أثار باحث أمني مخاوف جديدة بشأن سلامة تكاملات الذكاء الاصطناعي مع منصات تطوير البرمجيات، بعدما كشف عن ثغرة أمنية خطيرة في موصل GitHub الخاص بـ ChatGPT يمكن أن تسمح للمهاجمين بخداع النظام ودفعه إلى إجراء تعديلات داخل مستودعات خاصة، بل وتسريب بيانات وأسرار حساسة دون امتلاك أي صلاحيات مباشرة على تلك المستودعات.
وتسلط هذه الحادثة الضوء على فئة متنامية من المخاطر المرتبطة بوكلاء الذكاء الاصطناعي القادرين على تنفيذ إجراءات فعلية داخل بيئات العمل الرقمية، حيث لم يعد التحدي مقتصرًا على توليد المحتوى أو الإجابة عن الأسئلة، بل امتد إلى إمكانية التأثير المباشر في الأنظمة والبنى البرمجية التي يمتلك الذكاء الاصطناعي صلاحية الوصول إليها.
وبحسب الباحث الأمني سونيل تريباثي، فإن الثغرة تستغل مزيجًا من حقن الأوامر غير المباشر عبر المطالبات “Indirect Prompt Injection”، ومنح صلاحيات واسعة بشكل مفرط لموصل GitHub، بالإضافة إلى طبيعة GitHub Actions التي تسمح بتشغيل تعليمات برمجية تلقائيًا عند إجراء تعديلات داخل المستودعات البرمجية.
كيف تبدأ سلسلة الهجوم؟
يعتمد السيناريو الذي كشفه الباحث على إنشاء مستودع عام يتحكم فيه المهاجم ويحتوي على تعليمات مخفية مصممة خصيصًا للتأثير على سلوك ChatGPT.
وعندما يطلب صاحب حساب شرعي من ChatGPT إجراء مراجعة أو تقييم لعملية نشر خاصة بهذا المستودع العام، يبدأ النظام بتحليل الملفات والمحتويات المتاحة له. خلال هذه المرحلة يواجه التعليمات المخفية التي أدرجها المهاجم داخل المستودع.
ووفقًا للتقرير، لا يحتاج المهاجم إلى رفع ملفات ضارة أو استخدام أوامر برمجية معقدة داخل النظام المستهدف. ويكفي وجود تلك التعليمات المخفية داخل المستودع العام حتى يتمكن نموذج الذكاء الاصطناعي من قراءتها والتفاعل معها باعتبارها جزءًا من سياق العمل المطلوب منه.
وتكمن الخطورة في أن ChatGPT قد يمتلك في الوقت نفسه صلاحيات وصول إلى مستودعات خاصة أخرى مرتبطة بحساب الضحية من خلال موصل GitHub الممنوح له مسبقًا.
من مستودع عام إلى اختراق مستودع خاص
بحسب الباحث، يمكن للتعليمات المزروعة داخل المستودع العام أن تدفع ChatGPT إلى إجراء تعديل داخل مستودع خاص مختلف تمامًا عن المستودع الذي طلب المستخدم مراجعته.
وفي حال كان موصل GitHub مضبوطًا على الإعداد الافتراضي الذي يمنح الوصول إلى جميع المستودعات المرتبطة بالحساب، يصبح بإمكان النظام كتابة ملفات جديدة أو تعديل ملفات قائمة داخل مستودع خاص لا يملك المهاجم أي حق للوصول إليه بشكل مباشر.
وتزداد خطورة الموقف عند قيام ChatGPT بإضافة سير عمل جديد ضمن GitHub Actions داخل المستودع الخاص. فعند حفظ التغييرات وتشغيل آلية الأتمتة تلقائيًا، يتم تنفيذ التعليمات البرمجية التي أضيفت حديثًا.
ومن هنا تبدأ المرحلة الأخطر، إذ تستطيع تلك التعليمات الوصول إلى الأسرار المخزنة داخل بيئة التطوير، مثل رموز الوصول وبيانات الاعتماد ومفاتيح البرمجة والمتغيرات السرية المستخدمة في عمليات البناء والنشر.
وبعد ذلك يمكن إرسال تلك المعلومات إلى جهة خارجية يسيطر عليها المهاجم، ما يؤدي عمليًا إلى تسريب بيانات حساسة دون أن يقوم المستخدم بأي إجراء مباشر يسمح بذلك.
حقن المطالبات غير المباشر يواصل إثارة القلق
تُعد هذه الحادثة نموذجًا واضحًا للمخاطر المرتبطة بما يعرف بحقن المطالبات غير المباشر، وهو أحد أبرز التهديدات الناشئة في عالم الذكاء الاصطناعي.
وفي هذا النوع من الهجمات لا يوجه المهاجم أوامره مباشرة إلى نموذج الذكاء الاصطناعي، بل يزرعها داخل مصادر بيانات أو مستندات أو صفحات ويب أو مستودعات برمجية يتوقع أن يقرأها النظام لاحقًا أثناء تنفيذ مهمة مشروعة.
وعندما يتعامل النموذج مع هذه المحتويات، قد يخلط بين التعليمات الحقيقية الخاصة بالمستخدم والتعليمات المزروعة من قبل المهاجم، فينفذ إجراءات غير مقصودة تتجاوز الهدف الأصلي للمهمة.
ويرى خبراء الأمن السيبراني أن هذه المشكلة أصبحت أكثر أهمية مع انتشار الوكلاء الأذكياء الذين يمتلكون صلاحيات تنفيذية في البريد الإلكتروني ومستودعات الأكواد البرمجية والخدمات السحابية وأدوات الإنتاجية المختلفة.
فكلما زادت الصلاحيات الممنوحة للأنظمة الذكية ارتفع مستوى المخاطر الناتجة عن إساءة استغلال تلك الصلاحيات عبر محتويات خارجية غير موثوقة.
جدل حول التعامل مع الثغرة
أوضح تريباثي أن الهجوم يتميز بقدرته على تنفيذ عمليات كتابة عابرة للحسابات، وتشغيل مهام التكامل المستمر، والوصول إلى الأسرار الحساسة ثم تسريبها، وذلك دون حاجة إلى اختراق حساب الضحية أو الحصول على أي وصول مباشر إلى المستودعات الخاصة.
كما أكد أن السيناريو لا يعتمد على استغلال ثغرات تقليدية مثل حقن الأوامر البرمجية، ولا يتطلب رفع مستندات أو ملفات خبيثة، بل يعتمد فقط على وجود مستودع عام وقيام الضحية بطلب مراجعة محتواه بواسطة الوكيل الذكي.
وتبرز هذه الواقعة التحديات المتزايدة المرتبطة بتأمين أدوات الذكاء الاصطناعي المتصلة بالأنظمة المؤسسية، خصوصًا في ظل اعتماد المؤسسات بشكل متزايد على الموصلات الرقمية التي تمنح النماذج وصولًا مباشرًا إلى الأكواد البرمجية والوثائق وقواعد المعرفة الداخلية.
وذكر الباحث أنه اتبع إجراءات الإفصاح المسؤول وأبلغ OpenAI بالتفاصيل الفنية المتعلقة بالثغرة قبل نشرها. إلا أن الشركة اعتبرت القضية خارج نطاق برنامجها الخاص بمعالجة الثغرات الأمنية، وهو موقف قد يثير نقاشًا أوسع داخل مجتمع الأمن السيبراني حول حدود المسؤولية الأمنية في الأنظمة المعتمدة على الذكاء الاصطناعي والوكلاء المستقلين.
وتأتي هذه الحادثة في وقت تشهد فيه صناعة الذكاء الاصطناعي نقاشات متزايدة حول أفضل السبل لتقييد الصلاحيات الممنوحة للوكلاء الأذكياء، وفرض مبدأ الحد الأدنى من الامتيازات، وتطوير آليات أكثر فاعلية لتمييز التعليمات الموثوقة من المحتوى الذي قد يكون مصممًا للتلاعب بسلوك النماذج وتحويلها إلى أدوات لتنفيذ هجمات سيبرانية غير مقصودة.
