فقدت CrowdSec 170 مستودعًا خاصًا خلال تسع دقائق بسبب فجوة في إجراءات إنهاء الخدمة

في 22 مايو 2026، بين الساعة 05:52:29 و06:01:33 بالتوقيت العالمي المنسق، استخدم شخص يعمل من عنوان IP في تورونتو، كندا، حساب GitHub لمطور كان قد غادر CrowdSec للتو لنسخ نحو 170 من المستودعات الخاصة لشركة الأمن الفرنسية. نشرت CrowdSec ذلك التسلسل الزمني في تقرير الحادث الخاص بها في 18 سبتمبر 2026 — وهو التاريخ الذي يخصصه أرشيف حوادث الذكاء الاصطناعي لهذا السجل — بعد ظهور أرشيف لشيفرتها المصدرية على سوق pwnforum للجرائم الإلكترونية في 16 سبتمبر. ظل الحساب يعمل لأن الشركة كانت قد تركت عن قصد وصول المطور إلى GitHub مفتوحًا ليتمكن من إنجاز بعض العمل. وكان الحاسوب المحمول وراء ذلك قد أُصيب قبل أحد عشر يومًا بدودة Mini Shai-Hulud لسرقة بيانات الاعتماد التي دفع بها TeamPCP عبر حزم npm الخاصة بـ TanStack. هذا السجل مستمد من السجل المودع في 18 سبتمبر 2026، والمجموعة الكاملة الموثقة من الحوادث — إذ يحمل كل مدخل درجة خطورته ودرجة ثقته وعلامة النزاع ومصادره — موجودة في the Orca AI Incident Archive، حيث يمكن قراءة هذا السجل إلى جانب حالات سلسلة التوريد الأخرى من العام نفسه.

لم تقتصر السرقة على الشيفرة البرمجية. كشف تقرير CrowdSec أيضًا عن عناوين البريد الإلكتروني لـ 83 مستخدمًا، مأخوذة من قائمة مراقبة داخلية خاصة بعلوم البيانات ومعظمها حسابات Gmail، إضافة إلى الأسماء الأولى والأخيرة وعناوين البريد الإلكتروني وسياق الاستثمار لـ 51 مستثمرًا محتملًا من عام 2020. مقابل نحو 150,000 مستخدم، تمثل 83 عنوانًا جزءًا صغيرًا؛ لكنها ليست صفرًا. خصّ الرئيس التنفيذي فيليب هومو المستثمرين باعتذاره الشخصي: "إن تسريب أسمائكم وعناوين بريدكم الإلكتروني مسألة سنناقشها مباشرة معكم ومع السلطات المختصة، وأعتذر شخصيًا عن ذلك."

ما استغرقته تسع دقائق فعليًا

تبدأ سجلات Git التي أعادها GitHub إلى CrowdSec عند 05:52:32.138 UTC بعملية جلب ضد أحد مستودعات الشركة، ويتوقف النشاط عند 06:01:33. ويأتي رقم الأرشيف البالغ نحو 170 مستودعًا خاصًا من بيانات Git تلك. وفي تقريره، يصف Humeau هذا الكشف بأنه «مقتصر على الشيفرة المصدرية لـ CrowdSecurity، بما في ذلك أكثر من 130 مستودعًا عامًا والعديد من المستودعات الخاصة». وقد قدّر DevOps.com، عند تغطيته الحادث في 24 سبتمبر، العدد الإجمالي للمستودعات العامة والخاصة بنحو 300 مستودع — وهو رقم أكبر من رقم المستودعات الخاصة الذي ذكرته CrowdSec نفسها، ولم يرد في تقرير الشركة.

كانت المحتويات هي المكوّنات المعتادة لشركة SaaS سريعة الحركة: الشيفرة المصدرية لواجهة الويب، وسكربتات النشر والأتمتة، وسكربتات ونماذج علوم البيانات التي تقف وراء تحليلاتها. وأكثر عنصر حساس تسميه CrowdSec هو "خوارزمية الإجماع" التي تقرر أي عناوين IP تصل إلى قوائم الحظر الخاصة بها. كانت بنية الخوارزمية علنية بالفعل، لكن تنوعها وحدود الكشف فيها لم يكونا كذلك، وهما الآن معروفان. ويرى Humeau أن الحدود هدف متحرك، وأن توجيه الإجماع سيظل يتطلب أسطولًا كبيرًا ومكلفًا من الخوادم؛ وتقول الشركة إنها تستطيع تعديلها وإنها تراقب أي تباينات.

كانت بيانات الاعتماد الجزء الذي كان يمكن أن يكون أسوأ بكثير. كتب هومو: "كنا قريبين جدًا من أن نكون خالين تمامًا." كان السر الوحيد القابل للاستخدام في التسريب هو رمز AWS Simple Notification Service، مقيّدًا بالنشر على موضوع واحد. اختبره شخص ما في 17 أغسطس 2026 من عنوان IP 23.234.84.102، باستدعاء GetCallerIdentity وListTopics مقابل موضوعي dev وenv، ولم يصل إلى أبعد من ذلك. كانت معظم الرموز والأسرار الأخرى في الشيفرة قد أُبطلت أو دُوّرت قبل التسريب. تقول CrowdSec إنه لم يتم الوصول إلى بنيتها التحتية وقواعد بياناتها، ولم تُعدّل أي شيفرة في المشروع مفتوح المصدر أو مصدره الخاص أو خطوط بناءه.

لماذا ما زال الحساب يعمل

إن فشل إنهاء الخدمة صغير ومحدد. بحلول وقت مغادرة المطوّر، كانت CrowdSec قد أزالت صلاحياته الأخرى بالفعل؛ وقد أُبقي حساب GitHub نشطًا، كما كتب Humeau، لأننا «افترقنا مع مطوّرنا على خير، وكان يريد إنهاء بعض العمل». وأُزيل الحساب من مؤسسة GitHub في 25 مايو، بعد ثلاثة أيام من نسخ المستودعات بالفعل.

لم يتمكن CrowdSec من رؤية السرقة في ذلك الوقت، والسبب يستحق الذكر بدقة. لم يكن رمز OAuth المميز موجودًا في سجل التدقيق الخاص بالمؤسسة أو في سجل تدقيق أي عضو حالي، وبحلول الوقت الذي ذهب فيه أحدهم للبحث لم يكن موجودًا بعد: كان قد أُنشئ واستُخدم وانتهت صلاحيته دون أن يترك أثرًا يمكن للشركة قراءته. لا يحتفظ GitHub بنشاط Git إلا ضمن نافذة متجددة مدتها سبعة أيام للمؤسسات غير المشتركة في خطة Enterprise، كما تلاحظ CrowdSec نفسها. جاءت النتيجة الحاسمة من فريق دعم GitHub، الذي تتبع دورة حياة الرمز المميز بالكامل ووفّر نشاط Git الخاص بنافذة الساعتين المحيطة بعملية النسخ. وبهذه الطريقة وصلت الشركة إلى حساب موظف غادر. وجاءت الصلة العائدة إلى TanStack من نفس التمرين.

حمل الأرشيف المسرّب دليله الخاص به. أما .github/.git/config داخله فقد سجّل عنوان URL للأصل بالصيغة oauth2:gho_xxxxxxxxx@github.com، مما يدل على أن بيانات الاعتماد هي رمز OAuth من GitHub، ويتطابق مع المنهجية الموثّقة لدى TeamPCP. وتقول CrowdSec إنها فحصت أجهزة المطورين بحثًا عن حزم ضارة ولم تجد أيًّا من إصدارات TanStack المزوّدة بباب خلفي في مستودعاتها الخاصة — وهي نتيجة تصفها بأنها غير حاسمة لا مبرئة.

من فعل ذلك، ومدى قوة الإسناد

تُعزي CrowdSec عملية التنزيل إلى «أحد مؤسسي BreachForum وعضو يُدعى diencracked»، مع ورود عنوان العضو على شكل diencracked@cock.li، ويعمل من عنوان IP في تورونتو مع ضبط المنطقة الزمنية للجهاز على UTC-4. وتضيف الشركة تحفّظها الخاص في الجملة نفسها: «على الأقل هذا ما تُظهره بيانات Git». ويحمل تقرير Dark Reading المؤرخ 22 سبتمبر الإسناد نفسه إلى مؤسس BreachForum ومعرّف diencracked.

الحملة الأصلية موثّقة على نحو أفضل من الهويات التي تقف خلفها. {{1}}زُرعت أبواب خلفية في حزم TanStack في 11 مايو 2026، عندما نُشرت 84 نسخة خبيثة عبر 42 حزمة؛ ويسجّل The Hacker News هذا الاختراق باسم CVE-2026-45321، ويستشهد بالتنبيه الأمني الخاص بـ TanStack بخصوص الحمولة التي تسرق بيانات الاعتماد.{{/1}} {{2}}يشير الجدول الزمني لـ CrowdSec إلى أنه في 22 مايو، وهو اليوم نفسه الذي نُسخ فيه المستودع، أعلنت TeamPCP — التي تتعقبها CrowdSec باسم UNC6780 — مسؤوليتها عن اختراق مستودعات تابعة لـ Mistral AI.{{/2}}

ما هو ثابت، وما هو غير ثابت

تم إثبات: نسخ حوالي 170 مستودعًا خاصًا في 22 مايو 2026، خلال نافذة زمنية مدتها تسع دقائق، باستخدام حساب GitHub لمطور غادر الشركة ولا يزال صالحًا — وهو تسلسل أُعيد بناؤه من سجلات نشاط Git الخاصة بـ GitHub نفسها، وليس مستنتجًا. وثبت أيضًا بحسب إقرار الشركة نفسها: انكشاف 83 عنوان بريد إلكتروني لمستخدمين وتفاصيل 51 مستثمرًا محتملًا، وإلغاء صلاحية يوم 25 مايو، ورمز SNS الذي جرى فحصه، والنتيجة التي مفادها أنه لم يُعدَّل أي رمز ولم يُتَوصَّل إلى أي بنية تحتية أو قاعدة بيانات.

لم يُحدَّد:أي حزمة مسمومة وصلت إلى الحاسوب المحمول، ومتى. تصرّح CrowdSec بوضوح بأنها لم تحدد أياً منهما. كان فحص مستودع الشركة غير حاسم، وعادت أجهزة مطوريها نظيفة، وهو ما يبدو متناقضاً بشكل محرج مع حاسوب محمول كان — بحسب رواية الشركة نفسها — مخترقاً. الفجوة معترف بها بدلاً من سدها.

غير منشور:جانب GitHub من التحقيق. تقول CrowdSec إن فريق الدعم في GitHub أكّد مصدر TanStack، لكن The Hacker News تشير إلى أن تقرير الشركة لا يتضمّن أي استنتاجات من GitHub نفسها، ولم تنشر GitHub روايتها الخاصة عن دورة حياة الرمز المميز.

التأييد:غطّت Dark Reading وThe Hacker News وDevOps.com الحادثة كل واحدة منها خلال أسبوع، وكلها تبني على تقرير CrowdSec وإشعار TanStack بدلًا من فحص جنائي مستقل لأنظمة CrowdSec. ويضيف Dark Reading تعليقًا من ممارسين خارجيين، بمن فيهم Denis Calderone من Suzu Labs، الذي وصف إخفاق الإبطال بأنه «أمور اليوم الأول». وتكرر مذكرة بحثية من Cloud Security Alliance بتاريخ 20 سبتمبر التسلسل نفسه، لكن الوثيقة تحمل إخلاء مسؤولية خاصًا بها مفاده أنها أُنشئت بمساعدة الذكاء الاصطناعي ولم تخضع لمراجعة رسمية من CSA — وهو أمر يستحق المعرفة قبل احتسابها نتيجة مستقلة ثانية. ويقيّم الأرشيف ثقة السجل بـ A، و«متنازع عليه» بـ«خطأ»، و«ضرر حقيقي» بـ«صحيح».

البيان الأول، والتصحيح

ذكر أول بيان علني صادر عن CrowdSec في 17 سبتمبر أنه "لم يتم تسريب أي بيانات عملاء، أو تسجيل دخول/كلمة مرور، أو اسم، أو مؤسسة، أو أي شيء آخر، ولا تخزّن CrowdSec معلومات التعريف الشخصية (PII) أو سجلات العملاء؛ ويقتصر التأثير على CrowdSec." كما طرح فرضية تقنية: أن أحد المكونات الداخلية قد زُرّع فيه باب خلفي لسرقة مفتاح API قادر على قراءة الشيفرة الخاصة.

التقرير الأكثر اكتمالًا، بعد يوم، استبدل تلك الفرضية برواية الموظف الذي غادر الشركة، وكشف عن العناوين الـ83 والمستثمرين الـ51. وتصف The Hacker News ذلك بأنه تصحيح للادعاء السابق. أما صياغة CrowdSec نفسها فهي أضيق: فالعناوين الـ83 جاءت من قائمة مراقبة خاصة بعلوم البيانات وليس من سجلات العملاء، وتعود تفاصيل المستثمرين إلى عام 2020. ويمكن أن يكون الوصفان صحيحين في آن واحد — فالعناوين لم تكن حسابات عملاء، لكنها كانت مع ذلك بيانات شخصية في تسريب نُشر على منتدى إجرامي. وتقول الشركة إنها ستُخطر المستخدمين والمستثمرين المتأثرين وستُبلّغ السلطات عن التسريب.

ماذا تغيّر بعد ذلك؟

• جرى تدوير بيانات الاعتماد والرموز المميزة التي وُجدت في الأرشيف ليلة 16 سبتمبر وطوال يوم 17 سبتمبر، مع استكمال ما تبقّى من عملية التدوير في صباح اليوم التالي.

• أصبح الكشف والاستجابة لنقاط النهاية الآن مطبّقًا على محطات العمل والحواسيب المحمولة للأشخاص الذين يتعاملون مع قاعدة شيفرة CrowdSec أو بنيتها التحتية؛ وتذكر الشركة أن المنتج هو Aikido Security. ويقرّ Humeau بأنه كان ينبغي أن يكون مطبّقًا في وقت سابق، ويقرّ أيضًا بأنه كان من غير المرجح أن يكون جهاز موظف سابق يشغّله.

• يجري تعديل عتبات خوارزمية الإجماع التي كُشفت في التسريب، مع مراقبة أكثر صرامة للانحراف الإحصائي عبر شبكة قوائم الحظر.

• وضعت الشركة لنفسها هدفًا يتمثل في تقليص زمن الاستجابة نفسه — الجرد والتدوير والتحليل الجنائي والإفصاح — من 48 ساعة إلى أقل من 24.

• يتم التواصل مباشرة مع {{1}}المستخدمين والمستثمرين المتأثرين{{/1}}، ويجري الإبلاغ عن التسريب إلى السلطات، وفقاً {{2}}لصياغة الشركة{{/2}}.

لماذا يوجد هذا في أرشيف حوادث الذكاء الاصطناعي

إن تورّط الذكاء الاصطناعي هنا بنيوي، ويجدر بنا أن نكون دقيقين بشأن ما يعنيه ذلك. لا يرد في سرد CrowdSec أي وصف لنظام ذكاء اصطناعي يتخذ قرارًا أثناء الاختراق؛ فالفاعل كان شخصًا أو أشخاصًا يستخدمون رمز وصول مسروقًا. وما يجعل القضية حادثة تخص قطاع الذكاء الاصطناعي هو نطاق الضرر. فمكتبات TanStack تبني واجهات قدر كبير من البرمجيات الحديثة، والدودة التي جمعت رمز الوصول مصممة لالتقاط بيانات اعتماد السحابة وSSH ومزوّدي النماذج دفعة واحدة، والمواد المنسوخة من CrowdSec تضمنت نصوصًا برمجية ونماذج خاصة بعلوم البيانات وليس شيفرة التطبيق فقط.

وصلت الحملة نفسها إلى شركات الذكاء الاصطناعي مباشرةً. ويسجّل الجدول الزمني لـ CrowdSec إعلان TeamPCP مسؤوليتها عن مستودعات Mistral AI في 22 مايو، وتُفيد The Hacker News بأن جهازين من أجهزة موظفي OpenAI قد تأثرا، مع وصول غير مصرّح به إلى مجموعة محدودة من مستودعات الشيفرة الداخلية. ويسجّل الأرشيف حالة CrowdSec بوصفها الضحية الثانية في سلسلة التبعية لاختراق TanStack في مايو، بعد أجهزة موظفي OpenAI تلك.

المسافة بين النسخة واكتشافها هي الجزء الذي ينبغي أن يُقطع. سُرقت المستودعات في 22 مايو؛ وعلمت CrowdSec بالتسريب في 16 سبتمبر، عندما تواصل فريق Fuites Info مع الشركة بشأن منشور pwnforum — أي بعد 117 يومًا، وليس من خلال مراقبتها الخاصة. لم تكن الآلية التي جعلت التأخير ممكنًا غريبة: حساب تجاوز غرضه بثلاثة أيام، ورمز لم يترك أثرًا في السجلات التي كان بإمكان الشركة قراءتها، وأجهزة حاسوب محمولة للمطورين دون كشف على نقاط النهاية. وكانت CrowdSec، وهي شركة تبيع كشف التهديدات، تملك الثلاثة جميعها.