أول هجوم حقيقي بين وكلاء الذكاء الاصطناعي: كيف أدى حقن الأوامر في ADK من Google إلى اختراق سلسلة التوريد

كيف عمل الهجوم بين الوكلاء؟

احتوى مستودع google/adk-python على فئتين من وكلاء الذكاء الاصطناعي الآليين بمستويات صلاحية مختلفة :

• وكيل فرز منخفض الصلاحية موجه للجمهور يمكنه التفاعل مع أي شخص يقدم تقرير مشكلة على GitHub.
• وكيل إصلاح أكواد عالي الصلاحية (/adk-issue-fix) لديه صلاحية الكتابة على المستودع ويمكنه تعديل طلبات السحب (Pull Requests).

تسلسل الاستغلال كان كالتالي:

1. يقدم المهاجم تقرير مشكلة خبيثًا على GitHub يحتوي على حقن أوامر (Prompt Injection) متنكرًا في شكل تقرير عطل برمجي شرعي .
2. يقوم وكيل الفرز منخفض الصلاحية بمعالجة المشكلة وينخدع بالأمر المحقون، مما يجعله يستدعي وكيل إصلاح الأكواد عالي الصلاحية عن طريق نشر أمر /adk-issue-fix .
3. ينفذ الوكيل عالي الصلاحية تعليمات المهاجم الخبيثة، والتي قد تشمل استخراج رمز GITHUB_TOKEN (كشف بيانات اعتماد حساسة) و التلاعب بمراجعات طلبات السحب مما يسمم سلسلة التوريد البرمجية .

وصف الباحثون هذا الهجوم بأنه "فشل حدود الصلاحية بين وكيل وآخر" — حيث تمكن الوكيل منخفض الصلاحية من عبور حدود الثقة واستدعاء سير عمل عالي الصلاحية لا ينبغي له استدعاؤه . وفقًا لموقع The Hacker News، أظهر الباحثون إمكانية تنفيذ أوامر عشوائية على البنية التحتية للتكامل المستمر (CI)، حيث كان حساب adk-bot — الذي تم تحديده كمتعاون — بمثابة جسر التفويض .

استجابة Google

بعد أن كشفت Pillar Security عن الثغرات، اتخذت Google الإجراءات التالية:

• حذفت ثلاثة سير عمل للوكلاء من مستودع ADK Python المتورطة في سلسلة الاستغلال .
• صححت المشكلات لمنع مسار تصعيد الصلاحيات .

لم تنكر Google النتائج وتحركت بسرعة لإزالة الأتمتة الضعيفة .

مخاوف أمنية أوسع للأنظمة القائمة على الوكلاء

سلطت الحادثة الضوء على عدة مخاطر منهجية تتجاوز بكثير ADK من Google:

حدود الثقة بين الوكلاء ضعيفة بشكل أساسي. عندما يمكن لوكيل واحد استدعاء وكيل آخر بصلاحيات أعلى، يصبح حقن الأوامر في الوكيل منخفض الصلاحية ناقل هجوم لسلسلة التوريد . يمكن التلاعب بالوكيل منخفض الصلاحية والمعرض للإنترنت من خلال حقن الأوامر لعبور هذه الحدود واستدعاء الوكيل عالي الصلاحية نيابة عنه .

حقن الأوامر هو عيب منهجي في الإطار وليس مجرد عيب في النموذج. وجد بحث أجرته Check Point نُشر في الوقت نفسه ما يقرب من اثني عشر ثغرة حرجة في أطر عمل الوكلاء الرئيسية، وخلص إلى أن "المحتوى الذي يتحكم فيه الأمر يمكنه التلاعب بسلوك الوكيل بطرق تتجاوز ضوابط الأمان المقصودة" . أمضى الباحثون عامًا في تحليل أطر عمل الوكلاء ووجدوا أنه في العديد من الحالات، يمكن للمحتوى الذي يتحكم فيه الأمر عبور الحدود إلى منطق الإطار الموثوق به نفسه .

فئة الهجوم جديدة ولا يمكن إصلاحها بواسطة النماذج وحدها. حتى لو تم تأمين نماذج اللغات الكبيرة (LLMs) بشكل فردي ضد حقن الأوامر، فإن التصميم المعماري للأنظمة متعددة الوكلاء — حيث تثق الوكلاء ضمنيًا في الرسائل من الوكلاء الآخرين — يخلق أسطح هجوم جديدة تتطلب ضوابط أمان على مستوى الإطار .

نطاق الصلاحيات الافتراضي في أطر عمل الوكلاء غالبًا ما يكون متساهلاً للغاية. بدون حدود صلاحيات صارمة (مبدأ Least Privilege) بين الوكلاء، من المحتمل حدوث هجمات مماثلة في منصات أخرى. وجد بحث أجرته Palo Alto Networks في وقت سابق من عام 2026 أن نطاق الصلاحيات الافتراضي في Vertex AI من Google Cloud يمكن أن يسمح لوكيل مخترق بالوصول المتميز إلى البيانات والبنية التحتية .

الآثار المترتبة على أمن الذكاء الاصطناعي

مع زيادة نشر المؤسسات للأنظمة متعددة الوكلاء لمراجعة الأكواد والتكامل المستمر والأتمتة الداخلية، تعتبر حادثة ADK بمثابة تحذير حاسم. يُظهر الهجوم أن الذكاء الاصطناعي الوكيل (Agentic AI) يقدم أسطح هجوم جديدة تتطلب ضوابط أمان على مستوى البنية التحتية والإطار — وليس فقط على مستوى النموذج أو الأمر. يجب على الفرق التي تبني أنظمة وكيلة تنفيذ حدود صلاحيات صارمة، والتحقق من صحة التواصل بين الوكلاء، والتعامل مع حقن الأوامر على أنه ثغرة في الإطار وليس مجرد خلل في النموذج.