لما جسد الوكيل يتختطف — إضافة واحدة بتسوق مساعدي الذكاء الاصطناعي عبر خمس منتجات
Forever Security بيّنت إن إضافة متصفح عادية واحدة تقدر تسوق الذكاء الاصطناعي المدمج في خمس منتجات — Chrome وComet وEdge وOpera Neon وClaude. وعلى حدة، Mandiant قالت إن مهاجم اختطف جلسة مساعد برمجة بالذكاء الاصطناعي ونشر دودة Shai-Hulud على حوالي 100 مستودع. بنرسم حدود الثقة لأوقات تشغيل الوكلاء.
المقالة دي اتترجمت بالآلة.
في سبتمبر 2026، الباحث Gal Weizman من Forever Security بيّن إن إضافة متصفح واحدة شايلة إذنين شائعين بس — تعديل الصفحة وdeclarativeNetRequest — تقدر تتحكم في مساعدي الذكاء الاصطناعي المدمجين لخمس منتجات: Gemini Live في Chrome، وPerplexity Comet، وMicrosoft Edge، وOpera Neon، وإضافة Claude in Chrome. العمارة واحدة في المنتجات كلها: الذكاء الاصطناعي عنده «جسد» جوّا المتصفح يقدر يشوف الشاشة ويفتح الملفات ويستخدم الكاميرا، و«عقل» على سيرفرات البائع، والجسد بياخد أوامر من صفحة موثوقة واحدة بس (زي gemini.google.com). الإضافة بتدخّل كودها في الصفحة الموثوقة دي وبتكلّم الجسد كأنها البائع. حالة Chrome، المعروفة باسم GlicJack، هي CVE-2026-0628 (CVSS 8.8، اتصلحت في Chrome 143)؛ واكتشاف Edge لوحده كمان خد CVE، وهو CVE-2026-55945 (CVSS 4.2، اتصلح). Comet وOpera Neon وClaude معندهمش أي CVE. وComet كانت أسوأ حالة — أول ما تتختطف، الوكيل بتاعها يقدر يقرأ أي ملف، ويعرض سجل التصفح، وياخد لقطات شاشة، ويتصرف كأنه المستخدم. النتائج كلها عروض من باحثين، مش هجمات في الواقع، وكل واحدة بتفترض إن الإضافة متثبّتة أصلًا (حسب تغطية The Hacker News).
في خيط لوحده، تقرير Mandiant لسبتمبر 2026 بيوصف مهاجم بيختطف جلسة مساعد برمجة بالذكاء الاصطناعي شغّالة عند مزوّد SaaS متسماش. بعد الاختطاف، الإنسان قبل توصية من المساعد — لبرنامج المهاجم كان سمّمه — والمهاجم استخدم جلسة المطوّر عشان يثبّت سارق معلومات عن طريق حزمة PyPI مسمومة جوّا نطاق الاسم الرسمي للشركة. رموز GitHub OAuth اتسرقت، ودودة Shai-Hulud اللي بتنشر نفسها اتنشرت على حوالي 100 مستودع داخلي؛ وموظف تاني سحب الإصدار المخترق فحصلت إصابة تانية. وMandiant كانت قالت قبل كده إن المهاجمين خلال 2025 نقلوا من استخدام الذكاء الاصطناعي التوليدي عشان يسرّعوا الشغل لتضمين نماذج LLM في البرمجيات الخبيثة والهجمات الحية (حسب تغطية The Hacker News وMandiant).
تحليل (منفصل عن الوقائع): اللي القصتين مشتركين فيه إن حد الثقة في العماريات الوكيلية قاعد على «صفحة» و«توصية» مش على موافقة بشرية. وكلاء استخدام المتصفح بياخدوا أوامر من نطاق موثوق واحد — بس الإضافة تقدر تعيد كتابة محتويات الصفحة دي، فالإضافات بتبقى مسار سلسلة إمداد لجوّا حد الثقة. ومن ناحية وكيل البرمجة، «موافقة» الإنسان على توصية الذكاء الاصطناعي هي نفسها منح امتياز التنفيذ: لو دخل الموصي (سجل الحزم) اتسمم، الموافقة بتبقى الزناد. والإنسان في الحلقة عادةً بيتوصف كتدبير أمان، بس في الحالتين الإنسان اللي في الحلقة متحقّقش من التوصية — كانت إجراء شكلي.
الدلالات الدفاعية: (1) على نقاط النهاية اللي مساعدات الذكاء الاصطناعي مفعّلة فيها، اعمل جرد لأذونات الإضافات مع قدرات الوكيل — لو إضافة واحدة تقدر توصل لقراءة الملفات والكاميرا عن طريق «جسد» الوكيل، فإديها الأذونات ده منح امتياز حقيقي. (2) اعتبر أي حزمة أو أداة الذكاء الاصطناعي يوصي بيها، حتى لو إنسان وافق، مسار سلسلة إمداد متفتح جديد ومحتاج تحقق. (3) من ناحية النطاق الموثوق، اعمل جرد لقنوات الأوامر المتبقية زي النطاقات الفرعية للاختبار (عنوان اختبار متبقي كان هو نقطة الاختراق في حالة Comet). (4) قلّل الملفات اللي الوكيل يقدر يقراها والرموز (زي OAuth) اللي ماسكها. دي تحليلاتنا، ومش إرشاد من البائع.
وقائع المقال ده مأخوذة أساسًا من شرح BragJack عند Forever Security (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) وتقرير Mandiant / Google Cloud بعنوان AI Risk and Resilience Report 2026 (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026)، مع تغطية The Hacker News كمصدر ثانوي (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html وhttps://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html)؛ وأقسام التحليل متسيبة منفصلة عن التغطية الوقائعية. ويُلاحظ إنه بالنسبة للمنتجات اللي من غير CVE، حالة معالجة البائع مكانش ممكن تتأكد بالكامل من المعلومات العلنية.