إضافات خبيثة في متجر JetBrains تسرق مفاتيح API للذكاء الاصطناعي من 70 ألف مطور

لاحظ خبراء Aikido تفصيلًا يكشف عن وقاحة غير معهودة: بعض نسخ البرمجية الخبيثة تضمنت حتى فئة مدفوعة، حيث كان بإمكان الضحايا دفع مبلغ صغير للحصول على مفتاح API "عامل"، والذي كان على الأرجح مسروقًا من مطور آخر مخترق .

الجدول الزمني وحجم الضرر

وفقًا لتحليل Aikido، ظهرت أولى هذه الإضافات الخبيثة في أكتوبر 2025، واستمر نشر إضافات جديدة حتى يونيو 2026 . هذا يعني أن الحملة استمرت لأكثر من ثمانية أشهر على المتجر الرسمي قبل اكتشافها.

في وقت إعلان Aikido، كانت الإضافات الخمس عشرة قد جمعت ما يقرب من 70,000 عملية تثبيت عبر حسابات البائعين السبعة المحتالة . يشير حجم العملية إلى أنها كانت على الأرجح أول حملة برمجيات خبيثة منسقة بهذا الحجم تنجح في اختراق متجر JetBrains .

لم تقع حادثة JetBrains بمعزل عن غيرها. فقد تزامنت مع حملة موازية أنشأ فيها ممثلو التهديد شبكة تضم أكثر من 88 موقعًا مزيفًا لمثبتات برامج تنتحل شخصية أدوات Claude Code و Cline و JetBrains، مستخدمين إعلانات Google لتوجيه المطورين نحو برمجيات تسرق بيانات الاعتماد . تشير هاتان العمليتان معًا إلى جهد متعمد ومتعدد الجوانب لاستهداف أسرار مطوري الذكاء الاصطناعي.

هجوم أوسع على مفاتيح اعتماد الذكاء الاصطناعي

يعد هجوم متجر JetBrains جزءًا من توجه مقلق عبر سلسلة توريد البرمجيات. أصبحت مفاتيح API لنماذج اللغات الكبيرة هدفًا رئيسيًا للمهاجمين بسبب الصلاحيات التي تمنحها. فالمفتاح المخترق يمكن استخدامه لتكديس فواتير استدلال خيالية، أو الوصول إلى نماذج خاصة وبيانات داخلية، أو الانتقال إلى البنى التحتية السحابية المرتبطة به.

في وقت سابق من عام 2026، تم اكتشاف أن حزمة npm تحمل اسم codexui-android، والتي كانت تسجل حوالي 28,000 تحميل أسبوعيًا، تسرب بصمت رموز OAuth المميزة وغير منتهية الصلاحية من مستخدمي OpenAI Codex . أخفى المهاجمون عملية التسريب في زي حركة بيانات مراقبة روتينية لأداة Sentry. وفي عام 2025، نجحت حملة منفصلة في اختراق 141 حزمة npm من حزم Mastra لحقن كود خبيث عند التثبيت، مما زاد من إثبات هشاشة بيئات التطوير .

تمثل إضافات بيئات التطوير المتكاملة هدفًا عالي القيمة بشكل خاص. فالإضافات داخل بيئات JetBrains تعمل بصلاحية وصول كاملة إلى عملية الـ IDE، مما يعني أنها تستطيع قراءة الكود المصدري، والوصول إلى بيانات الاعتماد المخزنة، وتعديل الملفات، وبدء اتصالات الشبكة . ليست الإضافة الخبيثة مجرد خطر نظري، بل هي باب خلفي عملي لكل ما يلمسه المطور. وكما أشار تحليل ما بعد الحادثة، فإن مساعد الذكاء الاصطناعي الموصول ببيئة الـ IDE أصبح الآن "سطح أتمتة عالي الصلاحية" يجاور الكود المصدري، والأسرار، ومفاتيح SSH، وبيانات اعتماد السحابة .

ما الذي يجب على المطورين فعله الآن

الخطر المباشر لأي مطور جرب إضافات مساعد الذكاء الاصطناعي في الأشهر الأخيرة هو أن مفتاح API الخاص به بات في يد مهاجم. لخصت Aikido ومصادر أمنية أخرى الاستجابة في عدة خطوات أساسية.

1. تغيير مفاتيح API المخترقة فورًا. إذا قمت بتثبيت إضافة مساعد ذكاء اصطناعي من متجر JetBrains بين أكتوبر 2025 ويونيو 2026 وأدخلت مفتاح API، فافترض أنه مخترق. قم بإنشاء مفتاح جديد من لوحة تحكم مزود الذكاء الاصطناعي لديك وألغِ القديم دون تأخير .

2. تدقيق الإضافات المثبتة. افتح Settings/Preferences (الإعدادات/التفضيلات) في بيئة التطوير الخاصة بك، انتقل إلى Plugins (الإضافات)، وراجع القائمة المثبتة. قم بتعطيل أو إزالة أي إضافة لا تعرفها صراحةً ولا تثق بها. بعد الإزالة، أعد تشغيل الـ IDE لضمان إزالة الكود الخاص بها تمامًا من الذاكرة .

3. راجع بيئتك بحثًا عن أي تغييرات متبقية. لا يضمن إلغاء تثبيت إضافة التراجع عن جميع تأثيراتها. يمكن للإضافات تعديل إعدادات وملفات الـ IDE؛ تحقق من أي تكوينات غير متوقعة أو سلوكيات شبكة تستمر بعد الإزالة .

4. تدقيق صلاحيات الإضافة قبل تثبيتها. كن حذرًا بشكل خاص من الإضافات التي تطلب صلاحيات وصول واسعة للشبكة دون مبرر واضح. فأداة تنسيق الأكواد، على سبيل المثال، يجب ألا تحتاج إلى التواصل مع خوادم خارجية.

5. اعتماد مفاتيح API قصيرة الأجل ومحددة النطاق. حيثما يدعم مزود الذكاء الاصطناعي الخاص بك ذلك، قصر المفاتيح على مشاريع أو خدمات محددة وحدد تواريخ انتهاء صلاحية لها. راقب لوحات بيانات الفوترة بفاعلية بحثًا عن أي ارتفاعات غير عادية في الاستخدام، والتي يمكن أن تكون إنذارًا مبكرًا لإساءة استخدام بيانات الاعتماد.

6. الإبلاغ عن الإضافات المريبة. إذا صادفت إضافة تتصرف بشكل غير متوقع، استخدم خيار "Report Plugin" (الإبلاغ عن إضافة) على صفحتها في متجر JetBrains لإخطار فريق أمان المنصة . يظل اليقظة الجماعية أحد أكثر الدفاعات فعالية ضد تهديدات سلسلة التوريد.