Unit 42: حلقة الهجوم الذاتية قابلة للتطبيق، وكل نجاح مؤكد كان يدويًا

في 30 يوليو 2026، نشرت Unit 42 التابعة لـ Palo Alto Networks تحقيقًا في مشغّل ناطق بالصينية أدخل نموذجًا لغويًا في حلقة الهجوم نفسها: DeepSeek يعمل داخل Hermes Agent، وهو وكيل طرفية مفتوح المصدر من Nous Research، ويتلقى التعليمات عبر Telegram. استهدف المشغّل أكثر من 460 هدفًا، واحتفظ بأدوات استغلال لسبعة مسارات ثغرات تمتد عبر ثمانية معرّفات CVE. ولم يُسفر تقريبًا أي شيء فعله الجهاز بمفرده عن اختراق — فمحاولتا الاستغلال المستقلتان فشلتا عند متطلبات كانت الأهداف قد عطّلتها بالفعل. أما ما قاده شخص فقد أحدث أثرًا: تسريب بيانات ذاكرة من ثلاثة عمليات نشر لـ Citrix NetScaler، وتأكيد تنفيذ أوامر على إحدى عشرة نسخة من دفاتر Marimo، ونظام حكومي ماليزي جرى العمل عليه على مدى عدة أيام متتالية. ولا يُسمّى أي ضحية في أي من التقريرين المُستشهد بهما، وأُعيد بناء الرواية بأكملها من خوادم المشغّلين المكشوفة الخاصة بهم.تمت فهرسة السجل الكامل، مع تصنيف درجة الخطورة الخاص بالأرشيف والمصادر المُستشهد بها، في the Orca AI Incident Archive، إلى جانب المدخلات المجاورة من الأسبوع نفسه.

كيف ظهرت العملية إلى الأنظار

لم تكتشف Unit 42 هذه الحملة. فقد سلّمها وكيل المشغّل نفسه. واستجابةً لأمر عبر تيليجرام، بدأ Hermes Agent خادم ملفات HTTP — python3 -m http.server 8888 — من دليل المستخدم الرئيسي للفاعل في /home/worker بدلاً من دليل تجهيز معزول. وقد كشف أحد السلوكيات الافتراضية مساحة العمل: إعدادات أدوات الذكاء الاصطناعي، ومفاتيح API، ونصوص الاستغلال، وقوائم الأهداف، وسجل bash، وسجلات جلسات Hermes المستقلة التي ستستخدمها Unit 42 لاحقًا لإعادة بناء دورة الهجوم خطوة بخطوة.

يصف التقرير رقم 42 هذا التعرّض بأنه غير متعمد، ويسجّل أن الفاعل لم يكن مهملًا في مواضع أخرى: فقد جرى تفريغ أدلة الاستغلال بعد استخدامها، وتم تعطيل تسجيل المحادثات في Codex للحد من تخزين الاستجابات محليًا. وقد طرح مبادرة السلامة بالذكاء الاصطناعي التابعة لتحالف أمن السحابة، التي حلّلت الإفصاح نفسه في 4 أغسطس 2026، النقطة الأدق: فقد مارس المشغّل أساليب العمل الاستخباراتي التقليدية، لكن الإعدادات الافتراضية المريحة لإطار عمل الوكيل أفسدت ذلك في خطوة واحدة — والمهاجمون الذين يتبنّون أطر عمل الوكلاء يرثون إعداداتها الافتراضية إلى جانب قدراتها.

من هو المشغّل، استنادًا إلى الأدلة المتاحة

تسمّي Unit 42 الفاعل فقط بالمعرّفين: knaithe وKnYuan. ويستند تقييم تشوهاي إلى نشاط GitHub، ولا سيما صيانة الفاعل لـ1DayNews، وهي منظومة استخبارات ثغرات آلية تجمع إفصاحات تنفيذ الشيفرة عن بُعد من 17 مصدرًا، معظمها موردو معدات محيط الشبكة، وتستخدم DeepSeek لتصفيتها من حيث قابلية الاستغلال، وتوزّع التنبيهات عبر Telegram. وفي مقابلة مع Infosecurity Magazine في 31 يوليو 2026، وصف Andy Piazza، المدير الأول لاستخبارات التهديدات في Unit 42، الشخص نفسه بأنه «مشغّل استغلال انتهازي وباحث أمني ثنائي يصف نفسه بذلك».

لا يزعم أيٌّ من التقريرين المذكورين رعاية دولة. وتشير ملاحظة CSA إلى أن الإفصاح لا يحدد أي مؤشرات على رعاية دولة، وتقرأ الموارد والنطاق على أنهما متوافقان مع شخص واحد يجمّع سير عمل هجومي من نموذج استدلال تجاري وإطار وكيل متاح مجانًا. وتذكر مجلة Infosecurity أن أهداف الحملة امتدت عبر ثلاثة بلدان، بما في ذلك الصين وماليزيا.

النصف المستقل: منتجان، وفشلان

استعادت الوحدة 42 جلسة كاملة لوكيل Hermes Agent، مؤرخة في مايو 2026، ولم تتمكن من استعادة مدخلات المشغّل بعد المهمة الافتتاحية. وما تُظهره السجلات هو وكيل يختار أهدافه بنفسه، ثم يتخلى عنها، دون تعليمات.

بدأ الأمر مع Langflow وCVE-2026-33017، بتقييم CVSS 9.8. نزّل إثبات المفهوم العام من GitHub، وعدّد 84 نسخة من Langflow عبر محرك البحث الصيني عن الأصول FOFA باستخدام الاستعلام title="Langflow"، ووجد نسخة واحدة تشغّل إصدارًا معرضًا للثغرة، 1.3.4. فشلت المحاولة لأن العيب يتطلب إما تفعيل auto_login أو وجود معرّف تدفق عام، ولم يكن لدى الهدف أي منهما. استنتاج الوكيل نفسه، كما ورد في التقرير: "جميع نسخ Langflow الثلاث تحتاج إلى معرّف تدفق عام لكن auto_login غير مفعّل — توقفنا. عمليات النشر صغيرة (84 نشطة)، والقابل للاستغلال على الأرجح 0. ابحث عن ثغرات على نطاق أوسع."

ثم فعلت ما لم يطلبه منها تكليفها. فقد استقصت أعداد عمليات النشر عبر عشر عائلات منتجات على FOFA، وبحثت في GitHub عن مستودعات إثبات المفهوم لثغرات CVE الرائجة لعام 2026 مرتبة حسب النجوم، وراتّبت المرشّحات حسب الخطورة والانتشار وقابلية الاستغلال قبل أن تستقر على n8n — مبرَّرةً في السجل بفضل 258 نجمة لإثبات المفهوم ودرجة CVSS 10.0. وقد أحصت FOFA وجود n8n في 647,017 حالة حول العالم، منها 25,209 في الصين.

تألفت سلسلة n8n من CVE-2026-21858، وهي قراءة ملفات عشوائية عند درجة CVSS 10.0 وتم إصلاحها في 1.121.0، إضافة إلى CVE-2025-68613، وهي تجاوز لوضع الحماية يؤدي إلى تنفيذ تعليمات برمجية عن بُعد عند درجة CVSS 9.9 وتم إصلاحها في 1.120.4. تحقق الوكيل بنفسه من نطاقات الإصدارات — "تقول CVE إنها مصححة في 1.121.0 لـ AFR و1.120.4+ لـ RCE. لذا فإن v1.117.3 معرضة لكلتيهما!" — ثم أخذ عينات من نحو 100 عنوان من أصل 25,209، وفحص نحو 40 منها، ووجد ثلاثة تشغّل إصدارات معرضة للخطر: 1.18.0 و1.117.3 و1.108.2.

فشلت المحاولات الثلاث كلها للسبب نفسه. يتطلب الاستغلال نموذجًا غير مصادَق عليه يتيح رفع الملفات، أما النماذج التي وصل إليها فكانت تتطلب المصادقة. وقال الوكيل ذلك في السجل — "هذه النماذج لديها المصادقة مفعّلة. دعني أفحص أهدافًا أخرى" — ثم فحص أكثر من 50 هدفًا صينيًا إضافيًا، فلم يعثر على أي نماذج متاحة للعموم، فتوقف. تنتهي الجلسة المستردة عند هذه النقطة. ولا يسجل Unit 42 أي استغلال من المسار المستقل على الإطلاق.

حيث وقع الضرر فعليًا

كل تأثير مؤكد في السجل جاء من المسار اليدوي، الذي شُغّل باستخدام سير عمل تقليدي: استطلاع FOFA، وماسحات Python مخصصة، واستغلال مباشر.

• Citrix NetScaler ADC وGateway، CVE-2026-3055، CVSS 9.8 — بيانات سُرّبت من ثلاث مؤسسات. تقول Unit 42 إن النجاحات الثلاثة استخرجت بيانات من الذاكرة عبر القراءة خارج الحدود، وإن الفاعل بحث بعد ذلك في المحتويات المسروقة عن ملفات تعريف الارتباط للمصادقة الخاصة بـ NetScaler (NSC_AAAC=)، ما يشير إلى اختطاف الجلسات بدلاً من السرقة لذاتها.

• جهة حكومية في ماليزيا — استُهدفت بصورة مستمرة واستُغلت على مدى عدة أيام، بما تصفه Unit 42 بأنه معلمات تهيئة الذاكرة وأقصى محاولات القراءة، مع إضافة إخفاء الهوية عبر البروكسي في الزيارات اللاحقة. هذا هو الهدف الوحيد الذي يتعامل معه التقرير على أنه يُظهر نية تتجاوز الانتهازية.

• دفاتر Marimo، CVE-2026-39987، CVSS 9.8 — تم تأكيد تنفيذ الأوامر على 11 نسخة.

• Apache Tomcat، CVE-2026-34486، CVSS 7.5 — محاولات قشرة عكسية ضد تسعة خوادم.

• Windows IKE VPN، CVE-2026-33824، CVSS 9.8 — عمليات استدعاء عكسية (reverse shell) موجّهة إلى ثلاث نقاط نهاية.

• PAN-OS User-ID Authentication Portal، CVE-2026-0300، CVSS 9.8 — إثبات مفهوم بحثي عام تم استنساخه ولم يُنفَّذ قط. وجدت Unit 42 أن الشيفرة غير عاملة، بقيم بديلة لا يمكنها تحقيق التنفيذ.

ثمة محدوديتان مهمتان. لم تُسمَّ الضحايا، لذا فإن هوية مشغّلي NetScaler الثلاثة والوكالة الماليزية ليست علنية. وتقول Unit 42 إنها راجعت أدلة على استغلال دفعي ضد عدد غير معروف من المضيفين ظهروا في ملف حذفه الفاعل قبل التحليل — مما يجعل العدد المؤكد حدًا أدنى لا إجماليًا.

ما هو ثابت، وما هو مُدَّعى

إن الآليات مدعومة بأدلة على نحو غير معتاد بالنسبة لحادث من هذا النوع. يقرأ Unit 42 ملفات التكوين الخاصة بالمشغّل وسجلات الجلسات وقوائم الأهداف وسجل bash؛ وتأتي قائمة CVE وأعداد الأهداف وأنماط الفشل من تلك المواد بدلاً من الاستنتاج من حركة مرور الشبكة.

الإسناد أقل حدة. فوصف «الناطق بالصينية» و«المقيم في تشوهاي» والمعرّفان knaithe وKnYuan هي تقييمات محللين مبنية على نشاط على GitHub، ومدونة شخصية أقدم، وخط أنابيب 1DayNews. ولا ترافقها تهم أو عقوبات أو بيان حكومي، ولا يذكر أي من التقريرين المذكورين منظمة ضحية.

أحد ادعاءات الإنفاذ منقول من مصدر غير مباشر داخل التقرير نفسه. تنقل Unit 42 أن موظفي OpenAI أكدوا أن ضماناتهم على جانب المزوّد رفضت طلبات خالفت السياسة، وأن المحاولات المتكررة دفعت أنظمة الأمان لديهم إلى وسم حساب يعتقدون أنه مرتبط بهذه الحملة وتعطيله، وذلك قبل أن تشارك Unit 42 معلوماتها الاستخباراتية معهم. هذا وصفٌ من مورّد لإجراءات الإنفاذ الخاصة به؛ ولم تتحقق Unit 42 منه بشكل مستقل.

ثمة فجوة تستحق أن تُقال بصراحة: لم يظهر في عمليات البحث لهذا المقال، حتى 30 أكتوبر 2026، أي بيان صادر عن الحكومة الماليزية أو MyCERT أو أي CERT وطنية أخرى بشأن هذه الحملة. ويقول Hunt.io، المصدر الثاني المُستشهد به في هذا السجل، إنه أبلغ المنظمات المتأثرة وهيئات CERT الوطنية المعنية في 6 يوليو 2026، وأرجأ النشر طوال نافذة إفصاح مدتها سبعة أيام — لكن الإخطار ليس إفادة علنية.

التقريران المذكوران لا يتفقان بشأن Claude Code

يسجّل هذا السجل تحقيقين أجراهما مورّدان ونُشرا بفاصل أسبوعين، وهما يصفان تقسيمات مختلفة للأدوات. وتُسند Unit 42، في تقريرها بتاريخ 30 يوليو، التنفيذ إلى Hermes Agent مع DeepSeek كمحرك الاستدلال، وتعتبر Claude Code تجربة. والسجل المستعاد عشر مدخلات عبر ثلاث جلسات تتضمن فحوصات /model واختبارات اتصال وطلب تثبيت npm واحد، استُخدمت لاختبار الاتصال والتحقق من البروكسي. ويُظهر Codex علامات استخدام على أدلة تطوير الاستغلال، لكن سجلات محادثاته لم تُحفظ؛ وحصل Qwen Code على جلستين. وتقرأ Unit 42 هذا الانتشار على أنه مشغّل يتسوق عبر سوق الذكاء الاصطناعي، ويوجّه الأدوات الغربية عبر بروكسي على code.newcli[.]com بينما يستدعي DeepSeek وQwen مباشرةً عبر نقاط نهاية API الأصلية الخاصة بهما.

يصف Hunt.io، في منشور بتاريخ 14 يوليو من دليل مفتوح عثر عليه على 112.213.124[.]132 على المنفذ 8888، الترتيبة المعاكسة: Claude Code 2.1.165 بوصفه محرك التنفيذ عبر جلسات مستمرة بين 8 و12 يونيو 2026، مع DeepSeek-v4-pro في الأسفل يقوم بالاستدلال، وملف CLAUDE.md مستعاد يوجّه Claude Code إلى إنشاء صفحات تصيّد مستنسخة واختبارها وتحسينها بالتكرار.

يصف كلا التقريرين إطار عمل وكيل تُرِك يخدم مجلدًا على المنفذ 8888. ويصفان مجموعتين مختلفتين من الضحايا: تقع الاختراقات المؤكدة لدى Hunt.io في أفغانستان وتايلاند وتايوان، مع تصيّد احتيالي أُعدّ ضد جهتين حكوميتين في الولايات المتحدة؛ أما الضحايا المؤكدون لدى Unit 42 فهم ثلاثة مشغّلي Citrix لم تُسمّ، وكيان حكومي ماليزي، مع توجيه الفحص الذاتي إلى حد كبير نحو البنية التحتية المحلية الصينية. ولا يُحيل أي من التقريرين إلى الآخر، ولم ينشر لا الأرشيف ولا أي من المورّدين أي تسوية. وعند قراءتهما معًا فإنهما يدعمان استنتاجًا واحدًا لا استنتاجين: وهو أن عمل اختراق مدفوعًا بنماذج اللغة الكبيرة (LLM) كان يجري داخل بيئة هذا المشغّل في يونيو ويوليو 2026. أما أي نموذج جلس وأين في البنية — وما إذا كان التقريران يصفان مشغّلًا واحدًا أم مشغّلين اثنين — فليس محسومًا بالسجل المنشور.

ما الذي تغيّر بعد

لأن الانكشاف هو ما أنتج الأدلة، فإن التغيير الأكثر ملموسًا يتعلق بالفاعل لا بالضحايا. تقول Unit 42 إنها شاركت النتائج مع أعضاء Cyber Threat Alliance، وتحمل صفحتها ختم تحديث بتاريخ 11 أغسطس 2026، أي بعد اثني عشر يومًا من النشر. وبالنسبة لعملاء Palo Alto، تسرد قواعد سطح الهجوم Cortex Xpanse الخاصة بأجهزة Langflow وn8n وCitrix ADC المكشوفة، إضافة إلى مجموعة من توقيعات Threat Prevention.

في المنتجات المعرضة للخطر، سبقت الإصلاحات الحملةَ. فقد أصدرت n8n الإصدارين 1.120.4 و1.121.0 للعلتين قبل الجلسة المستعادة، وقرأ الوكيل حدود هذين الإصدارين من التنبيهات بنفسه. وتوصي مذكرة CSA بتاريخ 4 أغسطس مشغلي NetScaler المعرضين لـ CVE-2026-3055 بتدوير ملفات تعريف الارتباط الخاصة بمصادقة الجلسات NSC_AAAC ومراجعة الجلسات الموثقة بحثًا عن أي شذوذ، لأن الفاعل كان يتعقب ملف تعريف الارتباط هذا صراحةً، كما توصي أي شخص يُشتبه في تعرضه لثغرة Marimo بأن يفترض أن تنفيذ الأوامر ربما حدث بالفعل.

يوضح كتالوج CISA للثغرات المعروفة المستغلة، كما قُرئ مباشرةً في 30 أكتوبر 2026، مدى علنية هذه المادة قبل الإبلاغ عن أيٍّ منها: فقد أُضيفت CVE-2025-68613 في 11 مارس 2026، وCVE-2026-33017 في 25 مارس، وCVE-2026-3055 في 30 مارس، وCVE-2026-39987 في 23 أبريل، وCVE-2026-0300 في 6 مايو — كل ذلك قبل نشر Unit 42. وتلتها CVE-2026-34486 في 4 أغسطس وCVE-2026-33824 في 18 أغسطس. ولا يظهر CVE-2026-21858، وهو الجزء الخاص بقراءة الملفات في n8n من السلسلة المستقلة الفاشلة، في الكتالوج إطلاقًا.

لماذا يُعد الهامش هو الاكتشاف

خلاصة Unit 42 ليست أن الحملة نجحت، بل إنها كادت تنجح. أوقفت إعدادات الجهة المستهدفة الاستغلال — غياب auto_login، والنماذج التي تتطلب مصادقة — ويذكر التقرير أن «الأهداف ذات الإعدادات الافتراضية الأضعف كانت ستكون عرضة للاستغلال». وحكمها العام هو أن دورات الهجوم المستقلة قابلة للتطبيق تشغيليًا، وأن هامش الإخفاق كان ضيقًا.

تشير قراءة CSA المستقلة إلى التباين نفسه من زاوية مختلفة: فقد توسّع الاستطلاع والفرز الذاتيان بسهولة أكبر بكثير من الاستغلال الذاتي، كما اعتمدت النتائج المؤكدة القابلة للتسليح على عمل موجّه بشريًا يعلو فوق استطلاع الوكيل. وتغطي كلتا القراءتين حملة مشغّل واحد. ولا يتضمن السجل أي ادعاء بأن حلقة ذاتية قد استولت على نظام بمفردها حتى الآن.