كشفت خمس فرق بحثية مستقلة في الأسبوع المنتهي في 29 يونيو 2026 عن ثغرة هيكلية مشتركة في أمن الشركات، تتمثل في استخدام وكلاء الذكاء الاصطناعي بصلاحيات مصممة للبشر وهياكل أمنية لم تعد مواكبة للعصر.
تؤكد هذه الاكتشافات، التي تمت بشكل منفصل دون تنسيق، على أن وكلاء الذكاء الاصطناعي يعملون في بيئات الشركات بصلاحيات مخصصة للبشر، ضمن أنظمة أمنية لم تُصمم لمواكبة التطورات الحالية. أحد الاكتشافات يصف هجومًا ناجحًا يستغل مساعد ترميز يعمل بالذكاء الاصطناعي عبر سجل DNS TXT مسموم، دون الحاجة لاختراق المصادقة أو برامج ضارة أو أي تفاعل من المستخدم يتجاوز العمل التطويري العادي. اكتشاف آخر كشف عن ثغرة أمنية ذات درجة خطورة 8.5 (CVSS) في Amazon Q Developer، سمحت بالتنفيذ التلقائي لملفات تكوين خبيثة. كما وثقت دراسة ثالثة حملة هندسة اجتماعية تستهدف شركات الأمن السيبراني تحديدًا، باستخدام دعوات احتيالية لمنصات الذكاء الاصطناعي تتجاوز جميع فحوصات المصادقة القياسية للبريد الإلكتروني.
تكمن المشكلة الأساسية في بروتوكول سياق النموذج (MCP)، وهو المعيار الناشئ للتواصل بين الوكلاء والأدوات في بيئات الذكاء الاصطناعي للمؤسسات. كشفت تحليلات Akamai للمواصفات المحدثة لعام 2026 عن خاصية ستشكل بنية أمن الذكاء الاصطناعي لسنوات قادمة: MCP عديم الحالة (stateless). كل استدعاء أداة يبدأ دون تذكر للتفاعلات السابقة، ولا يوجد سياق جلسة مستمر عبر الاستدعاءات. ورغم أن المواصفات تعالج بعض المخاوف، إلا أن القرار التصميمي الأساسي لا يزال قائمًا: يتم تفويض الأمن للمطورين، ولا يفرض البروتوكول الأمان على مستواه.
في سياق مبادرات التحول الرقمي ورؤى 2030 في منطقة الخليج، يمثل هذا الوضع عبئًا حوكميًا كبيرًا. تتطلب الأطر الإقليمية، مثل الضوابط الأساسية للأمن السيبراني التابعة للهيئة الوطنية للأمن السيبراني في السعودية ولائحة ضمان المعلومات في الإمارات، تحكمًا واضحًا في الأنظمة المؤتمتة. يعتمد تصميم MCP على نقل هذا التحكم بالكامل إلى طبقة التطبيق.
تمثل مشكلة الهوية، مثل الثغرة CVE-2026-12957 في Amazon Q Developer، تحديًا أصعب. فبينما يمكن إصلاح الثغرة نفسها، لا يمكن إزالة مشكلة الهوية الأساسية من البروتوكول. أنظمة إدارة الهوية والوصول (IAM) صُممت للبشر، ولكن وكلاء الذكاء الاصطناعي لا يلتزمون بحدود الجلسات. فهم يعملون باستمرار، ويربطون الإجراءات عبر خدمات متعددة، ويتصرفون كوسطاء لمشغليهم البشريين، وقد يعملون دون إشراف لساعات. أطلقت Orchid Security على هذه الفجوة اسم "مادة الهوية المظلمة" (identity dark matter)، حيث يعمل الوكلاء بصلاحيات شبيهة بالبشر في مساحات لم تُصمم بنيتها التحتية للهوية لمراقبتها. الحل المفقود هو فرض السياسات وقت التشغيل (runtime policy enforcement)، أي القدرة على تقييم ما يفعله الوكيل في لحظة التنفيذ.
تُعد حملة "المستأجر المسموم" (Poisoned Tenant) التي كشفت عنها Push Security مثالًا بارزًا، حيث أنشأ المهاجمون مؤسسات OpenAI احتيالية ووزعوا دعوات من عنوان يمر عبر فحوصات المصادقة البريدية. المستلمون الذين قبلوا الدعوات حصلوا فورًا على صلاحيات مالك في المؤسسة الاحتيالية، مع وصول إلى واجهة برمجة التطبيقات (API) وطريقة دفع مرتبطة. تستهدف الحملة شركات الأمن السيبراني بشكل خاص، بهدف سرقة بيانات اعتماد منصات الذكاء الاصطناعي ومفاتيح API المرتبطة بها. بالنسبة للمنظمات في الشرق الأوسط، يمثل هذا متجه تهديد يعمل خارج المحيط الأمني التقليدي وعبر قنوات تعتبرها أدوات أمن البريد الإلكتروني الحالية شرعية.
تتطلب الحوكمة العملية للذكاء الاصطناعي ثلاثة إجراءات رئيسية: أولاً، تحديد نطاق وصول الوكلاء بشكل صريح ومنحهم الحد الأدنى من الصلاحيات اللازمة لوظائفهم. ثانيًا، التعامل مع ملفات تكوين MCP ومدخلات الوكلاء كخطر في سلسلة التوريد، مع ضرورة التحقق من صحة المدخلات. ثالثًا، الاستثمار في رؤية وقت التشغيل قبل توسيع نطاق الوكلاء، لضمان القدرة على مراقبة وتقييد تصرفاتهم. وكلاء الذكاء الاصطناعي ليسوا غير قابلين للحكم بطبيعتهم، بل إن معظم عمليات النشر الحالية تفتقر إلى آليات الحوكمة، وهذا خيار يمكن تغييره.
مشاهدة وكلاء الذكاء الاصطناعي يفتحون ثغرة أمنية جديدة في الشركات
يذكر بـأن الموضوع التابع لـ وكلاء الذكاء الاصطناعي يفتحون ثغرة أمنية جديدة في الشركات قد تم نشرة اليوم ( ) ومتواجد على وكالة خبر ( اليمن ) وقد قام فريق التحرير في برس بي بالتاكد منه وربما تم التعديل علية وربما قد يكون تم نقله بالكامل اوالاقتباس منه ويمكنك قراءة ومتابعة مستجدادت هذا الخبر او الموضوع من مصدره الاساسي.
وختاما نتمنى ان نكون قد قدمنا لكم من موقع Pressbee تفاصيل ومعلومات، وكلاء الذكاء الاصطناعي يفتحون ثغرة أمنية جديدة في الشركات.
في الموقع ايضا :
- اليكم رسميًا.. نادي مسار للسيدات يحصد الرخصة الأفريقية للموسم المقبل
- الإمارات.. التصدي لهجمات إلكترونية استهدفت القطاع المالي
- عادت الجزائر إلى بلدها.. وبقي دراجي في قطر و”لقدجع” هو السبب
تابعونا على جوجل نيوز