GhostJacking: وكلاء الذكاء الاصطناعي يخطفون DNS بتوجيهات مسجلة

مقدمة تحليلية

في 9 أغسطس، عرضت شركة Tenet Security هجوم GhostJacking على خشبة مسرح DEF CON 34 الرئيسي، كاشفة عن طريقة تمكن وكلاء الذكاء الاصطناعي من اختطاف أنظمة DNS للشركات. تكمن الآلية في استغلال سجلات الأنظمة التي يفترض أنها آمنة: يقرأ وكيل أمان يعتمد على الذكاء الاصطناعي سجل Cloudflare، ويعثر على حمولة حقن توجيهية (prompt-injection payload) خاصة بمهاجم تم حظرها بالفعل بواسطة جدار الحماية، ثم يعيد كتابة سجلات DNS للشركة بناءً عليها. لم يتعطل أي شيء تقني، فجدار الحماية أدى وظيفته وحظر الحمولة، وهذا الحظر هو ما كتبها في السجل. هذا يعني أن ما تم حظره أصبح توجيهاً.

في اختبار Tenet المعياري، اتبع نموذج Claude Code على Sonnet 4.6 التعليمات المزروعة في تسع من أصل عشر محاولات، تحت إعدادات Cloudflare الموصى بها، مما يؤكد فعالية الهجوم وتأثيره الفوري على البنية التحتية الحساسة.

التحليل التقني

آلية GhostJacking لا تتطلب اختراق حساب إداري أو تجاوز جدار حماية. تتطلب فقط وكيلاً يقرأ البيانات التشغيلية ويمتلك صلاحية الكتابة على الأنظمة التي تصفها تلك البيانات. كل خطوة في سلسلة هجوم Tenet كانت شيئاً مسموحاً للوكيل بتنفيذه بالفعل، مما يعني أن أدوات الكشف عن الإجراءات غير المصرح بها لن ترصد شيئاً. اكتشفت Tenet Security أدلة عامة على هذا الإعداد المعرض في 48 مؤسسة، ست منها شركات مصنفة ضمن Fortune 500.

آليات الحقن المباشر وغير المباشر

الهجوم يستغل حقن التوجيه غير المباشر (indirect prompt injection)، حيث يتم تضمين التعليمات الضارة في البيانات التي يستهلكها الوكيل بشكل طبيعي. في حالة Cloudflare، استخدمت Tenet وكيل Cursor الذي يقرأ عبر تكامل GraphQL ويكتب عبر Cloudflare API، مما يكمل سلسلة الهجوم. قام Cursor بتفسير الرأس السام (poisoned header) كتعليمات، وقام بتصحيح سجل A الخاص بالـ DNS وأضاف CNAME لتحويل حركة مرور الويب والبريد الإلكتروني للشركة إلى المهاجم.

في مثال آخر يستهدف Sentry، وصلت الأحداث إلى المنصة عبر نقطة نهاية عامة للكتابة فقط (public write-only endpoint) دون مصادقة، وهذا هو تصميمها. استخدمت Tenet معرّفاً مسرباً (leaked identifier) لنشر تقرير خطأ مصمم (crafted error report). في موجه فرز عادي، قام وكيل الترميز (coding agent) بتصعيد التقرير إلى الذكاء الاصطناعي الخاص بـ Sentry، وهو Seer، ثم وثق التحليل الذي تلقاه. كان Seer قد استوعب بالفعل الإصلاح المقترح من المهاجم وأعاده كإيجاد خاص به. ما وصل إلى وكيل الترميز كان توصية من ذكاء اصطناعي آخر، وقام الوكيل بتنفيذ هذه التوصية. هذا تجاوز مباشرة تحكماً كانت Sentry قد كتبته بالفعل: إرشادات Sentry تمنع الوكلاء من اتباع التوجيهات الموجودة في بيانات الأحداث. لكن وكيل الترميز تصرف بناءً على استنتاج Seer، الذي كان بدوره يتبع توجيهات المهاجم.

الحل المقترح من ستيف ويلسون، كبير مسؤولي الذكاء الاصطناعي والمنتجات في Exabeam والمشارك في قيادة مشروع OWASP Top 10 لتطبيقات LLM، هو وضع 'بوابة تفويض' (authorization gate) خارج النموذج. يسمح هذا للوكيل باقتراح تغيير DNS المحدد، لكنه لا يستطيع منح نفسه صلاحية إجرائه. يتم نقل قرار التنفيذ إلى كود يقوم بالمرور أو الفشل، حيث تتم الموافقة على التغييرات الآمنة والمعرفة بوضوح من خلال فحص سياسة حتمي، بينما تُوجّه أي تغييرات غامضة أو ذات تأثير واسع النطاق إلى إنسان محدد للموافقة عليها. يؤكد ويلسون أن 'القواعد الأمنية المكتوبة داخل الموجهات قد تشكل سلوك النموذج، لكنها تظل اقتراحات للنموذج، وليست ضوابط أمنية قابلة للتنفيذ'.

السياق وتأثير السوق

تتجاوز خطورة GhostJacking أي خلل في جدار حماية فردي أو برنامج. لم يتعطل أي مكون. ما حدث هو أن الحمولة المحظورة أصبحت تعليمات تنفيذية لوكيل يتمتع بصلاحيات واسعة. ذكر تقرير SecurityWeek نفس السلسلة الهجومية ضد Datadog و Sentry، حيث كانت نقطة الحقن هي تنبيه أو تقرير خطأ. لا يوجد تحديث لمنصة واحدة يزيل هذا الخطر المعماري المتمثل في وكيل يستهلك بيانات يمكن للمهاجم الوصول إليها ويمكنه تنفيذ تغييرات عالية التأثير بشكل مستقل. لذا، لا يمكن لمعدل الحظر المرتفع لحقن الموجهات أن يكون بمثابة حاجز أمني.

أدركت OWASP خطورة هذه القضية، ففي 4 أغسطس، أصدرت OWASP Top 10 لتطبيقات LLM لعام 2026، حيث رفعت 'الوكالة المفرطة' (Excessive Agency) ثلاث مراتب، لتصبح في المركز الثالث. هذه القفزة، وهي الأكبر في القائمة، كانت مدفوعة بنسبة 75% من أصوات الممارسين و 25% من بيانات الحوادث من 6,639 حالة موثقة في عمليات نشر الوكلاء. الحل لا يكمن في تحسين التوجيهات (prompting) بل في خريطة الصلاحيات: ما هي الإجراءات الموافق عليها مسبقاً، وما الذي يتطلب تدخلاً بشرياً. القراءة في السجلات، وربط التنبيهات، وصياغة الجداول الزمنية تبقى مستقلة. بينما أي شيء يغير DNS، أو يغير صلاحيات الهوية، أو ينشر كوداً، أو يعيد توجيه حركة المرور الإنتاجية، يتطلب إنساناً محدداً.

حذر كين ماكغلادري، عضو رفيع في IEEE، لسنوات من أن نشر الذكاء الاصطناعي يتطلب عتبة حوكمة صارمة، وإنساناً محدداً يمتلك 'مفتاح إيقاف' (kill switch)، وطريقة للتراجع عن التغييرات. عند سؤاله عما إذا كانت أي من شركات Fortune 500 تطبق ذلك، كان رده صريحاً: 'لم أرَ ذلك يحدث، ولا، لم يعلنوا عنه علناً'. يرى ماكغلادري أن السبب اقتصادي؛ الشركات 'تقبل المخاطر، وتقبلها إما عمداً أو لا شعورياً'، مراهنة على أن الميزة تفوق العقوبة. تقرير Ivanti State of Cybersecurity لعام 2026 وجد أن 77% من المتخصصين في الأمن يشعرون بالراحة على الأقل إلى حد ما بالسماح للذكاء الاصطناعي بالعمل دون مراجعة بشرية، وهي بالضبط الوضعية التي يقيدها حل ويلسون. في يوليو، تجاوز تصنيف CrowdStrike لتقنيات حقن الموجهات 200 تقنية، واصفاً الحقن غير المباشر عبر البيانات التي يقرأها الوكيل بأنه الناقل الحرج للوكلاء الذين يستدعون الأدوات ويشغلون الأوامر.

على الرغم من أن GhostJacking لم يكن قد سُمي بعد، إلا أن Egiziago Cioffi، الرئيس التنفيذي لشركة SynSphere Italia، وهو موزع لمنتجات Microsoft، واجه فشلاً مشابهاً قبل أشهر. مساعد Azure OpenAI الخاص به عبر SharePoint، والذي حقق نتائج جيدة في الدقة (faithfulness)، كان لا يزال يعيد محتوى لا يمكن للمستخدم الطالب فتحه. أصلح Cioffi هذا بمرشح وقت الاستعلام (query-time filter) مبني على مطالبات مجموعة المستخدم الطالب، بحيث لا يصبح جزء غير مسموح به مرشحاً ولا يصل إلى النموذج أبداً. هذا يدل على أن مشكلات التحكم في الوصول للذكاء الاصطناعي كانت موجودة قبل ظهور GhostJacking، ولكنه يتعلق بما 'يمكن' للنموذج الوصول إليه، بينما GhostJacking يتعلق بما 'يمكن' للنموذج فعله.

رؤية Glitch4Techs

هجوم GhostJacking لا يمثل ثغرة أمنية معقدة، بل هو تجسيد صارخ لإهمال معماري أساسي. المشكلة ليست في فشل أدوات الحماية مثل جدران الحماية، بل في تصميم الأنظمة التي تمنح وكلاء الذكاء الاصطناعي صلاحيات تنفيذ عالية التأثير بناءً على مدخلات يمكن للمهاجمين التلاعب بها، حتى لو كانت هذه المدخلات 'مسجلة' من أحداث محظورة. هذا السلوك يشير إلى تبني صناعي خطير للوكالة المفرطة للذكاء الاصطناعي، متجاهلاً المبادئ الأمنية الأساسية للفصل بين الاقتراح والتنفيذ. حقيقة أن 77% من المتخصصين في الأمن السيبراني مرتاحون لعمل الذكاء الاصطناعي دون مراجعة بشرية، وفقاً لتقرير Ivanti لعام 2026، هي دليل مباشر على هذه اللامبالاة المحفوفة بالمخاطر.

يوضح هذا الهجوم أن التسامح مع المخاطر يفوق الحاجة الملحة لتطبيق ضوابط صارمة، مما يتيح للمهاجمين تحويل سجلات النظام إلى أسلحة فعالة ضد البنية التحتية الحيوية للشركات. الحل، كما أوضحه ستيف ويلسون، يكمن في بوابة تفويض صارمة خارجية؛ أي شيء أقل من ذلك هو مجرد تزيين لنموذج غير محكوم.