ثغرة أمنية خطيرة في Claude Tag على Slack: كيف يمكن اختراق زميل الذكاء الاصطناعي الدائم

الثغرة: إشارة @Claude قابلة للانتحال

في 14 يوليو 2026، نشرت شركة الأمن السيبراني Tego AI بحثًا يحدد نقطة ضعف أمنية خطيرة في Claude Tag، وهي أداة التكامل الأصلية من Anthropic مع Slack . لاحظ باحثو Tego AI أن Claude Tag يستجيب لأي رسالة في Slack تحتوي على النص الحرفي @Claude — حتى لو لم تكن الرسالة موجهة إليه فعليًا عبر إشارة هيكلية حقيقية من Slack .

يمكن للمهاجم الذي يحصل على صلاحية الوصول إلى قناة في Slack أن يُدرج @Claude في رسالة من البوتات، أو خطافات الويب (Webhooks)، أو التغذية الآلية، مما يتسبب في قراءة الوكيل للرسالة وتفسير سياقها، وربما تنفيذ إجراءات مؤسسية غير مصرح بها مثل قراءة بيانات حساسة، أو تفعيل أدوات، أو التفاعل مع أنظمة متصلة دون نية حقيقية من المُرسِل أو تفويض مناسب .

باختصار: يمكن انتحال آلية التشغيل، مما يحوّل ميزة تعاونية شرعية إلى سطح هجوم قائم على حقن الأوامر (Injection-Based Attack)، حيث يمكن لأي رسالة تحتوي على السلسلة النصية المحفزة اختطاف انتباه الوكيل وقدراته.

كيف يعمل Claude Tag كزميل ذكاء اصطناعي "دائم التشغيل"

أطلقت Anthropic ميزة Claude Tag في 23 يونيو 2026، كبديل مباشر لأداة التكامل القديمة "Claude in Slack" (التي سيتم إيقافها في 3 أغسطس 2026) . هذه الميزة ليست روبوت محادثة لكل مستخدم. بدلاً من ذلك، فإن Claude Tag هو مشارك دائم ومشترك داخل قناة Slack، وله هويته الخاصة وذاكرته وصلاحيات الوصول إلى الأدوات. يمكن لأي عضو مصرح له في القناة أن يذكر @Claude لتعيين المهام، ويعمل الذكاء الاصطناعي بشكل غير متزامن وفي العلن .

يعمل Claude Tag في وضع "محايط" أو "مرافق" (Ambient Mode)، حيث يتابع المحادثات باستمرار، ويتعلم سياق القناة، ويبادر بشكل استباقي للإشارة إلى التحديثات أو عرض المهام . صلاحياته محددة بنطاق القناة التي يتواجد فيها، وليس للمستخدم الفردي، مما يسمح للمسؤولين بتكوين مجموعات أدوات مختلفة، وبيانات يمكن الوصول إليها، وحدود إنفاق لكل قناة .

من الناحية التقنية، تعمل كل جلسة من Claude Tag على نموذج Opus 4.8 داخل آلة افتراضية صغيرة (MicroVM) تعمل بنظام لينكس وتُدار بواسطة Anthropic، مع حفظ بيانات اعتماد الموصلات خارج الآلة الافتراضية، والوصول إلى الشبكة عبر خادم وكيل (Proxy)، وأدوات قراءة فقط للعزل . يتم فوترة استخدام القناة للمؤسسة بأسعار واجهة برمجة التطبيقات (API)، وليس لكل مستخدم، مما يقلب نماذج التسعير التقليدية للبرمجيات المؤسسية رأسًا على عقب .

تداعيات أوسع على أمن وكلاء الذكاء الاصطناعي في المؤسسات

ما كشفته Tego AI ليس حادثًا منفردًا. بل يتفاقم مع حادثتين كبيرتين أخريين في منتصف 2026، ليكشفا معًا عن أزمة في أمن وكلاء الذكاء الاصطناعي في المؤسسات.

آلية التتبع المخفية في Claude Code

في 30 يونيو 2026، قام باحث مستقل يُعرف باسم "Thereallo" بهندسة عكسية لأداة Claude Code واكتشف كود JavaScript مشوهًا (Obfuscated) يقوم ببصمة الموقع الجغرافي للمستخدمين بصمت (عبر فحص المناطق الزمنية) وتعديل أوامر النظام (System Prompts) باستخدام أحرف يونيكود متشابهة الشكل — مثل استخدام علامة اقتباس منحنية بدلاً من المستقيمة، أو شرطة مائلة بدلاً من شرطة — لإنشاء علامة تتبع خفية يمكن اكتشافها من قبل خوادم Anthropic الخلفية . أصدرت قاعدة بيانات الثغرات الوطنية الصينية (NVDB) تحذيرًا أمنيًا رسميًا من "باب خلفي" (Backdoor) في 8 يوليو، ليشمل إصدارات Claude Code من 2.1.91 إلى 2.1.196 . وقامت شركة علي بابا (Alibaba) بحظر Claude Code داخليًا بعد ذلك بفترة وجيزة . وصفت Anthropic الأمر بأنه "تجربة لمكافحة إساءة الاستخدام" وأزالته في 1 يوليو .

ثغرات MCP على مستوى النظام البيئي

تبين أن البنية التحتية لبروتوكول سياق النموذج (MCP)، التي تقوم عليها Claude Tag والعديد من وكلاء الذكاء الاصطناعي الآخرين، تحتوي على عيوب تصميمية منهجية. النتائج الرئيسية لعام 2026:

• ثغرة في التطبيق المرجعي لـ MCP تنفذ أوامر نظام التشغيل دون تنقية أو تحقق من الصلاحية، مما يعرض ما يقدر بـ ~200,000 من حالات MCP الضعيفة عبر سلسلة توريد تضم أكثر من 150 مليون عملية تنزيل حزمة .
• مسح لـ 560 خادم MCP وجد أن 38% منها بلا أي مصادقة، و43% من الثغرات المسجلة (CVEs) تتضمن exec() أو حقن أوامر (Shell Injection)، و13% تتضمن اجتياز المسار (Path Traversal) .
• فئات جديدة من الثغرات ظهرت، بما في ذلك "ثغرات قائمة على الهلاوس" (Hallucination-Based Vulnerabilities أو HBVs)، حيث تؤدي أوصاف الأدوات الغامضة إلى قيام نموذج اللغة بمنح نفسه صلاحيات مفرطة أو اتخاذ إجراءات غير مقصودة .
• تم توثيق هجمات تسميم الأدوات (Tool Poisoning)، هجمات سحب البساط (Rug Pull)، والتظليل بين الخوادم (Cross-Server Shadowing) في النظام البيئي لـ MCP، بما في ذلك إثبات مفهوم حيث تم اختراق بيئة التطوير Cursor IDE بالكامل عبر MCP .

ما يعنيه هذا للمؤسسات

تواجه المؤسسات التي تنشر Claude Tag وأدوات الذكاء الاصطناعي الوكيلة المماثلة تهديدًا ثلاثيًا: أسطح هجوم لحقن الأوامر في طبقة تشغيل الوكيل (نتيجة Tego AI)، وتتبع غير شفاف من جانب البائع في أدوات الوكيل (متعقب Claude Code)، وافتراضات بنية تحتية غير آمنة بشكل أساسي في النظام البيئي لـ MCP الذي يربط الوكلاء بالأدوات والبيانات.

تتسلسل حالات فشل الهوية والتحكم في الوصول بسرعة عندما يكون لدى وكيل دائم مثل Claude Tag صلاحيات واسعة للأدوات ويمكن تفعيله بإشارات منتحلة . أنظمة حوكمة واجهات برمجة التطبيقات (API) التقليدية غير كافية لسير العمل الوكيل، لأن الوكلاء لا يتبعون نماذج صلاحيات لكل مستخدم ولا أنماط الطلب والاستجابة . خطر سلسلة التوريد هائل: ثغرة في التطبيق المرجعي لـ MCP تنتشر إلى كل نشر لاحق . لا تزال قضايا الشفافية وقابلية المراجعة حاسمة — فقد تم إخفاء متعقب Claude Code في كود JavaScript مشوه وتم اكتشافه فقط من خلال الهندسة العكسية الخارجية، مما يعني أن فرق الأمن في المؤسسات لا يمكنها الاعتماد على الإفصاح الذاتي من البائع .

التصعيد التنظيمي جارٍ بالفعل، حيث أصدرت قاعدة بيانات الثغرات الوطنية الصينية (NVDB) تحذيرات على مستوى الدولة وفرضت مؤسسات مثل علي بابا حظرًا شاملاً . الصورة المركبة تقول إن أمن وكلاء الذكاء الاصطناعي للمؤسسات في عام 2026 يتطلب نهجًا جديدًا جذريًا — يعامل الوكلاء الدائمين كبنية تحتية حيوية مع ضوابط صارمة للهوية والوصول وسلسلة التوريد.

أهم النقاط المستخلصة

• محفز قابل للانتحال: يستجيب Claude Tag للنص الحرفي @Claude حتى من مصادر آلية، مما يتيح هجمات حقن الأوامر .
• بنية دائمة التشغيل: Claude Tag هو زميل ذكاء اصطناعي دائم ومحدد بنطاق القناة، يعمل على نموذج Opus 4.8 داخل آلة افتراضية صغيرة (MicroVM)، وتكون الفوترة بأسعار واجهات برمجة التطبيقات (API) .
• تهديد ثلاثي: تتضاعف ثغرة Tego AI مع متعقب Claude Code المخفي وعيوب البنية التحتية المنهجية لـ MCP لتكوين مشهد مخاطر شديد للمؤسسات .
• ضوابط استباقية مطلوبة: يجب تحديد نطاق الصلاحيات لكل قناة، ومراجعة إجراءات الوكيل، والترقية إلى مواصفات MCP لعام 2026، وإجراء مراجعات أمنية منتظمة .