ثغرة خطيرة في ChatGPT Codex تسمح بتنفيذ أوامر ضارة وسرقة رموز التوثيق على GitHub

اكتشفت شركة BeyondTrust Phantom Labs ثغرة حرجة في تقنية ChatGPT Codex التي طورتها شركة OpenAI، تسمح للمهاجمين بتنفيذ أوامر ضارة وسرقة رموز التوثيق الخاصة بموقع GitHub. تأتي هذه الثغرة في إطار جهود الباحثين لفهم وتحليل نقاط الضعف الأمنية التي قد تهدد المستخدمين والمطورين على حد سواء.

ما هو ChatGPT Codex وكيف يُستخدم؟

يُعد ChatGPT Codex ميزة برمجية ضمن روبوت الدردشة الشهير، تساعد المستخدمين على كتابة وتحرير البرمجيات باستخدام أوامر بلغة طبيعية. يمكن للمستخدمين تحويل طلبات اللغة البشرية إلى رموز برمجية تعمل بشكل فوري، أو اقتراح تصحيحات وتحسينات بطريقة سهلة.

تفاصيل الثغرة وكيفية استغلالها

وفقًا لأبحاث فريق Phantom Labs من BeyondTrust، فإن المشكلة تتعلق بطريقة معالجة Codex لاسم الفرع (Branch) أثناء إنشاء المهام.
تُتيح الثغرة للمهاجمين استغلال عملية إعداد البيئة عبر تحوير اسم الفرع بطريقة ضارة، مما يمكنهم من حقن أوامر shell عشوائية.

كيف يتم استغلال الثغرة؟

• يقوم المهاجم بتعديل اسم الفرع لإدراج أوامر shell خبيثة.
• تُنفذ تلك الأوامر داخل الحاوية، مما يمنح المهاجم القدرة على تنفيذ أي كود داخل البيئة.
• يمكن من خلال ذلك سرقة رموز OAuth الخاصة بـ GitHub، والوصول إلى مشاريع طرف ثالث، والتنقل بين الحسابات بشكل غير مشروع.

مدى خطورة الثغرة

• تمكّن الثغرة من سرقة رموز OAuth والوصول غير المصرح به إلى حسابات GitHub.
• يمكن للمهاجمين استغلال الثغرة عبر SDK، وCLI، وبيئات التطوير المدمجة، مما يعرض الكثير من المطورين لتهديدات أمنية.
• تمكن المهاجم من إدخال برمجيات خبيثة داخل أسماء الفروع، مما يهدد أمن العديد من المستخدمين الذين يعملون على نفس المشاريع.

الاستجابة والتصحيح من قبل OpenAI

بعد اكتشاف الثغرة، قام فريق Phantom Labs بإبلاغ شركة OpenAI بشكل مسؤول.
ردًا على ذلك، قامت OpenAI بتطبيق سلسلة من التحسينات الأمنية، تشمل:

• تحسين التحقق من صحة المدخلات بشكل أكبر.
• تعزيز حماية الهروب من الشيل (Shell Escaping).
• فرض قيود أوضح على مدى وأمد رموز التوثيق أثناء إنشاء المهام.

أهمية أمن وسلامة وكلاء الذكاء الاصطناعي

خلص الباحثون إلى أن وكلاء البرمجة المعتمدين على الذكاء الاصطناعي هم بيئات تنفيذ حية تحتوي على بيانات اعتماد حساسة وموارد تنظيمية.
وبما أن هذه الوكلاء تعمل بشكل مستقل، فإن فرق الأمان يجب أن تفهم كيفية إدارة هوياتها بشكل فعال لمنع هجمات حقن الأوامر، وسرقة الرموز، والاستغلال التلقائي على نطاق واسع.

نصائح مهمة للأمان

• يجب التعامل مع بيئات الحاويات التي يعمل فيها وكلاء الذكاء الاصطناعي بنفس الحزم الأمنية التي تطبق على التطبيقات الأخرى.
• ضرورة مراقبة المدخلات التي يتلقاها الوكيل لمنع أي استغلال محتمل.

الخلاصة

مع تزايد تكامل الذكاء الاصطناعي في سير عمل المطورين، يصبح من الضروري تعزيز الإجراءات الأمنية لحماية البيانات الحساسة والبنى التحتية.
تؤكد هذه الثغرة على أهمية تحديث أنظمة الحماية بشكل مستمر، واعتماد ممارسات أمنية صارمة لمنع استغلال الثغرات المحتملة في أدوات التطوير الذكية.

احصل على أفضل برامج مكافحة الفيروسات بجميع الميزانيات

اكتشف أفضل الخيارات وفقًا للاختبارات والمقارنات الواقعية، واحمِ بيئة عملك من التهديدات الرقمية.

تابع TechRadar على Google News ليصلك كل جديد من الأخبار والتقارير والتحليلات، واضغط على زر المتابعة لتبقى على اطلاع دائم.

ويمكنك أيضًا متابعة TechRadar على TikTok لمشاهدة الأخبار والمراجعات وفيديوهات التفكيك، بالإضافة إلى تحديثاتنا المنتظمة عبر WhatsApp.