GhostApproval: ستة مساعدين للبرمجة بالذكاء الاصطناعي طلبوا الإذن وسمّوا الملف الخطأ

في 8 يوليو 2026، نشرت شركة الأمن السيبراني Wiz اكتشافًا بحثيًا باسم GhostApproval، جعل فيه رابط رمزي مزروع في مستودع ستة مساعدات برمجية بالذكاء الاصطناعي تكتب خارج مساحة عملها — إلى ~/.ssh/authorized_keys، مما يمنح وصول SSH دائمًا دون كلمة مرور، أو إلى ~/.zshrc، الذي يُنفَّذ عند بدء الصدفة التالية — بينما لم يذكر مربع حوار التأكيد سوى الملف غير الضار الذي كان الرابط يتظاهر بأنه. اختبرت Wiz كلاً من Amazon Q Developer وClaude Code من Anthropic وAugment وCursor وGoogle Antigravity وWindsurf، وأبلغت عن النمط في جميعها الستة. لم يُبلَّغ عن أي استغلال في الواقع: فالعمل عرض إثبات مفهوم، ولا يسجل مدخل الأرشيف أي ضرر فعلي. أصدرت ثلاث شركات إصلاحات، وأقرت اثنتان بالتقرير ثم توقفتا عن الرد، وجادلت واحدة بأن السلوك ليس ثغرة أمنية على الإطلاق.أما Orca AI Incident Archive فيضم السجل الكامل لهذا الاكتشاف إلى جانب الإدخالات الأخرى المسجلة تحت وسم النوع SANDBOX الخاص به.

الآلية نفسها ليست جديدة. فتتبُّع الروابط الرمزية، المصنَّف تحت CWE-61، ظلّ آلية هجومية لعقود — إذ تسرد Wiz استخدامات سابقة له في حالات التسابق ومديري الحزم وهروب الحاويات — وكل واحدة من تلك الاستخدامات اعتمدت على أداة تكتب إلى مسار يتحكم به المستخدم دون أن تحلّه أولًا. ما جعل هذا الاكتشاف يستحق تسمية هو الطبقة الثانية: في عدة منتجات، حدّد منطق المساعد نفسه الوجهة الخطرة، بينما أخفاها النص التوجيهي المعروض على الإنسان. تسجّل Wiz ذلك تحت CWE-451، أي التمثيل المضلّل للمعلومات الحرجة في واجهة المستخدم. كان الحد الأمني موجودًا، أما المعلومات التي يحتاجها الشخص لممارسته فلم تكن موجودة.

كيف تعمل الخدعة، وما الذي تنتهي إليه

مستودع Wiz الخبيث ممل عمدًا. يحتوي على رابط رمزي باسم project_settings.json يشير إلى ملف مفاتيح SSH المصرح بها للمطور، إضافة إلى ملف README يوجّه الوكيل إلى تحديث ذلك "الإعداد" أثناء إعداد مساحة العمل. عندما يطلب المطور من المساعد اتباع README، يتّبع الوكيل الرابط ويكتب المفتاح العام للمهاجم. إذا كانت الآلة تشغّل خدمة SSH يستطيع المهاجم الوصول إليها، فسيكون ذلك تسجيل دخول دون كلمة مرور من ذلك الحين فصاعدًا. يوجّه نسخة ثانية الفخ نفسه نحو ~/.zshrc، لذا تُنفَّذ الحمولة عند فتح طرفية في المرة التالية ولن تكون هناك حاجة إلى وصول SSH على الإطلاق.

وصف Wiz للإخفاق التقني مقتضب: صندوق الحماية، حيثما وُجد، لا يتحقق من المسار القانوني، لذا فإن كتابة موجّهة إلى داخل المشروع تستقر حيثما يشير الرابط. أعادت الشركة إنتاج ذلك في إثبات مفهومها عبر «6 من أفضل مساعدي البرمجة بالذكاء الاصطناعي»، على حد تعبيرها، ونشرت لقطات شاشة لكل منها. وتشمل الفئة المتأثرة كل من يفتح مستودعًا لم يؤلفه باستخدام إحدى تلك الأدوات — وهو ما يشمل، ضمن سير عمل المطور المعتاد، المشاريع المتفرعة والتبعيات الخارجية وأي مراجعة شيفرة لفرع مساهم خارجي.

مربع الحوار الذي أشار إلى الملف الخطأ

جاء أوضح دليل من Claude Code. في اختبار Wiz، ذكر استدلال الوكيل، وفقًا لاقتباس الشركة، «أستطيع أن أرى أن project_settings.json هو في الواقع ملف إعداد zsh». سأل طلب الإذن الذي رآه المستخدم: «هل تريد إجراء هذا التعديل على project_settings.json؟» كان الوكيل يعرف إلى أين يتجه الكتابة؛ أما الشخص الذي يمنح الإذن فلم يكن يعرف. وتصف Wiz الموافقة الناتجة بأنها «فارغة جوهريًا» وفحص الإنسان في الحلقة بأنه مجرد ختم مطاطي.

جعلت ثلاثة منتجات الفجوة أسوأ من تسمية سيئة. فقد كتب Windsurf الملف إلى القرص قبل ظهور زرّي Accept وReject، لذا كان مربع الحوار عرضًا للتراجع لا بوابة تفويض — بحلول الوقت الذي كان يمكن للمستخدم أن يرفض فيه، كما تقول Wiz، كان المفتاح قد استقر في مكانه بالفعل. أظهر Amazon Q Developer الترتيب نفسه، فعرض زر Undo فقط بعد الكتابة. لم يسأل Augment أي شيء على الإطلاق: فقد أثبتت Wiz قراءة عبر رابط رمزي أظهرت ملف بيانات اعتماد AWS طُعمًا من خارج المشروع في سجل المحادثة، وكتابة عبر رابط رمزي إلى ~/.ssh/authorized_keys من دون أي مربع حوار من أي نوع. وعلى الطرف الآخر، عرض Cursor وGoogle Antigravity المسار غير المُحل، وطلبا نقرة فوّضت المسار المُحل.

أُجري أول اختبار لـ Wiz في 10 فبراير 2026، وصدرت التقارير بين 12 فبراير و5 مارس. ويسجّل الجدول الزمني للكشف الخاص به الإقرارات: Anthropic في 15 فبراير، وAugment في 24 فبراير، وGoogle في 26 فبراير، وCursor في 2 مارس، وAWS في 6 مارس، وCognition، التي تملك Windsurf، في 23 يونيو. وجاء الكشف العلني بعد نحو خمسة أشهر من التقرير الأول.

ستة موردين، ثلاث إجابات

يصنّف Wiz النتائج وفق مقياس الخطورة الخاص به، من «عالية» لدى AWS إلى «حرجة» لدى Augment وCursor وGoogle Antigravity وWindsurf. وقد تعاملت ثلاث شركات موردة مع التقرير باعتباره ثغرة أمنية وأصدرت إصلاحًا. ويمنح الأرشيف المدخل تصنيف خطورة عالٍ ودرجة A في الثقة، وتتفق التنبيهات الأمنية الأساسية مع Wiz بشأن الآلية.

• Amazon Web Services.خطورة عالية، متتبَّعة بمعرّف CVE-2026-12958 وأُصلحت في الإصدار 1.69.0 من Language Servers for AWS. تؤكد نشرة AWS الخاصة 2026-047-AWS، المنشورة في 23 يونيو 2026، وجود «مشكلة غياب التحقق من صحة الروابط الرمزية» قبل 1.69.0، وتسرد الحد الأدنى من إصدارات الإضافات التي تتضمن الإصلاح: Amazon Q Developer for Visual Studio Code 2.20، وAmazon Q Developer for JetBrains 4.3، وAmazon Q Developer for Eclipse 2.7.4، وAWS Toolkit with Amazon Q for Visual Studio 1.94.0.0. وتذكر أنه لا توجد حلول بديلة، وأن خادم اللغة يُحدَّث تلقائيًا ما لم يمنعه إعداد الشبكة، وتشكر Wiz على الإفصاح المنسق. ويمنح سجل CNA المشكلة درجة 8.5 وفق CVSS 4.0 و7.8 وفق CVSS 3.1.

• Cursor.حرجة، تُتبَّع باسم CVE-2026-50549 وأُصلحت في Cursor 3.0. نُشر السجل بواسطة GitHub بصفتها CNA في 25 يونيو 2026 بدرجة 9.3 وفق CVSS 4.0. يصف نصّه المهاجم بشكل مختلف قليلًا عن قصة مستودع Wiz: يُنشئ وكيل خبيث رابطًا رمزيًا داخل مساحة العمل ويُجبر تسوية المسار على الفشل، إما لأن الهدف غير موجود أو لأن إذن القراءة قد أُزيل من المسار، وبعد ذلك تعود الكتابة إلى المسار الأصلي دون موافقة ويمكن أن تستبدل مساعد العزل لتنفيذ غير معزول.

• Google. تُصنّف Wiz ثغرة Antigravity بأنها حرجة، وتسجّل الإصلاح بوصفه الإصدار 1.19.6، المنشور في 22 مايو 2026. ويظهر في عمود الخطورة الخاص بها «قيد الانتظار»، وكانت Google، بحسب رواية Wiz، تقيّم ما إذا كانت ستصدر معرف CVE؛ ولا يظهر أي معرّف CVE خاص بـ Antigravity في السجل العام.

• Augment.حرجة وفق تصنيف Wiz، واختُبرت على الإصدار 0.754.3، وأُقرّ بها في 24 فبراير 2026 وظلّت دون تصحيح عند النشر. تسجّل المذكرة البحثية الصادرة عن Cloud Security Alliance بشأن هذا الاكتشاف حجة Augment المضادة القائلة إن الوكيل يعمل في ظل بيانات اعتماد المستخدم نفسه.

• Windsurf.حرجة وفق تقييم Wiz، اختُبرت على الإصدار V1.9566، وأقرّت بها Cognition في 23 يونيو 2026، وظلت دون ترقيع عند النشر.

• Anthropic. محل نزاع. لا يوجد CVE، والنسخة المُختبرة من Claude Code، 2.1.42، موجودة في جدول Wiz بالحالة «مرفوض».

رفض Anthropic، والإصلاح الذي سبق التقرير

كان رد Anthropic على Wiz رفضًا مدروسًا. وكتبت الشركة، وفقًا لاقتباس Wiz: «هذا يقع خارج نموذج التهديد الحالي لدينا». وأضافت: «عندما يبدأ المستخدم Claude Code لأول مرة في دليل ما، يجب عليه تأكيد أنه يثق بالدليل قبل بدء الجلسة. أما السيناريو الذي تصفه فيتضمن قيام المستخدم بتأكيد مطالبة إذن صراحةً داخل دليل يحتوي على رابط رمزي ضار، وهذا يقع خارج نموذج التهديد الخاص بـ Claude Code». وأُغلقت التذكرة بحالة «Informative».

لهذا المنطق بنية متماسكة: وثق المستخدم بالمجلد، ثم وافق على العملية، لذا احتُرمت لحظتا الموافقة. والردّ من Wiz هو أن الموافقة المستنيرة تتطلب معلومات دقيقة — فالموافقة على project_settings.json بينما تقع الكتابة في ~/.ssh/authorized_keys هي قرار من حيث الشكل وقرار فارغ من حيث الجوهر. لا يزعم Wiz أنه حسم أيّ الموقفين هو الصواب، ولا تزعم هذه المقالة ذلك. والملاحظة العملية هي أن AWS وGoogle وCursor تبنّوا الرأي الآخر وأصدرت ترقيعات.

ذكرت Wiz أيضًا أن Claude Code تغيّر في خلفية النزاع: فقد كتبت الشركة أن النسخ الحالية تحلّ الروابط الرمزية وتحذّر قبل الكتابة إلى ملفات حساسة، وأشارت إلى أن Anthropic رفضت الإفصاح عمّا إذا كان ذلك مرتبطًا بالتقرير. وفي 7 يوليو 2026 قدّمت Anthropic تصحيحًا نقلته Wiz: "صدر تحذير الروابط الرمزية في مربع حوار إذن التحرير/الكتابة ضمن الإصدار 2.1.32 (5 فبراير 2026)، أي قبل تسعة أيام من إرسال هذا التقرير إلينا. وقد أُضيف في إطار تقوية أمنية استباقية استنادًا إلى مراجعة داخلية. وكان الامتناع عن التعليق ردًا تلقائيًا من نظام الفرز لدينا."

توقيت الإصدار صحيح؛ أما السجل العام لما تغيّر فليس كذلك. نُشر Claude Code 2.1.32 إلى سجل npm في 5 فبراير 2026 الساعة 17:03 UTC، أي قبل تسعة أيام من تقرير 14 فبراير، تمامًا كما تقول Anthropic. غير أن مدخل سجل التغييرات العام الخاص بذلك الإصدار يسرد اثني عشر تغييرًا، من بينها فرق الوكلاء وتسجيل الذاكرة وعدة إصلاحات لواجهة المستخدم، ولا يذكر أيٌّ منها الروابط الرمزية أو مربعات حوار الأذونات. أول أسطر في سجل التغييرات تصف هذا السلوك تحديدًا تأتي بعد ذلك بكثير: الإصدار 2.1.280، المنشور على npm في 22 سبتمبر 2026، يسجّل «أُصلح الحكم على الكتابات عبر مسار رمزي بحسب تهجئتها داخل الشجرة: يسمّي الطلب الموضع الذي تستقر فيه الكتابة»، ويسجّل 2.1.287 في 1 أكتوبر 2026 أن الكتابة عبر الصدفة من خلال رابط رمزي مُثبَّت في المستودع إلى ملف حساس باتت تسمّي موضع الكتابة الفعلي وتنتظر موافقة شخص. كما أن ملاحظة Wiz نفسها بأن 2.1.173 وما بعده تحلّ الروابط الرمزية تقع هي أيضًا بعد التقرير، إذ صدر 2.1.173 في 11 يونيو 2026.

ما هو ثابت، وما هو غير ثابت

• مؤكد. الآلية: رابط رمزي خادع في مستودع، ووكيل يتبعه، وكتابة تستقر خارج مساحة العمل، وسطح تأكيد يسمّي المسار الخاطئ. أعادت Wiz إنتاج ذلك في جميع المنتجات الستة ونشرت لقطات شاشة. يوجد سجلّا CVE منشوران من قبل الجهات المانحة لمعرّفات CVE التابعة لهما (CNAs)، ويؤكد نشرة AWS بشكل مستقل الثغرة في الإصدارات الأقدم من 1.69.0 والإصلاح. لا تنازع Anthropic بحدوث السلوك؛ بل تنازع كونه ثغرة أمنية.

• من مصدر واحد. إن تصنيفات الخطورة الخاصة بـ Augment وWindsurf وGoogle Antigravity هي أحكام صادرة عن Wiz، وليست درجات CNA، لأنه لم يُنشر أي CVE لأيٍّ من الثلاثة. ويستند الادعاء بأن Windsurf وAmazon Q تكتبان قبل ظهور مربع الحوار إلى لقطات شاشة Wiz وروايته؛ ولم يؤكد أي بائع هذا الترتيب علنًا.

• محل نزاع.هل يقع على عاتق أداة واجب حماية مستخدمها من مساحة عمل خادعة، أم أن الثقة بالمجلد مضافًا إليها نقرة واحدة تحسم المسألة؟ تقول Anthropic إن الخيار الأخير هو الصحيح، بينما تقول Wiz إن المطالبة التي عرضتها جعلت النقرة بلا معنى. لا يوسم الأرشيف السجل بأنه محل نزاع: فالحقائق متفق عليها، والتفسير وحده هو محل الخلاف.

• غير مؤكد. ما إذا كانت Augment وWindsurf قد أصلحتا العيب منذ النشر. لا تزال جميع التغطيات التي تمت مراجعتها لهذا المقال، بما في ذلك ملاحظة Cloud Security Alliance المؤرخة في 15 يوليو 2026، تصف كليهما بأنهما غير مصححين؛ ولم يُعثر على أي إشعار إصلاح علني من أي من المورّدين.

يحمل التاريخ نفسه التباسًا صغيرًا. يذكر منشور Wiz وجدوله الزمني للإفصاح كلاهما 8 يوليو 2026، بينما تصف Infosecurity Magazine إثبات المفهوم بأنه نُشر في 7 يوليو، وتصف تقريرها الخاص بأنه صدر في 9 يوليو، أما مدخل الأرشيف فيؤرَّخ بـ 9 يوليو 2026 بدقة اليوم. لا تختلف النتيجة والتغطية والأرشيف حول الأسبوع؛ بل تختلف حول اليوم بفارق يصل إلى يومين.

يستحق العمل السابق على أحد الستة تقديرًا منفصلًا. أشار إيفان شومان من CSO Online، في مقال كتبه في 9 يوليو 2026، إلى أن Cato Networks كانت قد أبلغت عن نسخة من الخلل تخص Cursor وحدها قبل دراسة Wiz الأوسع. تقرير SecurityWeek عن تلك الدراسة، المنشور في 3 يوليو 2026، يسميه DuneSlide، ويربط CVE-2026-50548 وCVE-2026-50549 بالزوج، ويمنح كليهما درجة 9.8، ويؤرخ إصدار Cursor 3.0 الذي أصلحهما في 2 أبريل — وهي أرقام لا تتوافق مع الجدول الزمني لـWiz، الذي يضع نشر إصلاح Cursor في 5 يونيو، ولا مع سجل CNA المنشور في 25 يونيو بدرجة 9.3. إن 9.8 و9.3 هما تقييمان من جهتين مختلفتين للخلل نفسه؛ وقد يصف تاريخا أبريل ويونيو إصدارًا وبيانًا إرشاديًا بدلًا من أن يختلفا حول موعد صدور الإصلاح.

ماذا تغيّر بعد ذلك؟

وعلى نحو ملموس: نُقل مستخدمو Amazon Q Developer إلى خادم اللغة 1.69.0، تلقائيًا في معظم الإعدادات؛ ونُقل مستخدمو Google Antigravity إلى 1.19.6 اعتبارًا من 22 مايو 2026؛ ونُقل مستخدمو Cursor إلى 3.0؛ ونُقل مستخدمو Claude Code إلى إصدار يحلّ الروابط، مع وصول تغييرات إضافية تخص دقة المطالبات في 2.1.280 و2.1.287 خلال سبتمبر وأكتوبر 2026. أما مستخدمو Augment وWindsurf، وفقًا للأدلة المتاحة عند النشر، فلم يحصلوا إلا على تاريخ يستحق المتابعة ولا شيء آخر.

كانت توصيات Wiz الخاصة ضيقة وتقنية: حلّ الروابط الرمزية قبل عرض موجه، والتحذير صراحةً عندما يقع المسار المحلول خارج مساحة العمل، وعدم الكتابة إلى القرص إطلاقًا قبل تفويض صريح، بحيث يكون مربع الحوار بوابةً لا زر تراجع. وتضيف مذكرة Cloud Security Alliance إطارًا حوكميًا — التعامل مع مساعدي البرمجة كبرمجيات ذات صلاحيات ووصول إلى نظام الملفات بدلًا من إضافات محرر، وأن تسأل المورّدين مباشرةً عما إذا كانت المسارات تُحل قبل ظهور رسالة تأكيد. ووضعت Katie Norton من IDC، نقلًا عن CSO Online، الخطر المتبقي حيث تعمل سلسلة التوريد بالفعل: المساهمون الخارجيون، والمستودعات المتفرعة، والاعتماديات الخارجية، "بدلًا من الشيفرة المؤلفة داخليًا".

ما يبقى مفتوحًا هو مسألة التصميم، لا الخلل. ستة منتجات بُنيت كلٌّ منها باستقلال عن الأخرى توافقت على التسلسل نفسه — إظهار المسار المطلوب، والثقة بالنقرة — وكان التباعد بعد ذلك في شأن المسؤولية، لا في شأن الآلية. ويحمل مدخل الأرشيف علامةً بارزة، وهي حكم الأرشيف بأن السجل يصف فئةً لا خطأ مورّد واحد، ويصعب الجدال مع هذا التفسير: فقد نجح الدليل العملي القصير نفسه ست مرات.