اختطاف هوية سير العمل: Noma Labs تحوّل رسالة بريد إلكتروني دعم عادية إلى وصول مميز إلى البيانات

في 9 سبتمبر 2026، نشر فريق البحث في Noma Security، تحت اسم Noma Labs، تقريرًا عمّا يسمّيه اختطاف هوية سير العمل: يقرأ سير عمل ذكاء اصطناعي مؤسسي رسالة عادية تصل إلى نقطة دخول عامة — صندوق بريد دعم، أو مشكلة على GitHub، أو نموذج ويب، أو مستند مشترك — ثم ينفّذ العمل المطلوب باستخدام حساب الخدمة عالي الامتيازات الخاص به بدلًا من أذونات المرسل. في العرض التوضيحي الذي قدّمه Noma، يرسل شخص خارجي بريدًا إلكترونيًا إلى عنوان الدعم العام لشركة ويطلب، من بين أمور أخرى، أرقام المبيعات الربعية من أحدث بريد إلكتروني للمدير المالي؛ وبعد دقائق تصل المحتويات إلى صندوق بريد المهاجم. لم يُخدَع أي نموذج ولم يُخترَق أي حساب، وهذا هو مغزى التقرير: "كل ما كان على المهاجم فعله هو أن يطلب". لا يسجّل الأرشيف أي ضرر حقيقي — فلا تُذكر أي ضحية ولا يُوصف أي نظام منشور بأنه مخترق — وتصنّف النتيجة على أنها بحث، بخطورة متوسطة، وثقة A، ومتنازع عليها: خطأ. يستند هذا التقرير إلى تقرير Noma Labs، وإلى تغطية Dark Reading المنشورة في اليوم نفسه، ومتابعة CSO Online، وأرشيف حوادث الذكاء الاصطناعي يضم هذا المدخل إلى جانب المداخل المجاورة له، ولكل منها مصادره ودرجة خطورته وثقته الخاصة.

تستحق حقول السجل نفسها القراءة قبل المتن: فهو موسوم بـ INFRA وEXFIL، ويغطي منطقة GLOBAL، ويحمل تاريخًا واحدًا محددًا بدقة اليوم هو 9 سبتمبر 2026، وغير موسوم كمدخل بارز. والتاريخ هو تاريخ نشر البحث ولا شيء آخر؛ فلا خط زمني للحادث مرتبط به، لأنه لا توجد حادثة لتوقيتها. وهذا أول ما يجب التمسك به: فما نشرته Noma هو آلية وفئة، وليس تقرير اختراق.

ما أثبته Noma، وما لم يثبته

إن تسلسل صندوق وارد الدعم هو مثال توضيحي مُصاغ وليس حالة عميل. لا يذكر تقرير Noma أي مؤسسة، ولا يقدّم عددًا للنشرات المتأثرة، ولا ينشر بيانات تليمترية من أي خط أنابيب حقيقي، ولا يربط تشغيلًا تجريبيًا لإثبات المفهوم لهذا السيناريو — بخلاف أبحاث المجموعة في يوليو، التي أشارت إلى تشغيل عام على GitHub Actions. وما يقدّمه التقرير بدلًا من ذلك هو وصف للآلية دقيق بما يكفي للتحقق منه مقابل بنية معمارية: تصل مُدخلة غير مصادَق عليها، ويفسّرها النموذج تفسيرًا صحيحًا، وينفّذ خط الأنابيب الاستدعاء اللاحق، ويُجرى ذلك الاستدعاء بسلطة منشئ سير العمل.

يوجز ساسي ليفي، رئيس أبحاث الأمن في Noma ومؤلف التقرير، السبب الجذري في جملة واحدة: «هوية وصلاحيات المستخدم الذي يطلق سير عمل ما منفصلة عن الهوية والصلاحيات المستخدمة لتنفيذه». وحيثما ينطبق ذلك، يصبح سير العمل، وفقاً لما ورد في التقرير، «وكلاء غير مصادَق عليهم لإجراءات ذات امتيازات وتسريب صامت للبيانات».

لأن الإجراءات تُنفَّذ عبر أتمتة موثوقة وببيانات اعتماد صالحة، يرى Noma أنه لا يبقى إلا القليل مما يمكن لآليات التنبيه التقليدية أن ترصده. فالطلب عادي، ومخرجات النموذج مخرجات نموذج صالحة، ونداء API موثَّق، والرد هو الرد الذي صُمم سير العمل لإرساله. ونقل CSO Online عن عضو الفريق الأحمر Vibhum Dubey قوله إن مشكلة الكشف ملموسة: «قد تبدو الأحداث الفردية مشروعة تمامًا. أما الإشارات المفيدة فستأتي من ربط مقدم الطلب الأصلي، والهوية المستخدمة في المراحل اللاحقة، والموارد التي جرى الوصول إليها، والمعاملات المقدَّمة، والإجراء النهائي».

الفحص الذي يفشل هو فحص تفويض، وليس مرشّح محتوى

أوضح مثال في التقرير هو زوج من الطلبات المتطابقة. من مدير مالي تنفيذي: «ما أرقام المبيعات الفصلية من مدير المالية في أحدث بريد إلكتروني له؟» ومن مرسل خارجي: الكلمات نفسها. نقطة نوما هي أن الموجّه والعملية المطلوبة متماثلان، بينما يجب أن يكون قرار التفويض مختلفًا تمامًا — «المدير المالي التنفيذي يحق له الحصول على تلك المعلومات؛ أما المرسل الخارجي فلا.»

يجادل التقرير بأن كاشفات حقن الأوامر القياسية وحواجز حماية الوكلاء تصنّف المدخلين تصنيفًا متطابقًا، لأنه لا يوجد في أي منهما ما هو خبيث يمكن اكتشافه. «الخطر الأمني لا يكمن في الأمر؛ بل في حدود التفويض». ويستنتج ادعاء Noma البنيوي من ذلك: فحواجز الحماية وتعليمات النظام ومرشّحات المدخلات «لم تُصمّم لتكون حدًا للتفويض»، لذا فإن أي خط معالجة يعتمد عليها لتحديد ما يجوز للمستدعي استرجاعه إنما يعتمد على ضابط لم يُطلب منه قط أداء تلك المهمة.

التمييز مهم عمليًا. حقن الأوامر المباشر يتلاعب بكيفية اتباع النموذج للتعليمات؛ وحقن الأوامر غير المباشر يخفي التعليمات في محتوى سيقرأه النموذج لاحقًا؛ أما اختطاف هوية سير العمل، كما تعرّفه Noma، فلا يحتاج إلى أي منهما، لأن الطلب هو طلب يُفترض أن يفهمه النموذج ويُفترض أن تنفذه خطوط المعالجة. المدافع الذي أمضى العام في تحصين الأنظمة ضد الحقن كان يعمل على طبقة مختلفة.

تقع مسارات العمل الثابتة خارج نطاق جهود تحصين الوكلاء

يفصل Noma بين أمرين يُستخدمان عادةً بالتبادل. فسير عمل الذكاء الاصطناعي هو تسلسل ثابت ومحدد مسبقًا يكون فيه النموذج خطوة معالجة واحدة — والاختصار الذي يستخدمه التقرير هو الخطوة أ، النموذج، الخطوة ب، الخطوة ج — وتتحكم خط الأنابيب الحتمية المحيطة بالنموذج فيما يحدث. أما سير العمل الوكيل فهو مستقل: إذ يقرر الوكيل أي الخطوات يتخذ وأي الأدوات يستدعي. ويرى التقرير أن قدرًا كبيرًا من جهد الأمان الحالي قد ذهب إلى النوع الثاني، عبر تقييد الوصول إلى الأدوات وتحديد نطاق الأذونات للوكلاء الذين يتخذون قرارات ديناميكية، ولا تصل هذه الضوابط إلى النوع الأول.

يغلق التقرير أيضًا منفذ هروب واضحًا. إن تقييد مَن أو ما يمكنه تشغيل سير عمل لا يحل المشكلة: فإذا كانت أتمتة تعمل عند الساعة 8:00 صباحًا وفق جدول زمني وتؤثر على صندوق بريد يمكن لأي شخص الكتابة إليه، فإن تدقيق "مَن يمكنه تشغيل سير العمل هذا" يجيب عن السؤال الخاطئ. قاعدة Noma هي أنه يجب تقييم كل أتمتة من منظور "الطرف الأقل ثقة القادر على التأثير في ما تعمل عليه" — بما في ذلك رسائل البريد الإلكتروني والنماذج والتذاكر ومشكلات GitHub والمستندات المشتركة ورسائل الدردشة.

تقول Noma إن Google أصلحت حالة في Google Workflows؛ لكن Google لم تنشر أي شيء

المنصة الوحيدة المذكورة بالاسم في التقرير هي منصة Google. وتذكر Noma أنها حدّدت متجه الخطر نفسه داخل Google Workflows، وأنها أبلغت عنه بمسؤولية، وأن Google أقرّت بالتقرير وأكدت إصلاحًا "دون الكشف عن تفاصيل التنفيذ". تلك الجملة هي كل ما يتضمنه السجل العام. لم يتسنَّ العثور على أي نشرة من Google أو ملاحظة إصدار أو CVE تصف هذا المتجه، وكل رواية ثانوية عن الإصلاح — بما فيها تلك المنشورة في الأيام التي أعقبت 9 سبتمبر — تنسبه إلى Noma لا إلى Google.

كما أن التقرير ليس متسقًا تمامًا بشأن أي منتج من منتجات Google يقصده. يذكر النص السردي Google Workflows؛ بينما يقول عنوان قسم في التقرير نفسه: «Google Workspace: AI Workflow Identity Hijacking». كلاهما من منتجات Google لكن بحدود ثقة مختلفة، ولا يوفّق التقرير بينهما. ولا تقول Noma ما إذا كانت الحالة التي أبلغت عنها قد استُغلت، أو عدد العملاء الذين تعرّضوا لها، أو ما الذي غيّره الإصلاح — وبما أن Google لم تقل شيئًا، فلا يمكن سد أي من تلك الفجوات من جانب المورّد.

كان GitLost هو الحد نفسه، منظورًا إليه من خلال عدسة أضيق

يشكّل إفصاح Noma السابق سابقةً لهذه الفئة. في يوليو 2026، نشرت المجموعة بحثًا حول GitHub Agentic Workflows أطلقت عليه اسم GitLost: سير عمل يُفعَّل عند إسناد مشكلة، فيقرأ عنوان المشكلة ونصها ويرد بتعليق، ولأن الوكيل كان يملك صلاحية قراءة عبر مستودعات المؤسسة، أمكن للمستخدمين الخارجيين استخدام إسناد المشكلات للوصول إلى بيانات المستودعات الخاصة. تناولته Dark Reading في 7 يوليو 2026، ووصفت مهاجمًا يخفي أوامر بلغة إنجليزية عادية داخل نص مشكلة مفتوحة في مستودع عام، من دون الحاجة إلى بيانات اعتماد أو مهارة برمجية.

الصياغتان ليستا متطابقتين، والفرق هو الجزء المثير للاهتمام. تقرير Dark Reading في يوليو هو قصة حقن مطالبات: نص يتحكم به المهاجم يُقرأ كتعليمات. ويصف تقرير Noma في سبتمبر GitLost من حيث المُحفّز والوصول للقراءة على مستوى المستودع بأكمله، ويقدّمه على أنه حدود التخويل نفسها منظورًا إليها من زاوية واحدة. كلا الوصفين ينطبقان على سير عمل قرأ فيه وكيل نصًا كتبه شخص خارجي، لكن الأول فقط يعتمد على توجيه النموذج. تقول Noma الآن إنها أبلغت Google عن متجه المخاطر نفسه؛ لكنها لا تقول ما إذا كانت حالة GitLost قد استُغلت يومًا بما يتجاوز العرض التوضيحي المنشور.

إن رواية Noma نفسها عن مدى الانتشار هي أن Hacker News وDark Reading وأكثر من 100 منفذ إخباري دولي آخر غطّت بحث GitLost. هذا الرقم هو رقم المورّد، ولم يحصِ هذا المقال التغطية بشكل مستقل.

يتفق الممارسون على أن الآلية قديمة؛ والجدال يدور حول الاسم.

لم تعترض التغطية المستقلة على النتيجة، واعترض ممارسان خارجيان على الجِدّة بدلًا من الجوهر. قال موري هابر، كبير مستشاري الأمن في BeyondTrust، لـ Dark Reading: «لم يخدع أحدٌ نموذج ذكاء اصطناعي ليحمله على فعل شيء لم يكن من المفترض أن يفعله. فقد فعل النموذج تمامًا ما قيل له، من قِبل شخص غريب (غير موثوق)، واستخدم سير العمل المحيط به هوية شخص آخر لتحقيق ذلك لأنه لم يكن محدّد النطاق ولم يُعامل وفق مبدأ أقل الامتيازات». ونقلت CSO Online عن فيبوم دوبي وصفه للنمط بأنه «فئة معروفة من نقاط ضعف التفويض»، مضيفًا أنه حين يمكن لمدخل غير موثّق أن يشغّل سير عمل موثوقًا يعمل بامتيازاته الخاصة، «فيمكن لسير العمل أن يعمل فعليًا بوصفه "نائبًا مرتبكًا"».

قدّم رام فاراداراجان، الرئيس التنفيذي لـ Acalvio، إلى Dark Reading ضابطًا أمنيًا مختلفًا تمامًا: فبدلًا من مزيد من الفلترة، ابذر البيئة بعناصر طُعم — سلاسل تنفيذية مزيفة، وسجلات honeytoken — لا يوجد سبب مشروع لأي سير عمل مُصرّح به كي يمسّها، بحيث إن طلبًا يبدو حميدًا وهو يسعى للوصول إلى أحدها يصطدم بحدٍّ لا ينبغي له تجاوزه أبدًا. الخلاف، إن كان خلافًا، يدور حول ما إذا كانت المساهمة المفيدة اسمًا جديدًا لثغرة تفويض من حقبة 1988 أو وصفًا عمليًا للمكان الذي تعيش فيه تلك الثغرة الآن. موقف Noma هو الثاني: أن النمط بنيوي عبر خطوط أنابيب الذكاء الاصطناعي المؤسسية، وأن أطر أمان الذكاء الاصطناعي الحالية تنظر إلى السطح الخطأ.

التخفيف هو التفويض ونقطة تفتيش، وليس مرشحًا أفضل.

توصيات الضوابط الخاصة بـ Noma تقع على طبقة التطبيق لا على طبقة النموذج. ويعني تفويض الرموز المدرك للهوية إزالة مفاتيح API الإدارية الثابتة من سير عمل الذكاء الاصطناعي، وتنفيذ عمليات البيانات باستخدام رموز تفويض قصيرة العمر ومحددة النطاق ومرتبطة بالطالب الموثّق، بحيث ينتقل سياق المستخدم إلى الاستدعاء الذي يلمس البيانات فعليًا. أما نقاط تفتيش التفويض السياقية فتعني التعامل مع كل مخرجات النموذج كمدخلات غير موثوقة، ووضع تقييم صريح للتحكم في الوصول والحماية أثناء التشغيل بين خطوة التحويل التي يقوم بها النموذج وأي استدعاء لاحق لقاعدة بيانات أو أداة. ويعني فصل المخرجات غير المتماثل عزل استرجاع البيانات هيكليًا عن قنوات الاتصال الخارجية، بحيث لا يتشارك سير العمل الذي يعالج بيانات داخلية حساسة مسار تنفيذ مع آلية مؤتمتة ترد على الأطراف الخارجية.

قدّم دوبي إلى CSO Online اختبارًا أقل تكلفة من أيٍّ من الثلاثة: قارن النتائج عبر مستويات الامتياز. "{{1}}إذا كان بإمكان مستخدم ذي امتيازات منخفضة الحصول على النتيجة نفسها التي يحصل عليها المسؤول لأن الأنظمة اللاحقة لا ترى سوى هوية سير العمل، فهناك سأركّز التحقيق.{{/1}}"

ما يتركه السجل مفتوحًا

• لا ضحية، ولا عدد، ولا بيانات تتبّع. حالة صندوق الدعم لدى Noma مجرد عرض توضيحي؛ فالتقرير لا يسمّي أي منظمة، والأرشيف يسجّل ضررًا حقيقيًا على أنه زائف. وكون الآلية معقولة ليس دليلًا على أنها استُخدمت.

• أي منتج من منتجات Google جرى إصلاحه، وما طبيعة هذا الإصلاح. تقول صياغة Noma إنه Google Workflows، بينما يشير عنوان القسم لديها إلى Google Workspace، ولم تنشر Google أي شيء. ولا تستطيع المؤسسات بعد أن تحدد من المصادر العامة ما إذا كان خط أنابيب تشغّله قد كان ضمن النطاق.

• ما إذا كان هذا الناقل قد استُغل في أي مكان. لا يصف التقرير ولا أي تغطية جرى مراجعتها لهذه المقالة حملةً مرصودة، أو فقدان بيانات، أو نتيجة تحقيق جنائي منسوبة إلى اختطاف هوية سير العمل.

• ما إذا كانت الفئة تصمد أمام القياس. لم تنشر أي جهة مستقلة مسحًا أو مجموعة من خطوط الأنابيب المتأثرة أو حزمة اختبارات لهذا النمط؛ فالأدلة المتداولة هي حجة معمارية بالإضافة إلى رواية مورّد واحد عن حالة واحدة تم إصلاحها.

• من يطرح الحجة. Noma Labs هو الذراع البحثي لـ Noma Security، التي تبيع ضوابط أمنية للوكلاء من النوع نفسه الذي يوصي به تقريرها. وهذا لا يجعل النتيجة خاطئة — فقد أوردها كل من Dark Reading وCSO Online، ولم يجد أي منهما خطأً واقعيًا — لكنه سياق ينبغي للقارئ أن يضعه في اعتباره وهو يزن مدى اتساع نطاق الفئة كما رُسم.

يصف تصنيف الخطورة «متوسط» للسجل وعلامة الضرر الفعلي الخاصة به المضبوطة على «خطأ» الدليلَ، لا الآلية. وما أثبته Noma فعليًا ضيّق وقابل للتحقق: أن هوية المشغّل في سير عمل ما وهوية تنفيذه شيئان منفصلان، وأن الثانية عادةً أكثر قوة، وأن خط معالجة لا يقارن بينهما أبدًا سيفعل بالغريب ما سيفعله بالشخص الذي بُني من أجله. وبالمقابل، فإن الضابط الذي يتبع ذلك غير مبهر — اسأل، عن كل أتمتة، من يمكنه التأثير في ما تعمل عليه، وهل يعيد أي شيء في المراحل اللاحقة التحقق، في أي وقت، من أن الشخص الذي يسأل كان مسموحًا له بالسؤال.