুত্বপূর্ণ বিষয় হলো, গবেষক নিজেই উল্লেখ করেছেন যে তাঁর পরীক্ষার sample size ছোট। তাই ৬০–৮০ শতাংশকে কোনো সাধারণ বা সর্বজনীন attack probability হিসেবে দেখা উচিত নয়; বরং এটি একটি নির্দিষ্ট attack chain-এর পরীক্ষামূলক ফলাফল।

Auto Mode আসলে কী?

Claude Code সাধারণত কোনো গুরুত্বপূর্ণ command চালানোর আগে ব্যবহারকারীর অনুমতি চাইতে পারে। কিন্তু বারবার approval চাওয়া দীর্ঘ coding session-এ approval fatigue তৈরি করতে পারে—অর্থাৎ ব্যবহারকারী প্রতিটি অনুমোদন গভীরভাবে যাচাই না করে approve করতে শুরু করতে পারেন।

এই সমস্যা কমাতে Anthropic Auto Mode তৈরি করেছে। এখানে প্রতিটি গুরুত্বপূর্ণ tool call মানুষের কাছে approval prompt হিসেবে পাঠানোর পরিবর্তে একটি safety classifier সেটি মূল্যায়ন করে। Anthropic-এর ভাষ্য অনুযায়ী, classifier এমন action আটকানোর চেষ্টা করে যেগুলো irreversible, destructive অথবা ব্যবহারকারীর নির্ধারিত environment-এর বাইরে যাওয়ার চেষ্টা করে।

Anthropic জানিয়েছে, Auto Mode চালুর আগে তারা internal red-teaming, third-party red-teaming, prompt-injection evaluation, ১,০৫৩ জন paid tester-এর controlled study এবং production-session analysis করেছে। তাদের পরীক্ষায় Auto Mode manual review-এর তুলনায় সমান বা ভালো ফল দিয়েছে বলে দাবি করা হয়েছে।

কিন্তু নতুন গবেষণার ফলাফল সেই নিরাপত্তা ব্যবস্থার সীমাবদ্ধতা নিয়ে প্রশ্ন তুলেছে।

৬০–৮০ শতাংশ সফলতার দাবি কোথা থেকে এলো?

Johann Rehberger-এর ২৬ আগস্ট প্রকাশিত গবেষণায় একটি নির্দিষ্ট multi-step indirect prompt-injection chain পরীক্ষা করা হয়। গবেষকের দাবি, ছোট sample-এর পরীক্ষায় attack success rate প্রায় ৬০ থেকে ৮০ শতাংশ পর্যন্ত পৌঁছেছে।

গবেষণাটির সবচেয়ে গুরুত্বপূর্ণ শিক্ষা হলো—আক্রমণটি সরাসরি ব্যবহারকারীর prompt-এ malicious instruction দেওয়ার ওপর নির্ভর করে না। বরং AI agent যে external content পড়ছে, সেই content-কে ব্যবহার করে agent-এর আচরণ প্রভাবিত করার চেষ্টা করা হয়।

অর্থাৎ ব্যবহারকারী যদি বলেন—

“এই ওয়েবসাইটটি summarize করো”

তাহলে ওয়েবসাইটটির ভেতরের attacker-controlled content agent-এর context-এ ঢুকে গিয়ে তার পরবর্তী সিদ্ধান্তকে প্রভাবিত করার চেষ্টা করতে পারে।

এ ধরনের আক্রমণকে বলা হয় Indirect Prompt Injection।

কীভাবে আক্রমণের chain তৈরি হয়েছিল?

গবেষণাটি পুনরুৎপাদনের জন্য ক্ষতিকর command বা exploit দেওয়ার প্রয়োজন নেই; তবে নিরাপত্তার দিক থেকে chain-টির ধারণা বোঝা গুরুত্বপূর্ণ।

প্রকাশিত গবেষণা অনুযায়ী, আক্রমণের chain-এ একাধিক ধাপ ছিল। প্রথমে Claude-কে ওয়েব কনটেন্টের সঙ্গে কাজ করানো হয়। এরপর external archive/ফাইল ব্যবহারের দিকে workflow সরানো হয়। পরবর্তী পর্যায়ে archive-এর ভেতরের একটি malicious Python module legitimate module-এর নাম ব্যবহার করে module shadowing ঘটানোর সুযোগ তৈরি করে।

ফলে agent নিজে একটি decoder/script তৈরি ও চালানোর সময় attacker-controlled module load হওয়ার পরিস্থিতি তৈরি হয়। গবেষকের পরীক্ষায় শেষ পর্যন্ত attacker-controlled code execution-এর প্রমাণ পাওয়া যায় বলে দাবি করা হয়েছে।

এখানে গুরুত্বপূর্ণ বিষয় হলো—এটি কেবল “AI ভুল করে একটি খারাপ command লিখেছে” ধরনের ঘটনা নয়। বরং external content → model behaviour → tool use → code execution—এই পুরো chain-টি ঝুঁকির জায়গা তৈরি করেছে।

তাহলে Anthropic-এর ০ শতাংশ ফল কীভাবে এলো?

এখানেই বিষয়টির সবচেয়ে গুরুত্বপূর্ণ অংশ।

Anthropic-এর commissioned third-party evaluation-এ Claude Opus 5-এর Auto Mode-এর বিরুদ্ধে ৭২টি indirect prompt-injection scenario পরীক্ষা করা হয়েছিল। Anthropic জানিয়েছে, সেই evaluation-এ Auto Mode-এর attack success rate ছিল ০.০০ শতাংশ।

অন্যদিকে Rehberger একটি নতুন attack chain তৈরি করে পরীক্ষায় ৬০–৮০ শতাংশ সফলতার দাবি করেছেন।

দুটি ফলাফলকে সরাসরি “একটি সত্য, অন্যটি মিথ্যা” বলা ঠিক হবে না। কারণ দুটির পরীক্ষার পদ্ধতি আলাদা।

Anthropic-এর পরীক্ষা: নির্দিষ্ট benchmark/scenario-এর সেট।

Rehberger-এর পরীক্ষা: একটি নতুন, targeted attack chain যা আগের evaluation-এর scenario-গুলোর বাইরে ছিল।

এ থেকে বড় শিক্ষা হলো—একটি নির্দিষ্ট benchmark-এ ০ শতাংশ attack success পাওয়া মানেই কোনো AI agent বাস্তব বিশ্বের সব ধরনের prompt injection-এর বিরুদ্ধে নিরাপদ—এমন সিদ্ধান্ত নেওয়া যায় না।

Auto Mode কি তাহলে নিরাপত্তার নিশ্চয়তা নয়?

না।

Anthropic নিজেও Auto Mode-কে সম্পূর্ণ security boundary হিসেবে উপস্থাপন করে না। তাদের engineering documentation-এ Auto Mode-কে best-effort safety mechanism হিসেবে বর্ণনা করা হয়েছে এবং তারা containment বা sandboxing-এর ওপরও জোর দিয়েছে।

Anthropic-এর architecture-এ দুটি গুরুত্বপূর্ণ প্রতিরক্ষা স্তর রয়েছে।

১. Input-side prompt-injection detection

Agent যে tool result, webpage, file বা external output পড়ছে, সেখানে malicious instruction থাকার সম্ভাবনা শনাক্ত করার চেষ্টা করা হয়।

২. Output/action-side classifier

Agent যে tool call করতে যাচ্ছে, সেটি ব্যবহারকারীর উদ্দেশ্যের সঙ্গে সামঞ্জস্যপূর্ণ কি না এবং সেটি destructive, irreversible বা environment-এর বাইরে যাওয়ার চেষ্টা করছে কি না—তা যাচাই করা হয়।

কিন্তু যেকোনো probabilistic classifier-এর মতো এই ব্যবস্থারও ভুল হওয়ার সম্ভাবনা থাকে।

সবচেয়ে গুরুত্বপূর্ণ প্রতিরক্ষা: Sandbox

এই ঘটনার সবচেয়ে বড় শিক্ষা সম্ভবত Auto Mode বন্ধ করা নয়; বরং AI agent ভুল করলেও যাতে বড় ক্ষতি করতে না পারে, সেই environment তৈরি করা।

Anthropic-এর sandboxing architecture filesystem এবং network—দুই ধরনের isolation ব্যবহারের ওপর জোর দেয়। তাদের গবেষণা অনুযায়ী, sandboxing permission prompts-এর প্রয়োজন ৮৪ শতাংশ পর্যন্ত কমাতে পারে।

একটি নিরাপদ AI coding environment-এ ideally—

• Agent-এর সম্পূর্ণ operating system access থাকবে না
• Production server-এর credential থাকবে না
• SSH private key accessible থাকবে না
• Database-এর unrestricted access থাকবে না
• Network egress সীমিত থাকবে
• শুধুমাত্র প্রয়োজনীয় directory access থাকবে
• Sensitive environment variables আলাদা থাকবে
• গুরুত্বপূর্ণ deployment-এর আগে human approval থাকবে

এভাবে agent ভুল করলেও তার blast radius সীমিত রাখা যায়।

Network isolation কেন এত গুরুত্বপূর্ণ?

ধরা যাক, কোনো prompt injection সফল হলো এবং agent এমন কোনো malicious code চালিয়ে ফেলল যা sensitive file পড়তে পারে।

যদি সেই machine-এর unrestricted internet access থাকে, তাহলে পরবর্তী ঝুঁকি হতে পারে data exfiltration—অর্থাৎ sensitive data বাইরে পাঠিয়ে দেওয়া।

Anthropic-এর sandboxing documentation-এ তাই filesystem isolation-এর পাশাপাশি network isolation-এর ওপর বিশেষ গুরুত্ব দেওয়া হয়েছে।

শুধু filesystem isolation যথেষ্ট নয়।

শুধু network restriction-ও যথেষ্ট নয়।

দুটিকে একসঙ্গে ব্যবহার করাই বেশি কার্যকর defence-in-depth strategy।

Developer-দের কী করা উচিত?

AI coding agent ব্যবহারের ক্ষেত্রে নিরাপত্তাকে শুধু AI model-এর ওপর ছেড়ে দেওয়া উচিত নয়।

১. Untrusted content-কে সবসময় untrusted হিসেবে বিবেচনা করুন

README, GitHub issue, webpage, documentation, PDF, email বা third-party repository—কোনোটিই শুধু “text” নয়।

এগুলোর ভেতরে AI agent-এর জন্য instruction থাকতে পারে।

২. Production environment-এ সরাসরি AI agent চালানো এড়িয়ে চলুন

AI agent-কে আগে isolated development environment বা disposable VM/container-এ চালানো নিরাপদ।

৩. Least privilege অনুসরণ করুন

Agent-এর যতটুকু permission প্রয়োজন, ঠিক ততটুকুই দেওয়া উচিত।

উদাহরণ:

প্রয়োজন নেই → production database access নয়।

প্রয়োজন নেই → SSH keys নয়।

প্রয়োজন নেই → cloud administrator credential নয়।

৪. Network egress নিয়ন্ত্রণ করুন

Agent কোন domain-এ যোগাযোগ করতে পারবে তা নির্ধারণ করা উচিত।

বিশেষ করে automated coding agent-এর জন্য unrestricted outbound internet access ঝুঁকিপূর্ণ হতে পারে।

৫. Human approval পুরোপুরি বাদ দেবেন না

বিশেষ করে—

• production deployment
• database migration
• credential change
• infrastructure modification
• package installation
• external data transmission
• destructive command

এসব ক্ষেত্রে human-in-the-loop রাখা উচিত।

Security testing কেমন হওয়া উচিত?

AI coding agent-এর নিরাপত্তা যাচাই করতে শুধু traditional vulnerability scan যথেষ্ট নয়।

একটি পূর্ণাঙ্গ testing programme-এ থাকতে পারে:

Development পর্যায়

• Secure coding review
• Dependency scanning
• Secret scanning
• SAST
• Threat modelling
• AI-specific prompt-injection testing

CI/CD পর্যায়

• Automated security tests
• Dependency vulnerability checks
• Container scanning
• IaC scanning
• Secret detection
• Permission validation

Pre-production পর্যায়

• DAST
• API security testing
• Authentication/authorization testing
• Adversarial prompt testing
• Untrusted-content testing
• Agent tool-permission testing

Production পর্যায়

• Runtime monitoring
• Network monitoring
• Command logging
• Anomaly detection
• Credential monitoring
• Incident response
• Regular red-team exercises

Anthropic নিজেও automated security review-কে existing security practice-এর পরিপূরক, বিকল্প নয় বলে উল্লেখ করেছে।

AI agent-এর জন্য নতুন ধরনের Red Teaming দরকার

Traditional penetration testing সাধারণত software-এর vulnerability খোঁজে।

কিন্তু AI agent-এর ক্ষেত্রে আরেকটি প্রশ্ন করতে হবে:

“কীভাবে একজন attacker agent-কে ভুল কাজ করাতে পারে?”

তাই red team-কে পরীক্ষা করতে হবে—

• malicious webpage
• poisoned README
• malicious GitHub issue
• hostile documentation
• crafted package
• manipulated tool output
• indirect prompt injection
• instruction hierarchy attacks
• malicious archive
• dependency confusion
• credential exposure
• data exfiltration

অর্থাৎ শুধু application নয়—AI + tools + data + environment + permissions—পুরো system-কে test করতে হবে।

বাংলাদেশের জন্যও সতর্কবার্তা

বাংলাদেশে software development, outsourcing, cloud infrastructure এবং AI-assisted coding দ্রুত বাড়ছে। স্থানীয় প্রতিষ্ঠানগুলো যদি Claude Code, Copilot, Cursor, Codex বা অন্যান্য autonomous coding agent ব্যবহার করে, তাহলে এই ধরনের ঝুঁকি তাদের জন্যও প্রাসঙ্গিক।

বিশেষ করে যেসব প্রতিষ্ঠান—

• fintech
• ব্যাংকিং
• health-tech
• e-commerce
• SaaS
• government platform
• payment system
• telecom
• enterprise software

নিয়ে কাজ করে, তাদের AI coding agent-কে production infrastructure-এর সঙ্গে যুক্ত করার আগে কঠোর access-control ও isolation ব্যবস্থা রাখা প্রয়োজন।

কারণ একটি coding agent-এর compromise শুধু source code-এর ক্ষতি নয়; credential, customer data, API key এবং cloud infrastructure পর্যন্ত ঝুঁকিতে ফেলতে পারে।

এটি কি Claude-এর একার সমস্যা?

অবশ্যই নয়।

এটি মূলত AI agent security-এর একটি বড় সমস্যা।

আজ Claude Code; ভবিষ্যতে একই ধরনের architecture ব্যবহারকারী অন্য AI coding agent-ও একই শ্রেণির ঝুঁকির মুখে পড়তে পারে।

যে agent—

পড়তে পারে → সিদ্ধান্ত নিতে পারে → command চালাতে পারে → file পরিবর্তন করতে পারে → internet ব্যবহার করতে পারে

সে agent-এর security model-ও traditional chatbot-এর মতো হতে পারে না।

মূল শিক্ষা: AI-কে বিশ্বাস নয়, সীমাবদ্ধ করতে হবে

এই ঘটনার সবচেয়ে গুরুত্বপূর্ণ শিক্ষা হলো—AI agent যত intelligent হবে, তার permission architecture তত গুরুত্বপূর্ণ হবে।

একটি অত্যন্ত সক্ষম AI-কে যদি unrestricted filesystem, shell, network এবং credential access দেওয়া হয়, তাহলে একটি ছোট prompt-injection ভুলও বড় incident-এ পরিণত হতে পারে।

তাই নিরাপত্তার মূলনীতি হওয়া উচিত:

AI ভুল করবে না—এই ধারণার ওপর security তৈরি করা যাবে না।

বরং—

AI ভুল করলেও যেন ক্ষতি করতে না পারে—এমন architecture তৈরি করতে হবে।

Sandbox, VM, least privilege, network isolation, monitoring, human approval এবং continuous red teaming—সবগুলোকে একসঙ্গে ব্যবহার করাই বেশি বাস্তবসম্মত পথ।

কী জানা গেল, আর কী এখনো নিশ্চিত নয়?

নিশ্চিতভাবে বলা যায়:
Anthropic Auto Mode-এ prompt-injection প্রতিরোধের জন্য একাধিক safety layer ব্যবহার করে এবং sandboxing-কে গুরুত্বপূর্ণ defence হিসেবে বিবেচনা করে।

গবেষকের দাবি:
নির্দিষ্ট একটি targeted attack chain সীমিত পরীক্ষায় ৬০–৮০ শতাংশ সফল হয়েছে।

Anthropic-এর পরীক্ষার ফল:
তাদের commissioned evaluation-এর নির্দিষ্ট ৭২টি scenario-তে Opus 5 Auto Mode-এর attack success rate ০ শতাংশ ছিল।

যা বলা যাবে না:
৬০–৮০ শতাংশকে Claude Code-এর “সাধারণ vulnerability rate” বলা যাবে না। একইভাবে ০ শতাংশ benchmark result-কে বাস্তব বিশ্বের সব prompt-injection attack-এর বিরুদ্ধে নিরাপত্তার নিশ্চয়তাও বলা যাবে না।

উপসংহার

Claude Code Opus 5 Auto Mode ঘিরে নতুন গবেষণাটি AI coding agent-এর নিরাপত্তা নিয়ে একটি গুরুত্বপূর্ণ প্রশ্ন সামনে এনেছে: একটি AI agent-এর decision-making layer কি একাই security boundary হতে পারে?

বর্তমান ঘটনাটি বলছে, শুধু model-level safety classifier-এর ওপর নির্ভর করা যথেষ্ট নয়। External content থেকে prompt injection আসতে পারে, agent সেই instruction অনুসরণ করার চেষ্টা করতে পারে এবং একাধিক seemingly harmless action একত্রিত হয়ে বিপজ্জনক ফল তৈরি করতে পারে।

অন্যদিকে Anthropic-এর Auto Mode এবং sandboxing দেখাচ্ছে, AI agent নিরাপদ করার জন্য model intelligence-এর পাশাপাশি layered security architecture প্রয়োজন।

তাই ভবিষ্যতের নিরাপদ AI development-এর মূলনীতি সম্ভবত একটাই—

“Security should not be an incident-response activity; security must be part of the AI agent from day one.”