فناوری AIR Security چیست؟ معماری Context Firewall برای امنیت AI Agentها

مخاطب هدف

متخصصان امنیت سایبری، مدیران امنیت اطلاعات، توسعه دهندگان AI، مهندسان Cloud، SOC و AppSec، مدیران فناوری و افرادی که Agentic AI را در سازمان پیاده سازی می کنند.

خلاصه یک جمله ای مقاله

AIR Security یک پلتفرم امنیتی اسرائیلی برای کشف، ارزیابی، کنترل و محافظت Runtime از AI Agentها و اجزایی مانند Skill، Plugin، MCP Server و Sub-agent است.

فناوری AIR Security چیست؟ معماری Context Firewall برای امنیت AI Agentها

فناوری AIR Security برای حل یک مسئله جدید در امنیت سایبری ساخته شده است: وقتی یک AI Agent فقط پاسخ متنی تولید نمی کند و اجازه دارد فایل بخواند، به وب متصل شود، Tool اجرا کند، پایگاه داده را Query کند یا از طرف کاربر عملی انجام دهد، هر داده یا ابزار خارجی می تواند روی تصمیم آن تاثیر بگذارد.

AIR Security این نقطه را Context یا زمینه عملیاتی Agent می داند. محصول این شرکت با عنوان Context Firewall یا فایروال Context طراحی شده است تا Skill، Plugin، MCP Server، Sub-agent، داده خارجی و رفتار Agent را قبل از تبدیل شدن به یک اقدام واقعی بررسی و کنترل کند. شرکت AIR در 1 سپتامبر 2026 به صورت عمومی از Stealth خارج شد و محصول خود را به عنوان یک Inline Firewall برای AI Agentها معرفی کرد.

برخلاف Network Firewall که Packet، IP، Port و Connection را بررسی می کند، AIR تلاش می کند روی اعتماد، Context، Tool، Instruction و Action کنترل ایجاد کند. این تفاوت، پایه اصلی معماری فناوری AIR Security است.

شرکت AIR Security چیست و آیا اسرائیلی است؟

AIR Security یک شرکت Cybersecurity اسرائیلی است که در سال 2026 فعالیت خود را آغاز کرد. Startup Nation Central محل شرکت را تل آویو معرفی می کند و شماره ثبت اسرائیلی نیز برای آن درج کرده است. CTech نیز AIR را یک Startup اسرائیلی معرفی کرده و گزارش می دهد بخش اصلی تیم آن در اسرائیل فعالیت می کند.

بنیانگذاران شرکت Yair Saban و Niv Hoffman هستند. Saban سمت CEO و Hoffman سمت CTO را بر عهده دارد. هر دو سابقه فعالیت در Unit 8200 اسرائیل و حوزه Offensive Cybersecurity دارند. TechCrunch و Sequoia Capital نیز سابقه آنها در Unit 8200 و پژوهش امنیت تهاجمی را تایید کرده اند.

Ryan Knisley، مدیر سابق امنیت اطلاعات یا CISO در Walt Disney Company و Costco Wholesale نیز به عنوان Chief Strategy Officer به AIR پیوسته است.

AIR در زمان خروج از Stealth اعلام کرد 50 میلیون دلار سرمایه جذب کرده است. TechCrunch گزارش می دهد این سرمایه در دو مرحله 10 و 40 میلیون دلاری تامین شد؛ Sequoia دور نخست و Greenoaks دور بعدی را رهبری کردند.

بنابراین دقیق ترین تعریف این است:

AIR Security یک شرکت امنیت سایبری اسرائیلی مستقر در تل آویو است که روی امنیت AI Agentها و زنجیره تامین Agentic AI تمرکز دارد و فعالیت تجاری بین المللی نیز دارد.

AIR Security دقیقا از چه چیزی محافظت می کند؟

برای درک فناوری AIR Security ابتدا باید تفاوت Application سنتی و AI Agent را شناخت.

یک Application سنتی معمولا Code Path مشخص دارد. برنامه نویس تعریف می کند که نرم افزار در هر وضعیت چه Function یا API را اجرا کند.

اما AI Agent می تواند براساس Context تصمیم بگیرد که چه Tool یا منبعی را استفاده کند. مثلا Agent ممکن است تصمیم بگیرد:

فایل خاصی را بخواند، یک API را فراخوانی کند، به MCP Server متصل شود، Skill جدیدی بارگذاری کند، اطلاعات وب را بررسی کند یا دستور دیگری را به یک Sub-agent واگذار کند.

Model Context Protocol نیز به Serverها اجازه می دهد Resource، Prompt و Tool در اختیار Agent قرار دهند. در مشخصات رسمی MCP، Toolها می توانند برای Query پایگاه داده، اجرای API و انجام عملیات خارجی استفاده شوند.

در نتیجه، Attack Surface دیگر فقط خود مدل یا Prompt کاربر نیست.

هر چیزی که وارد Context عامل می شود بخشی از سطح حمله است.

AIR دقیقا این لایه را هدف قرار داده است.

Context Firewall چیست؟

Context Firewall اصطلاحی است که AIR برای توصیف لایه امنیتی خود استفاده می کند.

Context شامل اطلاعاتی است که Agent هنگام تصمیم گیری در اختیار دارد. این اطلاعات می تواند شامل Prompt کاربر، System Instruction، فایل، Email، صفحه وب، Tool Output، Skill، MCP Resource و پاسخ یک Agent دیگر باشد.

AIR تلاش می کند قبل از آنکه داده یا Instruction مخرب بتواند تصمیم Agent را تغییر دهد، آن را تحلیل و کنترل کند. سایت رسمی شرکت AIR را پلتفرمی معرفی می کند که AI Add-onها را پیش از Deployment، بعد از Update و هنگام Runtime به صورت مداوم ارزیابی می کند.

این مدل با Firewall سنتی تفاوت اساسی دارد.

Firewall شبکه می پرسد:

«این Connection مجاز است؟»

Context Firewall باید سوال پیچیده تری بپرسد:

«آیا اطلاعات، ابزار یا Instruction وارد شده به Context قابل اعتماد است و آیا Agent باید براساس آن عمل کند؟»

این تغییر، مرز امنیتی را از Network Boundary به Trust Boundary منتقل می کند.

معماری AIR Security چگونه کار می کند؟

AIR پلتفرم خود را به چهار بخش اصلی تقسیم کرده است:

AIR Control

AIR Control لایه Discovery، Governance و Posture Management است.

وظیفه آن شناسایی Agentهایی است که در محیط سازمان فعالیت می کنند. این سیستم Agentهای رسمی و همچنین Shadow Agentها را پوشش می دهد.

Shadow AI یا Shadow Agent به سیستم هوش مصنوعی گفته می شود که کاربر یا یک واحد سازمانی بدون تایید رسمی IT یا Security استفاده یا مستقر کرده است.

AIR Control براساس اطلاعات رسمی شرکت روی مواردی مانند Configuration، Identity، Permission و Access Policy کنترل ایجاد می کند.

به زبان ساده، AIR Control باید پاسخ دهد:

چه Agentهایی در سازمان وجود دارند؟ چه کسی از آنها استفاده می کند؟ به چه سیستم هایی دسترسی دارند؟ چه مجوزهایی دارند؟ و آیا تنظیمات آنها با Policy سازمان هماهنگ است؟

AIR Filter

AIR Filter مهم ترین بخش مرتبط با مفهوم Context Firewall است.

این بخش Skill، Plugin، MCP Server و Sub-agent را پیش از نصب یا استفاده بررسی می کند.

Sequoia در معرفی فنی AIR توضیح می دهد که AIR Filter از روش هایی مانند Static Analysis، Dependency Checks و Sandbox Detonation برای ارزیابی Add-onها استفاده می کند. سپس سیستم می تواند Installation ناامن را در زمان اجرا متوقف کند.

Static Analysis یعنی بررسی ساختار و محتوای Component بدون اعتماد صرف به اجرای آن.

Dependency Check زنجیره Package، Repository، Domain و دیگر منابع وابسته را بررسی می کند.

Sandbox Detonation نیز به معنی اجرای کنترل شده Component در محیط ایزوله برای مشاهده رفتار احتمالی آن است.

این سه روش در کنار هم از یک Scanner ساده قوی تر هستند.

AIR Defend

AIR Defend لایه Runtime Protection است.

حتی اگر یک Skill هنگام نصب سالم باشد، این تضمین نمی کند همیشه سالم باقی بماند. Maintainer ممکن است Update مخرب منتشر کند، Domain ممکن است مالک جدید پیدا کند یا یک Repository وابسته Hijack شود.

AIR Defend رفتار Agent را هنگام فعالیت واقعی مانیتور می کند و برای Detect، Respond و Protect در برابر رفتارهای خطرناک طراحی شده است.

بنابراین امنیت فقط در مرحله Installation متوقف نمی شود.

این اصل در امنیت Agentic AI بسیار مهم است:

Trust باید مداوم ارزیابی شود، نه فقط یک بار هنگام نصب.

AIR Marketplace

AIR Marketplace یک Repository کنترل شده برای Add-onهای تایید شده است.

هدف این بخش جلوگیری از آن است که کارکنان Skill و Plugin را از GitHub، Marketplaceهای عمومی یا منابع ناشناس دریافت کنند.

سازمان می تواند External Add-onهای از قبل بررسی شده و Internal Add-onهای تایید شده را در یک منبع مشترک ارائه کند.

این مدل از نظر معماری شبیه Private Package Repository یا Enterprise App Store است، اما برای اکوسیستم AI Agent.

Skill در AI Agent چیست؟

Skill مجموعه ای از Instruction، Workflow یا دانش تخصصی است که به Agent می گوید یک وظیفه خاص را چگونه انجام دهد.

برای مثال یک Skill می تواند نحوه Deploy کردن یک پروژه، ساخت Presentation یا تعامل با یک API را به Agent آموزش دهد.

مشکل امنیتی زمانی ایجاد می شود که Skill فقط از فایل داخلی خود استفاده نکند و Agent را به یک URL، Package یا Repository خارجی هدایت کند.

AIR در پژوهش The Story of Skills نشان داد یک Skill ممکن است هنگام Scan کاملا سالم به نظر برسد، اما در Runtime از Agent بخواهد مستندات خارجی را دریافت و اجرا کند. در آزمایش AIR، پژوهشگران یک Skill آزمایشی ساختند که بیش از 26 هزار Agent به آن دسترسی پیدا کردند و Scannerهای بررسی شده آن را Safe تشخیص داده بودند. AIR تاکید کرده Payload آزمایش صرفا برای اثبات مسئله طراحی شده و هدف تخریب نداشته است.

این پژوهش نشان می دهد:

Skill فقط فایل SKILL.md نیست؛ تمام Resourceهایی که Agent را به آنها هدایت می کند بخشی از سطح اعتماد Skill هستند.

MCP Server چیست و چرا امنیت آن اهمیت دارد؟

MCP مخفف Model Context Protocol است.

MCP یک معماری Client-Host-Server ایجاد می کند که به AI Application اجازه می دهد به Tool، Resource و Prompt خارجی متصل شود. مشخصات رسمی MCP توضیح می دهد Server می تواند Functionهایی ارائه کند که مدل آنها را برای تعامل با سیستم های خارجی فراخوانی کند.

برای مثال MCP Server می تواند دسترسی به Database، Git Repository، File System، CRM یا API سازمانی بدهد.

همین قدرت، MCP را به یک Trust Boundary بسیار حساس تبدیل می کند.

اگر MCP Server مخرب یا Hijack شود، Agent ممکن است اطلاعات یا Toolهایی دریافت کند که ظاهرا معتبر هستند اما رفتار آن را منحرف می کنند.

AIR در اوت 2026 اعلام کرد Scanner شرکت 155 مورد قابل Hijack را در Registry رسمی MCP پیدا کرده که به Domainهای منقضی شده وابسته بودند. پژوهشگران AIR برخی Domainها را در محیط تحقیقاتی ثبت کردند و نشان دادند امکان کنترل Service مقصد وجود دارد. این یافته یک پژوهش منتشر شده توسط خود AIR است و باید به همین عنوان ارزیابی شود.

Prompt Injection چیست؟

Prompt Injection یکی از مهم ترین تهدیدهای سیستم های مبتنی بر LLM است.

در این حمله، مهاجم Instructionی وارد ورودی مدل می کند که رفتار مدل را برخلاف هدف اصلی تغییر می دهد.

OWASP در Top 10 سال 2025، Prompt Injection را با شناسه LLM01 در صدر ریسک های برنامه های LLM قرار داده است.

دو نوع مهم وجود دارد.

Direct Prompt Injection

Instruction مخرب مستقیما از کاربر به Agent می رسد.

Indirect Prompt Injection

Instruction مخرب داخل منبعی قرار دارد که Agent بعدا آن را می خواند.

برای مثال Agent یک Email، PDF، Web Page یا Tool Output را دریافت می کند و داخل آن دستور مخربی وجود دارد.

NIST این سناریو را در بحث AI Agent Hijacking بررسی کرده و Agent Hijacking را نوعی Indirect Prompt Injection توصیف می کند که در آن مهاجم Instruction مخرب را داخل داده ای قرار می دهد که Agent بعدا Consume می کند.

این دقیقا یکی از حوزه هایی است که Context Firewall اهمیت پیدا می کند.

Agent Hijacking چیست؟

Agent Hijacking زمانی اتفاق می افتد که مهاجم بدون کنترل مستقیم Agent، جریان تصمیم گیری آن را منحرف کند.

فرض کنید Agent سازمانی مجوز دارد Email بخواند و فایل داخلی را بررسی کند.

یک Email می تواند ظاهرا یک متن عادی داشته باشد، اما درون آن Instructionی برای Agent قرار گرفته باشد.

اگر Agent نتواند بین «Data» و «Instruction قابل اعتماد» مرز ایجاد کند، ممکن است دستور موجود در Email را اجرا کند.

این مسئله برای Agent بسیار خطرناک تر از Chatbot سنتی است، زیرا Agent می تواند Tool اجرا کند.

به همین دلیل NIST روی اندازه گیری و کاهش Agent Hijacking به عنوان یک ریسک مستقل Agentic AI تمرکز کرده است.

چرا Software Supply Chain برای AI Agent متفاوت است؟

در نرم افزار سنتی، Supply Chain شامل Library، Package، Compiler، Container Image و Dependency است.

AI Agent یک لایه جدید به این زنجیره اضافه می کند:

Skill، Prompt، MCP Server، Plugin، Tool، External Documentation و Sub-agent.

این اجزا ممکن است بدون تغییر خود Agent تغییر کنند.

برای مثال یک Skill امروز به یک GitHub Repository سالم متصل است. فردا مالک Repository تغییر می کند. فایل Skill هیچ تغییری نکرده، اما چیزی که Agent اجرا می کند متفاوت شده است.

AIR این مسئله را Continuous Re-verification Problem می داند.

OWASP نیز Supply Chain را یکی از ریسک های اصلی برنامه های LLM معرفی کرده است.

SkillJacking و RepoJacking چه هستند؟

AIR در پژوهش های خود دو الگوی مهم Supply Chain Attack را بررسی کرده است.

در SkillJacking، منبع مالکیت Skill قابل تصاحب مجدد می شود. AIR گزارش کرد 925 Skill را پیدا کرده که Source آنها قابلیت Hijack داشته و حدود 134 هزار Agent به آنها وابسته بودند.

در RepoJacking، خود Skill سالم باقی می ماند اما Repository خارجی که Skill در Runtime از آن استفاده می کند تغییر مالکیت می دهد.

AIR در پژوهش دیگری 178 Skill با این نوع Dependency Risk را گزارش کرد که به گفته شرکت بر 23,812 Agent تاثیر بالقوه داشت.

نکته مهم هر دو حمله این است که یک Scan قدیمی دیگر معتبر نیست.

هیچ الزامی وجود ندارد که Component بعد از تایید اولیه همان وضعیت امنیتی را حفظ کند.

Continuous Re-verification چیست؟

Continuous Re-verification یعنی Component تایید شده باید در طول Lifecycle دوباره بررسی شود.

فرض کنید Security Team امروز یک MCP Server را تایید می کند.

یک ماه بعد ممکن است:

Domain منقضی شود، Package Dependency تغییر کند، Maintainer Account هک شود، Repository منتقل شود یا Update جدید رفتار Component را تغییر دهد.

مدل سنتی «Scan Once and Trust Forever» در چنین محیطی قابل اتکا نیست.

AIR به همین دلیل روی Continuous Vetting و Re-verification تاکید می کند. TechCrunch نیز توضیح می دهد AIR Componentهای تایید شده را برای تغییرات و رفتار مخرب دوباره ارزیابی می کند.

Data Exfiltration چگونه وارد این مدل تهدید می شود؟

AI Agent ممکن است به داده هایی دسترسی داشته باشد که کاربر عادی یا یک Plugin ساده نمی تواند مستقیما دریافت کند.

برای مثال Agent ممکن است به:

Email، Source Code، CRM، Cloud Storage، Database یا Secretهای محیط دسترسی داشته باشد.

اگر Prompt Injection یا MCP مخرب بتواند Agent را وادار به استفاده نادرست از این Access کند، حمله می تواند به Data Exfiltration تبدیل شود.

OWASP نیز Sensitive Information Disclosure و Excessive Agency را در کنار Prompt Injection از ریسک های اصلی سیستم های LLM معرفی می کند.

AIR Defend برای همین مرحله طراحی شده است: بررسی Action هنگام Runtime، نه فقط بررسی فایل یا Plugin قبل از نصب.

Excessive Agency چیست؟

Excessive Agency یعنی Agent بیشتر از چیزی که برای وظیفه خود نیاز دارد، اختیار یا Permission داشته باشد.

برای مثال Agentی که فقط باید گزارش فروش بخواند، نباید Permission حذف Database Record یا ارسال Email خارجی داشته باشد.

اگر Agent با Prompt Injection مواجه شود، گستردگی Permission مشخص می کند مهاجم تا چه اندازه می تواند Damage ایجاد کند.

اصل Least Privilege در اینجا اهمیت زیادی دارد.

AIR Control با Governance روی Identity، Permission و Configuration به این بخش از مسئله نزدیک می شود، در حالی که AIR Defend رفتار واقعی Agent را در Runtime بررسی می کند.

تفاوت AIR Security با Firewall و EDR سنتی چیست؟

AIR جایگزین Firewall، EDR یا IAM نیست.

هرکدام لایه متفاوتی را محافظت می کنند.

Network Firewall روی ارتباط شبکه تمرکز دارد.

EDR روی Process، Endpoint Behavior و Malware تمرکز دارد.

IAM مشخص می کند چه Identity به چه Resource دسترسی دارد.

AIR تلاش می کند یک سوال متفاوت را پاسخ دهد:

Agent بر اساس چه Context، Tool و Instruction تصمیم گرفته این Action را انجام دهد؟

این همان چیزی است که محصول را به حوزه Agentic AI Security وارد می کند.

در نتیجه AIR باید بیشتر به عنوان یک لایه مکمل Security Stack در نظر گرفته شود، نه جایگزین ابزارهای امنیت سازمانی موجود.

فناوری AIR Security چه نقاط قوتی دارد؟

مهم ترین مزیت معماری AIR، توجه به کل Lifecycle است.

محصول فقط Pre-installation Scanner نیست.

AIR Control موجودی Agentها را شناسایی می کند.

AIR Filter Component را قبل از Adoption بررسی می کند.

AIR Defend رفتار Runtime را کنترل می کند.

AIR Marketplace مسیر کنترل شده برای دریافت Component ایجاد می کند.

این طراحی به سازمان امکان می دهد Discovery، Prevention، Detection، Response و Governance را در یک معماری مشترک ترکیب کند.

نقطه مهم دیگر، تمرکز روی Dependencyهای پویا است. پژوهش های AIR نشان می دهند Domain، Repository و Package می توانند بدون تغییر مستقیم Skill، Trust آن را تغییر دهند.

محدودیت ها و نکات احتیاطی

AIR Security یک شرکت بسیار جوان است و در سال 2026 به صورت عمومی معرفی شده است.

بخش زیادی از داده های Performance و Detection Rate آن هنوز از خود شرکت یا سرمایه گذاران آن می آید.

برای مثال TechCrunch گزارش می دهد AIR اعلام کرده حدود 27 درصد Add-onهایی را که در اینترنت بررسی می کند Filter می کند و بیش از 20 مشتری دارد. این اعداد Company-reported هستند و نباید آنها را معادل Benchmark مستقل در نظر گرفت.

همچنین جزئیات کامل Detection Engine، Rule System، Model Architecture، False Positive Rate، Latency و نحوه Inline Enforcement به صورت عمومی منتشر نشده است.

بنابراین نمی توان براساس اطلاعات فعلی نتیجه گرفت AIR تمام انواع Prompt Injection یا Agent Hijacking را متوقف می کند.

اصول امنیتی مانند Least Privilege، Human Approval برای عملیات حساس، Strong IAM، Network Segmentation، Logging و Secure Tool Design همچنان ضروری هستند.

پرسش های متداول

آیا AIR Security یک شرکت اسرائیلی است؟

بله. AIR Security یک شرکت Cybersecurity اسرائیلی مستقر در تل آویو است. بنیانگذاران آن Yair Saban و Niv Hoffman هستند و هر دو سابقه فعالیت در Unit 8200 دارند.

آیا AIR Security یک Firewall شبکه است؟

خیر. AIR یک Context Firewall برای AI Agentها است. هدف آن بررسی Context، Skill، Plugin، MCP، Tool و Actionهای Agent است و جایگزین Network Firewall محسوب نمی شود.

MCP Security چه ارتباطی با AIR دارد؟

MCP Server می تواند Tool و Data در اختیار Agent قرار دهد. AIR Filter این Componentها را قبل از استفاده ارزیابی می کند و AIR روی Continuous Re-verification آنها نیز تمرکز دارد.

AIR چگونه با Prompt Injection مقابله می کند؟

معماری AIR تلاش می کند Instruction و Resourceهای غیر قابل اعتماد را قبل از اثرگذاری روی Context شناسایی کند و در Runtime نیز رفتار Agent را کنترل کند. اطلاعات عمومی برای تعیین نرخ دقیق موفقیت این دفاع کافی نیست.

آیا AIR جایگزین EDR و IAM است؟

خیر. EDR، IAM، Network Security و AIR لایه های متفاوتی را پوشش می دهند. AIR بیشتر روی Agent Context، Supply Chain و Runtime Action تمرکز دارد.