وكيل الذكاء الاصطناعي في GitHub عرضة لهجوم حقن الأوامر

وفقًا لدراسة أجرتها شركة Noma Security، يمكن لهجوم حقن التعليمات (Prompt Injection) أن يخدع النسخة التجريبية من ميزة سير العمل الوكيلية (Agentic Workflows) في GitHub لاستخراج محتوى من المستودعات الخاصة ونشره علنًا. تم تفصيل الهجوم، الذي أُطلق عليه اسم GitLost، في تدوينة نشرتها شركة أمن الذكاء الاصطناعي. تشرح Noma أن المهاجم غير المصادق يمكنه استغلال النسخة التجريبية عن طريق إرسال Issue مُعد خصيصًا إلى مستودع عام. إذا كان الوكيل الذكي (AI Agent) لديه صلاحيات قراءة للمستودعات الخاصة داخل نفس المؤسسة، فيمكنه استخراج معلومات حساسة ونشرها في تعليق عام. تجمع ميزة سير العمل الوكيلية بين GitHub Actions ونماذج ذكاء اصطناعي مثل Claude أو GitHub Copilot، مما يسمح للمطورين بتعريف سير العمل باستخدام صيغة Markdown. لم يعتمد الهجوم على سرقة بيانات اعتماد أو برمجيات خبيثة أو ثغرات برمجية؛ بل تم تضمين تعليمات مخفية في Issue على GitHub. أظهر الباحثون الهجوم بإنشاء Issue يبدو طبيعيًا، حيث قام الوكيل الذكي بجلب ملف README من مستودع خاص ونشره علنًا. كما تمكنوا من تجاوز إجراءات السلامة المبنية على التعليمات التي تفرضها GitHub من خلال تغييرات طفيفة في الصياغة. لم ترد GitHub على طلبات التعليق. تشير Noma إلى أن GitLost يسلط الضوء على تحدي معماري أوسع للوكلاء الأذكياء: أي وكيل لديه إمكانية الوصول إلى محتوى خارجي غير موثوق وموارد داخلية حساسة يمكن أن يصبح جسرًا غير مقصود بينهما إذا لم يتم احترام حدود الثقة. يرى باحث الأمن Vibhum Dubey أن المشكلة ليست مجرد حقن تعليمات، بل أن GitHub يمنح الأذونات للوكلاء قبل ضمان سلامتها، ويعمل بنموذج تفويض لحسابات الخدمة (Service-Account Authorization) بدلاً من نموذج المستخدم. يوصي Dubey بقوائم بيضاء صريحة للمستودعات، والتحقق من صحة جميع مدخلات المستخدم قبل وصولها إلى نموذج اللغة الكبير (LLM)، وتوفير آلية إيقاف طارئ.