ثغرة GitLost في GitHub: وكلاء الذكاء الاصطناعي يسرّبون بيانات من المستودعات الخاصة

نشر باحثو شركة Noma Labs في يوليو 2026 بيانات عن ثغرة في منصة GitHub أُطلق عليها اسم GitLost. ووفقًا للوصف، يمكن لوكلاء الذكاء الاصطناعي في GitHub، عند طلبات معينة، استخراج بيانات من المستودعات الخاصة ونشرها في صورة تعليقات عامة يستطيع أي مستخدم على المنصة الاطلاع عليها.

كيف تعمل ثغرة GitLost

تنتمي GitLost إلى فئة هجمات prompt injection، أي حقن تعليمات خبيثة في الطلب الموجَّه إلى وكيل الذكاء الاصطناعي.

تقوم آلية الاستغلال على طريقة عمل وكلاء الذكاء الاصطناعي في GitHub. يعمل هؤلاء الوكلاء بصلاحيات الوصول الممنوحة للمستخدم أو المؤسسة، ويمكنهم الوصول إلى عدة مستودعات في آن واحد. يصيغ المهاجم طلبًا مُعدًّا خصيصًا، إذ يضمّن تعليمات مخفية في محتوى ظاهر للعموم، فيعالجه الوكيل ويصل إلى المستودع الخاص ويُخرج البيانات إلى مكان يجعلها متاحة للجميع: تعليق على مشكلة (issue) أو على طلب دمج الشيفرة (pull request).

أبرز الحقائق عن الثغرة:

• اكتشفت Noma Labs الثغرة، وحملت الاسم الرسمي GitLost
• ينشر وكلاء الذكاء الاصطناعي في GitHub بيانات من المستودعات الخاصة في تعليقات عامة
• متجه الهجوم هو prompt injection: تُخفى التعليمات الخبيثة في هيئة طلب مشروع
• المؤسسات التي يملك فيها وكلاء الذكاء الاصطناعي صلاحية الوصول إلى عدة مستودعات في آن واحد معرّضة للخطر

لماذا يشكّل هذا النوع من الهجمات خطرًا؟

يختلف prompt injection عن الثغرات التقليدية في أن المهاجم لا يخترق البنية التحتية مباشرة، بل «يقنع» الوكيل بتنفيذ إجراء غير مرغوب فيه. ومنذ أن صار بإمكان وكلاء الذكاء الاصطناعي العمل باستقلالية، من قراءة الملفات وتنفيذ الشيفرة ونشر التعليقات، اتسع سطح الهجوم على منصات التطوير اتساعًا كبيرًا.

ولا ترصد أنظمة الأمان أي شذوذ في حالة prompt injection: فالوكيل يعمل في الوضع الاعتيادي، نيابةً عن مستخدم مصرّح له. وهو شكليًّا «ينفّذ ما طُلب منه»، مع أن من طلب ذلك ليس مستخدمًا مشروعًا بل مهاجمًا.

والوضع حساس بصورة خاصة في GitHub: فالشركات تخزّن في المستودعات الخاصة شيفرة ملكية وملفات إعدادات تحتوي على أسرار ووثائق داخلية. وفي الوقت نفسه، تزداد شعبية وكلاء الذكاء الاصطناعي من منظومة GitHub Copilot، وتمنحهم فرق كثيرة صلاحيات واسعة دون إجراء تدقيق كامل للمخاطر.

ماذا يخسر المطورون عند التسريب؟

عند الاستغلال الناجح لـ GitLost، يحصل المهاجم عبر تعليق عام مفتوح على محتويات مستودع خاص. وبحسب ما يُخزَّن فيه، تصبح العناصر التالية مهدَّدة:

• الشيفرة المصدرية للمشاريع والخوارزميات الملكية
• مفاتيح API والرموز (tokens) وكلمات المرور في ملفات الإعدادات (.env وsecrets.yml وما شابهها)
• المراسلات الداخلية: النقاشات في issues وpull requests، والتفاصيل التقنية، والسياق التجاري

والمشكلة الخاصة هنا هي خفاء التسريب. فبما أن الوكيل يعمل في الوضع الاعتيادي، يصعب رصد الحادثة في أنظمة SIEM المؤسسية: لا حسابات مخترقة، ولا ملفات خبيثة، ولا مؤشرات واضحة على الاختراق.

ماذا يعني ذلك

تمثّل GitLost مثالًا واضحًا على ثغرة منهجية في وكلاء الذكاء الاصطناعي: فكلما اتسعت صلاحيات وصولهم، زاد الضرر الناجم عن أي حقن ناجح. وعلى المؤسسات التي تستخدم وكلاء الذكاء الاصطناعي في GitHub أن تعيد النظر فورًا في صلاحيات هؤلاء الوكلاء، وأن تقيّدها وفق مبدأ الحد الأدنى من الامتيازات، وأن تتابع التوصيات الرسمية والتحديثات الأمنية الصادرة عن GitHub.