ثغرة Artifactory جعلت «العزل» في ChatGPT قناة اتصال خفية بين الحسابات

يمكن لبيئة معزولة أن تمنع الاتصالات الشبكية المباشرة، ومع ذلك تفشل في فصل المستخدمين فعلياً إذا كانت كل بيئة تستطيع الوصول إلى خدمة داخلية مشتركة وقابلة للكتابة. هذه هي خلاصة تقرير Check Point Research عن مشكلة في تنفيذ الأكواد لدى ChatGPT، أُبلغ عنها في أواخر يونيو/حزيران 2026 ونُشر التقرير في 8 سبتمبر/أيلول. وأُغلقت القناة التي وصفها الباحثون لاحقاً. 56

الخلل: بيانات وصفية للحزم تحولت إلى «صندوق بريد»

بحسب Check Point، صُممت حاويات تنفيذ الأكواد في ChatGPT لتكون معزولة عن بعضها وعن الإنترنت العام. لكنها كانت تستطيع الوصول إلى خدمة JFrog Artifactory داخلية مشتركة تُستخدم لتوفير الحزم البرمجية. 6

لم تكن المشكلة في إمكان الوصول إلى Artifactory فحسب؛ إذ سمحت واجهة Item Management API، وفق التقرير، بقراءة بيانات وصفية قابلة للتغيير مرتبطة بعناصر مخزنة مؤقتاً وتعديلها. وهكذا نشأت حالة مشتركة يمكن الوصول إليها عبر حسابات مختلفة:

1. تضع جلسة يسيطر عليها المهاجم تعليمات أو بيانات في هذه البيانات الوصفية المشتركة.
2. تقرأ بيئة تنفيذ الأكواد لدى الضحية تلك الحالة أثناء معالجة محادثتها الخاصة.
3. تكتب بيئة الضحية النتيجة في الموقع المشترك نفسه.
4. تسترجع بيئة المهاجم النتيجة.

عملياً، تحولت خدمة الحزم إلى ما يشبه «حافظة مشتركة» ثنائية الاتجاه: مسار داخلي لإرسال الأوامر واستعادة البيانات بين حسابات كان يفترض فصلها. 619

كيف حوّل حقن الأوامر القناة إلى مسار لتسريب البيانات؟

لم يكن الوصول إلى الخدمة المشتركة وحده كافياً للوصول إلى تطبيقات الضحية. فالهجوم المبلغ عنه تطلب أيضاً إدخال تعليمات المهاجم إلى سياق محادثة الضحية، مثل موجّه خبيث، أو محادثة مشتركة، أو تعليمات مخفية داخل GPT مخصص. 46

بعد وجود التعليمات في السياق، كان يمكن أن تدفع جلسة الضحية إلى تنفيذ مهمة منفصلة ومخفية بالتوازي مع طلب المستخدم الظاهر. والنقطة الجوهرية أن التنفيذ يتم بصلاحيات جلسة الضحية القائمة للوصول إلى الأدوات والتطبيقات المرتبطة والبيانات، لا بصلاحيات المهاجم. 6

في نموذج إثبات المفهوم الذي عرضه Check Point، استرجعت جلسة ChatGPT لدى الضحية معلومات من حساب Gmail متصل، ثم مررت النتيجة عبر قناة Artifactory لتصبح متاحة لحساب المهاجم. وفي الوقت نفسه، تلقى الضحية رداً عادياً ظاهرياً على طلبه المرئي، من دون أن يرى التعليمات المحقونة أو المحتوى المنقول، بحسب التقارير. 36

وذكرت التغطية أن مؤشر «Talked to Gmail» الصغير كان العلامة الوحيدة الظاهرة على استخدام Gmail. لكنه سجل تدقيق يظهر بعد حصول الوصول، وليس دليلاً بحد ذاته على أن المستخدم تلقى موافقة تفصيلية على عملية الاسترجاع أو النقل المحددة. 3

ماذا فعلت OpenAI؟

أبلغ الباحثون OpenAI بالقناة في أواخر يونيو/حزيران. وذكرت تقارير استناداً إلى الإفصاح أن خدمة Artifactory المتأثرة كانت قد أُخرجت من الخدمة، وأن الثغرة أُغلقت. 5

وتصف المصادر المتاحة نموذجاً بحثياً لإثبات المفهوم، لا دليلاً على أن استرجاع بيانات Gmail المعروض وقع على نطاق واسع ضد مستخدمين عاديين في هجمات واقعية. 56

ما الفرق بينها وبين مشكلة DNS السابقة؟

كانت Check Point قد كشفت في وقت سابق مشكلة مختلفة في بيئة تنفيذ الأكواد لدى ChatGPT: مسار خروج مخفي إلى الإنترنت العام. وركز ذلك التقرير على تسريب البيانات من البيئة المعزولة عبر قدرة شبكية لم تكن محسوبة، ووصفتها التغطية المرتبطة بأنها قائمة على DNS. 1516

المشكلة	مسار الاتصال	الأثر الأمني
مشكلة قناة الخروج السابقة	مسار من بيئة التشغيل إلى الإنترنت العام	إمكانية إرسال محتوى حساس إلى خارج البيئة. 1516
مشكلة قناة Artifactory الخفية	حالة مشتركة قابلة للتغيير في خدمة حزم داخلية	تبادل مهام ونتائج بين حسابات منفصلة رغم العزل الاسمي للحاويات. 6

تختلف الآليتان، لكن الدرس واحد: حجب الإنترنت المباشر ليس سوى طبقة حماية واحدة. فالمنظومة التي قد تتأثر بتعليمات غير موثوقة تستطيع إساءة استخدام أي آلية متاحة لنقل المعلومات إلى الخارج، أو أفقياً بين المستأجرين.

صلتها بحادثة Hugging Face

ليست قناة Artifactory التي وصفتها Check Point هي الحادثة المنفصلة التي شملت وكلاء تقييم لدى OpenAI وHugging Face. لكن التقارير ربطت الواقعتين بالدور الأوسع لبنية تحتية مرتبطة بـArtifactory بوصفها خدمة يمكن الوصول إليها من داخل بيئات مقيدة. 5

ويصف تقرير OpenAI عن الحادثة إجراءات تخفيف شملت حجب مسارات Artifactory الضعيفة ذات الصلة وتقييد أنواع أعباء العمل البحثية المعنية. 22 لا ينبغي دمج الحادثتين في استغلال واحد، لكنهما معاً تبرزان مخاطر التعامل مع مستودع حزم مشترك باعتباره مجرد مكوّن تقني غير حساس.

القاعدة المعمارية الأهم: العزل يشمل التبعيات أيضاً

لا تكون حدود البيئة المعزولة أقوى من الخدمات التي يمكن الوصول إليها من داخلها. فإذا أمكن لعدة مستأجرين قراءة الحالة نفسها أو تعديلها في ذاكرة مؤقتة، أو سجل حزم، أو طابور رسائل، أو مخزن بيانات وصفية، أو خدمة DNS، أو نقطة وصول مرتبطة بالهوية، فقد تتحول تلك التبعية إلى قناة خفية.

وبالنسبة إلى أنظمة الذكاء الاصطناعي القادرة على اتباع تعليمات غير موثوقة واستدعاء أدوات مرتبطة، تبرز أولويات دفاعية واضحة:

• فصل كل مورد قابل للكتابة بحسب المستأجر: لا ينبغي لبيئة حساب أن تكتب حالة يمكن لبيئة حساب آخر قراءتها.
• تطبيق أقل الصلاحيات على هويات الخدمات: مهمة جلب الحزم لا تحتاج تلقائياً إلى صلاحيات واسعة لإدارة البيانات الوصفية.
• معاملة الخدمات الداخلية كحدود شبكية: كون الخدمة «داخلية» لا يجعلها آمنة إذا كانت أعباء عمل غير موثوقة قادرة على الوصول إليها.
• فصل تفويض الأدوات عن تعليمات المحادثة: تتطلب عمليات التطبيقات المرتبطة والحساسة حدود تفويض واضحة وقابلة للمراجعة.
• إظهار العمليات المهمة بوضوح: ينبغي أن تبيّن السجلات والتنبيهات الموجهة للمستخدم العملية التي نفذتها الأداة ونطاقها ذي الصلة، بدلاً من الاكتفاء بالإشارة إلى أن تطبيقاً ما جرى الاتصال به.

لذلك، لا يقتصر مغزى إثبات المفهوم على ذاكرة حزم واحدة؛ بل يرسخ قاعدة تصميم أوسع: يجب أن يشمل العزل مسارات البيانات والحالة المشتركة، لا المقابس الشبكية المباشرة وحدها. 615