كيف دمَجَت ثغرة SearchLeak بين الحقن التوجيهي والثغرات التقليدية لسرقة بياناتك بنقرة واحدة

لماذا تُعتبر SearchLeak مهمة؟

لم تكن SearchLeak خطأ برمجياً كارثياً واحداً، بل كانت سلسلة من ثلاث نقاط ضعف أصغر، استُغلت كل واحدة منها بعناية وبتسلسل مدروس. أي واحدة من هذه الثغرات بمفردها لم تكن لتشكل أزمة. لكنها معاً كوّنت خط أنابيب صامت لاستخراج البيانات بنقرة واحدة، يصل إلى أي شيء يمكن للمستخدم المُسجّل الدخول الوصول إليه عبر Microsoft Graph: رسائل البريد الإلكتروني، ودعوات الاجتماعات، وملاحظات الاجتماع، ومستندات SharePoint، وملفات OneDrive .

الأهم من ذلك، أن الثغرة أثبتت صحة تحذيرات أطلقها الباحثون الأمنيون مراراً. ففي يناير من العام نفسه، كشف المختبر نفسه في Varonis عن هجوم Reprompt، وهو هجوم شبه مطابق بنقرة واحدة استهدف إصدار المستهلكين من Copilot المسمى Copilot Personal . وقبل ذلك، في يونيو 2025، كشفت شركة Aim Security عن ثغرة EchoLeak، وهي ثغرة لا تتطلب أي نقرة (Zero-Click) وتستخدم حقناً توجيهياً (Prompt Injection) مضمناً في مستند خبيث . وصول SearchLeak أظهر أن حواجز الحماية في الإصدارات المؤسسية لم تقضِ على هذا الصنف من المخاطر، بل رفعت فقط من سقف الإبداع المطلوب من المهاجمين.

السلسلة المكونة من ثلاث ثغرات

كل حلقة في سلسلة SearchLeak تعليمية بحد ذاتها، لكن تأثيرها المشترك هو ما جعل الهجوم بهذه القوة.

المرحلة الأولى: الحقن التوجيهي عبر الرابط (Parameter-to-Prompt Injection)

تقبل خدمة "بحث المؤسسات" من Copilot مُعامل URL يسمى q يحتوي على استفسار المستخدم باللغة الطبيعية. وجد باحثو Varonis أن هذا المُعامل لا يقبل فقط عبارة بحث، بل يقبل أيضاً تعليمات توجيهية عشوائية .

يمكن للمهاجم صياغة رابط، عند فتحه من قبل مستخدم مُصادق، يُوجّه Copilot للقيام بشيء مختلف تماماً عما يبدو عليه الرابط. على سبيل المثال، يمكن للرابط أن يطلب من الذكاء الاصطناعي البحث في صندوق بريد الضحية عن رمز تحقق MFA، ثم تضمين هذا الرمز في رابط صورة وإضافته إلى الرد. الضحية ترى صفحة بحث تحمل علامة مايكروسوفت، بينما Copilot يُنفذ الأوامر المزروعة بصمت .

هذه التقنية، التي تسميها Varonis الحقن التوجيهي عبر الرابط (P2P injection)، هي نفس الآلية التي كانت في قلب هجوم Reprompt السابق ضد Copilot Personal .

المرحلة الثانية: سباق شرطي لتجاوز نظام التعقيم (Race Condition)

عندما ينتج Copilot مخرجات تحتوي على ترميز HTML (مثل وسم <img>)، يفترض أن يقوم مُعقّم من جانب الخادم بتغليف هذه المخرجات في كتل تعليمات برمجية حتى يتعامل معها المتصفح كنص عادي غير ضار. المشكلة؟ أن التغليف يحدث فقط بعد أن يتم توليد المحتوى بالكامل .

لكن المتصفح يبدأ في عرض الاستجابة بينما لا تزال تتدفق إليه. وبالتالي، يقوم وسم <img> الذي زرعه المهاجم بإرسال طلبه فور ظهوره في تيار البيانات، قبل أن يعمل المُعقّم حتى. بحلول الوقت الذي تظهر فيه كتلة التعليمات البرمجية الواقية، يكون طلب الصورة قد أُرسل بالفعل، وتكون البيانات المُشفرة في مساره قد غادرت متصفح الضحية .

هذا مثال كلاسيكي لثغرة السباق الشرطي، أصبحت مميتة بفضل سياق المحتوى المُنتج بالذكاء الاصطناعي. آلية دفاع قديمة لم يُعاد تصميمها لعالم يُسيطر فيه المهاجم على مخرجات الذكاء الاصطناعي نفسه.

المرحلة الثالثة: استخراج البيانات عبر نقطة اتصال Bing المسموحة

حتى مع وجود المرحلتين السابقتين، كانت هناك عقبة أخيرة: سياسة أمان المحتوى (CSP) على نطاق m365.cloud.microsoft تمنع تحميل الصور من خوادم خارجية عشوائية. لكن *.bing.com كان ضمن القائمة المسموحة (Allowlist) .

نقطة اتصال "البحث بالصورة" في Bing تسمح بجلب رابط صورة من جانب الخادم. في هجوم SearchLeak، كان المهاجم يُلحق البيانات المسروقة كجزء من مسار البحث عن الصورة (مثلاً:

https://www.bing.com/images/search?q=/رمز_الحماية_847291/img.png

كل ما على المهاجم فعله هو مراقبة سجلات خادم الصور الخاص به، والذي خُدع خادم Bing للاتصال به.

البساطة الخادعة لنقرة واحدة

السلسلة بأكملها كانت تنفذ تلقائياً. يضغط الضحية على رابط. يبحث Copilot في بياناته. تتدفق المخرجات إلى المتصفح. ينطلق وسم <img>. يجلب خادم Bing رابط المهاجم. تُسرب البيانات. كل هذا يحدث قبل أن ينتهي متصفح المستخدم من عرض الصفحة.

كان من الصعب اكتشاف الهجوم للأسباب التالية:

• الرابط على نطاق مايكروسوفت موثوق به، مما يتجاوز ماسحات الروابط وفحوصات السمعة .
• لا يتم تشغيل أي حوار مصادقة أو نقرة ثانية، فجلسة الضحية الحالية هي المُستخدمة.
• كل الطلبات الصادرة كانت موجهة إلى بنية تحتية مسموحة تابعة لمايكروسوفت.

البيانات التي كان يمكن سرقتها لم تكن نظرية. أشار الباحثون تحديداً إلى رموز المصادقة الثنائية (MFA) وروابط إعادة تعيين كلمة المرور التي تبقى صالحة لدقائق، بالإضافة إلى تفاصيل الاجتماعات والوثائق الحساسة المُفهرسة بواسطة Copilot .

أحجية التصنيف: خطيرة ولكن بأي درجة؟

أثارت CVE-2026-42824 نقاشاً قصيراً حول تصنيفات الخطورة. منحت مايكروسوفت الثغرة أعلى تصنيف داخلي لديها—حرج (Critical)—ولكنها أصدرت درجة CVSS 3.1 أساسية مقدارها 6.5 (متوسط). السبب: أن الهجوم يتطلب تفاعل المستخدم (النقرة الواحدة)، مما قلل الدرجة .

أفادت بعض المصادر بدرجة 7.5 (عالية) من قاعدة بيانات الثغرات الوطنية (NVD). لكن من الناحية العملية، أكدت مراجعات متعددة أن كلاً من سجل CSAF لدى مايكروسوفت وسجل NVD يعكسان متجه CVSS:3.1 متطابقاً بدرجة 6.5 . قد يكون التصور بوجود درجة أعلى نابعاً من محللين مستقلين يحسبون الدرجة تحت افتراضات تأثير أوسع.

بغض النظر عن الرقم، كان الإجماع واضحاً: نقرة واحدة يمكن أن تكشف أكثر بيانات المؤسسة حساسية.

شجرة عائلة ثغرات Copilot

لم تظهر SearchLeak من فراغ، بل انضمت إلى اكتشافين بارزين آخرين في استخراج البيانات عبر الذكاء الاصطناعي:

• EchoLeak (CVE-2025-32711) — يونيو 2025. ثغرة لا تتطلب أي نقرة (Zero-Click) من شركة Aim Security استخدمت حقناً توجيهياً مزروعاً في مستند يعالجه Copilot تلقائياً. لا يوجد أي تفاعل من المستخدم. بدرجة CVSS 9.3 .
• Reprompt — يناير 2026. أظهرت Varonis أن إصدار Copilot Personal للمستهلكين يمكن اختراقه بتقنية P2P نفسها. لا برمجيات خبيثة ولا إضافات، فقط رابط مُصمم .

الخيط المشترك هو الحقن التوجيهي، وهو تهديد يحول قدرة الذكاء الاصطناعي الأساسية—أي اتباع التعليمات—إلى سطح هجوم. كل ثغرة لاحقة أظهرت أن تصحيح سطح واحد (إصدار المستهلكين مقابل إصدار المؤسسات) أو إضافة حواجز أمان (معالجة المستندات مقابل استعلامات البحث) لا يقضي على هذا الصنف من الهجمات، بل يعيد توجيه إبداع المهاجمين فقط .

ما يجب على مسؤولي الأنظمة فعله الآن

تم تصحيح SearchLeak نفسها ولا تتطلب أي إجراء من العملاء. لكن تقنيتها لن تختفي، وينبغي على فرق الأمن تطبيق الدروس المستفادة.

مراقبة روابط بحث Copilot. معامل q لا يزال مكشوفاً. ابحث عن ترميز HTML، أو حمولات تشبه السكربتات، أو سلاسل تعليمات طويلة ومريبة في روابط بحث المؤسسات من Copilot التي تمر عبر سجلات البروكسي لديك .

مراقبة الطلبات الصادرة غير الاعتيادية إلى نقاط اتصال صور Bing. أي مستخدم يصدر فجأة طلبات متعددة إلى *.bing.com مع مسارات بحث عن صور غير معتادة—خاصة الأنماط التي تشبه البيانات المُشفرة أو المسروقة—يجب أن يثير الإنذارات .

تقييد مساحة فهرسة Copilot. طبق حوكمة البيانات بمبدأ "أقل امتياز". حدد أي مواقع SharePoint ومجلدات OneDrive وصناديق البريد يمكن لـ Copilot فهرستها، بحيث لا تؤدي أي ثغرة مستقبلية إلى سرقة كل ما يمكن للمستخدم الوصول إليه. راجع بانتظام صلاحيات Microsoft Graph الخاصة بـ Copilot وقلصها .

إن الكشف عن SearchLeak ليس قصة تصحيح واحد، بل هو تحذير من التقاطع المتطور بين الحقن التوجيهي (Prompt Injection) وثغرات الويب التقليدية. مع تبني المؤسسات لمساعدي الذكاء الاصطناعي الذين يمتلكون وصولاً عميقاً إلى بياناتها، لا بد من إعادة النظر في نماذج الأمان التي تتعامل مع مخرجات الذكاء الاصطناعي كمحتوى موثوق. السلسلة التالية لن تستخدم نفس الثغرات الثلاث، لكنها ستُعيد استخدام النمط نفسه بشكل شبه مؤكد.