يكفي أن تفتح المشروع: ثمانية وكلاء برمجة ذكية تنفذ أمر المهاجم بلا موافقتك

يكفي أن تفتح المشروع: ثمانية وكلاء برمجة ذكية تنفذ أمر المهاجم بلا موافقتك

تعودنا أن نقرأ عن الذكاء الاصطناعي في الأمن السيبراني من زاوية واحدة: مهاجم يستخدم وكلاء آليين ليهاجم أسرع. الزاوية الثانية أهم لمنشأتك وأقل حديثا عنها: الوكيل الذي تشغله أنت على جهاز مطورك هو نفسه سطح هجوم جديد. وخلال شهرين نشرت ثلاث جهات بحثية مستقلة نتائج تصب كلها في الاتجاه نفسه.

القاسم المشترك بين الحالات ليس ثغرة في النموذج ولا خطأ في إجابته. الوكيل لم يخرج من بيئته المعزولة ولم يكسر قيدا. ما حدث أن الوكيل كتب أو قرأ ملفا داخل المشروع، ثم جاءت أداة موثوقة خارج البيئة المعزولة وشغلت محتوى ذلك الملف. البيئة المعزولة صمدت، والاختراق مر من حولها.

الآلية: إعداد أداء عمره سنوات في Git

أوضح مثال نشرته شركة Manifold Security في 2 سبتمبر 2026 تحت اسم GitSpawn. الفكرة تعتمد على إعداد مشروع في Git اسمه core.fsmonitor، وهو إعداد أداء مشروع وموثق: قيمته أمر يشغله Git ليعرف الملفات المتغيرة بسرعة بدل مسح المجلد كاملا.

والآن ركب الخطوتين معا:

• وكيل البرمجة الذكي، عند بدء العمل على مشروع، يشغل أوامر Git تلقائية مثل git status و git diff ليفهم حالة المشروع. هذا سلوك طبيعي ومطلوب.
• إذا كان المشروع يحمل إعدادا خبيثا في core.fsmonitor، فإن مجرد تشغيل هذي الأوامر يشغل أمر المهاجم.

النتيجة أن فتح مستودع كود تحول من حدث قراءة إلى حدث تنفيذ. لا نقرة، ولا موافقة، ولا مطالبة تظهر للمطور. وبحسب التقرير كان ثمانية وكلاء سطر أوامر مكشوفين، وصدرت ترقيعات لبعضهم: goose في الإصدار 1.44.0، و Claude Code في الإصدار 2.1.196 لمسار core.fsmonitor، و Codex CLI في الإصدار 0.131.0، إضافة إلى Cursor. وذكر التقرير أن أربعة مسارات بقيت بلا ترقيع وقت النشر. وسجلت الحالة تحت معرفات منها CVE-2026-72718 و CVE-2026-19592 و CVE-2026-55607.

ليست حادثة معزولة بل صنف كامل

قبل GitSpawn بشهر ونصف، نشر باحثو Pillar Security سلسلة أطلقوا عليها أسبوع الهروب من البيئة المعزولة في 20 يوليو 2026، ووثقوا سبع ثغرات في أربعة وكلاء برمجة من ثلاث شركات: Cursor و Codex و Gemini CLI و Antigravity. الوصف الذي قدموه للآلية يستحق أن يقرأ مرتين: الوكيل يبقى داخل الصندوق ويلتزم بكل قاعدة، لكنه يكتب ملفا تقوم أداة موثوقة خارج الصندوق بتشغيله أو تحميله أو فحصه لاحقا.

• في Cursor، ملف إعدادات خطافات داخل مساحة العمل مكن التنفيذ خارج البيئة المعزولة، وسجل تحت CVE-2026-48124 وعولج في الإصدار 3.0.0.
• في Codex CLI، قائمة السماح وثقت الأمر git show بالاسم فقط، مع أن المعاملات الممررة له قد تجعله غير قاصر على القراءة، وعولج في الإصدار 0.95.0.
• ثغرة في مقبس Docker مست Codex و Cursor و Gemini CLI في وقت واحد.
• في Antigravity، تجاوز لقائمة المنع في Seatbelt على ماك وثغرة في ملف مهام إعدادات المحرر، وصنفتهما غوغل على أنهما صعبتا الاستغلال.

وفي 10 سبتمبر 2026 نشرت Upstarts Media تفاصيل إفصاح ثالث من شركة ناشئة اسمها Accomplish عن تسريبات في بيئات العزل لدى Claude Code و Codex و Cursor. ما يهم في هذا الخبر ليس الثغرة بل زمن الإصلاح: ثغرة Cursor عولجت خلال أسبوع تقريبا، وثغرتا OpenAI في أغسطس، بينما استغرقت ثغرة Anthropic نحو خمسين يوما مرت خلالها عشرات التحديثات. ثلاث جهات بحثية، ثلاثة تقارير، شهران، والنمط واحد.

لماذا يخصك هذا وأنت لا تكتب كودا

لأن الخطر لا يقع على الوكيل، بل على الجهاز الذي يشغله والشبكة التي يقف عليها ذلك الجهاز. جهاز المطور في أي شركة هو من أكثر الأجهزة امتيازا: عليه مفاتيح الوصول إلى الخوادم، ورموز النشر، وربما اتصال مفتوح بقاعدة بيانات الإنتاج. تنفيذ أمر واحد عليه ليس حادثا صغيرا.

والسيناريو ليس نظريا في السياق السعودي. راجع هذي الحالات على شركتك:

• متعاون أو شركة تطوير خارجية تسلمك كودا، ويفتحه فريقك بوكيل ذكي على جهاز داخل شبكتكم.
• مشروع مفتوح المصدر ينزله مطور ليجرب مكتبة أو حلا سريعا لمشكلة.
• ملف أرسل عبر البريد أو واتساب من مورد، وفك ضغطه وفتح مباشرة في المحرر.
• مرشح وظيفة يرسل مشروعا كنموذج عمل، ويفتحه من يقيمه تقنيا.
• فرع قديم أو مستودع منقول من جهة أخرى ضمن عملية استحواذ أو تسليم مشروع.

في كل حالة منها، الافتراض الضمني أن فتح ملفات لقراءتها فعل آمن. هذا الافتراض هو ما سقط.

ما الذي تفعله هذا الأسبوع

خمس خطوات، أولها لا يحتاج ميزانية:

1. حدث أدوات الوكلاء لدى الفريق كله اليوم. الترقيعات صدرت لأغلب الأدوات، والقيمة كلها في أن يكون الجميع على الإصدار المرقع لا واحد فقط. اعرف من يشغل ماذا وبأي إصدار، فهذا الجرد نفسه غالبا مفقود.
2. عامل الكود الوارد من الخارج كمحتوى غير موثوق. الكود من متعاون أو من مصدر مفتوح ليس مستندا تقرؤه، بل شيء ينفذ. افتحه أول مرة في جهاز أو حاوية منفصلة عن شبكة العمل.
3. افصل جهاز التطوير عن مفاتيح الإنتاج. لا تحتفظ برموز وصول للخوادم الحية على الجهاز الذي تفتح عليه مشاريع قادمة من الخارج. الخسارة حينها تبقى في حدود الجهاز.
4. اربط النشر بمسار مركزي لا بجهاز شخصي. حين يمر النشر عبر مسار بناء واحد بصلاحيات محددة، لا يعود اختراق جهاز واحد طريقا إلى الإنتاج.
5. أضف بندا في عقود التطوير الخارجي. من حقك أن تشترط كيف يسلم الكود ومن أي مستودع، وأن تشترط على المورد تحديث أدواته. هذا بند تعاقدي لا نقاش تقني.

وفي الإطار التنظيمي المحلي، هذي ليست اجتهادات. ضوابط الأمن السيبراني الأساسية الصادرة عن الهيئة الوطنية للأمن السيبراني تتضمن مجالات صريحة لأمن الأجهزة الطرفية ولأمن إدارة التغيير والتطوير ولأمن الأطراف الخارجية، ومسؤولية حماية البيانات الشخصية تبقى على المنشأة بموجب نظام حماية البيانات الشخصية. إن كان الباب دخل من جهاز مطور فتح مشروع مورد، فهذا لا يخفف المسؤولية.

نظرة أوريجامي

نقرأ هذي التقارير الثلاثة على أنها تصحيح لفكرة شاعت بسرعة: أن البيئة المعزولة كافية ما دام الوكيل محبوسا فيها. الثغرات هنا لم تكسر العزل، بل استخدمت جسرا مشروعا يعبر منه شيء مكتوب داخل الصندوق إلى أداة تعمل خارجه. وهذا يعني أن السؤال الصحيح ليس هل الوكيل معزول، بل ما الأدوات التي تقرأ ما ينتجه الوكيل، وبأي صلاحية تعمل.

ونضيف ملاحظة عملية نراها عند كثير من الشركات: تبني أدوات الذكاء الاصطناعي في فرق التطوير يسبق أي سياسة تحكمها بأشهر. المطور يجرب أداة، تعجبه، فتصبح جزءا من يومه بلا قرار ولا مراجعة ولا جرد. المشكلة ليست في الأداة، بل في أنها دخلت من باب لا يمر عليه أحد. حين نراجع بيئات عملائنا نبدأ من هنا: ما الأدوات التي تعمل فعلا على أجهزة الفريق، وبأي صلاحيات، وماذا يحدث لو نفذ أمر واحد على أحدها الليلة. وإن أردت مراجعة من هذي الزاوية تجدنا في صفحة التواصل.

الخلاصة

ثلاثة إفصاحات مستقلة في شهرين تقول الشيء نفسه: وكيل البرمجة الذكي يحول فتح مشروع من فعل قراءة إلى فعل تنفيذ، ويكفي أن يضع طرف خارجي سطرا في ملف إعدادات. الترقيعات صدرت لأغلب الأدوات وبقي بعضها، لكن الدرس أكبر من إصدار: أي أداة تشغلها على جهاز مميز الصلاحيات هي جزء من سطح هجومك، سواء أدرجتها في سياساتك أم لا. ابدأ بسؤال واحد: من في فريقك يشغل وكيلا ذكيا الآن، وعلى أي جهاز، وبأي إصدار؟

مصادر

• The Hacker News — Malicious .git Configs Can Make Claude, Codex, Cursor and Other AI Agents Run Attacker Code، 2 سبتمبر 2026: إفصاح Manifold Security عن GitSpawn، آلية core.fsmonitor، قائمة الوكلاء الثمانية، إصدارات الترقيع والمعرفات CVE-2026-72718 و CVE-2026-19592 و CVE-2026-55607.
• BleepingComputer — Cursor, Codex, Gemini CLI, Antigravity hit by sandbox escapes: سلسلة Pillar Security المنشورة في 20 يوليو 2026، سبع ثغرات في أربعة وكلاء، و CVE-2026-48124 وإصلاحات الإصدارات 3.0.0 و 0.95.0.
• Upstarts Media — Claude Code, Codex and Cursor Have Leaky Sandbox Problems، 10 سبتمبر 2026: إفصاح Accomplish وأزمنة الإصلاح لدى الشركات الثلاث.
• الهيئة الوطنية للأمن السيبراني — ضوابط الأمن السيبراني الأساسية، والهيئة السعودية للبيانات والذكاء الاصطناعي — نظام حماية البيانات الشخصية.