VSCode ومليون ونصف المليون ضحية: عندما يتحول امتداد الذكاء الاصطناعي إلى حصان طروادة

تخيّلوا أنكم تبنون قلعة رقمية، ثم تتركون مفتاحها تحت الممسحة لمجرد أن عليه بطاقة كُتب فيها «محسَّن بالذكاء الاصطناعي». هذا بالضبط ما حدث مع مليون ونصف المليون مستخدم لـ Visual Studio Code، ثبّتوا برمجيات خبيثة على أجهزة عملهم بإرادتهم. يبدو المشهد كأنه سيناريو كلاسيكي من أدب السايبربانك: القراصنة يستغلون هوسنا بالذكاء الاصطناعي لاختراق النظام من الداخل، وينفذون ذلك بأقصى قدر من الأناقة. وبينما تتجادل الصناعة حول ما إذا كان الذكاء الاصطناعي سيحل محل المبرمجين، جاء الخطر الحقيقي من الجهة التي لم يتوقعه منها أحد: المتجر الرسمي للامتدادات التابع لـ Microsoft.

لم يعد Visual Studio Code منذ زمن مجرد محرر نصوص، بل تحول إلى ما يشبه نظام تشغيل متكاملًا للمطوّرين. ونحن نثق بمتجر VSCode كما نثق بـ App Store أو Google Play، ونفترض أن شركة بحجم Microsoft تجري على الأقل تدقيقًا أساسيًا لما يصل إلى واجهة المتجر. لكن الواقع جاء أقسى. فالامتدادان، اللذان تنكّرا في هيئة أدوات ذكاء اصطناعي مفيدة لكتابة الشيفرة، لم يكتفيا بالبقاء في المتجر، بل جرى الترويج لهما بنشاط حتى بلغا قوائم الأعلى تنزيلًا، وجمعا مئات الآلاف من عمليات التنزيل. والمفارقة أن المطوّرين، الذين يُفترض أن يكونوا أكثر المستخدمين يقظة، كانوا الفريسة الأسهل.

كانت آلية الهجوم بسيطة إلى حد مؤلم، لكنها فعّالة. عرض الامتدادان إكمالًا تلقائيًا «ذكيًا» ومساعدة في إعادة هيكلة الشيفرة، وهو أمر يبدو طبيعيًا تمامًا في عصر الولع الشامل بـ Copilot وClaude. لكن هاتين الأداتين كانتا تفعلان شيئًا آخر تمامًا تحت الغطاء: فقد فحصتا النظام بحثًا عن رموز الوصول (tokens) ومفاتيح API ومقاطع الشيفرة السرية، ثم جمّعتا هذه الغنيمة بعناية وأرسلتاها إلى خوادم مرتبطة بمجموعات سيبرانية صينية. وهذه ليست سرقة كلمات مرور فحسب، بل وصول إلى الملكية الفكرية لمئات الشركات، وإمكانية محتملة لزرع أبواب خلفية في منتجاتها.

لماذا يهم هذا الأمر الآن تحديدًا؟ نحن نمرّ بمرحلة «حمّى الذهب» في أدوات الذكاء الاصطناعي. تظهر كل يوم عشرات الإضافات الجديدة التي تعد بتسريع البرمجة عشرة أضعاف. وفي خضم هذا التسرع يتراجع التفكير النقدي إلى الصف الثاني. يثبّت المطوّرون الامتدادات دون التحقق من المطوّر، ودون قراءة المراجعات، ودون تحليل الأذونات التي يطلبها البرنامج. ويفهم القراصنة هذه النفسية جيدًا: أضِف كلمة AI أو GPT إلى الاسم، فيرتفع عدد التنزيلات بمتوالية هندسية وتنخفض اليقظة إلى الصفر.

وجدت Microsoft نفسها مرة أخرى في قلب فضيحة تتعلق بأمن سلسلة التوريد. وهذه ليست أول مرة يُعثر فيها على برمجيات عديمة القيمة أو خبيثة في VSCode Marketplace، لكن حجم 1,5 مليون نظام لم يعد خطأً عرضيًا، بل إخفاقًا منهجيًا. والمشكلة أن أنظمة الفحص الآلية في المتجر يمكن الالتفاف عليها بسهولة عبر تعتيم الشيفرة (obfuscation) أو تأخير تحميل الحمولة الخبيثة. وإذا لم تغيّر الشركة نهجها في التحقق من الامتدادات، فسيتحول VSCode من أداة مريحة إلى الثغرة الأمنية الرئيسية في أي شركة تقنية.

هذه القصة بمثابة دش بارد لكل من اعتاد الثقة بالمصادر «الرسمية». فهي تذكّر بأنه لا وجود لما يسمى الأمان المطلق في عالم البرمجيات، خاصة حين يتعلق الأمر بالإضافات الخارجية. وبينما ننتظر أن يبدأ الذكاء الاصطناعي بكتابة شيفرة مثالية بلا أخطاء، يستخدمه القراصنة بالفعل طُعمًا مثاليًا لمن يكتبون هذه الشيفرة. وإذا حكمنا من عدد المتضررين، فإن هذه الاستراتيجية تعمل بلا عيب.

الخلاصة: الثقة بالمتاجر وهم، وسيدفع ثمن هذا الوهم الآن مليون ونصف المليون شخص. فهل أنتم مستعدون لمراجعة قائمة امتداداتكم الآن؟