ثغرة "العميل المارق": كيف سمح خلل خطير في Dialogflow CX باختطاف وكلاء الذكاء الاصطناعي عبر المشروع

اكتُشفت سلسلة ثغرات أمنية خطيرة في خدمة Dialogflow CX من Google Cloud، أطلق عليها اسم "العميل المارق" (Rogue Agent). تتيح هذه الثغرات لمهاجم لا يملك سوى صلاحية تعديل على وكيل محادثة واحد (chatbot agent) القدرة على اختطاف المحادثات وسرقة البيانات الحساسة واختراق جميع الوكلاء الآخرين في نفس مشروع السحابة.

تمكن مختبرات التهديدات في شركة الأمن السيبراني Varonis Threat Labs من اكتشاف هذه الثغرة في أواخر عام 2025، وعملوا مع Google لتصحيحها قبل أن يتم استغلالها بشكل معروف ^A. إليكم تفاصيل ما حدث، وكيف عملت الثغرة، وما تعنيه لأمن أنظمة الذكاء الاصطناعي متعددة الوكلاء.

كيف عملت ثغرة "العميل المارق"

Dialogflow CX هي المنصة الرئيسية من Google Cloud لبناء وكلاء محادثة يعملون بالذكاء الاصطناعي - روبوتات الدردشة والمساعدون الصوتيون التي تستخدمها الشركات في خدمة العملاء والخدمات المالية والرعاية الصحية ^A. من الميزات الأساسية في المنصة هي "كتب اللعب" (Playbooks)، والتي تتيح للمطورين التحكم في سلوك الوكيل عن طريق إرفاق "كتل برمجية" (Code Blocks) - وهي مقاطع من كود Python تُشغّل داخل خط أنابيب الوكيل ^TD.

اكتشفت Varonis أن هذه الكتل البرمجية تفتقر إلى العزل المناسب بين الوكلاء ^V. كانت سلسلة الهجوم تعمل كالتالي:

1. المهاجم الذي يمتلك صلاحية dialogflow.playbooks.update على وكيل واحد مُفعّل عليه الكتل البرمجية يمكنه إنشاء استيراد ضار لـ "كتاب لعب" ^DN.
2. يقوم كتاب اللعب الضار هذا بحقن كود Python دائم في بيئة تشغيل الكتل البرمجية المشتركة ^V.
3. نظرًا لأن نفس بيئة التنفيذ الأساسية تخدم وكلاء متعددين في نفس مشروع Google Cloud، فإن كود المهاجم سينفذ داخل الوكلاء الآخرين - الوكلاء الذين لم يكن للمهاجم صلاحية الوصول إليهم أساسًا ^V.

تصف الثغرة المسجلة برقم CVE-2026-4764 السبب الجذري: عدم وجود فحص للصلاحية في وظيفة استيراد كتاب اللعب ^ND. تحمل هذه الثغرة درجة خطورة CVSS تبلغ 9.4، مما يصنفها على أنها خطر أمني بالغ ^L.

ماذا يمكن للمهاجم أن يفعل؟

بمجرد تشغيل الكود الضار داخل وكيل الضحية، يمكن للمهاجم ^V:

• قراءة المحادثات الحية — مراقبة تفاعلات المستخدمين في الوقت الفعلي مع أي روبوت محادثة مخترق، بما في ذلك محادثات خدمة العملاء وجلسات البوتات المالية وحوارات المساعد الصحي.
• انتحال شخصية البوت — إرسال رسائل من كتابة المهاجم لخداع المستخدمين وجعلهم يشاركون كلمات المرور أو معلومات التأمين أو البيانات المالية أو أي تفاصيل حساسة أخرى ^VA.
• اختراق عبر الوكلاء — الانتقال من وكيل مخترق إلى كل وكيل آخر مُفعّل بالكتل البرمجية في نفس المشروع، وتصعيد الصلاحيات من دور محدود إلى سيطرة شبه كاملة على المشروع ^V.

الجدول الزمني للإفصاح والتصحيح

• نوفمبر 2025 — اكتشفت Varonis المشكلة في البداية ^A.
• 15 مارس 2026 — أصدرت Google تصحيحًا لثغرة نقص الصلاحية (CVE-2026-4764) في نقطة استيراد كتاب اللعب ^DN.
• أبريل 2026 — أصدرت Google "تحديثًا أمنيًا أوليًا" لم يحل المشكلة بالكامل ^A.
• يونيو 2026 — حلت Google المشكلة بالكامل بتصحيح ثانٍ ^AA.

أكدت Google أنه لم تكن هناك حاجة لاتخاذ أي إجراء من جانب العملاء فيما يخص هذه التصحيحات ^D.

نقاط ضعف إضافية مكتشفة

حددت Varonis أن العزل بين الوكلاء الذين يشاركون بيئات تشغيل الكتل البرمجية كان غير كافٍ بشكل أساسي ^V. حتى بعد إصلاح ثغرة صلاحية الاستيراد، كانت البنية التحتية نفسها تسمح بتنفيذ كود عبر الوكلاء إذا تم اختراق أي وكيل واحد - وهي مشكلة على مستوى التصميم تطلبت التصحيح الثاني في يونيو 2026 لحلها بالكامل.

أضافت Google أيضًا إعدادًا لـ فحص أمني للتعليمات النصية (prompt security check) في إعدادات الوكيل للمساعدة في اكتشاف ومنع هجمات حقن التعليمات (prompt injection) التي يمكن استخدامها كجزء من سلاسل استغلال مماثلة في المستقبل ^VD.

هل تم استغلال الثغرة؟

لا يوجد أي دليل على استغلال الثغرة في البيئات الحقيقية قبل التصحيح ^A. وأكد متحدث باسم Google Cloud: "ليس لدينا أي مؤشر معروف على اختراق لعملاء. لا يتطلب الأمر أي إجراء من العميل." ^A

الآثار المترتبة على أمن الذكاء الاصطناعي

تشكل ثغرة "العميل المارق" تذكيرًا صارخًا بأن نماذج الأمن التي تقوم عليها العديد من منصات وكلاء الذكاء الاصطناعي لم تواكب بعد تعقيد البيئات متعددة المستأجرين التي تنفذ الأكواد البرمجية. مع انتشار استخدام الشركات لوكلاء المحادثة القادرين على تشغيل أكواد مخصصة، يصبح سطح الهجوم المشترك لبيئات التنفيذ مصدر قلق بالغ.

يُنصح المؤسسات التي تستخدم Dialogflow CX بالتحقق من تفعيل خاصية فحص أمن التعليمات النصية ^D ومراجعة أي هويات لديها صلاحية dialogflow.playbooks.update - وهي الصلاحية الوحيدة التي كان من الممكن أن تبدأ سلسلة الهجوم هذه ^V.