خطافات الوكلاء اخترقت كل الأدوات السبع المختبرة
أظهرت دراسة HookPry المختبرية المنشورة أولياً في 3 سبتمبر 2026 أثراً ضاراً مؤكداً في كل بيئة من بيئات الوكلاء السبع المختبرة: OpenHarness وOpenClaw وClaude Code وCodex CLI وOpenCode وHermes وWorkBuddy. وتسجل ورقة HookPry الأولية 1000 تشغيل عبر 25 تركيبة من البيئات والواجهات الخلفية، حقق 770 منها أثراً كاملاً أثبته معيار خارجي، أي معدل نجاح كلياً قدره 77%، بينما بلغ أعلى معدل لبيئة واحدة 92.5%.
هذه نتيجة مختبرية منشورة في 3 سبتمبر 2026، وليست دليلاً على اختراق مستخدمين فعليين أو حملة نشطة ضد الأدوات السبع. وقد أعادت تغطية AI Pulse في 7 سبتمبر عرض النتيجة وحدودها الأساسية: تحديث إضافة موثوقة سابقاً يستطيع تغيير خطافات دورة الحياة، فتشغّل البيئة أوامر بصلاحيات المستخدم عند أحداث عادية من دون أن يختار النموذج الأمر أو يراجعه.
التحديث ينقل الثقة إلى أمر تنفيذي جديد
لا يبدأ هذا الهجوم برسالة تخدع النموذج. خطاف دورة الحياة هو إدخال في إعدادات الإضافة يربط حدثاً، مثل بدء جلسة أو استدعاء أداة أو تعديل ملف، بأمر نظام تنفذه بيئة الوكيل كعملية فرعية على الجهاز المضيف.
يفترض نموذج التهديد أن المهاجم ينشر أولاً إضافة ذات وظيفة سليمة وإصدار معروف، ثم يطرح تحت الهوية نفسها تحديثاً يضيف خطافاً أو يبدّل الأمر المرتبط بخطاف قائم. لا تمنح الدراسة المهاجم قدرة على فرض التثبيت، أو التحكم في مستودع المستخدم، أو حقن تعليمات في المحادثة، أو تجاوز صندوق عزل؛ فالحمولة لا تعمل إلا بعد قبول التحديث ووقوع الحدث المشغّل.
عند تحقق الشرطين، تنتقل الثقة الممنوحة لاسم الإضافة إلى تكوين تنفيذي لم يخضع بالضرورة لموافقة تفصيلية جديدة. ويظل الأثر محكوماً بصلاحيات العملية المضيفة: ما يستطيع الخطاف قراءته أو تغييره أو إرساله يعتمد على الملفات والشبكة وبيانات الاعتماد المتاحة للبيئة وقت التشغيل.
اختراق السبع لا يعني عيباً متطابقاً
تعني صياغة «اخترقت كل الأدوات السبع» أن كل بيئة أنتجت مرة واحدة على الأقل أثراً ضاراً كاملاً تحقق منه الاختبار الخارجي. ولا تعني أن كل محاولة نجحت، أو أن البيئات تحمل الثغرة البرمجية نفسها، أو أن أي تثبيت حقيقي يمكن الاستيلاء عليه عن بُعد بلا شروط.
تختلف البيئات في أسماء الأحداث، ومخططات ملفات الإعداد، وآليات التحديث، ومشغلات الأوامر، وحدود الصلاحيات. تعامل HookPry مع هذا التباين من خلال واجهة مشتركة دنيا تحوّل الهدف الهجومي إلى خطاف محلي ملائم لكل بيئة، مع فصل زمني بين الإصدار السليم والتحديث الذي يحمل الربط التنفيذي.
اختبرت التجربة 40 حالة اصطناعية موزعة على عشرة أهداف، منها جمع بيانات الاعتماد، وتسريب البيانات، والتلاعب بالمصدر أو بمخرجات الأدوات، والاستمرارية، واختطاف الموارد، ورفع الصلاحيات. النجاح احتُسب فقط عندما تحقق الأثر الخارجي المسجل مسبقاً؛ أما تشغيل عملية أو تحميل تكوين من دون اكتمال الأثر فلم يكن كافياً، كما عُدّت النتائج الجزئية إخفاقاً في معدل النجاح الكامل.
الخطاف يتجاوز قرار النموذج لا ضوابط المضيف كلها
تمر الأفعال المعتادة في الوكيل بمسار يبدأ بمدخل المستخدم، ثم تفسير النموذج، ثم اختيار أداة، ثم تنفيذ البيئة لذلك الاختيار. أما الخطاف فتطابقه البيئة مع حدث مسجل وتطلق أمره مباشرة؛ قد يسهم النموذج في وقوع بعض الأحداث، لكنه لا يصدر قراراً جديداً بشأن الأمر المرتبط بها.
لهذا لا تستطيع مرشحات حقن التعليمات أو رفض النموذج وحدها إيقاف الأمر بعد تسجيل الخطاف. لكن ذلك لا يعني أن الحمولة تتجاوز كل دفاع: تقييد الشبكة والملفات، والعزل، والصلاحيات الدنيا، والتحليل السلوكي يمكن أن يمنع الأثر النهائي أو يحده، وهي عوامل تفسر اختلاف النتائج بين الحالات والبيئات.
في اختبار دفاعي منفصل داخل الدراسة، لم يكتشف إعداد Microsoft Defender المستخدم أياً من 40 ملفاً ضاراً اصطناعياً، بينما فات اتحاد ثلاثة دفاعات ثابتة 19 ملفاً من أصل 40، أي 47.5%. تظل النتيجة محدودة بهذه العينات والإعدادات؛ فلم تشمل التجربة جميع منتجات حماية سلسلة التوريد أو أدوات التحليل الديناميكي، ولذلك لا تبرهن أن حماية النقاط الطرفية عديمة الجدوى.
سلسلة الثقة القابلة للتدقيق تبدأ قبل التفعيل
تحول النتيجة موضع الرقابة من محادثة النموذج وحدها إلى سلسلة تضم ناشر الإضافة وإصدارها، والتغيير في تكوين الخطافات، والحدث الذي فعّل الأمر، وهوية العملية وصلاحياتها. وتخلص مراجعة AI Polix المستقلة إلى أن التحديث الذي يوسع سلطة التنفيذ ينبغي أن يعامل كتغيير صلاحيات، مع التنبيه إلى أن معدلات الدراسة لم تُعَد بصورة مستقلة.
- المصدر والإصدار: ربط الحزمة بالناشر وقناة التوزيع، والتحقق من الإصدار أو توقيعه بدلاً من الاعتماد على الاسم المستقر وحده.
- فرق التكوين: إظهار الأحداث والأوامر والمسارات ووجهات الشبكة والوصول إلى البيئة التي أضيفت أو تغيرت، وإعادة طلب التفويض إذا اتسعت السلطة التنفيذية.
- لحظة التفعيل: تسجيل إصدار الإضافة وبصمة التكوين والحدث الفعلي والمعالج الذي أطلقته البيئة.
- صلاحيات المضيف: تشغيل الخطافات ضمن أضيق نطاق ممكن للملفات والشبكة وبيانات الاعتماد، مع مراقبة الأثر وقت التنفيذ.
تبقى HookPry ورقة أولية منقحة في 8 سبتمبر وتجاربها منفذة في بيئات مؤقتة بملفات اصطناعية، وليست تقريراً عن ضحايا أو استغلال ميداني واسع. وما يزال تقييم الخطر العملي يحتاج إلى إعادة مستقلة للنتائج، وقياس معدلات تبني التحديثات في قنوات توزيع حقيقية، وبيانات من موردي الأدوات عن إعادة التفويض وتقييد الخطافات عبر أنظمة تشغيل وسياسات مؤسسية أوسع.
اقرأ أيضًا:
اشترك في نشرتنا الإخبارية
احصل على أحدث أخبار الويب 3 والذكاء الاصطناعي والعملات المشفرة مباشرة في بريدك.