ClawJacked: أي موقع ويب يمكنه شن هجوم بالقوة الغاشمة على وكيل OpenClaw محلي

أتاحت ClawJacked، وهي ثغرة أعلنت عنها Oasis Security في وكيل الذكاء الاصطناعي مفتوح المصدر OpenClaw في 26 فبراير 2026، لأي موقع ويب يزوره مطوّر أن يفتح اتصالاً بالوكيل العامل على جهازه الشخصي ويخمّن كلمة مروره إلى أن يسلّم السيطرة. لم تكن هناك حاجة إلى نقرة أو إضافة أو مطالبة. كانت الغنيمة هي البوابة التي تنسّق الوكيل: فالمتسلل الذي ينجح في الدخول كان يستطيع التحدث إلى الوكيل مباشرة، واستخراج إعداداته، وسرد كل جهاز مقترن، وقراءة سجلاته. أظهرت Oasis، وهي مورّد لبرمجيات إدارة الوصول الوكيلي، السلسلة من البداية إلى النهاية في مختبرها الخاص وأبلغت عنها بشكل خاص، وأصدرت OpenClaw إصلاحًا في أقل من 24 ساعة. ولا يسجل أي مصدر مذكور في هذا المقال استخدام الهجوم ضد مستخدم حقيقي. يصنّف الأرشيف الحادثة على أنها حادثة بنية تحتية عالية الخطورة بتاريخ محدد بدقة اليوم هو 25 فبراير 2026 ودون ضرر واقعي مسجل، إلى جانب بقية مدخلاته الخاصة بـ OpenClaw في Orca AI Incident Archive.

ثلاثة إعدادات افتراضية، سلسلة واحدة

OpenClaw هو وكيل شخصي مُستضاف ذاتيًا يقوده مستخدموه من لوحة تحكم ويب أو من طرفية، ويتصل بتطبيقات المراسلة والتقويمات وأدوات المطورين ويعمل داخلها. في مركزه بوابة، وهي خادم WebSocket محلي يصفه Oasis بأنه "عقل العملية": فهي تتولى المصادقة، وتخزّن الإعدادات، وتدير جلسات الدردشة، وترسل الأوامر إلى عُقد مثل تطبيق مرافق لنظام macOS أو جهاز iPhone. تتم المصادقة عبر رمز مميز أو عبر كلمة مرور، وترتبط البوابة بـ localhost افتراضيًا، على افتراض صريح بأن الوصول المحلي موثوق بطبيعته (Oasis Security، 26 فبراير 2026).

ثلاث عواقب لذلك الافتراض مترابطة معًا. أولًا، لا تطبّق المتصفحات قواعد المصادر المتقاطعة على اتصالات WebSocket بالطريقة نفسها التي تطبّقها على طلبات HTTP العادية، لذا يمكن لـ JavaScript في أي صفحة يزورها المستخدم فتح اتصال مقبس بمنفذ البوابة المحلية دون ظهور أي شيء على الشاشة. ثانيًا، كان محدّد معدل البوابة يعفي اتصالات loopback تمامًا، لذلك لم تُحتسب محاولات كلمة المرور الفاشلة القادمة من 127.0.0.1 ولم تُقيّد ولم تُسجّل. ثالثًا، كانت البوابة توافق تلقائيًا على اقترانات الأجهزة القادمة من localhost، لذا كان بإمكان نص برمجي مُصادَق عليه تسجيل نفسه كجهاز موثوق دون مطالبة التأكيد التي كان جهاز بعيد سيطلقها.

قاست Oasis معدل التخمين في مختبرها الخاص وأبلغت عنه في الإفصاح: "في اختباراتنا المعملية، حققنا معدلًا مستمرًا يبلغ مئات من تخمينات كلمات المرور في الثانية من JavaScript المتصفح وحدها. وبهذه السرعة، تُستنفد قائمة بكلمات المرور الشائعة في أقل من ثانية، بينما لا يستغرق قاموس كبير سوى دقائق. ولا تملك كلمة مرور يختارها الإنسان أي فرصة." ويصف BleepingComputer، الذي غطى الإفصاح في 1 مارس 2026، الخطوات الثلاث نفسها والترتيب نفسه.

ما الذي يحصل عليه المهاجم، وما الذي أظهرته Oasis فعليًا

بعد المصادقة، أبقى السكربت جلسة مشغّل مفتوحة بصلاحيات بمستوى المسؤول. تسرد Oasis أربعة أشياء يمكنه القيام بها مباشرة بعد ذلك: إرسال رسائل إلى وكيل الذكاء الاصطناعي وقراءة ردوده، وتفريغ إعدادات البوابة، وهو ما يكشف عن مزوّدي الذكاء الاصطناعي والنماذج وقنوات المراسلة المستخدمة، وتعداد كل عقدة متصلة مع نظامها الأساسي وعنوان IP الخاص بها، وقراءة سجلات التطبيق. من هناك، تصف Oasis — بدلاً من أن تُظهر — التصعيد: توجيه الوكيل إلى البحث في سجل Slack الخاص بالمطوّر عن مفاتيح API، وقراءة الرسائل الخاصة، وتسريب الملفات من الأجهزة المقترنة، أو تشغيل أوامر shell عشوائية على أي عقدة مقترنة. وخلاصة الشركة للنتيجة هي أنه، بالنسبة إلى مطوّر لديه تكاملات OpenClaw نموذجية، يرقى هذا إلى «اختراق كامل لمحطة العمل، يبدأ من علامة تبويب في المتصفح».

العرض التوضيحي الذي نشرته Oasis، مع فيديو إثبات مفهوم، أضيق نطاقًا من ذلك الوصف: فقد خمّن متصفح على موقع غير ذي صلة كلمة مرور البوابة، واتصل بأذونات كاملة وتفاعل بنجاح مع وكيل المستخدم، دون إظهار أي مؤشر للمستخدم. ويوصَف تسريب الملفات وتنفيذ أوامر shell بأنهما ما يتيحه الوصول، لا بأنهما خطوتان نفّذهما إثبات المفهوم. وهذا التمييز مهم عندما يُقرأ السجل بوصفه حادثة وقعت فعلاً لا حادثة مُستعرَضة.

وصلت الترقعة في 2026.2.25، وليس في 2026.2.26

أوصت Oasis قرّاءها بالتحديث إلى الإصدار 2026.2.25 أو أحدث، ويتفق مع ذلك التنبيه الأمني الخاص بـ OpenClaw. يُدرج التنبيه الأمني على GitHub، GHSA-jmmg-jqc7-5qf4، الإصدارات المتأثرة على أنها 2026.2.24 وما دونها، والإصدارات المصحّحة على أنها 2026.2.25 وما فوقها، وينسب التقرير إلى @luz-oasis، قائد الأبحاث في Oasis، Elad Luz. الطابع الزمني في سجل npm للإصدار 2026.2.25 هو 04:16 UTC في 26 فبراير 2026، وتصف ملاحظات إصدار المشروع لذلك الإصدار الإصلاح بعبارات تتقابل واحدًا لواحد مع الإعدادات الافتراضية الثلاثة: "الأمان/مصادقة WebSocket للبوابة: فرض فحوصات الأصل لعملاء WebSocket المباشرين من المتصفح بما يتجاوز Control UI/Webchat، وتطبيق خنق فشل مصادقة كلمة المرور على محاولات loopback ذات الأصل من المتصفح (بما في ذلك localhost)، وحظر الاقتران التلقائي الصامت لعملاء المتصفح من غير Control UI."

اثنان من التقارير الإخبارية يذكران رقمًا مختلفًا. يقول BleepingComputer إن الإصلاح «صدر في الإصدار 2026.2.26 في 26 فبراير»، ويكرر SecurityAffairs أن 2026.2.26 هو الإصدار الذي عالج المشكلة، بينما تنصح فقرة النصيحة الخاصة به القراء بالتحديث إلى 2026.2.25 أو أحدث. وتذكر Infosecurity Magazine، التي غطت الإفصاح في 2 مارس 2026، الإصدار 2026.2.25. الإصدار 2026.2.26 موجود بالفعل، لكن npm يسجله عند الساعة 23:59 UTC يوم 26 فبراير، أي بعد نحو عشرين ساعة من 2026.2.25، وملاحظاته دفعة منفصلة من التحصين. الإصلاح الذي ينبغي للقارئ البحث عنه هو الموجود في 2026.2.25.

ظهر المعرّف لاحقًا. نُشرت النشرة الاستشارية من GitHub في 3 مارس 2026 تحت CVE-2026-32025، ونُشر سجل NVD الخاص بها في 19 مارس 2026 بدرجة أساسية CVSS 3.1 مقدارها 7.5، وقيّمها NVD بدرجة عالية بصفته المقيّم الأساسي وVulnCheck بصفته مقيّمًا ثانويًا. النشرة نفسها أكثر تحفظًا من الدرجة: يقرأ حقل الخطورة الخاص بها "متوسطة"، ويصف نصها الخلل بأنه "خطير، لكن مشروط"، مع تفصيل أربعة شروط مسبقة — إمكانية الوصول إلى البوابة عبر loopback، واستخدام المصادقة بكلمة المرور، وفتح الضحية لمحتوى ويب يتحكم فيه المهاجم، وإمكانية تخمين كلمة المرور ضمن محاولات ممكنة. وتوضح أيضًا بوضوح ما ليس عليه الخلل: "هذه ليست بحد ذاتها مسألة من فئة RCE غير المصادق عليها والمعرّضة للإنترنت؛ بل هي فجوة محلية في تقوية المصادقة من أصل المتصفح ذات تأثير ملموس في ظل الشروط أعلاه."

من أين يأتي 42,665، ولماذا هو ليس رقم ClawJacked

يسجّل ملخص الأرشيف أن 42,665 حالة كانت مكشوفة عند الإفصاح، ويشير إلى أن SecurityScorecard يقدّم رقمًا مختلفًا هو 40,214، منها 35.4% كانت عرضة للثغرة. لا يحتوي أي من المصادر الثلاثة المذكورة لهذا السجل على أي من الرقمين — فكل من Oasis وBleepingComputer وSecurityAffairs تصف الثغرة دون إرفاق عدد قاعدة التثبيت. كلا الرقمين يأتي من مكان آخر، وكلاهما نُشر قبل وجود ClawJacked.

الرقم 42,665 مستمد من فحص مستقل. بنى ماور دايان، وهو باحث أمني نشر نتائجه على Medium، ماسحًا ضوئيًا يُسمى ClawdHunter v3.0 وشغّله على بيانات Shodan وCensys جُمعت بين 28 و31 يناير 2026، وأفاد بوجود «42,665 حالة على الأقل» من OpenClaw مكشوفة علنًا على الإنترنت، منها 5,194 حالة تم التحقق منها فعليًا باعتبارها عرضة للخطر، وأظهرت 93.4% من تلك التي تم التحقق منها تجاوزًا للمصادقة. أما الرقم 40,214 فيعود إلى فريق STRIKE التابع لـ SecurityScorecard، في بحث نُشر في 9 فبراير 2026، حيث أحصى حالات OpenClaw المكشوفة على الإنترنت وحدد 15.2K منها باعتبارها عرضة لتنفيذ التعليمات البرمجية عن بُعد، مع الإشارة إلى أن «35.4% من عمليات النشر المرصودة صُنفت على أنها عرضة للخطر». وتذكر النقاط الموجزة الخاصة بـ SecurityScorecard نفسها 42.9K عنوان IP فريدًا يستضيف لوحات تحكم مكشوفة، إلى جانب 40,214 حالة مؤكدة في متن التقرير — أي قياسين مختلفين داخل تقرير واحد.

لا يقيس أيٌّ من الرقمين مدى وصول ClawJacked، لأن كليهما يحصي النسخ التي تستجيب عبر واجهة عامة. أما الشرط المسبق في ClawJacked فهو التكوين المعاكس: بوابة مرتبطة بواجهة loopback، في وضع كلمة المرور، على جهاز يتصفح مستخدمه صفحة خبيثة. وقد يكون الخادم المحصي في مسح على نطاق الإنترنت خلف مصادقته الخاصة وغير متأثر بهذه العلة، بينما الحاسوب المحمول الذي لا يظهر أبدًا في مسح كهذا هو بالضبط الهدف الذي وصفه Oasis. لذا فإن صياغة الأرشيف نفسها، "عند الكشف"، تربط إحصاء يناير بعدد سكاني بثغرة فبراير. الأرقام قياسات حقيقية لمدى تعرض OpenClaw؛ لكنها ليست حصرًا للأجهزة التي كان في وسع ClawJacked الاستيلاء عليها. لا يحكم هذا المقال في نزاع — فالسجل غير موسوم بأنه محل نزاع — لكن مصدر الرقمين قابل للتحقق ولا يدعم صياغة "عند الكشف".

ما هو ثابت، وما هو غير ثابت

مؤكد: أن Oasis Security اكتشفت سلسلة الاستغلال وأثبتتها في مختبر؛ وأن النشرة الاستشارية وملاحظات الإصدار الخاصة بـ OpenClaw تؤكد السلوكيات الثلاثة — غياب فرض التحقق من الأصل لعملاء WebSocket في المتصفح، وغياب تقييد معدل محاولات كلمة المرور عبر loopback، والاقتران التلقائي الصامت — وأن 2026.2.25 غيّر كلًا منها؛ وأن الإصلاح شُحن خلال يوم من التقرير؛ وأن ثلاثة منافذ إعلامية خارج مدونة مكتشف الثغرة غطّت ذلك. وتتوافق درجة الثقة A في الأرشيف مع ذلك السجل، ولا شيء هنا محل نزاع من الأطراف المعنية.

غير مُثبت: أن أي شخص قد استخدمه. لا يشير أي مصدر مذكور هنا، ولم يُعثر في التغطية المحيطة بالكشف على أي مصدر، إلى اختراق واقعي أو ضحية أو بيانات مأخوذة. ما قدمته Oasis هو عرض مختبري، ويصف التقرير قدرة المهاجم لا هجومًا مرصودًا. وهذا يتسق مع تسجيل الأرشيف لعدم وقوع ضرر حقيقي، وهو أهم تحفظ منفرد على القصة: هذا سجل ثغرة، وليس تقرير اختراق.

هناك تسميتان متداولتان خاطئتان، ويسهل توارث كلتيهما. تُلحق عدة كتابات ثانوية CVE-2026-25253 بـ ClawJacked. ويصف سجل NVD لهذا المعرّف خطأً مختلفاً في المنتج نفسه: OpenClaw قبل 2026.1.29 يأخذ gatewayUrl من سلسلة استعلام ويتصل به دون مطالبة أثناء إرسال رمز، وهو سرقة رمز بنقرة واحدة بدرجة CVSS قدرها 8.8، نُشر في 1 فبراير 2026 وأُصلح في 29 يناير. تلك هي ثغرة يناير، بآلية مختلفة وتصحيح مختلف. معرّف ClawJacked هو CVE-2026-32025. وفي المقابل، وصفت Infosecurity Magazine ثغرة ClawJacked بأنها حقن مطالبات غير مباشر؛ غير أن السلسلة التي وثّقها Oasis لا تتضمن أي مطالبة ولا أي قرار من النموذج على الإطلاق — إنها تجاوز لمصادقة ينتهي بجلسة مشغّل.

ماذا تغيّر بعد ذلك؟

قامت OpenClaw بترقيعها، ونشرت التنبيه الأمني ونسبت الفضل إلى المُبلِّغ، وجرى تعيين CVE خلال أسبوع من المقال العلني. وتتجاوز توصيات Oasis للمؤسسات الترقيع: جرد الوكلاء والمساعدين العاملين على أجهزة المطورين، وتحديث كل نسخة، وتدقيق بيانات الاعتماد والقدرات التي يمتلكها كل منها وإلغاء ما لا يُستخدم، وحوكمة الوكلاء بوصفهم هويات غير بشرية عبر فحوصات النوايا، وإنفاذ السياسات، والوصول في الوقت المناسب، ومسار تدقيق من الإنسان إلى الوكيل إلى الإجراء. وتبيع الشركة برمجيات في تلك الفئة الأخيرة، وهو أمر جدير بالمعرفة عند الموازنة بين التوصية الأخيرة والتوصيات الثلاث الأولى.

السياق الأوسع هو أن ClawJacked كان تنبيهًا أمنيًا واحدًا ضمن سيل منها. تضم قاعدة بيانات التنبيهات الأمنية في GitHub دفعة كبيرة من تنبيهات OpenClaw مؤرخة في 3 مارس 2026 — وهو اليوم نفسه الذي نُشر فيه تنبيه ClawJacked — وتغطي أخطاء منفصلة في المصادقة والاقتران وتجاوز المسار والهروب من الصندوق الرملي عبر الإصدارات 2026.2.19 إلى 2026.2.26. النمط الذي يحتفظ به سجل ClawJacked أضيق من عبارة "وكلاء الذكاء الاصطناعي غير آمنين" وأكثر فائدة: فقد تعاملت البوابة مع loopback كحدود ثقة، وجعل المتصفح هذا الافتراض خاطئًا. أي خدمة محلية تعفي 127.0.0.1 من تحديد المعدل، وأي تدفق لاقتران الأجهزة يوافق تلقائيًا على المتصلين المحليين، يرث الشكل نفسه سواء كان هناك نموذج ذكاء اصطناعي خلفه أم لا. في هذه الحالة، لم يكن النموذج قط المكوّن المعرّض للثغرات — بل كانت طبقة المصادقة المحيطة به.