برمجيات سرقة المعلومات تستهدف بيانات وكلاء الذكاء الاصطناعي: قواعد الجمع تستهدف الآن Claude وCursor وCodex

في 8 سبتمبر 2026، نشرت Gen Digital تحليلًا لقواعد تجميع أدوات سرقة المعلومات ووجدت أن قائمة الأهداف قد اكتسبت سطرًا جديدًا: البيانات المحلية لوكلاء البرمجة بالذكاء الاصطناعي. وعلى مدى نافذة من ثلاثة أشهر، سجّلت بيانات القياس عن بُعد الخاصة بنظام Windows لديها رصدًا لـ Amatera وRemus بين عشرات الآلاف من مستخدمي Windows المحميين — وهي أدوات سرقة أصبحت ملفات قواعدها الآن تصل إلى أدلّة Cline وContinue وClaude من Anthropic وCursor وOpenCode. أضافت CallbackBeaver كلاً من Claude وCursor إلى نطاق تجميعها، ورُصدت في أكثر من 5000 عيّنة خلال فترة 30 يومًا. وما يُؤخذ ليس التفضيلات بل الوصول والسياق: رموز الوصول والتحديث، وبيانات الاعتماد الموجودة في إعدادات Model Context Protocol، وسجلات المطالبات، وقواعد بيانات المحادثات، وخريطة للمشاريع التي كان المطوّر يعمل عليها. لا يتعلق الأمر بثغرة جديدة — فأداة السرقة تعمل بالفعل عند وصول القاعدة الجديدة، وقد انتقلت القيمة إلى ملفات محلية متوقعة. يستند هذا السرد إلى تقرير Gen Digital، وتحليل Okta لحزمة سجلات مسروقة نُشرت في اليوم نفسه، وملاحظة بحثية من Cloud Security Alliance، وأرشيف حوادث الذكاء الاصطناعي يحتفظ بهذا الإدخال إلى جانب جيرانه، ولكل منها مصادره ودرجة خطورته ودرجة ثقته.

يصنّف الأرشيف السجل على أنه نتيجة بحثية لا حدث نشر: kind research، severity medium، confidence A، disputed false، real_harm false، region GLOBAL، وموسوم بـ CRED وEXFIL، بتاريخ دقيق اليوم هو 8 سبتمبر 2026. هذا هو اليوم الذي نشرت فيه Gen Digital، لا اليوم الذي أُصيبت فيه أي آلة بعينها، ولا يقدّم أي من التقريرين تاريخ إصابة للقواعد نفسها. يستحق حقل real_harm قراءة متأنية. لا شيء في السجل أو في مصادره يصف استيلاءً مؤكدًا على حساب يُتتبع إلى قواعد الجمع هذه؛ فالمُوثّق هو القدرة والتعرّض، وهذا جزء من سبب تصنيف المدخل بدرجة medium لا high.

لا ثغرة جديدة: أداة السرقة تعمل بالفعل عند وصول القاعدة.

تؤكد Gen Digital صراحةً أنها لا تصف ثغرة أمنية. وتشير نتائجها إلى أنها "لا تشير إلى طريقة جديدة لاختراق الجهاز أو إلى ثغرة في نموذج ذكاء اصطناعي أو وكيل"، حسبما يذكر التقرير؛ فأداة سرقة المعلومات تعمل بالفعل، وما تغيّر هو "تركّز المعلومات القيمة في مواقع متوقعة، وأحيانًا بنص صريح، وسهولة إضافة تلك المواقع إلى قائمة تجميع موجودة."

هذه السهولة هي الآلية. تتلقى العديد من برامج السرقة قواعد جمع تُدار عن بُعد تحدد المجلدات وأسماء الملفات والامتدادات وقواعد البيانات وحدود عمق البحث أو حجم الملفات، بحيث يستطيع مشغّل يعرف أين يحتفظ وكيل برموزه إضافة مسار آخر دون إعادة بناء البرنامج الخبيث أو إعادة توزيعه — وتصل القاعدة المحدّثة إلى عمليات التثبيت الموجودة بالفعل على أجهزة مخترقة. وتضيف Gen Digital تحفظين على ذلك: لا ينطبق النهج على كل برامج السرقة، وبعض الأدوات تحتاج إلى تحليل أو فك تشفير خاص بالمنتج بدلاً من إدخال مسار. وتحذيرها العملي يتعلق بشكل الأدلة — فإذا لم يجمع برنامج سرقة رئيسي وكيلاً معيناً اليوم، فإن هذا الغياب لقطة، "وليس دليلاً على أن الوكيل سيبقى خارج نطاق الجمع."

أي عائلة تمتد إلى أي وكيل؟

العائلتان اللتان تقف خلفهما بيانات القياس عن بُعد هما Amatera، التي تستهدف بيانات مرتبطة بـ Cline وContinue، وRemus، التي تستهدف Claude وCursor وOpenCode. وتقول Gen Digital إن الأرقام الخاصة بكلتيهما «قد تتداخل وتصف عمليات رصد بدلاً من إصابات ناجحة» — وهو تمييز مهم عند قراءة الأرقام كمقياس لعدد المطورين الذين تعرّضوا للسرقة فعلاً. وحولهما تقع العائلات التي تجعل السلوك يبدو اتجاهاً لا تجربة: BeeStealer وSTG Stealer وHydraStealer وAPEX Stealer وOtter Stealer، التي يصنّفها التقرير على أنها أقل انتشاراً، وDjinn Stealer، التي تُظهر السلوك نفسه على macOS وترتبط بجمع البيانات من Claude وCodex وGemini وCline وOpenCode وKilo.

يتمثل ملخص Gen Digital الخاص بالوتيرة في أن بيانات وكلاء الذكاء الاصطناعي كانت تظهر «في قواعد التجميع الخاصة ببرنامج سرقة آخر تقريبًا كل يوم». ولإعطاء فكرة عن الحجم، يضع هذا الاستهداف ضمن مشكلة أقدم بكثير: فخلال النصف الأول من عام 2026، سجّلت بيانات القياس عن بُعد الخاصة به عمليات رصد لبرامج سرقة المعلومات بين أكثر من 3.3 ملايين مستخدم محمي فريد، مع بقاء الرقم الشهري فوق 500,000 باستمرار. وتشمل هذه الإجماليات كل عائلات برامج سرقة المعلومات، لا تلك المعروفة بتعاملها مع بيانات وكلاء الذكاء الاصطناعي، لذا فهي تقيس المجموعة التي تنتشر عبرها القواعد الجديدة بدلًا من مدى وصول القواعد الجديدة.

ما ينتج هو رمز تحديث (refresh token) وخريطة لقاعدة الشيفرة.

يقسم التقرير ما يحتويه دليل الوكيل إلى فئتين، وهذا التقسيم هو جوهر الاستنتاج. الفئة الأولى هي الوصول: بعض الوكلاء يخزّنون مؤقتًا رموز الوصول أو تفاصيل تسجيل الدخول محليًا حتى لا يعيد المستخدم المصادقة في كل جلسة. قد يكون رمز الوصول صالحًا للاستخدام حتى انتهاء صلاحيته؛ ويمكن أحيانًا استبدال رمز التحديث برموز وصول جديدة وتمديد النافذة الزمنية. وتتوخى Gen Digital الحذر بشأن الحدود — فالنتيجة «تعتمد على نطاق الرمز وعمره وضوابط الخدمة نفسها، لذا فإن سرقة ملف لا تضمن وصولًا دائمًا» — مع الإشارة إلى أن الملف «قد يظل حساسًا بقدر مخزن كلمات المرور».

الفئة الثانية هي السياق، وهي السبب في أن هذه ليست مجرد قصة بيانات اعتماد. يمكن أن تحتوي المطالبات ونصوص المحادثات على شيفرة مصدرية مملوكة، وأسماء مستودعات، وأسماء مضيفات داخلية، وأسرار لُصقت لاستكشاف الأخطاء وإصلاحها؛ ويمكن أن يمنح نص المحادثة المهاجم بنية قاعدة الشيفرة، ونقاط الضعف المعروفة، والأشخاص المعنيين، وهو ما يصفه التقرير بأنه استطلاع "كان المهاجم سيقضي أيامًا في جمعه". وعندما يستخدم مطور مساعدًا في إثبات مفهوم سري، يمكن للسجل أن يكشف اختراعًا غير محمي ببراءة. وملخص Gen Digital لهذا المزيج هو أن أرشيفًا واحدًا قد يحمل "كلًا من وسيلة الوصول إلى حساب ما والسياق اللازم لفهم ما له قيمة خلفه".

تقع إعدادات Model Context Protocol بين الفئتين. وقد تحتوي على نقاط النهاية والرؤوس ومتغيرات البيئة ومفاتيح API، وحيث تُخزَّن الأسرار القابلة لإعادة الاستخدام محليًا، يمكن أن يطال الاختراق أنظمة التحكم في المصدر أو منصات التذاكر أو قواعد البيانات أو الخدمات السحابية التي كان الوكيل متصلًا بها. ولا يبالغ التقرير في ذلك: فبعض عمليات التكامل تستخدم بيانات اعتماد قصيرة العمر، أو تخزينًا محميًا بواسطة نظام التشغيل، أو تدفق تفويض تفاعلي، لذا فإن سرقة إعداد لا تفتح تلقائيًا كل ما يذكره.

احتسبت Okta جانب المشتري في السوق نفسها

عمل فريق استخبارات التهديدات لدى Okta على المشكلة نفسها من الطرف الآخر، ويتضمن تقريره طابعًا زمنيًا للنشر بتاريخ 8 سبتمبر 2026 أيضًا. وقد حلّل مجموعة سجلات مجانية بحجم 7 GB نُشرت في قناة على Telegram في 2 أغسطس 2026 — تضم 5,871 مجلدًا، واحد لكل جهاز مصاب، موزعة على 162 دولة — باستخدام تعبيرات نمطية مخصصة وأداة فحص الأسرار مفتوحة المصدر TruffleHog. ومن بين 44,791 رمز JSON Web Token فريدًا في المجموعة، جرى تحديد 555 رمزًا يُرجَّح ارتباطها بمصادقة خدمات الذكاء الاصطناعي. وكشف بحث منفصل عن 2,937 كائن JSON Web Encryption مرتبط بالمصادقة، معظمها أعدّته OpenAI باستخدام NextAuth.js، كما كان 1,843 من رموز JWT وكائنات JWE بمختلف أنواعها ما يزال غير منتهي الصلاحية في يوم الإصدار.

تُعدّ الأعداد حسب المزوّد الجزء الذي يتحوّل إلى رقم يمكن لفريق أمني اتخاذ إجراء بشأنه. سجّلت Anthropic 561 رمز جلسة فريدًا عبر 404 أجهزة مختلفة، منها 164 لم تنته صلاحيتها؛ وسجّلت Cursor 32 رمزًا عبر 26 جهازًا، منها 16 لم تنته صلاحيتها. وتهيمن Google وMicrosoft على الجدول بإجمالي 9,829 و2,491 رمزًا، لكن Okta تشير إلى أن هذه الإجماليات تمر عبر بوابات الدخول الموحّد وتشمل كامل قاعدة حسابات كل مورّد، لذا فهي ليست مقياسًا للتعرض الخاص بالذكاء الاصطناعي. كما أعاد TruffleHog 24 مفتاح API لا يزال ساري الصلاحية عبر أربع خدمات نماذج مرتبطة بالذكاء الاصطناعي — وهي الفئة التي تصفها Okta بأنها بيانات اعتماد يمكن للمشتري استخدامها لتشغيل الاستدلال على نفقة شخص آخر. وقد صاغ جيريمي كيرك، مدير استخبارات التهديدات في Okta، الآلية بوضوح: إن رموز الجلسات ومفاتيح API مطلوبة "لأنه غالبًا ما يكون ممكنًا إعادة تشغيل تلك الأسرار وتجاوز المصادقة القائمة على بيانات الاعتماد."

تتوخى Okta الحذر بشأن ما يثبته التفريغ. وتقول إنها "لم تلاحظ أدلة على وجود جلسات Okta مسروقة في تفريغ البيانات هذا"، كما أن الرمز المميز المسروق يظل يفشل حيث تفرض المؤسسة قائمة سماح لعناوين IP. أما الأرقام المالية الواردة في مقدمتها — فاتورة تقارب مليون دولار لمؤسسة واحدة، و600,000 دولار من أرصدة AI فقدتها مؤسسة لاختبار الذكاء الاصطناعي عبر مفتاح API مسروق — فتُذكر كحالات منفصلة سبق الإبلاغ عنها، لا كأضرار ناجمة عن مجموعة البيانات هذه. وتؤكد المذكرة البحثية الصادرة عن Cloud Security Alliance بتاريخ 11 سبتمبر 2026 النقطة نفسها صراحةً: فتحليل Okta يصف رموزًا مميزة موجودة في تفريغ إجرامي وقابليتها النظرية لإعادة التشغيل، ولا يدّعي أنه قاس عدد الرموز التي جرى استغلالها فعليًا، ولا ينسب اختراقًا محددًا إلى التفريغ.

كما يتأكد جانب الطلب من خارج Okta أيضًا. أفادت The Hacker News في 9 سبتمبر 2026 بأن Okta قد رصدت قوائم على Telegram تبيع وصولًا مخفضًا إلى حسابات Claude وCursor وChatGPT وGemini مع دعم على مدار الساعة طوال أيام الأسبوع وضمانات استرداد الأموال، وأن خدمة تسمي نفسها Poison Claude أعلنت عن الوصول إلى Opus 4.6 و4.7 و4.8 وSonnet 4.6 من Anthropic. وقد غطّت Gizmodo السوق نفسه في 10 سبتمبر 2026. كما نشرت The Hacker News تقييم Google Threat Intelligence Group بأن تكلفة الوصول إلى النماذج المتميزة تدفع إلى «تزايد استهداف حسابات الذكاء الاصطناعي وتسريبها وبيعها عبر مجتمعات الجريمة الإلكترونية»، ووصفت مشاركة استجابة للحوادث من Mandiant استخدم فيها فاعل تهديد رمز وصول شخصي إلى GitHub كان مكشوفًا لنشر بنية تحتية غير مصرح بها للذكاء الاصطناعي.

ما يثبته السجل، وما لا يحسمه أي مصدر مستشهد به

أمرٌ مؤكد، وقد ذكرته المصادر على هذا النحو: أضافت برامج سرقة المعلومات الجاهزة مسارات وكلاء البرمجة بالذكاء الاصطناعي إلى قواعد الجمع التي تُدار عن بُعد عبر عدة عائلات ونظامي تشغيل؛ ويمكن أن تحتوي الأدلة المحلية على رموز مميزة وبيانات اعتماد MCP وسجلات وبيانات وصفية للمشاريع؛ وقد احتوى تفريغ بيانات كبير مجاني على مواد مصادقة غير منتهية الصلاحية لخدمات الذكاء الاصطناعي، بما في ذلك 164 رمزًا مميزًا لجلسة Anthropic غير منتهي الصلاحية و24 مفتاح API صالحًا.

• لم يثبت: أن أيًا من هذه القواعد قد أنتج استيلاءً مؤكدًا على حساب. ولا تُبلغ Gen Digital ولا Okta عن أي ضحية تم الدخول إلى حسابها برمز مسروق من هذه المجموعات المحددة، كما أن real_harm false في الأرشيف يعكس تلك الفجوة بدلًا من أن ينكر إمكانية حدوث الضرر.

• لم يُحدَّد: عدد المطورين المتأثرين. أرقام Amatera وRemus لدى Gen Digital هي اكتشافات في صفوف المستخدمين المحميين، وقد تتداخل، وليست إصابات؛ وأعداد Okta تصف عملية تسريب واحدة بحجم 7 GB، لا السوق.

• غير محسوم: أي الوكلاء يخزِّنون ماذا، افتراضيًا. ويشدّد التقريران على أن المسارات والملفات والحمايات تختلف باختلاف المنتج ونظام التشغيل وتكوين المستخدم، لذلك لا يمكن تبرئة أي وكيل منفرد من هذا السجل — وتتلخّص إجابة Gen Digital في جرد ما يُخزَّن محليًا قبل افتراض أن أي منتج آمن.

• لم يُثبت: ما الذي غيّره أي مورّد وكيل. لا يصف أي من التقريرين تغييرًا في المنتج تم إجراؤه استجابةً لذلك، ولا يقول أي منهما إنه تم إخطار مورّد. التدابير التخفيفية الوحيدة من جانب المنتج التي جرى مناقشتها عامة — مخازن بيانات الاعتماد في نظام التشغيل، ورموز مميزة محدودة النطاق وقصيرة العمر، وضوابط الاحتفاظ التي يرى Gen Digital أنها ينبغي أن تأتي من الأدوات نفسها.

• صُحّح بعد النشر: تحمل مذكرة Cloud Security Alliance نسخة منقّحة 1.1 بتاريخ 11 سبتمبر 2026، وتقول إنها عالجت مشكلة تضخيم في المقياس، حيث كانت أعداد رموز تسجيل الدخول على مستوى منظومة Google وMicrosoft قد عُرضت بوصفها تعرّضًا خاصًا بالذكاء الاصطناعي دون التحفظ الخاص بـ Okta، إلى جانب استشهاد أُرفق خطأً ومرجعين تعذّر التأكد من كونهما نشطين.

ما الذي تغيّر بعد ذلك: عمليات التدوير، وليس إعادة تعيين كلمات المرور

الاستجابة التي يتفق عليها التقريران هي تغيير في التعامل مع الحوادث وليست مجرد رقعة. وتتمثل إرشادات Gen Digital في التعامل مع ملف مصادقة محلي باعتباره كلمة مرور، وتفضيل سلسلة مفاتيح نظام التشغيل أو حلقة المفاتيح حيث يتيح المنتج هذا الخيار، وإبقاء الأسرار خارج المطالبات، ومنح تكاملات MCP فقط الأذونات التي تحتاج إليها، وبعد الإصابة ببرمجية سرقة — العمل من جهاز نظيف لإلغاء جلسات خدمات الذكاء الاصطناعي وتدوير مفاتيح API وبيانات اعتماد MCP. وأكثر عباراتها صراحةً هي أن «تغيير كلمات مرور المتصفح وحده لم يعد كافيًا»، وأن المصادقة متعددة العوامل قد لا تمنع إساءة استخدام رمز جلسة سُرِق بالفعل.

تُعدّ ضوابط Okta المكمّل الخاص بجانب الهوية: سقوف الاستخدام وإدراج عناوين IP في القائمة المسموح بها على مفاتيح API، وتدفقات OAuth 2.0 التي تصدر رموز وصول قصيرة العمر من رمز تحديث محفوظ في سلسلة مفاتيح، ومراقبة إعادة استخدام رمز الجلسة، وبيانات اعتماد الجلسة المرتبطة بالجهاز (Device-Bound Session Credentials)، التي تربط الجلسة بجهاز ما تشفيريًا. وتشير Okta إلى أن DBSC ما زال في مرحلة مبكرة — إذ يجب أن تنفّذه الخدمات من جانب الخادم — وأن Chrome 145 for Windows، الذي صدر في مارس 2026، يمكنه دعمه. كما يسجّل أن App-Bound Encryption من Google، الذي أُدخل في 2024 لتشفير بيانات المتصفح، قد التفّ حوله مطورو أدوات السرقة بسرعة نسبيًا. ويستخلص Cloud Security Alliance الاستنتاج التشغيلي بأن إبطال الرمز، وليس إعادة تعيين كلمة المرور، هو ما يغلق جلسة حية مسروقة.

يبقى السجل حيث تضعه حقوله: نتيجة بحثية متوسطة الخطورة، بثقة A، غير متنازع عليها، بلا ضرر حقيقي مسجّل، وخلفها يوم واحد فقط من النشر. ما يجعله جديرًا بالاحتفاظ هو عدم التماثل الذي يوثّقه — فكلفة إضافة وكيل آخر إلى قائمة تجميع هي تحديث تكوين واحد، بينما كلفة معرفة أي الوكلاء على أي الأجهزة يحملون بيانات اعتماد قابلة لإعادة الاستخدام هي جرد لم تُجرِه معظم المؤسسات.