باحثون يكشفون ثغرة خطرة تخترق وكلاء البرمجة عبر ملفات AGENTS.md
أظهرت دراسة أمنية جديدة كيف يمكن لملف نصي بسيط أن يتحول إلى أداة اختراق متقدمة تستهدف أدوات البرمجة المدعومة بالذكاء الاصطناعي.
رضوان عبدالهاديمحرر وكاتب تقني
اكتشاف هجوم جديد يستهدف وكلاء البرمجة
كشفت شركة Forever Security، المتخصصة في مراقبة المخاطر الناشئة عن وكلاء الذكاء الاصطناعي، عن تقنية هجومية جديدة تستهدف وكلاء البرمجة مثل OpenAI Codex وClaude Code. اكتشف الباحثون ملف تعليمات خبيثاً يحمل اسم AGENTS.md في مجلد التنزيلات (Downloads) لدى أحد العملاء، حيث قام وكيل البرمجة بقراءة الملف وتنفيذ تعليماته الخبيثة دون تردد. أدى هذا السلوك إلى محاولة تثبيت حزمة برمجية خبيثة تحمل اسم 'function-color' عبر مدير الحزم npm، مما يوضح مدى خطورة الاعتماد الأعمى على التعليمات النصية في بيئة العمل. ويمكن الرجوع إلى BleepingComputer للاطلاع على التفاصيل الأصلية للمصدر.
كيف تعمل ملفات AGENTS.md كقناة اختراق
تُعد ملفات Markdown مثل AGENTS.md ملفات نصية بسيطة تحتوي على تعليمات محددة لمشروع معين، مثل الأدوات المستخدمة وطرق تشغيل الاختبارات وأصول الترميز. يقوم وكلاء الذكاء الاصطناعي بتحميل هذه الملفات تلقائياً من المجلد الذي يعملون فيه (Working Directory) واستخدامها كمرجع لاتخاذ القرارات وتنفيذ الأوامر. على الرغم من أن هذه الملفات ليست ملفات تنفيذية (Executables)، إلا أن التعليمات الخبيثة الموجودة داخلها يمكن أن تدفع الوكيل إلى تنفيذ أوامر نظام، وتثبيت حزم برمجية، أو تغيير الإعدادات باستخدام الصلاحيات المتوفرة لديه. يؤكد الباحثون أن المشكلة لا تكمن في وجود ثغرة برمجية يمكن إصلاحها، بل في التصميم الأساسي للوكلاء التي تجعلهم ينفذون ما هو مكتوب في مجلداتهم بدقة. ويمكن الرجوع إلى Bill Toulas للاطلاع على التفاصيل الأصلية للمصدر.
نقطة الضعف: مجلد التنزيلات التلقائي
تتميز مجلدات التنزيلات (~/Downloads) بأنها المسار الوحيد الذي يمكن لمتصفحات الويب الكتابة فيه تلقائياً دون تفاعل مباشر من المستخدم. أوضح الباحثون في تقريرهم أن صفحة ويب خبيثة يمكنها تنزيل ملف باسم AGENTS.md إلى مجلد التنزيلات بصمت تام. عند التحقق من صفحة البرهان (PoC) التي أنشأها الباحثون، قام المتصفح بتنزيل الملف الذي يحتوي على محتوى غير ضار في تلك التجربة، لكنه يوضح آلية التسريب. تعتمد معظم المتصفحات الشائعة مثل Chrome وEdge وFirefox على حفظ الملفات في هذا المجلد افتراضياً، مما يجعله هدفاً مثالياً للهجمات التي تعتمد على التحميل الصامت.
اختبارات عملية على Codex وClaude Code
اختبر الباحثون سلسلة الهجوم المعاد بناؤها ضد وكيل OpenAI Codex باستخدام حمولة خبيثة بسيطة تقتصر على فتح تطبيق الحاسبة، وسجلوا معدل نجاح بلغ 90%. في اختبار منفصل، استخدموا ملف CLAUDE.md خبيثاً لإعادة توجيه حركة مرور API الخاصة بـ Claude Code إلى خادم يتحكمون به. مكّن هذا الخادم الخبيث من كشف رمز OAuth الخاص بالوكيل، مما سمح للخادم بانتحال هوية النموذج وإرجاع استدعاءات أدوات نفذت أكواداً خبيثة في حوالي 50% من الاختبارات. تظهر هذه النتائج أن المهاجمين يمكنهم ليس فقط تنفيذ أوامر، بل أيضاً اختطاف الحساب بالكامل وسرقة بيانات الاعتماد الحساسة.
سلوك المستخدمين يزيد من خطورة الثغرة
أشار غال وايزمان، باحث في Forever Security، إلى أن إحصائياتهم الداخلية تظهر أن مئات العملاء يشغّلون وكلاء ذكاء اصطناعي، بما في ذلك Claude Code وOpenAI Codex وCursor CLI، مباشرة من مجلدات التنزيلات لديهم. ذكر وايزمان أن Claude Code وحده أطلق أكثر من 1300 جلسة عمل من هذا الموقع المحدد. يوضح هذا السلوك أن المستخدمين غالباً ما يستخدمون الوكلاء لتنظيم ملفات التنزيلات أو التعامل مع ملفات جديدة تم تحميلها، مما يجعل مجلد التنزيلات بيئة عمل شائعة رغم مخاطرها. هذا الاستخدام الشائع يخلق نافذة فرصة واسعة للمهاجمين لزرع تعليمات خبيثة تنتظر تفعيلها.
توصيات أمنية لحماية وكلاء البرمجة
ينصح الباحثون والمطورون بتجنب تعيين مجلد التنزيلات كمسار عمل لوكلاء البرمجة، نظراً لاحتمال احتوائه على ملفات غير موثوقة قد يفسرها الوكيل كتعليمات. توصي كل من OpenAI وAnthropic بتشغيل وكلاء البرمجة من مجلد المشروع المحدد الذي يعملون عليه، وليس من المجلد الرئيسي للمستخدم أو مجلد أبوي واسع. يساعد تحديد نطاق المجلد العامل على توفير السياق المناسب للوكيل وتقليل نطاق وصوله، مما يحد من خطر معالجة ملفات غير موثوقة في مواقع غير ذات صلة. يجب على المستخدمين مراجعة أي ملفات تعليمات غير مألوفة مثل AGENTS.md أو CLAUDE.md قبل السماح للوكيل باتباعها، مع الحفاظ على تفعيل نوافذ الموافقة وحمايات العزل (Sandbox).
تحديات الدفاع بعد الاختراق الأولي
تُظهر البيانات الأمنية الحديثة أن نقاط الضعف في أنظمة الحماية قد لا تكون مرئية عند النظر إلى الإحصائيات العامة فقط. فعندما يمتلك المهاجمون بيانات اعتماد صالحة، تنخفض فعالية أنظمة الوقاية بشكل حاد. تشير التقارير الأمنية الحديثة إلى أن نسبة الإجراءات التي يتم حظرها بعد حصول المهاجم على وصول شرعي لا تتجاوز 37% في بعض السيناريوهات، مما يؤكد أهمية منع الوصول الأولي بدلاً من الاعتماد على أنظمة الكشف اللاحقة. هذا الواقع يجعل حماية بيئة عمل وكلاء الذكاء الاصطناعي من الملفات الخبيثة أمراً حيوياً قبل حدوث الاختراق.
المصادر
- BleepingComputerAI coding agents hijacked using AGENTS.md file in Downloads folder
تابع التسلسل الزمني
تغطية الكيانات المرتبطة
أخبار مرتبطة
OpenAI تروّج لتحسينات الذكاء الاصطناعي في معالجة أزمة كود COBOL
تعلن OpenAI عن تحسينات كبيرة في قدرات نماذجها على تحويل كود COBOL القديم إلى لغات حديثة، وسط تحذيرات خبراء من تعقيدات استبدال الأنظمة الحيوية.
أندرويد استوديو تتيح ربط أي وكيل ذكاء اصطناعي عبر ميزة BYOA
أطلقت جوجل ميزة BYOA في أندرويد استوديو، مما يتيح للمطورين دمج وكلاء الذكاء الاصطناعي المفضلين لديهم مثل Claude وCodex مع بنية تحتية محسّنة لرفع الكفاءة.
مايكروسوفت: وكلاء الذكاء الاصطناعي يشبهون التهديدات الداخلية
أطلقت مايكروسوفت ميزة Guardian Agents لمراقبة وكلاء الذكاء الاصطناعي، محذرة من أن النماذج المتقدمة غير موثوقة وتتطلب أنظمة مراقبة مستقلة عن مزوديها.
الهند تكشف وصول وكلاء ذكاء اصطناعي إلى بيانات حساسة
وكالة الأمن السيبراني الهندية تقول إن وكلاء من مزودين عدة وصلوا إلى بيانات شخصية وسجلات سرية بعد استغلال إعدادات وصول مكشوفة.
