ثغرة في Google ADK منحت صلاحيات Google Cloud عبر تقرير "خلل" مزيّف: ماذا يعني هذا لوكلاء البرمجة؟

في أواخر أغسطس 2026، كشف باحثون من شركة الأمن السيبراني Pillar Security عن ثغرة لم تكن تحتاج لا كود خبيث ولا استغلال تقني معقّد، بل مجرد تقرير خلل عادي على GitHub. كان كافياً أن يحتوي هذا التقرير على تعليمات مخفية ضمن نصّه، لتتحول عملية الفرز الآلي للتقارير — التي يقوم بها وكيل ذكاء اصطناعي — إلى باب خلفي يمنح صلاحيات بمستوى Editor داخل مشروع Google Cloud داخلي فعلي. الحادثة ليست افتراضية؛ هي مثال موثّق على كيف يتحول أداة مفتوحة المصدر إلى نقطة اختراق لبيئة سحابية مملوكة لإحدى أكبر شركات التقنية في العالم.

كيف حدث الاختراق بالضبط؟

الثغرة مرتبطة بـ Google Agent Development Kit (ADK)، وهي حزمة أدوات بايثون طوّرتها Google لمساعدة فرق التطوير على بناء وكلائها الخاصة. وجد الباحثون أن مستودع google/adk-python نفسه يستخدم وكيلاً للذكاء الاصطناعي في فرز تقارير الأخطاء الواردة من المستخدمين.

خطوات الاستغلال كانت على النحو التالي:

1. يقدّم المهاجم تقرير خلل عادياً ظاهرياً في المستودع العام.
2. يحتوي نص التقرير على تعليمات مخفية موجّهة للوكيل الذي يفرز التقارير تلقائياً، لا للإنسان القارئ.
3. عند معالجة الوكيل للتقرير، ينفّذ التعليمات المخفية بدل الاكتفاء بتصنيف الخلل.
4. هذا يفتح مساراً لتشغيل مهمة ضمن سير عمل وكيل آخر يملك صلاحيات مخصّصة لصيانة المشروع فقط.
5. النتيجة: انتحال صفة حساب يملك صلاحيات مرتفعة، والوصول إلى مشروع Google Cloud داخلي.

المشكلة الجوهرية ليست في "ذكاء" النموذج أو ضعفه، بل في أن حدود الصلاحيات بين وكيلين — أحدهما مفتوح للعموم والآخر مخصّص للصيانة — لم تكن محكمة بما يكفي لمنع تسرّب الصلاحية من الثاني إلى الأول.

ثغرة مرتبطة: Gemini CLI وتقييم CVSS 10.0

في تغطيات موازية حول أمن أدوات الترميز بالذكاء الاصطناعي خلال سبتمبر 2026، ظهرت تفاصيل عن خلل في Gemini CLI حصل على أعلى تقييم خطورة ممكن (CVSS 10.0):

• وسم "تقييد الأدوات" (tool-restriction annotation) كان شكلياً فقط، ولم يُطبَّق فعلياً أثناء التشغيل.
• عملية "تنظيف الأسرار" كانت تعتمد على قراءة /proc/$PPID/environ داخل مساحة أسماء عمليات (PID namespace) مشتركة، ما يعني تسرّب بيانات حساسة بين عمليات يُفترض أنها معزولة.
• وُجد أيضاً أن وكيلين يعملان داخل المستودع نفسه — أحدهما مفتوح للجميع والآخر مقيّد لمشرفي المشروع — يمكن ربطهما عبر حقن أوامر يعبر الحاجز بينهما.

هذا النمط يتكرر: حدود الصلاحيات بين وكيل "خارجي" وآخر "داخلي موثوق" هي الحلقة الأضعف في أنظمة الوكلاء المتعددة اليوم.

تحذير Google نفسها: الاستغلال يحدث في بيئات الإنتاج فعلاً

في 11 سبتمبر 2026، أصدر فريق استخبارات التهديدات في Google Cloud تحذيراً رسمياً يفيد بأن جهات مهاجمة تستغل فعلياً ثغرات حقن الأوامر ضد وكلاء برمجة منشورة في بيئات إنتاجية حقيقية، لا في بيئات اختبار. التحذير لم يحدّد عدد الحوادث أو الجهات المتضررة، لكنه أكّد أن النمط تطوّر من استغلالات بسيطة على مستوى الـ Prompt إلى هجمات تستهدف سير عمل الوكلاء المستقلة بالكامل.

ماذا يعني هذا لمن يبني أو يستخدم وكلاء برمجة؟

1. لا تثق بمدخلات خارجية كأنها نص فقط

أي نص يصل لوكيل ذكاء اصطناعي — تقرير خلل، تعليق على Pull Request، رسالة عميل — يجب التعامل معه كمدخل غير موثوق قابل لحمل تعليمات خفية، تماماً كما تتعامل مع مدخلات المستخدم في تطبيق ويب تقليدي.

2. افصل صلاحيات الوكلاء بصرامة فعلية لا شكلية

وجود وسم "مقيّد" في الكود لا يعني أنه مُطبَّق فعلياً أثناء التشغيل. يجب التحقق من الصلاحيات في كل طبقة تنفيذ، لا الاعتماد على تعليق أو إعداد تجريدي.

3. راقب التفاعل بين وكيلين في نفس النظام

حين يعمل وكيلان بصلاحيات مختلفة داخل مشروع واحد، يجب التأكد من أن أحدهما لا يستطيع تشغيل الآخر أو تمرير مهام إليه بطريقة تتجاوز حدود صلاحياته الأصلية.

أسئلة شائعة

هل الثغرة في Google ADK ما زالت قائمة؟ التقارير المتاحة تتحدث عن اكتشاف الباحثين لها وإبلاغ Google بها؛ الاتجاه العام في مثل هذه الحالات هو إصدار تصحيح بعد الإبلاغ المسؤول، لكن المستخدمين الذين يبنون على ADK يجب أن يتابعوا تحديثات الأمان الرسمية للحزمة مباشرة.

هل هذا يعني أن أدوات الترميز بالذكاء الاصطناعي غير آمنة للاستخدام؟ لا، لكنه يعني أنها تحتاج نفس انضباط الأمان الذي تُطبّقه على أي نظام يُشغّل كوداً أو يملك صلاحيات وصول حساسة: صلاحيات محدودة، تحقق من المدخلات، ومراقبة سلوك غير متوقع.

من المتضرر الأكبر من هذا النوع من الثغرات؟ الفرق التي تدمج وكلاء ذكاء اصطناعي في سير عمل آلي يتفاعل مع مدخلات عامة (تقارير أخطاء، تذاكر دعم، تعليقات مستخدمين) دون طبقة تحقق أو عزل كافية بين الصلاحيات.

الخلاصة

ما كشفته Pillar Security وما أكّدته Google نفسها لاحقاً يرسمان صورة واضحة: الخط الفاصل بين "وكيل ذكاء اصطناعي يفرز تقارير الأخطاء" و"حساب يملك صلاحيات إدارية على بنية تحتية سحابية" أصبح أرقّ مما كان يُفترض. مع انتشار الوكلاء المستقلة في كل طبقات التطوير والإنتاج، لم يعد أمان هذه الأنظمة تفصيلاً تقنياً ثانوياً، بل شرطاً أساسياً لا يقل أهمية عن أمان أي واجهة برمجية تتعامل مع بيانات حساسة أو صلاحيات حرجة.