كشف باحثون في الأمن السيبراني عن أسلوب هجوم جديد يُعرف باسم Reprompt، يتيح للمهاجمين استخراج بيانات حساسة من روبوتات المحادثة بالذكاء الاصطناعي مثل Microsoft Copilot بنقرة واحدة فقط، متجاوزين بذلك الضوابط الأمنية المؤسسية.
وفقاً لتقرير شركة Varonis، فإن الضحية لا يحتاج إلى أي تفاعل مع Copilot أو تثبيت إضافات، إذ يكفي الضغط على رابط شرعي من مايكروسوفت ليبدأ تسلسل خفي من التعليمات التي تُهرّب البيانات بشكل مستمر حتى بعد إغلاق جلسة المحادثة.
مايكروسوفت أكدت أنها عالجت الثغرة بعد الإفصاح المسؤول، وأن الهجوم لا يؤثر على عملاء المؤسسات الذين يستخدمون Microsoft 365 Copilot.
كيف يعمل هجوم Reprompt؟
يعتمد الهجوم على ثلاث تقنيات رئيسية:
- استخدام معامل q في روابط Copilot لحقن تعليمات مباشرة من خلال الرابط.
- تجاوز أنظمة الحماية عبر إعادة تنفيذ كل طلب مرتين، حيث تُطبق الحماية فقط على الطلب الأول.
- إنشاء سلسلة مستمرة من الطلبات بين Copilot وخادم المهاجم، ما يسمح باستخراج البيانات بشكل ديناميكي وخفي.
في سيناريو افتراضي، يمكن للمهاجم أن يرسل رابطاً شرعياً عبر البريد الإلكتروني، ليقوم Copilot بتنفيذ التعليمات المخفية داخله، مثل: “لخص جميع الملفات التي فتحها المستخدم اليوم” أو “أين يعيش المستخدم؟”. وبما أن التعليمات اللاحقة تُرسل من الخادم مباشرة، يصبح من المستحيل معرفة نوع البيانات المسروقة بمجرد فحص الطلب الأولي.
موجة جديدة من هجمات الحقن
يتزامن الكشف عن Reprompt مع ظهور مجموعة واسعة من تقنيات هجومية تستهدف أدوات الذكاء الاصطناعي:
- ZombieAgent: يستغل اتصالات ChatGPT مع تطبيقات خارجية لتحويل الحقن غير المباشر إلى هجمات “صفر نقرة”.
- Lies-in-the-Loop (LITL): يستغل ثقة المستخدم في نوافذ التأكيد لتنفيذ تعليمات خبيثة، ويؤثر على أدوات مثل Anthropic Claude Code وCopilot في VS Code.
- GeminiJack: يستهدف منصة Gemini Enterprise عبر تعليمات مخفية في مستندات Google أو دعوات تقويم أو رسائل بريد.
- GATEBLEED: ثغرة عتادية تستغل مسرّعات التعلم الآلي لتسريب بيانات التدريب عبر مراقبة توقيت الوظائف.
- CellShock: ثغرة في Claude for Excel تسمح بإخراج صيغ غير آمنة تُهرّب بيانات من ملفات المستخدم.
- ثغرات أخرى تؤثر على منصات مثل Cursor، Amazon Bedrock، Notion AI، Hugging Face Chat، Slack AI، وغيرها.
الحاجة إلى دفاعات متعددة الطبقات
هذه الهجمات تكشف عن ثغرة جوهرية في أنظمة الذكاء الاصطناعي: عدم قدرتها على التمييز بين التعليمات الصادرة من المستخدم مباشرة وتلك القادمة عبر السياق أو البيانات غير الموثوقة. النتيجة هي فتح الباب أمام حقن التعليمات غير المباشر الذي يحول الذكاء الاصطناعي إلى قناة خفية لتسريب البيانات.
خبراء الأمن ينصحون باعتماد دفاعات متعددة الطبقات، تشمل:
- تقييد صلاحيات الوصول للأدوات الحساسة.
- منع تشغيل المساعدات الذكية بامتيازات مرتفعة.
- مراقبة الأنشطة غير الاعتيادية بشكل مستمر.
- تثقيف المستخدمين حول مخاطر الروابط والإضافات غير الموثوقة.
كما شددت شركة Noma Security على أن اتساع صلاحيات وكلاء الذكاء الاصطناعي يزيد من حجم الخطر، إذ يمكن لثغرة واحدة أن تُضاعف نطاق الهجوم بشكل هائل إذا لم تُدار حدود الثقة بشكل صارم.
