كيف عملت سلسلة ChatMate؟

بحسب العرض البحثي، مرّ الهجوم بخمس مراحل متتابعة، من دون حاجة إلى نقرات إضافية أو تفاعل آخر من الموظف بعد رفع المستند :

1. حقن التعليمات: يرفع الموظف مستند Word أو يطلب من Microsoft 365 Copilot تحليله، بينما يحتوي المستند على تعليمات ضارة مخفية .
2. ترسيخ موطئ قدم داخل الصندوق المعزول: تنجح التعليمات المحقونة في تجاوز آليات تنقية المدخلات، وتؤثر في سلوك Copilot داخل بيئة الذكاء الاصطناعي المعزولة .
3. الهروب من الصندوق: تستغل السلسلة خللاً في اجتياز المسارات (Path Traversal) ضمن جلسات Azure الديناميكية أو البنية المرتبطة بـ Azure Kubernetes Service، وفق اختلاف التقارير، للخروج من الحاوية المعزولة والوصول إلى البيئة المضيفة؛ وهي أول عملية هروب موثّقة من صندوق Copilot من هذا النوع .
4. الحركة الجانبية: بعد الوصول إلى المضيف، ينتقل المهاجم عبر أجزاء من البنية الخلفية لخدمات Azure .
5. التنفيذ عن بُعد عبر الأوامر النصية: يحصل المهاجم على وصول تفاعلي ثنائي الاتجاه ومستمر إلى جلسة المساعد، بما يتيح له فعلياً تشغيل تعليمات أو شيفرات عن بُعد . ووصف جو هلاليك، رئيس Rubrik Zero Labs، النتيجة بأنها «وصول تفاعلي إلى مساعدي الذكاء الاصطناعي»، يمنح المهاجم «القدرة على تشغيل شيفرة عشوائية على جهاز الضحية» .

ولخّص لهاف المراحل التقنية على LinkedIn بأنها شملت: حقن التعليمات، تصعيد الصلاحيات، اجتياز المسارات، حقن ملفات ‎.toml، ثم استغلال ‎LD_PRELOAD .

رقم الثغرة ودرجة الخطورة والمكافأة

• CVE-2026-32193: ثغرة اجتياز مسارات في Azure Kubernetes Service، ارتبطت بالجزء الذي مكّن من الهروب من البيئة المعزولة .
• درجة CVSS: 8.8، وهي ضمن مستوى الخطورة المرتفع .
• مكافأة اكتشاف الأخطاء: 48 ألف دولار دفعتها Microsoft، وفق ما أكده الباحث أوري لهاف علناً .

وقالت التقارير إن Microsoft عالجت الخلل بعد إفصاح Rubrik المسؤول في فبراير، وبحلول منتصف مارس 2026 . كما لم يحتج عملاء Microsoft 365 Copilot إلى تثبيت تحديث جديد بأنفسهم، لأن الإصلاح تم على جانب الخادم . وتشير تقارير أخرى إلى إدراج الإصلاح ضمن تحديث أمني لاحق لخدمة Azure، لذلك يظل رقم الثغرة مرتبطاً بمكوّن Azure الأساسي الذي استُخدم في السلسلة .

ChatMate ليست الحادثة الوحيدة

جاء الكشف في Black Hat USA 2026 وسط مجموعة من أبحاث أمن الذكاء الاصطناعي التي سلطت الضوء على مخاطر الوكلاء والمساعدين القادرين على تنفيذ المهام:

• سلاسل PleaseFix من Zenity Labs: عرضت الشركة هجمات لا تتطلب نقرة من المستخدم عبر Claude in Chrome وGemini in Chrome وPerplexity Comet وChatGPT Atlas وCopilot Edge. وأظهرت السلاسل مسارات محتملة لسرقة البيانات وبيانات الاعتماد، والاستيلاء على الحسابات، والتحكم عن بُعد في أجهزة الضحايا .
• ثغرة AgentForger في ChatGPT: أظهرت Zenity Labs أن رابطاً خبيثاً واحداً قد يختطف أداة ChatGPT Agent Builder لإنشاء وكيل ذكاء اصطناعي يتحكم فيه المهاجم داخل حساب الضحية، مستخدماً صلاحيات الموظف وتطبيقاته المتصلة .
• هجوم على سلسلة توريد «مهارات» الذكاء الاصطناعي: اكتشفت Zenity Labs حملة لسرقة بيانات الاعتماد عبر مستودع skills.sh التابع لـ Vercel. واستخدم المهاجمون مهارات مقلّدة بأسماء شبيهة بخدمات حقيقية، لتتجاوز تنزيلاتها التراكمية 1.7 مليون عملية تثبيت؛ وهو رقم لا يعني بالضرورة عدد مستخدمين أو ضحايا فريدين .
• تسليح البنى الخلفية المكشوفة: رصدت مصائد Zenity Labs مهاجمين يستولون على خوادم Ollama وLiteLLM المكشوفة وغير المحمية، ثم يستخدمونها لتشغيل أدوات اختبار اختراق ذاتية ضد أطراف ثالثة .

ماذا يعني ذلك للشركات التي تتبنى المساعدين الذكيين؟

المستندات أصبحت قناة تنفيذ محتملة

يثبت ChatMate أن الهروب من صندوق العزل ليس احتمالاً نظرياً فقط. فأي مؤسسة تعالج مستندات المستخدمين عبر مساعد ذكاء اصطناعي أو خط أنابيب يعتمد على Copilot وAzure ترث سطح الهجوم هذا . كما أن رفع مستند واحد قد يكون نقطة الدخول الأولى، من دون رسالة تصيد تقليدية أو وحدات ماكرو أو تفاعل إضافي من الموظف .

وهذا يعني أن أدوات أمن البريد والملفات التقليدية لا ينبغي أن تتعامل مع المحتوى الذي يعالجه الذكاء الاصطناعي بوصفه بيانات خاملة فقط؛ فقد يتحول المحتوى إلى قناة تؤثر في وكيل قادر على اتخاذ إجراءات وتنفيذها.

حقن التعليمات قد يتجاوز تسريب البيانات

توضح فئة RPE أن حقن التعليمات لا يقتصر على جعل النموذج يكشف معلومات أو ينتج إجابة غير مرغوبة. فمن خلال ربط الحقن بتصعيد الصلاحيات وثغرات البنية التحتية، قد يصل الهجوم إلى اختراق المضيف والتحكم التفاعلي في الجلسة .

لذلك تحتاج فرق الأمن إلى التفكير في مرونة الوكلاء، لا في المنع المسبق وحده. ويشمل ذلك القدرة على اكتشاف أفعال الوكيل الخطرة، وإيقافها، وتتبّعها، ثم التراجع عن آثارها عند الحاجة .

سجلّات مهارات الوكلاء تشبه متاجر التطبيقات الجديدة

تكشف حملة المهارات الخبيثة ذات التنزيلات التراكمية البالغة 1.7 مليون أن سلسلة توريد برمجيات الذكاء الاصطناعي تتعرض لهجمات فعلية. فالمهارات والإضافات التي يعتمد عليها الوكلاء تحتاج إلى التحقق من المصدر والسلوك أثناء التشغيل، لا إلى الثقة في الاسم أو عدد التنزيلات فقط .

وفي الوقت نفسه، أشارت Rubrik Zero Labs إلى أن 23% فقط من المؤسسات تملك رؤية كاملة لوكلاء الذكاء الاصطناعي لديها، ما يجعل اكتشاف هذا النوع من الاختراقات صعباً في الوقت الراهن .

الخلاصة للشركات ليست إيقاف تبني المساعدين الذكيين، بل نشرهم باعتبارهم مكوّنات تنفيذية ذات صلاحيات، لا مجرد أدوات محادثة. فالمستند الذي يرفعه الموظف، والمهارة التي يثبتها الفريق، والجلسة التي يعمل فيها الوكيل، كلها تحتاج إلى مراقبة وعزل وصلاحيات محدودة وخطة واضحة للتراجع عند حدوث خطأ أو اختراق.

كيف عملت سلسلة ChatMate؟

بحسب العرض البحثي، مرّ الهجوم بخمس مراحل متتابعة، من دون حاجة إلى نقرات إضافية أو تفاعل آخر من الموظف بعد رفع المستند :

1. حقن التعليمات: يرفع الموظف مستند Word أو يطلب من Microsoft 365 Copilot تحليله، بينما يحتوي المستند على تعليمات ضارة مخفية .
2. ترسيخ موطئ قدم داخل الصندوق المعزول: تنجح التعليمات المحقونة في تجاوز آليات تنقية المدخلات، وتؤثر في سلوك Copilot داخل بيئة الذكاء الاصطناعي المعزولة .
3. الهروب من الصندوق: تستغل السلسلة خللاً في اجتياز المسارات (Path Traversal) ضمن جلسات Azure الديناميكية أو البنية المرتبطة بـ Azure Kubernetes Service، وفق اختلاف التقارير، للخروج من الحاوية المعزولة والوصول إلى البيئة المضيفة؛ وهي أول عملية هروب موثّقة من صندوق Copilot من هذا النوع .
4. الحركة الجانبية: بعد الوصول إلى المضيف، ينتقل المهاجم عبر أجزاء من البنية الخلفية لخدمات Azure .
5. التنفيذ عن بُعد عبر الأوامر النصية: يحصل المهاجم على وصول تفاعلي ثنائي الاتجاه ومستمر إلى جلسة المساعد، بما يتيح له فعلياً تشغيل تعليمات أو شيفرات عن بُعد . ووصف جو هلاليك، رئيس Rubrik Zero Labs، النتيجة بأنها «وصول تفاعلي إلى مساعدي الذكاء الاصطناعي»، يمنح المهاجم «القدرة على تشغيل شيفرة عشوائية على جهاز الضحية» .

ولخّص لهاف المراحل التقنية على LinkedIn بأنها شملت: حقن التعليمات، تصعيد الصلاحيات، اجتياز المسارات، حقن ملفات ‎.toml، ثم استغلال ‎LD_PRELOAD .

رقم الثغرة ودرجة الخطورة والمكافأة

• CVE-2026-32193: ثغرة اجتياز مسارات في Azure Kubernetes Service، ارتبطت بالجزء الذي مكّن من الهروب من البيئة المعزولة .
• درجة CVSS: 8.8، وهي ضمن مستوى الخطورة المرتفع .
• مكافأة اكتشاف الأخطاء: 48 ألف دولار دفعتها Microsoft، وفق ما أكده الباحث أوري لهاف علناً .

وقالت التقارير إن Microsoft عالجت الخلل بعد إفصاح Rubrik المسؤول في فبراير، وبحلول منتصف مارس 2026 . كما لم يحتج عملاء Microsoft 365 Copilot إلى تثبيت تحديث جديد بأنفسهم، لأن الإصلاح تم على جانب الخادم . وتشير تقارير أخرى إلى إدراج الإصلاح ضمن تحديث أمني لاحق لخدمة Azure، لذلك يظل رقم الثغرة مرتبطاً بمكوّن Azure الأساسي الذي استُخدم في السلسلة .

ChatMate ليست الحادثة الوحيدة

جاء الكشف في Black Hat USA 2026 وسط مجموعة من أبحاث أمن الذكاء الاصطناعي التي سلطت الضوء على مخاطر الوكلاء والمساعدين القادرين على تنفيذ المهام:

• سلاسل PleaseFix من Zenity Labs: عرضت الشركة هجمات لا تتطلب نقرة من المستخدم عبر Claude in Chrome وGemini in Chrome وPerplexity Comet وChatGPT Atlas وCopilot Edge. وأظهرت السلاسل مسارات محتملة لسرقة البيانات وبيانات الاعتماد، والاستيلاء على الحسابات، والتحكم عن بُعد في أجهزة الضحايا .
• ثغرة AgentForger في ChatGPT: أظهرت Zenity Labs أن رابطاً خبيثاً واحداً قد يختطف أداة ChatGPT Agent Builder لإنشاء وكيل ذكاء اصطناعي يتحكم فيه المهاجم داخل حساب الضحية، مستخدماً صلاحيات الموظف وتطبيقاته المتصلة .
• هجوم على سلسلة توريد «مهارات» الذكاء الاصطناعي: اكتشفت Zenity Labs حملة لسرقة بيانات الاعتماد عبر مستودع skills.sh التابع لـ Vercel. واستخدم المهاجمون مهارات مقلّدة بأسماء شبيهة بخدمات حقيقية، لتتجاوز تنزيلاتها التراكمية 1.7 مليون عملية تثبيت؛ وهو رقم لا يعني بالضرورة عدد مستخدمين أو ضحايا فريدين .
• تسليح البنى الخلفية المكشوفة: رصدت مصائد Zenity Labs مهاجمين يستولون على خوادم Ollama وLiteLLM المكشوفة وغير المحمية، ثم يستخدمونها لتشغيل أدوات اختبار اختراق ذاتية ضد أطراف ثالثة .

ماذا يعني ذلك للشركات التي تتبنى المساعدين الذكيين؟

المستندات أصبحت قناة تنفيذ محتملة

يثبت ChatMate أن الهروب من صندوق العزل ليس احتمالاً نظرياً فقط. فأي مؤسسة تعالج مستندات المستخدمين عبر مساعد ذكاء اصطناعي أو خط أنابيب يعتمد على Copilot وAzure ترث سطح الهجوم هذا . كما أن رفع مستند واحد قد يكون نقطة الدخول الأولى، من دون رسالة تصيد تقليدية أو وحدات ماكرو أو تفاعل إضافي من الموظف .

وهذا يعني أن أدوات أمن البريد والملفات التقليدية لا ينبغي أن تتعامل مع المحتوى الذي يعالجه الذكاء الاصطناعي بوصفه بيانات خاملة فقط؛ فقد يتحول المحتوى إلى قناة تؤثر في وكيل قادر على اتخاذ إجراءات وتنفيذها.

حقن التعليمات قد يتجاوز تسريب البيانات

توضح فئة RPE أن حقن التعليمات لا يقتصر على جعل النموذج يكشف معلومات أو ينتج إجابة غير مرغوبة. فمن خلال ربط الحقن بتصعيد الصلاحيات وثغرات البنية التحتية، قد يصل الهجوم إلى اختراق المضيف والتحكم التفاعلي في الجلسة .

لذلك تحتاج فرق الأمن إلى التفكير في مرونة الوكلاء، لا في المنع المسبق وحده. ويشمل ذلك القدرة على اكتشاف أفعال الوكيل الخطرة، وإيقافها، وتتبّعها، ثم التراجع عن آثارها عند الحاجة .

سجلّات مهارات الوكلاء تشبه متاجر التطبيقات الجديدة

تكشف حملة المهارات الخبيثة ذات التنزيلات التراكمية البالغة 1.7 مليون أن سلسلة توريد برمجيات الذكاء الاصطناعي تتعرض لهجمات فعلية. فالمهارات والإضافات التي يعتمد عليها الوكلاء تحتاج إلى التحقق من المصدر والسلوك أثناء التشغيل، لا إلى الثقة في الاسم أو عدد التنزيلات فقط .

وفي الوقت نفسه، أشارت Rubrik Zero Labs إلى أن 23% فقط من المؤسسات تملك رؤية كاملة لوكلاء الذكاء الاصطناعي لديها، ما يجعل اكتشاف هذا النوع من الاختراقات صعباً في الوقت الراهن .

الخلاصة للشركات ليست إيقاف تبني المساعدين الذكيين، بل نشرهم باعتبارهم مكوّنات تنفيذية ذات صلاحيات، لا مجرد أدوات محادثة. فالمستند الذي يرفعه الموظف، والمهارة التي يثبتها الفريق، والجلسة التي يعمل فيها الوكيل، كلها تحتاج إلى مراقبة وعزل وصلاحيات محدودة وخطة واضحة للتراجع عند حدوث خطأ أو اختراق.