باحثون يخترقون وكلاء الذكاء الاصطناعي على GitHub لسرقة البيانات

وعد دمج الذكاء الاصطناعي في عمليات تطوير البرمجيات بكفاءة غير مسبوقة، لكنه فتح عمليا الباب أمام أنماط جديدة كليا من الهجمات السيبرانية. فقد أظهر فريق من باحثي الأمن في جامعة جونز هوبكنز ثغرة حرجة في وكلاء الذكاء الاصطناعي التابعين لكبرى شركات التقنية، والذين يعملون على منصة GitHub Actions. ولم يكتفِ الباحثون باختراق الأنظمة التي طورتها Anthropic وGoogle وMicrosoft، بل أثبتوا أيضا إمكانية سرقة بيانات الاعتماد السرية دون أي عوائق. ولا يعود الاهتمام بهذه الحادثة إلى براعة التنفيذ التقني وحدها، بل إلى رد فعل الشركات كذلك: فبعد دفع مكافآت مقابل الأخطاء المكتشفة، فضّلت هذه الشركات الصمت، وتجاهلت ضرورة الإفصاح العلني عن المعلومات عبر منح معرّفات رسمية للثغرات.

ولإدراك حجم المشكلة بالكامل، لا بد من فهم دور GitHub Actions في البنية التحتية الحديثة للتكامل والنشر المستمرين. تعمل هذه المنصة على أتمتة عمليات بناء الشيفرة البرمجية واختبارها وإصدارها، ويتطلب عملها صلاحيات وصول إلى الطبقات العميقة من المستودعات وإلى الأسرار الحساسة، مثل رموز الوصول وكلمات مرور قواعد البيانات ومفاتيح API. وقد جرى تقديم إدخال وكلاء الذكاء الاصطناعي المستقلين إلى هذه البيئة بوصفه الخطوة التالية في التطور، إذ يتيح للخوارزميات تحليل التغييرات بنفسها واقتراح الإصلاحات، بل وإدارة الإعدادات أيضا. غير أن منح النماذج اللغوية صلاحيات بهذا الاتساع داخل بيئة موثوقة هيّأ ظروفا مثالية لإساءة الاستخدام المحتملة، وحوّل المساعدين الافتراضيين إلى أضعف حلقة في محيط الأمان.

يقوم الهجوم الذي نفّذه الباحثون على أسلوب مبتكر لحقن الأوامر الخبيثة. فخلافا للاختراق التقليدي الذي يستغل أخطاء في الشيفرة البرمجية، يستغل هذا النهج طبيعة النماذج اللغوية الكبيرة نفسها، عبر التلاعب بقدرتها على تفسير اللغة الطبيعية. فقد وضع المهاجمون تعليمات مصمَّمة بعناية داخل عناصر تبدو بريئة، مثل التعليقات على الشيفرة ووصف المشكلات وطلبات الدمج. وعندما يبدأ وكيل الذكاء الاصطناعي المدمج في مسار GitHub Actions بمعالجة هذه النصوص أثناء التحليل الروتيني، فإنه يلتقط الأوامر المخفية دون علم صاحب المستودع. والنتيجة أن النموذج يتجاوز قيود الأمان المضمّنة فيه، ويستخرج رموز التفويض المطلوبة بطاعة، ثم يرسلها إلى خوادم المهاجمين في صورة طلبات شبكية عادية.

ولعل الجانب الأكثر إثارة للقلق في هذه السابقة هو رد فعل شركات التقنية المعنية. فرغم أن Anthropic وGoogle وMicrosoft أقرّت بمشروعية البحث، ودفعت للخبراء المكافآت المستحقة ضمن برامج رصد الثغرات، فقد امتنعت عن التعليق علنا، ورفضت إصدار نشرات أمنية رسمية تتضمن أرقام CVE. وتخلق هذه السياسة القائمة على انعدام الشفافية التام وهما بالأمان شديد الخطورة. فغياب التنبيه الموحّد يعني أن ماسحات الأمان الآلية لن تصنّف هذه التكاملات على أنها معرّضة للثغرات، وأن ملايين المطورين حول العالم سيواصلون استخدام أساليب مخترَقة دون أن يدركوا أن مفاتيح بنيتهم التحتية الرقمية قد تُسرق ببضعة أسطر من النص.

ويثير هذا التعتيم على المشكلة تساؤلات جدية بشأن التوازن بين الترويج التسويقي للذكاء الاصطناعي والمسؤولية الفعلية عن أمن المستخدمين. فدمج النماذج اللغوية في العقد الحيوية لعملية التطوير يتم بوتيرة متسارعة، وتتبنى شركات كثيرة هذه الحلول مجاراةً للاتجاهات السائدة، دون امتلاك الخبرة الكافية لتقييم المخاطر المصاحبة. ووكلاء الذكاء الاصطناعي الذين يملكون صلاحية الوصول إلى شيفرة الإنتاج يتحولون عمليا إلى جهات داخلية بصلاحيات غير محدودة. وإذا أمكن خداع هذه الأنظمة بمجرد تلاعب لغوي بسيط، فلن تكون الملكية الفكرية لمشاريع بعينها وحدها مهددة، بل سلامة سلسلة توريد البرمجيات بأكملها. فالمهاجم الذي يسيطر على GitHub Actions عبر وكيل ذكاء اصطناعي ضعيف الحماية قادر على زرع شيفرة خبيثة في المنتج النهائي، مما قد يطال ملايين المستخدمين.

وتمثل هذه الحادثة تذكيرا قاسيا بأن بنية الأمان في عصر الذكاء الاصطناعي تتطلب معايير جديدة كليا. فالأساليب التقليدية لحماية مسارات التطوير تقف عاجزة أمام الهجمات التي تستهدف منطق الخوارزميات نفسها. وعلى القطاع أن يطوّر آليات موثوقة لعزل وكلاء الذكاء الاصطناعي، وقواعد صارمة لتدقيق أفعالهم في البيئات الموثوقة. وطالما فضّلت شركات التقنية الكبرى إخفاء العيوب النظامية بدلا من مناقشتها علنا، فإن مسؤولية الحفاظ على البيانات تقع بالكامل على عاتق فرق الهندسة. وعلى المطورين توخي أقصى درجات الحذر عند منح الصلاحيات لأي أداة مستقلة، وتقييم كل مرحلة من مراحل دمجها تقييما نقديا، مع إدراك أن الثغرات الخفية كثيرا ما تكون الأشد تدميرا.