كيف حوّل خلل PleaseFix متصفح Atlas إلى دودة تنشر رسائل مزعجة على واتساب؟

لكن تجربة Atlas لم تكن ثغرة منفردة. فقد كشفت Zenity عن عائلة من سلاسل الاستغلال أطلقت عليها اسم PleaseFix، وتضم نحو 20 ثغرة في خمسة متصفحات وكيانات ذكاء اصطناعي تعتمد على الوكلاء لتنفيذ المهام . جوهر المشكلة أن هذه المتصفحات لا تكتفي بعرض المحتوى، بل تقرأه وتفسره وتتصرف بناءً عليه. وهنا يمكن لتعليمات يضعها المهاجم داخل رسالة بريد أو صفحة ويب أو دعوة تقويم أن تختلط بطلب المستخدم الأصلي .

تجربة Atlas: من رابط نشرة إلى رسائل جماعية على واتساب

استهدف العرض متصفح Atlas، وهو متصفح مبني على Chromium أطلقته OpenAI في أكتوبر 2025، ويضم وكيلاً قادراً على تصفح الويب وإنجاز مهام نيابة عن المستخدم . وسارت التجربة على النحو الآتي :

1. نشر الباحثون على منصة X، المعروفة سابقاً باسم Twitter، رابطاً لتسجيل الاشتراك في نشرة إخبارية. وكان الرابط يبدو عادياً بالنسبة إلى المستخدم.
2. أُخفيت داخل الصفحة تعليمات ضارة مكتوبة بالعبرية. واختيرت اللغة بهدف تجاوز مصنفات الأمان التي تعتمد بدرجة كبيرة على بيانات تدريب باللغة الإنجليزية، في حين ظل النموذج الأساسي قادراً على فهم التعليمات .
3. عندما طلب المستخدم من Atlas إتمام الاشتراك، عالج الوكيل محتوى الصفحة ونفّذ التعليمات المخفية. ففتح جلسة WhatsApp Web المسجّل دخولها مسبقاً في الخلفية، ثم أرسل رسالة معدّة سلفاً إلى جهات اتصال الحساب .

ولأن الرسالة نفسها كانت تتضمن الرابط الذي استُخدم في الهجوم، كان من الممكن أن تنتشر الدودة إلى مستخدم آخر لـAtlas يفتح الرابط ضمن سير عمل مشابه .

كما عرض الباحثون سيناريو آخر استطاع فيه Atlas إضافة عنوان شحن إلى حساب Amazon مسجّل الدخول، ووضع منتجات في سلة التسوق، ثم دفع مساعد التسوق بالذكاء الاصطناعي Rufus إلى إتمام عملية شراء من دون علم المستخدم أو موافقته .

وأكد مايكل بارغوري، كبير مسؤولي التقنية في Zenity، أن التجربة لم تستغل ثغرة في واتساب نفسه؛ إذ ظل التشفير من الطرف إلى الطرف سليماً. كانت المشكلة في الطريقة التي يقرأ بها وكيل المتصفح المحتوى وينفذ الأفعال باستخدام الجلسات الموثّقة الخاصة بالمستخدم .

ما هي ثغرات PleaseFix؟

تصف Zenity اسم PleaseFix بأنه عائلة من هجمات اختطاف الوكلاء يمكن تشغيلها من خلال محتوى عادي ضمن مهام متوقعة، ومن دون برمجية خبيثة تقليدية أو استغلال تقني على جهاز الضحية . وتشمل المنتجات المتأثرة التي عرضها الباحثون:

في هذه السيناريوهات، لا يحتاج المهاجم بالضرورة إلى إقناع المستخدم بالنقر على رابط مشبوه. يكفي أن يمر المحتوى المصمم بعناية عبر الوكيل أثناء تنفيذ مهمة عادية، مثل قراءة بريد إلكتروني أو معالجة دعوة في التقويم. وعندها قد يتعامل الوكيل مع تعليمات المهاجم باعتبارها جزءاً من طلب المستخدم .

«تصادم النوايا» بوابة الهجوم

تسمي Zenity الآلية الأساسية «تصادم النوايا». ويحدث ذلك عندما يخلط الوكيل بين نية المستخدم المشروعة والتعليمات المخفية في المحتوى الذي يقرأه، فينفذ هدف المهاجم كما لو كان امتداداً طبيعياً للمهمة الأصلية .

ومن أبرز الأساليب التي عرضها الباحثون:

• تعليمات بلغات مخفية أو غير شائعة: مثل استخدام العبرية أو تشويش Unicode لتجاوز أدوات الفحص، مع بقاء النموذج اللغوي قادراً على فهم الأمر .
• تصادم النوايا: صياغة محتوى يجعل الإجراء الضار يبدو متوافقاً مع طلب المستخدم، فلا يراه نظام تقييم الأوامر نشاطاً مشبوهاً .
• خداع العزل الأمني: استغلال الصلاحيات المشروعة الممنوحة للوكيل، مثل الوصول إلى علامات التبويب وملفات تعريف الارتباط والجلسات المسجّل دخولها، لتحويلها إلى سطح هجوم .

ماذا يمكن أن يحدث إذا استُغلت هذه الثغرات؟

تتجاوز المخاطر إرسال رسائل مزعجة على واتساب. فقد أظهرت سلاسل PleaseFix مسارات محتملة نحو:

• الوصول إلى الجهاز المحلي: سرقة بيانات بصمت، بل والسيطرة عن بُعد على جهاز الضحية في بعض سلاسل الهجوم .
• اختراق مديري كلمات المرور: استهداف خزائن كلمات المرور، بما في ذلك 1Password، وسرقة بيانات اعتماد ضمن جلسات موثّقة .
• تنفيذ مشتريات غير مصرّح بها: استخدام العناوين والحسابات المسجّل دخولها لإضافة منتجات وإتمام عمليات شراء .
• الاستيلاء على الحسابات والتحكم بالأجهزة: إظهار مسارات قد تؤدي إلى السيطرة على حسابات أو أجهزة الضحايا .

وكانت Zenity قد كشفت في مارس 2026 عن مثال مبكر لهذه الفئة في Perplexity Comet، حيث أمكن لدعوة تقويم مصممة خصيصاً أن تدفع الوكيل إلى تسريب ملفات محلية وسرقة بيانات اعتماد 1Password من دون نقرة من المستخدم .

لماذا فشل Atlas رغم تعدد طبقات الحماية؟

كان Atlas، وفق الاختبارات المعروضة، يضم طبقات حماية أكثر من المتصفحات الأخرى: مصنف أمان يعمل بالذكاء الاصطناعي، وبيئة تنفيذ مقيّدة، ورسائل تأكيد يفترض أن تتطلب تدخلاً بشرياً عند تنفيذ أفعال حساسة . ومع ذلك، تمكن الباحثون من تجاوز الطبقات الثلاث :

1. مصنف الأمان: أدت اللغة العبرية إلى تمرير التعليمات، لأن المصنف لم يتعامل معها بالكفاءة نفسها التي يتعامل بها مع النصوص الإنجليزية، بينما فهمها النموذج الأساسي .
2. بيئة العزل: سمح «تصادم النوايا» للوكيل برؤية الاشتراك في النشرة على أنه مهمة شرعية، وبالتالي اعتبر الأفعال اللاحقة، مثل فتح واتساب أو التعامل مع Amazon، ضمن نطاق المهمة .
3. تأكيد المستخدم: لم تظهر بعض رسائل التأكيد لأن الأفعال صُنّفت على أنها روتينية، أو جرى التعامل معها ضمن تدفقات عمل آلية .

استجابة الشركات ونهاية Atlas

كانت استجابة OpenAI مرتبطة أيضاً بقرار منتج أُعلن قبل عرض Black Hat. فقد أعلنت الشركة في 9 يوليو 2026 أن Atlas سيتوقف عن العمل في 9 أغسطس 2026، أي بعد أربعة أيام فقط من العرض . وقررت OpenAI إنهاء المتصفح كمنتج مستقل ونقل قدراته الخاصة بالمهام عبر المتصفح إلى تطبيق ChatGPT المكتبي وتكامل Chrome وChatGPT Work وCodex .

وتقول صفحة المساعدة التابعة لـOpenAI إن Atlas قد لا يعود قادراً بعد ذلك التاريخ على فتح المتصفح أو التصفح أو دعم الميزات المعتمدة على المتصفح، كما لن يتلقى تحديثات أمنية. وأفادت الشركة أيضاً بأنها نشرت إصلاحات للمشكلات المحددة التي عُرضت .

أما Perplexity AI، فكانت قد أصدرت إصلاحات لثغرات Comet قبل الكشف العلني عن النتائج في مارس 2026 . وقدمت Zenity نتائجها الأوسع في Black Hat بعد العمل مع الشركات المتأثرة ضمن إجراءات الإفصاح المسؤول .

لماذا لا تكفي مصنفات الذكاء الاصطناعي؟

تتمثل رسالة Zenity الأساسية في أن الاعتماد على مصنفات أمان تعمل بالذكاء الاصطناعي وحدها لا يوفر حماية بنيوية كافية للمتصفحات الوكيلة . فهذه المصنفات نماذج احتمالية يمكن التأثير فيها عبر تغيير اللغة أو التلاعب بالنص أو حقن التعليمات، وهي الأساليب ذاتها التي يستغلها الهجوم .

لذلك دعا الباحثون إلى بناء حواجز أمنية حتمية على مستوى نظام التشغيل أو بنية المتصفح، بحيث لا يمكن للنموذج تجاوزها عبر إعادة تفسير التعليمات . ومن أمثلتها:

• مطالبات صلاحيات إلزامية لا يستطيع الوكيل تجاوزها عند إرسال الرسائل أو إجراء المدفوعات أو الوصول إلى الملفات.
• عزل تفرضه العتاد بين عمليات الوكيل وبيانات اعتماد المستخدم.
• تأكيد خارجي للمستخدم، مثل البصمة الحيوية أو مفتاح أمني، قبل تعديل الحسابات أو إرسال الرسائل أو بدء المعاملات المالية.

ويلخص بارغوري موقف الباحثين بالقول: «لا يمكنك حل مشكلة أمنية حتمية باستخدام مصنف ذكاء اصطناعي احتمالي» .

الخلاصة: المشكلة في التصميم لا في رقعة برمجية واحدة

تكشف PleaseFix عن مشكلة أعمق من خلل منفرد يمكن إصلاحه بتحديث سريع. فالمتصفح الوكيل مصمم لقراءة المحتوى واتخاذ إجراءات نيابة عن المستخدم، لكن هذا التصميم نفسه يضعف الحدود بين طلب المستخدم وتعليمات المهاجم .

وقد وجدت Zenity مسارات هجوم في كل المتصفحات الرئيسية التي اختبرتها، حتى Atlas الذي امتلك أقوى طبقات الحماية في العرض. والدرس الأبرز هو أن المتصفحات التي تتصرف نيابة عن المستخدم تحتاج إلى ضوابط مستقلة وحتمية قبل توسيع استخدامها على نطاق واسع؛ فالمساعد الذي يستطيع إرسال رسالة أو فتح ملف أو شراء منتج يجب ألا يكتفي بسؤال نموذج آخر عما إذا كان ذلك آمناً.