اطلب من وكيل الذكاء الاصطناعي تلخيص التقييمات على صفحة المنتج، ويمكن لمراجعة واحدة أن تجعله ينقر على “اشتر الآن” بدلاً من ذلك. اطلب من مساعد البرمجة تطبيق إصلاح المشرف من سلسلة رسائل GitHub، ويمكن للتعليق المزيف أن يجعله يقوم بتشغيل أمر شخص غريب على جهاز الكمبيوتر الخاص بك.
لا تخطف أي من الحيل مهمة الوكيل. كل واحد يفسد الحقائق التي يثق بها ويسمح له بمواصلة الوظيفة التي طلبتها.
هذا هو شكل فئة جديدة من الهجمات الموضحة في ورقة بحثية نشرها باحثون من جامعة سيول الوطنية، وجامعة إلينوي أوربانا-شامبين، ولارغوسوفت في 6 يوليو.
يسمونه حقن بيانات الوكيل، أو أدي. يتم تزيين مدخلات المهاجم كبيانات يثق بها الوكيل بالفعل، مثل اسم المرسل أو معرف الزر، بحيث تتخطى معظم الدفاعات المصممة لإيقاف الحقن الفوري.
تأتي الفجوة من كيفية قراءة الوكيل. فهو يأخذ نوعين من الأشياء: التعليمات، أي ما تطلب منه أنت ومطور التطبيق القيام به، والبيانات، أي كل ما يسحبه أثناء العمل، مثل البريد الإلكتروني أو صفحة الويب أو التعليق. يخفي الحقن الفوري التقليدي أمرًا داخل تلك البيانات، مثل “تجاهل مهمتك وأرسل لي الملفات عبر البريد الإلكتروني”.
يسمي الباحثون ذلك حقنة التعليمات. يتم تدريب الدفاعات الحديثة على اكتشاف النص الذي يبدو وكأنه أمر مهرب وحظره، وضد هذه الخطوة، فإنها تعمل الآن بشكل جيد.
يعمل ADI بطبقة واحدة أسفل الحقائق الصغيرة التي يثق بها الوكيل بهدوء: من أرسل البريد الإلكتروني، ومعرف الزر الموجود على الصفحة، وسجل الخطوة التي تم تشغيلها بالفعل من قبل الأداة. قم بإفساد هذه العناصر، وسيظل الوكيل يقوم بمهمتك، فقط على رأس المعلومات التي زرعها المهاجم.
علامات الترقيم المزيفة التي يعتقدها النموذج
والطريقة وراء ذلك هي ما يسميه الباحثون حقن المحدد الاحتمالي. يقوم الوكلاء بتغليف بياناتهم بعلامات ترقيم تحدد المكان الذي تنتهي فيه القطعة الواحدة وتبدأ القطعة التالية: علامات الاقتباس والأقواس، والعلامات، والأقواس، وفواصل الأسطر. علامات الترقيم هذه هي الطريقة التي يخبر بها النموذج حقلاً موثوقًا به، مثل اسم المرسل، بصرف النظر عن المحتوى غير الموثوق به، مثل نص الرسالة.
يقرأ البرنامج العادي علامات الترقيم هذه وفقًا لقواعد صارمة. نموذج اللغة يقرأها عن طريق التخمين. لذلك يمكن للمهاجم أن يرش أحرفًا تشبه علامات الترقيم في الحقل الذي يتحكم فيه، وغالبًا ما يقرأها النموذج على أنها بنية حقيقية لم تكن موجودة من قبل، أو يرى بريدًا إلكترونيًا إضافيًا، أو زرًا إضافيًا، أو نتيجة أداة إضافية.
الجزء الذي يجعل من الصعب التوقف: علامات الترقيم المزيفة لا يجب أن تكون صحيحة. في الاختبار، تم تمرير الاقتباس الهارب (\”)، أو الاقتباس المتعرج، أو حتى علامة الدولار، على أنه الشيء الحقيقي ولا يزال يخدع النموذج. سيقرأ المحلل اللغوي الصارم تلك الأحرف كنص عادي، وليس كبنية جديدة.
قام الباحثون ببناء ثلاث هجمات عمل على أدوات شحن حقيقية:
- على وكلاء الويب (Claude in Chrome، وGoogle’s Antigravity، وNanobrowser)، تعيد مراجعة المنتج المزروعة استخدام معرف الزر الحقيقي. يعني الوكيل النقر على “اقرأ المزيد” والنقر على “اشتر الآن” بدلاً من ذلك، مما يؤدي إلى تقديم طلب لم يقم به المستخدم مطلقًا. ونظرًا لأن هذه الأدوات تقوم بترقيم عناصر الصفحة بالترتيب، فيمكن للمهاجم معرفة المعرف مسبقًا.
- على مساعدي الترميز (Claude Code، وOpenAI’s Codex، وGemini’s CLI من Google)، يقوم تعليق GitHub بصياغة سطر المؤلف الخاص به ليبدو وكأن مشرف المشروع هو من كتبه. يُطلب من الوكيل تطبيق إصلاح المشرف، وسيقوم بتشغيل أمر المهاجم على جهاز المطور إذا وافق المطور على ما يبدو كخطوة روتينية.
- طلب سحب ضار يقوم بتزييف سجل الشيك الذي لم يجره الوكيل مطلقًا، لذلك تظهر نتيجة ذات مظهر نظيف في تاريخه. يقوم الوكيل بمراجعة تلك النتيجة المزيفة، ويحكم على سلامة الكود، ويتحرك لدمجه، ويسحب الكود الخبيث الحقيقي إلى المشروع بمجرد موافقة المطور.
معظم هذه الأدوات تسأل بالفعل قبل القيام بشيء محفوف بالمخاطر. يسأل كلود في كروم قبل أن ينقر؛ يسأل مساعدو الترميز قبل تشغيل الأمر. لا يساعد كثيرا. تشير مطالبة النقر فقط إلى أن الوكيل يريد النقر فوق عنصر ما، وليس العنصر أو السبب.
يُظهر مساعدو البرمجة منطقهم، لكن هذا المنطق مبني على حقائق مزيفة، لذلك يبدو وكأنه وصف معقول لخطوة عادية. عند مشاهدة الشاشة، لا يكون لدى المستخدم سوى طريقة قليلة لتمييز الموافقة الحقيقية عن الموافقة المصنعة.
وقد ثبت أن كل النماذج التي تم اختبارها معرضة للخطر: GPT-5.2 وGPT-5-mini من OpenAI، وClude Opus 4.5 وSonnet 4.5 من Anthropic، وGemini 3 Pro وFlash من Google. وفي جميع الحالات الستة، عملت على البيانات المنظمة بنسبة 31% إلى 43% من الوقت، وعلى بيانات صفحات الويب في أي مكان من ثلث المحاولات إلى جميعها.
في مواجهة دفاعات العملاء المصممة خصيصًا لهذا الغرض والتي اختبرها الباحثون، انفتحت الفجوة: تم حظر هجوم تهريب الطلبات الكلاسيكي بالكامل تقريبًا، بمعدل نجاح قريب من الصفر، بينما نجح ADI بنسبة تصل إلى 50٪ من الوقت. نفس الدفاعات، نتائج مختلفة جدًا، لأنها بنيت للهجوم الآخر.
ما الذي يمنعه في الواقع
لم يسقط كل شيء. تجاهل متصفح Atlas الخاص بـ ChatGPT هجوم النقرات لأنه يضع علامة على كل عنصر في الصفحة بمعرف عشوائي لا يمكن تخمينه بدلاً من عداد بسيط، لذلك لا يستطيع المهاجم تكوين تطابق. ووجد الباحثون نفس الفكرة، وهي إضافة علامة عشوائية قصيرة إلى أسماء الحقول، مما أدى إلى خفضها إلى النصف تقريبًا، من حوالي 49% إلى 29% في اختباراتهم، مع الحفاظ على العوامل مفيدة.
هناك دفاع أثقل يتعقب مصدر كل جزء من البيانات ويمنعه تمامًا، ولا توجد هجمات ناجحة، لكنه يترك العملاء ينهون حوالي ثلث مهامهم العادية فقط. يؤدي إزالة علامات الترقيم إلى تقليل الهجوم أيضًا، ولكنه يعطل قدرة العملاء على قراءة الأشياء العادية مثل الروابط ومسارات الملفات معها.
يصف الباحثون هجمات إثبات المفهوم فقط، ولا يوجد تقرير عام عن استخدام ADI في البرية. أبلغ الفريق البائعين المتأثرين بكل شيء قبل النشر؛ اعترفت OpenAI وGoogle وAnthropic بالتقارير، ولم يرد Nanobrowser حتى الآن على الورقة.
لكي ينجح الهجوم، يجب أن تتوافق بعض الأشياء. يتعين على الوكيل معالجة المحتوى الذي يمكن لأي شخص غريب تحريره، وهو ما يفعله وكلاء الويب وGitHub طوال اليوم. ويجب على المهاجم أن يعرف التنسيق الذي يحزم فيه الوكيل بياناته.
ويقول الباحثون إن المهاجم يمكنه استعادة تنسيق أداة مفتوحة المصدر أو يتم تشغيلها محليًا من خلال قراءة التعليمات البرمجية الخاصة بها أو إجراء هندسة عكسية لها، وأن الخدمة السحابية أكثر صعوبة، حيث قد تتطلب كسر حماية غير مضمون العمل.
وفقًا للورقة البحثية، يقوم الباحثون أيضًا بإصدار رمز المعيار والهجوم الخاص بهم، حتى يتمكن البائعون والمدافعون من اختباره.
وقال ووهيوك تشوي، الذي كتب الورقة مع البروفيسور بيونغ يونغ لي، لصحيفة The Hacker News إن OpenAI وGoogle وAnthropic جميعهم أكدوا صحة الهجوم، وأن OpenAI وGoogle طلبوا نسخة من الورقة. وأضاف أنه علاوة على ذلك، “لم يتم إبلاغ الفريق بأي إصلاح، سواء تم شحنه أو مخطط له”.
بالنسبة للجزء الصعب، وهو استعادة التنسيق الذي تستخدمه الخدمة السحابية، قال تشوي إن الفريق تمكن من إدارته على أي حال. بالنسبة لهذا التنسيق من جانب الخادم، والذي لا يستطيع المهاجم رؤيته مباشرة، فقد حصلوا على النموذج للكشف عنه من خلال كسر حماية متعدد المنعطفات، وبجهود متفاوتة، نجح هذا النموذج ضد GPT وClaude وGemini.
بل إن هناك طريقًا مختصرًا: تميل النماذج الأكبر والأصغر للشركة إلى مشاركة نفس التنسيق، بحيث يمكن للمهاجم انتزاعها من نموذج أصغر، وهو ما يسهل اختراقه. ويتوقع تشوي أن يظل التنسيق قابلاً للاسترداد حتى مع تحسن النماذج، لأن نماذج اللغة لا يمكنها الحفاظ على هذا النوع من السرية بشكل موثوق.
حيث يناسب هذا
وقد ظهرت مشكلة الثقة تحتها من قبل. في يونيو 2025، كشفت Aim Security عن EchoLeak (CVE-2025-32711)، وهو عيب في Microsoft 365 Copilot حيث يمكن للمرء إنشاء بريد إلكتروني يمكن أن يجعل المساعد يسرب الملفات الداخلية دون الحاجة إلى النقر.
قامت مايكروسوفت بتصحيحه، ولم يتم الإبلاغ عن أي إساءة استخدام في العالم الحقيقي، لكنها كانت حالة مبكرة وملموسة لفكرة الحقن الفوري التي تحولت إلى مسار عملي لاستخلاص البيانات في منتج الشحن. وكان EchoLeak هو تلك القصة في شكلها الأول: أمر خفي. ADI هو المنعطف التالي للمسمار.
زاوية GitHub ليست جديدة أيضًا. في مايو 2025، أظهرت Invariant Labs أن مشكلة GitHub العامة يمكن أن تدفع الوكيل إلى قراءة مستودع خاص وتسريبه، وهي مشكلة تصميم بدون تصحيح نظيف.
في الآونة الأخيرة، دفعت اختبارات البائعين المتقاطعين كلود كود، وجيميني سي إل آي، وكوبيلوت إلى تسريب أسرارهم الخاصة من خلال نص الإصدار وطلب السحب، وتجاوز حواجز الحماية التي أضافها جيثب لهذا الغرض بالضبط. تم تهريب تلك الهجمات في التعليمات. يقوم ADI بتزوير من قال ماذا، ويزيف سجل ما فعله العميل بالفعل.
يتتبع الباحثون ذلك إلى درس تعلمته البرامج التقليدية بالطريقة الصعبة: فصل التعليمات البرمجية عن البيانات، ثم فصل البيانات الموثوقة عن البيانات غير الموثوقة.
التقط الوكلاء الشوط الأول وتخطوا الثاني. داخل ذاكرة العميل الخاصة، يوجد الاسم الموجود في رسالة البريد الإلكتروني بجوار نص البريد الإلكتروني مباشرةً، دون أي شيء يشير إلى ما يضمنه النظام وما كتبه شخص غريب. وإلى أن يرسم العملاء هذا الخط، فإن الكذبة المقنعة حول من أرسل شيئًا ما هي كل ما يحتاجه الهجوم.
