اخترق وكيل ذكاء اصطناعي أداة Lilli التابعة لماكينزي في ساعتين. كانت المطالبات قابلة للكتابة.

في 28 فبراير 2026، اكتشف وكيل أمني هجومي مستقل تشغّله شركة الأمن الناشئة CodeWall ثغرة حقن SQL لا تتطلب مصادقة في واجهة API العامة لمنصة Lilli، المنصة الداخلية للذكاء الاصطناعي لدى McKinsey & Company، وخلال نحو ساعتين كان يمتلك صلاحية القراءة والكتابة على قاعدة بيانات الإنتاج الخاصة بها. نشرت CodeWall سلسلة الهجوم في 9 مارس 2026. ويذكر تقريرها أن قاعدة البيانات تلك كانت تضم 46.5 مليون رسالة دردشة بنص صريح، و57,000 حساب مستخدم، و728,000 اسم ملف، ومطالبات النظام التي تحكم كيفية إجابة Lilli — مخزّنة كصفوف عادية، وبالتالي قابلة للكتابة عبر الحقن نفسه. أكدت McKinsey وجود الثغرة وقالت إنها أصلحتها خلال ساعات؛ وتقول إن تحقيقًا جنائيًا أجراه طرف ثالث لم يجد أي دليل على الوصول إلى بيانات العملاء أو معلومات العملاء السرية. يقيّم الأرشيف السجل بدرجة حرجة، مع ثقة A، وتسجيل ضرر فعلي، وصفة علامة فارقة. يوجد السجل الكامل، مع درجتي الخطورة والثقة والمدخلات المجاورة له بشأن الاختراقات التي يقودها الوكلاء، في Orca AI Incident Archive.

الجزء الذي انتشر إلى أبعد مدى من القصة ليس هو حقن SQL. فحقن SQL فئة أخطاء قديمة بما يكفي لتمتلك صفحة ويكيبيديا أطول من معظم نشرات الموردين الأمنية، وماكينزي ليست هدفًا صغيرًا. ما انتشر هو النصف الثاني من اكتشاف CodeWall: أن التعليمات التي تتحكم في المساعد — أي المطالبات التي تحدد ما سيجيب عنه، وما سيرفضه، وأي المصادر سيستشهد بها — كانت تقيم في القاعدة نفسها التي يستطيع الوكيل الكتابة إليها، وكان يمكن من حيث المبدأ تغييرها ببيان واحد عبر استدعاء HTTP واحد.

كيف تمكّن الوكيل من الدخول

يصف تقرير CodeWall تسلسلًا لا يحتوي على أي عنصر غريب. رسم الوكيل أولًا سطح الهجوم ووجد أن وثائق واجهة برمجة تطبيقات Lilli مكشوفة للعموم: أكثر من 200 نقطة نهاية، موثّقة بالكامل. كانت معظمها تتطلب مصادقة. أما اثنتان وعشرون فلم تتطلب ذلك.

قَبِل أحد هؤلاء الاثنين والعشرين استعلامات بحث المستخدمين وكتبها إلى قاعدة البيانات. ووفقًا لـ CodeWall، فإن الاستعلام عن القيم التي تمت معاملتها بأمان كمعاملات — نجح الدفاع المعتاد — لكن مفاتيح JSON، أي أسماء الحقول في جسم الطلب، جرى دمجها مباشرةً في سلسلة SQL. وعندما أرسل الوكيل مفاتيح مشوّهة ورأى أنها تنعكس حرفيًا في رسائل أخطاء قاعدة البيانات، أدرك وجود حقن لا تكتشفه الماسحات القياسية. وتذكر CodeWall أن OWASP ZAP، وهو ماسح مفتوح المصدر شائع، لم يُبلِّغ عن المشكلة.

من هناك، أجرى الوكيل ما يسمّيه CodeWall خمسة عشر تكرارًا أعمى، وكانت كل رسالة خطأ تكشف القليل الإضافي عن بنية الاستعلام الأساسي، إلى أن بدأت بيانات الإنتاج الحية في العودة. ويقتبس المنشور سجل الاستدلال الخاص بالوكيل نفسه: «واو!» عند ظهور أول معرّف موظف حقيقي، ثم «هذا مدمّر» مع اتضاح النطاق. ويقول CodeWall إن الوكيل بعد ذلك ربط حقن الاستعلامات بثغرة IDOR لقراءة سجلات البحث الخاصة بالموظفين الأفراد — وهي فئة الخلل التي يسميها Promptfoo، في تحليل بتاريخ 10 مارس 2026، BOLA، أي التفويض المعطّل على مستوى الكائن.

اختيار الهدف هو تفصيل بحد ذاته. تقول CodeWall إن الوكيل اقترح McKinsey بنفسه، مستشهدًا بسياسة الشركة العامة للإفصاح المسؤول والتحديثات الأخيرة على Lilli، وإن التشغيل لم يتضمن أي بيانات اعتماد أو معرفة داخلية أو أي تدخل بشري في الحلقة. قال Paul Price، مؤسس CodeWall والرئيس التنفيذي لها، لـ The Register في تقريره بتاريخ 9 مارس 2026 إن العملية كانت مستقلة تمامًا من البحث عن الهدف وحتى إعداد التقرير، رغم أنه رفض تقديم الموجّهات الدقيقة المستخدمة.

ما يقول CodeWall إنه كان في قاعدة البيانات

كل رقم أدناه جاء من منشور CodeWall نفسه ولم يتم تأكيده بشكل مستقل. لم تنشر CodeWall حمولات استغلال، وهو ما تشير Promptfoo إلى أنه يعني أن أعداد الصفوف لا يمكن أن يتحقق منها طرف ثالث؛ أما McKinsey فهي بدورها لا تؤكدها.

• 46.5 مليون رسالة دردشة، مخزّنة بنص غير مشفّر، من قوة عاملة تستخدم Lilli لمناقشة الاستراتيجية، ومشاركات العملاء، والبيانات المالية، وأنشطة الاندماج والاستحواذ، والأبحاث الداخلية.

• 728,000 اسم ملف، بما في ذلك 192,000 ملف PDF، و93,000 جدول بيانات Excel، و93,000 عرض PowerPoint تقديمي، و58,000 مستند Word. مجموع هذه الأنواع الأربعة المذكورة يبلغ 436,000، لذا فإن الإجمالي الرئيسي يحتسب فئات ملفات لا تفصّلها CodeWall. ذكرت Silicon UK في 13 مارس 2026 أن المستندات نفسها كانت مخزّنة بشكل منفصل عن السجلات التي وصلت إليها CodeWall.

• 57,000 حساب مستخدم، و384,000 مساعد ذكاء اصطناعي و94,000 مساحة عمل — وهي ما يصفها CodeWall بأنها خريطة لكيفية تنظيم الشركة لاستخدامها للذكاء الاصطناعي داخليًا.

• 95 من المطالبات النظامية وتكوينات النماذج عبر 12 نوعًا من النماذج، بالإضافة إلى 3.68 مليون مقطع من مستندات RAG تحمل مسارات تخزين S3 وبيانات وصفية داخلية للملفات.

• 1.1 مليون ملف و217,000 رسالة وكيل تمر عبر واجهات برمجة تطبيقات الذكاء الاصطناعي الخارجية، بما في ذلك أكثر من 266,000 مخزن متجهات من OpenAI.

وثّقت CodeWall 27 نتيجة إجمالًا في اليوم الذي أكّدت فيه السلسلة. وللسياق حول الهدف، يصف المنشور Lilli بأنها أُطلقت في 2023، وسُمّيت على اسم أول امرأة محترفة عيّنتها الشركة في 1945، ويستخدمها أكثر من 43,000 موظف، وتعالج أكثر من 500,000 مطالبة شهريًا عبر قاعدة معرفة تضم أكثر من 100,000 وثيقة داخلية. أمّا رقم McKinsey الخاص، الذي صرّحت به لـ The Register، فهو أنّ 72% من موظفيها — أكثر من 40,000 شخص — يستخدمونها، وأنها أُطلقت في يوليو 2023.

كانت طبقة البرومبت قابلة للكتابة. لكن لم يُكتب فيها.

هذا هو التمييز الذي يضغطه صف الأرشيف في عبارة واحدة، ويستحق أن يُفصل على حدة. ما توصل إليه CodeWall هو أن مطالبات النظام (system prompts) لدى Lilli كانت موجودة في القاعدة نفسها التي تضم كل شيء آخر، لذا كان بإمكان مهاجم يملك صلاحية الكتابة أن يعيد كتابتها — «بصمت»، وفق صياغة المنشور، «دون حاجة إلى نشر، ولا تغيير في الشيفرة، مجرد عبارة UPDATE واحدة ملفوفة في استدعاء HTTP واحد». ويسرد CodeWall أربع نتائج يقول إنها ستترتب على ذلك: نصائح مسمومة للاستشاريين الذين يثقون بالأداة الداخلية، وتسريب مواد سرية عبر الإجابات المولّدة، وإزالة تعليمات الضوابط الأمنية، واستمرارية لا تترك أي تغيير في الملفات أو شذوذ في العمليات يمكن اكتشافه.

ما لا تدّعيه CodeWall هو أنها قامت بأي من ذلك. يذكر المنشور أن «جميع الاختبارات كانت للتحقق فقط»، وأن الوصول كان محدودًا بالحد الأدنى اللازم لتأكيد كل ثغرة، وأنه «لم يحدث أي تعطيل لأي خدمة إنتاجية». وقد رفض Price تسليم The Register الموجّهات الدقيقة. لذا فإن قابلية الكتابة في طبقة الموجّهات هي ادعاء قدرة مدعوم بالحقن، وليس تغييرًا مُثبَتًا لسلوك Lilli — ولم يُنشر أي دليل على أن أي إجابة قدّمتها Lilli لأي مستشار قد خضعت للتلاعب.

يعكس سجل الأرشيف ذلك الحدّ: فهو يسجّل وصول الكتابة إلى طبقة موجّهات الذكاء الاصطناعي، وهو ما أثبته CodeWall، لا تعديلها، وهو ما لم يُظهره أحد.

ما تقوله McKinsey

رواية McKinsey أضيق نطاقًا. في بيان نقلته Silicon UK، قالت الشركة إنها "أُبلغت مؤخرًا بثغرة تتعلق بأداة الذكاء الاصطناعي الداخلية لدينا، Lilli، من قبل باحث أمني"، وإنها "أكدت الثغرة على الفور وأصلحت المشكلة خلال ساعات"، وإنه "لم يتم الوصول إلى أي بيانات عملاء أو معلومات سرية للعملاء". وأضافت لـ The Register أن تحقيقها، المدعوم من "شركة خبرة جنائية رائدة تابعة لطرف ثالث"، لم يجد أي دليل على أن بيانات العملاء أو المعلومات السرية للعملاء جرى الوصول إليها من قبل الباحث "أو أي طرف ثالث غير مصرح له"، وإن "أنظمة الأمن السيبراني لدى McKinsey متينة".

تختلف McKinsey وCodeWall أيضًا، بشكل طفيف، حول التوقيت. يسجّل الجدول الزمني الخاص بـ CodeWall أن بريد الإفصاح الخاص به أُرسل إلى فريق الأمن لدى McKinsey في 1 مارس 2026، وأن CISO أقرّ بالاستلام وطلب أدلة مفصلة في 2 مارس، وأن التصحيحات — إغلاق جميع نقاط النهاية غير الموثّقة، وإخراج بيئة التطوير من الخدمة، وحجب وثائق واجهة برمجة التطبيقات العامة — نُفِّذت في اليوم نفسه، 2 مارس. وتتوافق عبارة McKinsey «خلال ساعات» مع إصلاح جرى في اليوم نفسه إذا بدأ العدّ من بريد 1 مارس، لكن التسلسل المؤرّخ الخاص بـ CodeWall يضع المعالجة بعد يوم من الإفصاح لا بعد ساعات. ويتفق الطرفان على الجوهر: أُغلقت نقاط النهاية وسُحبت الوثائق العامة. ويقول CodeWall إنه تحقّق من المعالجة قبل النشر. وقد أوردت Financial Times هذه الواقعة في 12 مارس 2026 تحت عنوان «McKinsey تسرع لإصلاح نظام ذكاء اصطناعي بعد أن يكشف هاكر عيوبًا»؛ أما نص المقال فيقع خلف جدار دفع تعذّر على هذا المقال قراءته.

ما هو ثابت، وما هو غير ثابت

• ثبت من كلا الجانبين: كان هناك ضعف غير مصادَق عليه في سطح واجهة API العامة لـ Lilli، اكتشفه باحث خارجي، وأكدته McKinsey، وعالجت نقاط النهاية غير المصادَق عليها، وأخرجت بيئة التطوير من الخدمة، وحجبت وثائق API العامة في أوائل مارس 2026.

• أثبته طرف واحد فقط:كل كمية في هذا المقال — 46.5 مليون رسالة، و728,000 اسم ملف، و57,000 حساب، و95 مطالبة قابلة للكتابة، والوقت المنقضي البالغ ساعتين، والنتائج الـ27. وتستند هذه إلى تقرير CodeWall. لم تُنشر الحمولات، لذا لا يمكن إعادة إنتاج الأعداد، ولا تُقرّها McKinsey.

• لم يثبت: أن أي طلب توجيهي قد عُدّل فعليًا، أو أن أي بيانات عميل غادرت النظام، أو أن أي مستشار تلقّى إجابة متلاعبًا بها. وتقول مراجعة McKinsey الجنائية إنها لم تجد دليلًا على أي وصول؛ وتقول CodeWall إن اختبارها كان للتحقق فقط. وهاتان العبارتان لا تتعارضان، ولا يثبت أي منهما ما كان سيفعله مهاجم أقل تحفظًا بالوصول نفسه.

• غير موجود في التغطية المستعرضة هنا: معرّف CVE، أو إشعار من جهة تنظيمية، أو تدقيق تقني مستقل للثغرة. والسجل عبارة عن إفصاح بحثي من المورّد إلى جانب بيان صادر عن الشركة، وليس مستندًا قضائيًا ولا نتيجةً رقابية.

ينبغي الإفصاح عن مصلحة واحدة بوضوح. نشرت CodeWall البحث بوصفه تسويقًا لمنتج: ينتهي المنشور بوصف الشركة بأنها في مرحلة معاينة مبكرة وتبحث عن شركاء تصميم، وأفادت Silicon UK بأن Price هو موظفها الوحيد. هذا لا يجعل النتيجة خاطئة — فـ The Register وSilicon UK وPromptfoo جميعها تعتبر السلسلة التقنية موثوقة — لكنه السبب في أنه ينبغي قراءة أرقام التأثير كادعاء مورّد بدلًا من قياس.

لماذا يندرج ضمن فئة الذكاء الاصطناعي على الإطلاق

لم تكن نقطة الدخول هي النموذج. وقد طرح مايكل د’أنجيلو من Promptfoo هذه النقطة في 10 مارس 2026 بأكثر صياغة حِدّة لها: «الجزء الخاص بالذكاء الاصطناعي لم يكن نقطة الدخول، بل كان مدى الأثر». كان الحقن وثغرة المصادقة والوصول العابر بين المستخدمين إخفاقات عادية في أمن التطبيقات؛ وما جعل الحادثة حادثة ذكاء اصطناعي هو أن المطالبات وإعدادات التوجيه والاسترجاع وسجل المستخدم كانت كلها في نظام خلفي واحد، بحيث تحوّل الوصول إلى قاعدة البيانات إلى تحكّم سلوكي في مساعد يستشيره عشرات الآلاف من الأشخاص في أعمال العملاء.

ولهذا السبب يصنّف الأرشيف هذا السجل ضمن WEAPON وINFRA بدلًا من تصنيفه كثغرة أمنية في النموذج. فالوكيل هو الأداة — نظام مستقل اختار هدفه بنفسه، وسبره وصعّد من دون أن يقرر إنسان أين يوجّهه — والفشل فشلٌ في البنية التحتية: حدّ تخويل جرى افتراضه لا فرضه. وحجة CodeWall الختامية، بأن الموجّهات هي «أصول الجواهر التاجية الجديدة» التي نادرًا ما تخضع لضوابط وصول أو سجل إصدارات أو مراقبة سلامة، هي مناصرة من شركة تبيع اختبارًا آليًا مستمرًا. وهي أيضًا الادعاء الوحيد في المقال الذي لا يعتمد على أي من الأرقام المتنازع عليها.