لقد أثبت باحثو الأمن أن صناديق الحماية التي تحمي أربعة عوامل تشفير للذكاء الاصطناعي مستخدمة على نطاق واسع - Cursor، وOpenAI's Codex، وGemini CLI من Google، وAntigravity - يمكن الهروب منها دون مهاجمة Sandbox بشكل مباشر. تكشف النتائج، التي نشرها فريق بحث Pillar Security في 20 يوليو 2026 وأبلغ عنها موقع BleepingComputer، عن ضعف هيكلي في كيفية قيام أدوات تشفير الذكاء الاصطناعي بعزل الكود الذي ينشئه عملاؤهم من أجهزة المطورين التي يعملون عليها.
يعد البحث بمثابة نقطة بيانات مهمة لأي شخص يتتبع [أخبار الذكاء الاصطناعي العاجلة] (https://aibuzzwire.news) بشأن سلامة العميل، لأنه يُظهر أنه حتى الوكيل الممتثل تمامًا - الذي يطيع كل قاعدة داخل صندوق الحماية الخاص به - لا يزال بإمكانه الاختراق. الخلل ليس في سلوك الوكيل ولكن في حدود الثقة التي يفترضها صندوق الحماية.
كيف تعمل عمليات الهروب
الفكرة الأساسية بسيطة بشكل مخادع. تعمل عوامل ترميز الذكاء الاصطناعي الحديثة داخل صندوق حماية يرسم خطًا: الوكيل موثوق به داخل مساحة عمل المشروع، والمضيف بالخارج محمي. الافتراض هو أن الملفات الموجودة داخل مساحة العمل خاملة - وهي بيانات وليست أوامر.
لكنهم ليسوا خاملين. تقوم الأدوات التي تعمل خارج وضع الحماية بقراءة هذه الملفات والتعامل معها باستمرار. تعمل بيئات التطوير المتكاملة على حل مترجمات Python، ومستودعات فحص تكاملات Git، وتشغيل VS Code لملفات المهام، وإطلاق أوامر محركات الربط، ويكشف Docker Desktop عن مقبس محلي. يمكن لعامل وضع الحماية أن يطيع كل قاعدة يتم تقديمها له ويستمر في كتابة ملف تقوم إحدى تلك الأدوات الخارجية بتنفيذه أو تحميله أو فحصه لاحقًا.
وفقًا لتقرير BleepingComputer، فإن الهروب "يحدث من تلقاء نفسه": يبقى الوكيل داخل الصندوق، ويتبع كل قاعدة، ويكتب فقط ملفًا تقوم أداة موثوقة خارج الصندوق بتشغيله لاحقًا. الوكيل لا ينفجر أبدًا. ويتم الاختراق نيابةً عنه بواسطة برنامج يثق به المطور بالفعل.
الزناد: الحقن الفوري
الآلية التي تحدد عمليات الهروب هذه هي الحقن الفوري، وهي نفس الثغرة الأمنية التي ابتلي بها عملاء الذكاء الاصطناعي عبر المجالات. تصبح التعليمات الضارة المزروعة في ملف README، أو مشكلة GitHub، أو تبعية المشروع، أو اختلاف التعليمات البرمجية إجراءً محليًا على جهاز المطور بمجرد أن يقوم الوكيل بمعالجتها.
وهذا يربط أبحاث وضع الحماية بنمط أوسع في أمن الذكاء الاصطناعي. لا يحتاج الوكيل إلى أن يتم اختراقه أو كسر حمايته. إنه يحتاج ببساطة إلى مواجهة مدخلات مسمومة أثناء عمله العادي - قراءة ملف، ومراجعة طلب سحب، وتثبيت حزمة - ثم تنفيذ التعليمات المضمنة عن طريق كتابة الملف الصحيح في المكان المناسب. يسمح وضع الحماية بالكتابة، لأن كتابة الملفات هو بالضبط ما يفترض أن يفعله وكيل البرمجة.
"أسبوع الهروب من Sandbox"
قام فريق البحث التابع لشركة Pillar Security - إيلون كوهين، ودان ليسيتشكين، وأرييل فوجل - بإعادة إنتاج الطرق الالتفافية على مدار عدة أشهر ونشرها كسلسلة أطلقوا عليها اسم "أسبوع Sandbox Escapes"، حيث يتم نشر مقال واحد يوميًا. قام الباحثون بتصنيف النتائج السبعة التي توصلوا إليها إلى أربعة أنماط فشل مختلفة.
إحدى الفئات هي ما يصفونه بصناديق الحماية لقائمة الحظر - صناديق الحماية التي تحاول منع إجراءات خطيرة معينة بدلاً من السماح فقط بالأفعال الآمنة. من المعروف أن قائمة الرفض هشة لأنها تعتمد على توقع كل هجوم محتمل، وتُظهر عمليات الهروب كيف يمكن للعميل الالتفاف حول إجراء محظور من خلال الاستعانة بأداة خارجية لم تكن مدرجة على قائمة الرفض في المقام الأول.
تمثل الأدوات الأربع المتأثرة - Cursor، وOpenAI's Codex، وGemini CLI من Google، وAntigravity - قطاعًا عريضًا من سوق وكيل ترميز الذكاء الاصطناعي، بدءًا من المكونات الإضافية لبيئة التطوير المتكاملة (IDE) للمستهلك وحتى أدوات سطر أوامر المؤسسات. ويشير هذا الاتساع إلى أن المشكلة ليست خللاً في أي منتج منفرد، بل هي افتراض معماري مشترك يبطله البحث.
لماذا هذا مهم لاقتصاد الوكيل
وتمتد الآثار إلى ما هو أبعد من المطورين الأفراد. نظرًا لأن وكلاء الترميز مضمنون في خطوط الأنابيب الآلية، وأنظمة التكامل المستمر، وسير العمل المستقل، فإن الهروب من وضع الحماية يصبح موطئ قدم محتملًا لهجمات سلسلة التوريد. يمكن للمهاجم الذي يمكنه إدخال ملف مسموم إلى مستودع - من خلال تبعية أو ريبو مستنسخ أو مساهم مخترق - أن يحول وكيل ترميز موثوقًا به إلى ناقل تنفيذ على جهاز المطور.
وهذه هي نفس فئة المخاطر التي ظهرت في وقت سابق من عام 2026، عندما اكتشف الباحثون أن فتح مستودع ضار في Cursor يمكن أن ينفذ تعليمات برمجية على Windows بصمت. تعمل عمليات الهروب من وضع الحماية على تعميم هذا التهديد: فهي ليست أداة واحدة أو منصة واحدة، ولكنها نموذج التفاعل بين وكلاء وضع الحماية والأدوات الموثوقة التي تحيط بهم.
المشكلة الصعبة للملفات الموثوقة
تكمن الصعوبة الأساسية في أن صندوق الحماية الخاص بوكيل الترميز لا يمكنه التعامل مع جميع ملفات مساحة العمل على أنها غير موثوقة دون التأثير على فائدة الوكيل. يحتاج الوكيل إلى كتابة التعليمات البرمجية والتكوين والبرامج النصية، ويجب قراءة هذه الملفات والتصرف بناءً عليها بواسطة أدوات المطور. قم بتجريد تلك الثقة ولن يتمكن الوكيل من أداء وظيفته؛ الحفاظ عليه ويبقى ناقل الهروب.
لا يقدم بحث بيلار حلاً واحدًا، وهذا جزء من سبب أهمية النتائج. إنهم يضعون مشكلة تصميم سيتعين على الصناعة حلها بشكل جماعي - من خلال عزل أقوى بين مساحة عمل الوكيل وسطح التنفيذ الخاص بالمضيف، من خلال التوقيع أو التصديق على الملفات المكتوبة بواسطة الوكيل، أو من خلال إعادة التفكير في الأدوات المسموح لها بالتنفيذ التلقائي لمحتوى مساحة العمل على الإطلاق.
بالنسبة للمطورين الذين يستخدمون Cursor، أو Codex، أو Gemini CLI، أو Antigravity اليوم، فإن الدرس العملي هو توخي الحذر مع المدخلات غير الموثوق بها: يجب التعامل مع المستودعات المستنسخة، وتبعيات الطرف الثالث، والتعليمات البرمجية المساهمة على أنها تحمل حقنًا سريعًا لا يستهدف النموذج فحسب، بل نظام الملفات المحيط به.
ابق في صدارة الذكاء الاصطناعي
للحصول على تغطية مستمرة لأمن الذكاء الاصطناعي ووكلاء الترميز ومخاطر البنية التحتية التي يقدمونها، تابع تغطية صناعة الذكاء الاصطناعي.
اقرأ المزيد من أخبار الذكاء الاصطناعي
