حين يُختطَف جسد الوكيل — إضافة واحدة تقود مساعدي الذكاء الاصطناعي عبر خمسة منتجات
بيّنت Forever Security أن إضافة متصفح عادية واحدة تستطيع قيادة الذكاء الاصطناعي المدمج في خمسة منتجات — Chrome وComet وEdge وOpera Neon وClaude. وعلى حدة، أفادت Mandiant بأن مهاجمًا اختطف جلسة مساعد برمجة بالذكاء الاصطناعي ونشر دودة Shai-Hulud عبر نحو 100 مستودع. نرسم حدود الثقة لأوقات تشغيل الوكلاء.
تُرجمت هذه المقالة آليًا.
في سبتمبر 2026، بيّن الباحث Gal Weizman من Forever Security أن إضافة متصفح واحدة تحمل إذنين شائعين فقط — تعديل الصفحة وdeclarativeNetRequest — تستطيع التحكم في مساعدي الذكاء الاصطناعي المدمجين لخمسة منتجات: Gemini Live في Chrome، وPerplexity Comet، وMicrosoft Edge، وOpera Neon، وإضافة Claude in Chrome. العمارة واحدة عبر المنتجات: للذكاء الاصطناعي «جسد» داخل المتصفح يستطيع رؤية الشاشة وفتح الملفات واستخدام الكاميرا، و«عقل» على خوادم البائع، والجسد لا يأخذ الأوامر إلا من صفحة موثوقة واحدة (مثل gemini.google.com). تُدخل الإضافة رمزها في تلك الصفحة الموثوقة وتكلّم الجسد كأنها البائع. حالة Chrome، المعروفة باسم GlicJack، هي CVE-2026-0628 (CVSS 8.8، أُصلحت في Chrome 143)؛ واكتشاف Edge وحده أيضًا نال CVE، هو CVE-2026-55945 (CVSS 4.2، أُصلح). ليس لـ Comet وOpera Neon وClaude أي CVE. وكانت Comet أسوأ حالة — فبمجرد اختطافها يستطيع وكيلها قراءة أي ملف، وسرد سجل التصفح، وأخذ لقطات شاشة، والتصرف بوصفه المستخدم. جميع النتائج عروض من باحثين، لا هجمات في البرية، وكل منها يفترض أن الإضافة مثبَّتة بالفعل (حسب تغطية The Hacker News).
في خيط منفصل، يصف تقرير Mandiant لسبتمبر 2026 مهاجمًا يختطف جلسة مساعد برمجة بالذكاء الاصطناعي نشطة لدى مزوّد SaaS لم يُسمَّ. بعد الاختطاف، قَبِل الإنسان توصية من المساعد — لبرمجية كان المهاجم قد سمّمها — واستخدم المهاجم جلسة المطوّر لتثبيت سارق معلومات عبر حزمة PyPI مسمَّمة داخل نطاق الاسم الرسمي للشركة. سُرقت رموز GitHub OAuth، ونُشرت دودة Shai-Hulud ذاتية الانتشار عبر نحو 100 مستودع داخلي؛ وتسبّب موظف ثانٍ بسحب الإصدار المخترَق في إصابة ثانية. وكانت Mandiant قد أفادت سابقًا بأن المهاجمين انتقلوا خلال 2025 من استخدام الذكاء الاصطناعي التوليدي لتسريع العمل إلى تضمين نماذج LLM في البرمجيات الخبيثة والهجمات الحية (حسب تغطية The Hacker News وMandiant).
تحليل (منفصل عن الوقائع): ما تشترك فيه القصتان هو أن حد الثقة في العماريات الوكيلية يجلس على «صفحة» و«توصية» لا على موافقة بشرية. تقبل وكلاء استخدام المتصفح الأوامر من نطاق موثوق واحد — لكن الإضافة تستطيع إعادة كتابة محتويات تلك الصفحة، فتجعل الإضافات مسار سلسلة إمداد إلى داخل حد الثقة. وعلى جانب وكيل البرمجة، فإن «موافقة» الإنسان على توصية الذكاء الاصطناعي هي في ذاتها منح امتياز التنفيذ: إذا سُمّم دخل الموصي (سجل الحزم)، صارت الموافقة الزناد. وعادةً ما يُوصف الإنسان في الحلقة بأنه تدبير أمان، لكن في الحالتين لم يتحقق الإنسان في الحلقة من التوصية — كانت إجراءً شكليًا.
الدلالات الدفاعية: (1) على نقاط النهاية التي فُعّلت فيها مساعدات الذكاء الاصطناعي، اجرِ جردًا لأذونات الإضافات مع قدرات الوكيل — إذا كانت إضافة واحدة تستطيع بلوغ قراءة الملفات والوصول إلى الكاميرا عبر «جسد» الوكيل، فمنحها الأذونات منح امتياز حقيقي. (2) عامل أي حزمة أو أداة يوصي بها الذكاء الاصطناعي، حتى لو وافق إنسان، بوصفها مسار سلسلة إمداد مفتوحًا حديثًا يحتاج إلى تحقق. (3) على جانب النطاق الموثوق، اجرِ جردًا لقنوات الأوامر المتبقية مثل النطاقات الفرعية للاختبار (كان عنوان اختبار متبقٍ هو نقطة الاختراق في حالة Comet). (4) قلّل الملفات التي يستطيع الوكيل قراءتها والرموز (مثل OAuth) التي يمسكها. هذه تحليلاتنا، وليست إرشادًا من البائع.
تُستمد الوقائع في هذا المقال أساسًا من شرح BragJack لدى Forever Security (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) وتقرير Mandiant / Google Cloud بعنوان AI Risk and Resilience Report 2026 (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026)، مع تغطية The Hacker News بوصفها ثانوية (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html وhttps://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html)؛ وتُبقى أقسام التحليل منفصلة عن التغطية الوقائعية. ويُلاحظ أنه بالنسبة إلى المنتجات التي بلا CVE، لم يمكن تأكيد حالة معالجة البائع تأكيدًا كاملًا من المعلومات العلنية.