هل تم تسريب وكلاء OpenAI Workspace؟ كيف تستغل الروابط الثغرات الأمنية

هل تم تسريب وكلاء OpenAI Workspace؟ قامت OpenAI بإصلاح ثغرة أمنية عالية الخطورة تُعرف باسم AgentForger بعد أن أثبت الباحثون أن رابط ChatGPT مصمم خصيصاً يمكنه إنشاء ونشر وكيل Workspace مستقل بصمت تحت هوية الضحية. في هذه المقالة، يشير مصطلح "تزوير الوكيل" (agent forgery) إلى الإنشاء والجدولة البرمجية غير المصرح بها لوكيل ذكاء اصطناعي عبر التلاعب بالمعاملات. مع توسع تبني الذكاء الاصطناعي في برمجيات الأعمال، تدمج المؤسسات بشكل متزايد وكلاء مستقلين في سير العمل اليومي. وبينما تعمل هذه الأنظمة على تبسيط العمليات المعقدة، فإنها تقدم أيضاً ناقلات هجوم أمنية جديدة. عندما تقوم واجهات التهيئة بتحليل مدخلات URL غير الموثوقة كأوامر قابلة للتنفيذ، يمكن للمهاجمين استغلال الاتصالات المؤسسية المصرح بها مسبقاً دون الحاجة إلى تأكيد من المستخدم.

التسلسل الزمني والتطور الخلفي لاكتشاف ثغرة AgentForger

نظرة سريعة

• كشفت شركة الأمن السيبراني Zenity Labs عن ثغرة AgentForger، وهي ثغرة في وكلاء ChatGPT Workspace سمحت لرابط واحد تم التلاعب به بتزوير وكيل ذكاء اصطناعي مستقل.
• أكدت OpenAI الثغرة من خلال برنامج Bugcrowd في 4 يونيو 2026، وطبقت إصلاحاً في 8 يونيو عن طريق إزالة معامل URL المتأثر.
• ورث الوكيل المُزوَّر اتصالات المستخدم الحالية بـ Outlook وSlack وTeams وSharePoint، متجاوزاً مطالبات الإذن القياسية.

ركز تطور واجهات برمجيات المؤسسات بشكل متزايد على تقليل احتكاك المستخدم أثناء الإعداد. عندما قدمت OpenAI واجهة Agent Builder على الرابط chatgpt.com/agents/studio/new، قبل النظام معاملي URL أساسيين: template_name لاختيار إعداد أولي، وinitial_assistant_prompt لتوفير نص التعليمات.

ومع ذلك، اكتشف باحثو الأمن أن صفحة Builder تعامل المدخلات المقدمة عبر initial_assistant_prompt كتعليمات تنفيذية فورية بدلاً من كونها نصاً يتطلب تأكيداً يدوياً من المستخدم. إذا نقر موظف مسجل الدخول على رابط مُصمم خصيصاً وكان لديه اتصالات نشطة بأدوات المؤسسة، فإن الواجهة ترسل المطالبة تلقائياً، وتنشئ الوكيل، وتضبط إعداد الموافقة على "عدم السؤال مطلقاً" (Never ask)، وتطلق النظام في وضع المعاينة.

أدت استجابة OpenAI السريعة التي استمرت أربعة أيام إلى إزالة المعامل المفرط في الصلاحيات قبل ظهور أي أدلة على الاستغلال العام، كما هو موثق في تحليل أمن Zenity Labs. ومع ذلك، أوضح الحادث كيف يمكن لعيوب التهيئة القائمة على المعاملات أن تضر بحدود بيانات المؤسسة دون الحاجة إلى سرقة بيانات الاعتماد مباشرة.

تحليل تقني معمق: آليات تزوير الوكيل عبر المواقع

خلف الكواليس، جمعت ثغرة AgentForger بين ثلاثة عناصر تشغيلية متميزة فيما يسميه محللو الأمن "الثلاثية القاتلة": معاملات URL غير الموثوقة، والموصلات المؤسسية المصرح بها مسبقاً، وجداول التنفيذ الآلية. نظراً لأن المستخدم المستهدف قد أكمل سابقاً مصادقة OAuth لأدوات مثل Microsoft Outlook أو Slack أو Google Drive، فقد ورث الوكيل المزور تلك الأذونات دون إطلاق مطالبات مصادقة جديدة.

لإنشاء وصول دائم، قامت المطالبة الأولية بتهيئة الوكيل ليعمل وفق جدول زمني متكرر مدته خمس دقائق. راقب الوكيل صندوق بريد Outlook الخاص بالمستخدم بحثاً عن رسائل واردة تحتوي على علامات موضوع محددة، ونفذ الأوامر باستخدام تطبيقات المؤسسة المتصلة، وأعاد البيانات المستخرجة إلى المهاجم.

[سير عمل موافقة المستخدم القياسي]
  نقرة المستخدم ──> مطالبة موافقة OAuth ──> مراجعة يدوية للإذن ──> وكيل مباشر


[سلسلة استغلال رابط AgentForger]
  رابط تصيد ──> تنفيذ تلقائي للمطالبة عبر الرابط ──> ضبط الأذونات على 'عدم السؤال' ──> أوامر مجدولة دائمة

في نماذج إثبات المفهوم المفصلة في الملخص التقني لـ SecurityWeek، نجح الوكيل المزور في تعيين قوائم موظفي الشركة، واستخراج عروض تقديمية داخلية عن عمليات الدمج والاستحواذ من SharePoint، وجمع بيانات اعتماد قاعدة البيانات كنص عادي من قنوات Slack، وإرسال رسائل تصيد داخلية عبر Microsoft Teams تحت اسم الضحية. ذكرت OpenAI أن السلوك الضعيف تم علاجه قبل الكشف العام، ولا يوجد حالياً دليل عام على أن الثغرة قد استُغلت في هجمات فعلية.

تسلط هذه الثغرة الضوء على التحدي الأساسي المتمثل في إدارة وكلاء مستقلين يعملون بموجب بيانات اعتماد مستخدم شرعية. تم تصميم أدوات أمن النقاط النهائية التقليدية لمراقبة تفاعلات الإنسان والتنفيذ الثنائي الخام، مما يجعل من الصعب اكتشاف وكيل مصرح له يؤدي إجراءات مسموح بها بواسطة رمز OAuth الأساسي الخاص به. يتطلب معالجة ثغرة وكلاء OpenAI Workspace الانتقال من الثقة الضمنية في الجلسة إلى التحقق الصارم من معاملات الثقة الصفرية (Zero-trust) عبر جميع قنوات البرمجيات الواردة.

البناء مقابل الشراء: إدارة أمن الجلسة ومعاملات الروابط

بينما تنشر المؤسسات وكلاء الذكاء الاصطناعي وواجهات الربط العميق عبر بيئات الجوال والويب، يعد تأمين المعاملات الواردة ضد هجمات الحقن أمراً بالغ الأهمية. تواجه فرق التطوير خياراً استراتيجياً بين بناء منطق تحقق داخلي مخصص أو اعتماد أطر عمل أمنية معيارية جاهزة.

يوضح الجدول أدناه المناهج المعمارية الشائعة لإدارة أمن الروابط ومعاملات الجلسة:

في البنية التحتية لنمو الجوال والربط العميق، يوجد نمط تهديد مماثل عندما يتم تمرير معاملات استعلام URL غير مصدقة عبر حدود التطبيق دون تحقق تشفيري. توفر منصات الإسناد التجارية من جانب الخادم عادةً استعادة المعاملات والتحقق من الهوية، ويمكن دمجها مع سير عمل معاملات الروابط العميقة الموقعة تشفيرياً. تساعد منصات مثل OpoInstall الفرق على حماية الروابط العميقة والحفاظ على سلامة المعاملات عبر عمليات إطلاق تطبيقات الجوال دون معالجة مكثفة من جانب العميل.

قوائم مراجعة التكامل: تحصين روابط التطبيقات ضد حقن المعاملات

للدفاع عن خطوط أنابيب البرمجيات ضد حقن المعاملات القائم على الروابط وإنشاء الوكلاء غير المصرح به، يجب على الفرق الهندسية والأمنية اعتماد سير عمل تحقق منظم.

قائمة مراجعة تنفيذ المطور

• تنقية معاملات URL الواردة: عامل جميع معاملات الاستعلام كمدخلات غير موثوقة، وتطلب تأكيداً صريحاً من المستخدم قبل تنفيذ التعليمات التي تغير الحالة.
• طلب توقيعات تشفيرية: طبق HMAC أو توقيعات رقمية على معاملات الربط العميق لمنع التلاعب بـ URL أثناء النقل.
• فرض نطاقات موصل دقيقة: قيد أذونات الوكيل الخلفية بفرض مطالبات تأكيد صريحة لعمليات القراءة والكتابة والتصدير الحساسة.

قائمة مراجعة استراتيجية المنتج والنمو

• مراجعة التكاملات المصرح بها مسبقاً: راجع بانتظام موصلات التطبيقات التابعة لجهات خارجية وقم بإلغاء أذونات OAuth غير النشطة عبر مساحات عمل المؤسسة.
• مراقبة سير العمل الآلي: انشر سجلات سلوكية لاكتشاف طلبات API الآلية ذات التردد العالي التي تعمل خارج ساعات العمل القياسية.
• التحقق من سلامة الروابط عبر القنوات: تأكد من أن روابط التسويق والربط العميق تستخدم أطر عمل آمنة لتمرير المعاملات من جانب الخادم لمنع اختطاف الروابط.

يمثل الكشف عن AgentForger علامة فارقة في تطور أمن الذكاء الاصطناعي في المؤسسات. مع اكتساب وكلاء البرمجيات للاستقلالية والوصول إلى التطبيقات المهمة للأعمال، يصبح تأمين طبقة التهيئة أمراً حيوياً مثل حماية نقاط المصادقة القياسية. الاعتماد على الثقة الضمنية في الجلسة أو معاملات URL غير المصدقة يؤدي إلى مخاطر نظامية عندما تعمل الأدوات المستقلة نيابة عن المستخدمين.

بالنسبة للفرق الهندسية، يتطلب بناء عمليات رقمية آمنة فرض تحقق صارم من المعاملات، وحدود API للثقة الصفرية، ونماذج أذونات شفافة. من خلال الجمع بين الممارسات الأمنية القوية والبنية التحتية القياسية لجانب الخادم، يمكن للمؤسسات الاستفادة من إنتاجية الذكاء الاصطناعي المستقل مع حماية بيانات المؤسسة الحساسة.