Aoki: برمجية خبيثة تسرق مفاتيح Claude وCodex وCursor من جهازك، فماذا تحتوي ملفاتك؟

في منتصف أكتوبر 2026 نشر فريق Threat Hunter في سيمانتك تقريراً عن إصدارات حديثة من برمجية Aoki (وتُعرف أيضاً باسم Aokigahara)، وهي برمجية خبيثة لسرقة البيانات ظهرت في وقت مبكر من العام. الجديد أن الإصدارات الأحدث لا تكتفي بكلمات مرور المتصفحات والمحافظ الرقمية، بل تبحث عن ملفات الاعتماد التي تتركها أدوات الذكاء الاصطناعي للبرمجة على جهاز المطوّر. في هذا المقال نشرح ما الذي تستهدفه فعلاً، وما الذي لم يقله التقرير، وكيف تقلّل الضرر إن كان جهازك مكشوفاً.

ماذا اكتشفت سيمانتك؟

بحسب التقرير والتغطيات المنقولة عنه، تحتوي أحدث العينات على قائمة مسارات وملفات تفتش عنها البرمجية بعد أن تعمل على الجهاز. من أبرز ما ورد:

• ملف .claude.json وكوكيز تطبيق Claude لسطح المكتب.
• كوكيز ChatGPT، وملف config.toml الخاص بـ Codex مع ملفات .env.
• رموز الدخول لكل من Cursor وGitHub Copilot وGoogle Gemini وJetBrains AI Assistant وKiro.
• بيانات اعتماد Amazon Web Services.
• في إصدارات أخرى حديثة: ملفات Codeium.

وإلى جانب ذلك تسرق البرمجية من عشرات المتصفحات والمحافظ المشفرة ومديري كلمات المرور وتطبيقات المراسلة والألعاب وعملاء VPN وFTP. أي أن مساعدي البرمجة أضيفوا إلى قائمة طويلة موجودة أصلاً، ولم يكونوا الهدف الوحيد.

لماذا تهمّ هذه الملفات المهاجم؟

مفتاح واجهة برمجية أو رمز جلسة لا يفتح لك محادثة فقط. فهو يمنح حامله هوية صاحب الحساب وحصته من الاستهلاك، وقد يمتد أثره إلى ما هو أبعد:

ما يُسرق	ما قد يفعله المهاجم به
مفتاح واجهة نموذج	تشغيل طلبات على حسابك واستنزاف رصيدك (يسمّى LLMjacking)
رمز مساعد برمجة	الوصول إلى مستودعاتك وسياقها
ملف .env	الوصول إلى قواعد بيانات وخدمات سحابية
اعتماد AWS	تشغيل موارد أو قراءة بيانات وخطوط نشر

ويشير التقرير إلى أن بيانات اعتماد الذكاء الاصطناعي صارت تُعامل في سوق الجريمة الإلكترونية بقيمة تقارب بطاقات الدفع والمحافظ المشفرة، لأنها تُباع أو تُستخدم مباشرة.

المفتاح الذي يبقى نصاً عادياً على القرص ليس سراً، بل هو وعد بأن أول برمجية خبيثة تصل إلى جهازك ستتصرف باسمك.

ما الذي لا يقوله التقرير؟

من المهم ألا نضخّم الخبر، فالتقرير نفسه يضع حدوداً واضحة:

1. لا ثغرة في الأدوات: لا يصف التقرير خللاً في Claude Code أو Codex أو أي وكيل آخر. البرمجية تقرأ ملفات موجودة أصلاً على القرص بعد أن تعمل بصلاحيات المستخدم.
2. طريقة الإصابة مجهولة: لم يوضح التقرير كيف تصل Aoki إلى الجهاز، ولا الجهة التي تقف خلفها.
3. لا أعداد للضحايا: لا توجد أرقام عن حجم الانتشار.
4. لا أوامر تحكم: تجمع البرمجية ما تجده وترسله إلى خادم التحكم، ولا تملك قائمة أوامر خلفية.

الخلاصة أن الخطر حقيقي لكنه من نوع «اختراق الجهاز أولاً»، وليس عيباً في برنامج بعينه. وهذا يغيّر أولويات الدفاع.

كيف تقلّل الضرر؟ خطوات عملية

1. اعرف ما الذي تحتويه ملفاتك

افتح ملفات الإعدادات في مجلد المستخدم وملفات .env في مشاريعك وابحث عن مفاتيح مكتوبة نصاً. كثير من المطورين ينسون مفاتيح قديمة ما زالت صالحة.

2. أدِر المفاتيح بصلاحيات أقل

• استخدم مفاتيح بحد إنفاق وصلاحيات ضيقة لكل مشروع بدل مفتاح واحد شامل.
• فضّل بيانات اعتماد AWS المؤقتة على المفاتيح الدائمة.
• لا تضع مفتاح الإنتاج في جهاز التطوير.

3. دوّر المفاتيح عند الشك

إن اشتبهت بإصابة جهازك فاعتبر كل ما عليه مكشوفاً: أبطل المفاتيح والرموز وسجّل الخروج من الجلسات، ثم أعد إصدارها من جهاز نظيف. لا تكتفِ بحذف البرمجية.

4. راقب الاستهلاك غير المعتاد

فعّل تنبيهات الإنفاق في لوحات مزوّدي النماذج والسحابة. ارتفاع مفاجئ في الطلبات من منطقة غير معتادة هو أبكر علامة على LLMjacking.

5. أضف هذه الملفات إلى خطة الاستجابة

إن كنت تدير فريقاً، فأدرج ملفات اعتماد مساعدي البرمجة ضمن قائمة ما يُفحص ويُدوَّر عند أي حادثة اختراق لجهاز موظف، كما تفعل مع كلمات المرور وشهادات الدخول.

ماذا يعني هذا لأدوات الذكاء الاصطناعي؟

كلما صار الوكيل أقدر على العمل باسمك، صار ما يخزّنه من اعتماد أثمن. هذا يدفع الصناعة نحو تخزين الأسرار في مخازن النظام الآمنة وإصدار رموز قصيرة العمر، بدل ملفات نصية دائمة. وحتى يحدث ذلك على نطاق واسع، تبقى النظافة الأمنية للمطوّر خط الدفاع الأول.

أسئلة شائعة

هل Claude Code أو Codex مصابان بثغرة؟

لا. التقرير لا يذكر أي ثغرة في هذه الأدوات. البرمجية تقرأ الملفات بعد أن تعمل على الجهاز بصلاحيات المستخدم.

هل يكفي حذف البرمجية لأكون آمناً؟

لا. ما سُرق لا يعود بالحذف. يجب إبطال المفاتيح والرموز وتدويرها وتسجيل الخروج من الجلسات.

كيف أكتشف أن مفتاحي استُخدم دون علمي؟

راجع لوحة الاستهلاك عند المزوّد بحثاً عن طلبات أو أوقات أو مناطق غير مألوفة، وفعّل تنبيهات حد الإنفاق.

الخلاصة

لا تكشف Aoki عن ضعف في مساعدي البرمجة، بل عن حقيقة أن ملفات اعتمادهم صارت هدفاً مباشراً لسارقي البيانات. ابدأ بمعرفة ما تحتويه ملفاتك، وقلّل صلاحيات المفاتيح، وفعّل تنبيهات الإنفاق، ودوّر ما تشك فيه فوراً. بهذه الخطوات البسيطة تحوّل مفاتيحك من هدف سهل إلى أصل محدود الضرر حتى لو وصلت برمجية خبيثة إلى جهازك.

المصادر: Symantec، Infosecurity Magazine، SC World، Cyberpress