كيف حوّل باحثون متصفح OpenAI Atlas إلى دودة واتساب؟ كل ما تريد معرفته عن ثغرات "بليزفيكس"

لم تكن هذه مجرد ثغرة معزولة، بل كانت أكثر العروض دراماتيكية لعائلة من الثغرات غير الموثقة سابقاً والتي أطلق عليها الباحثون اسم "PleaseFix" (أي "أصلح من فضلك")، وهي مجموعة من الثغرات صفرية النقر التي تؤثر على جميع متصفحات الذكاء الاصطناعي الوكيلة التجارية الرئيسية التي فحصها الباحثون .

كيف عملت دودة Atlas عبر واتساب؟

نجح هجوم Zenity الإثباتي في اختراق نظام الأمان ثلاثي المستويات الخاص بـ OpenAI باستخدام ثلاث تقنيات رئيسية :

• تعليمات باللغة العبرية: كانت مرشحات الأمان في Atlas مدربة بشكل أساسي على اللغة الإنجليزية، مما سمح للأوامر غير الإنجليزية بتجنب اكتشافها .
• تعارض النوايا: قام الباحثون بخلط أوامر المستخدم المشروعة (مثل "اشترك في النشرة الإخبارية") مع أوامر خبيثة مخفية، مما جعل من الصعب على المساعد التمييز بين الإجراءات الآمنة والضارة .
• ادعاء بيئة اختبار وهمية: أخبرت صفحة الهجوم المساعد الذكي أن الإجراءات تحدث في بيئة اختبار آمنة (sandbox)، مما خدع فحوصات الأمان الذاتية للمساعد .

يمكن استخدام نفس سلسلة الهجمات أيضاً لإجراء عمليات شراء غير مصرح بها من أمازون، مما يدل على قدرة أوسع على الاستيلاء على الحسابات . من المهم التوضيح أن تشفير واتساب من طرف إلى طرف لم يتم اختراقه، بل إن المساعد الذكي كان يعمل ببساطة ضمن جلسة المستخدم الموثقة .

عائلة ثغرات PleaseFix

كشفت Zenity Labs أن PleaseFix هي عائلة من الثغرات صفرية النقر التي تؤثر على جميع متصفحات الذكاء الاصطناعي الوكيلة التجارية التي فحصها الباحثون . تم عرض الثغرات عبر المنصات التالية:

• ChatGPT Atlas (من OpenAI)
• Claude في Chrome (من Anthropic)
• Gemini في Chrome (من Google)
• Perplexity Comet (من Perplexity)
• Copilot Edge (من Microsoft)

بالمجمل، وجدت Zenity 20 ثغرة منفصلة عبر هذه المنصات . المشكلة الأساسية هي مشكلة معمارية: متصفحات الذكاء الاصطناعي الوكيلة مصممة لقراءة محتوى الويب بشكل مستقل، واتباع التعليمات، وتنفيذ الإجراءات نيابة عن المستخدم، وهذه الاستقلالية هي بحد ذاتها سطح الهجوم . يختطف المهاجمون المساعدين من خلال محتوى عادي وإجراءات متوقعة دون الحاجة إلى أي برمجيات خبيثة أو ثغرات برمجية أو نقرات من المستخدم .

شملت نتائج الهجمات الموثقة :

• سرقة البيانات الصامتة: استخراج الملفات المحلية وبيانات الاعتماد، بما في ذلك من مديري كلمات المرور مثل 1Password .
• الاستيلاء على الحسابات والأجهزة: اختطاف كامل للجلسة وتنفيذ أوامر عن بعد على الجهاز الذي يعمل عليه المتصفح .
• اختطاف حسابات التواصل الاجتماعي: نشر منشورات، وإرسال رسائل إلى جهات الاتصال، ونشر روابط التصيد من حسابات الضحية.
• إجراءات مالية غير مصرح بها: إجراء عمليات شراء على أمازون وخدمات أخرى.

ردود فعل الشركات المصنعة

• OpenAI: كانت قد أعلنت بالفعل عن إيقاف متصفح Atlas قبل مؤتمر بلاك هات 2026، مع إغلاق المتصفح في 9 أغسطس 2026، بعد أيام فقط من الكشف عن الثغرات . نقلت OpenAI ميزات المساعد من Atlas إلى منصتي ChatGPT Work و Codex الأوسع، لكن الأسئلة الأمنية تبعت قدرات المساعد إلى هذه البيئات الجديدة .
• الشركات الأخرى: تلقت إفصاحات منسقة من Zenity وأصدرت تصحيحات، لكن التوتر المعماري الأساسي، وهو منح المساعدين الذكيين صلاحيات واسعة للعمل على الويب، ظل دون حل .

لماذا يطالب الخبراء بحواجز أمان حتمية؟

يجادل باحثو الأمن بأن النهج الحالي، والذي يقوم على إضافة مرشحات أمان وحواجز حماية على مستوى الأوامر النصية فوق مساعدين ذكيين شديدي الاستقلالية، هو نهج غير فعال من الناحية الهيكلية . أظهر بحث Zenity أن كل متصفح وكيل يمكن اختراقه باستخدام نفس التقنية الأساسية: تغذية المساعد بمحتوى خبيث صُمم لمعالجته .

المشكلة الأساسية أن مرشحات الأمان الاحتمالية (التي تخمن ما إذا كان الإجراء آمناً) لا يمكنها إيقاف مهاجم يمكنه صياغة مدخلات جديدة تنزلق عبر هذه المرشحات. لذلك، يدعو الباحثون إلى حواجز أمان حتمية، وهي قيود صارمة قابلة للتنفيذ على ما يُسمح للمساعد الذكي بفعله، بغض النظر عن كيفية تفسيره للتعليمات . تشمل الأمثلة:

• قوائم بيضاء صلبة للإجراءات المسموح بها (مثل "لا ترسل رسائل من هذا المتصفح أبداً").
• حدود صلاحيات على مستوى نظام التشغيل لا يمكن تجاوزها بواسطة مخرجات النموذج.
• بوابات موافقة بشرية للإجراءات عالية المخاطر (المعاملات المالية، الرسائل، الوصول إلى بيانات الاعتماد).

وإلى أن توجد هذه الضوابط الحتمية، يظهر تصنيف ثغرات PleaseFix أن متصفحات الذكاء الاصطناعي الوكيلة يمكن تحويلها إلى أسلحة ضد مستخدميها بمجرد نشر محتوى ويب يبدو عادياً .