ثغرات CoreBreak تتجاوز نماذج الذكاء الاصطناعي في AWS وGoogle وVercel

مقدمة تحليلية

في 6 أغسطس 2026، كُشف عن نمط هجومي جديد أطلق عليه CoreBreak، يستهدف البنية التحتية للوكلاء لدى Amazon Web Services (AWS) وGoogle وVercel. هذا النمط يسمح بتشغيل أدوات الوكيل مباشرةً دون المرور عبر نموذج الذكاء الاصطناعي، متجاوزاً بذلك الضوابط الأساسية والمرشحات الأمنية. كشفت شركة Stealth الأمنية، عبر مؤسسيها هادي إنغبر وأفيام إيفجي، عن هذا التحدي الخطير خلال مؤتمر Black Hat USA 2026. تضمنت الثغرات تفاعلات عن بُعد في AWS، وأحداث جلسات متحكم بها من المهاجم أو استدعاءات وظائف من تأليف المستخدم في Google، وتنفيذ تعليمات برمجية غير موثوقة داخل بيئة Linux المعزولة في Vercel.

يمثل هذا فشلاً أساسياً في آلية التحقق من الصلاحية، حيث لم تعد صلاحية استدعاء الأداة مرتبطة بقرار النموذج، بل بشكل البيانات الواردة. وقد استجابت الشركات الثلاث بإصلاحات متفرقة، مؤكدةً على خطورة هذه الثغرات التي تتيح تجاوز آليات الحماية الجوهرية للذكاء الاصطناعي.

التحليل التقني

لم تكن الثغرات المكتشفة متطابقة، بل تباينت شروط هجومها وآليات استغلالها عبر المنصات الثلاث. ومع ذلك، تشترك جميعها في تجاوز المسار الطبيعي لتدفق الوكيل، حيث يتم عادةً إرسال طلب المستخدم وسجل المحادثة وتعريفات الأدوات إلى النموذج، الذي يقرر بدوره استدعاء أداة ويعيد تعليمة منظمة. المشكلة تكمن في عدم التحقق من مصدر هذه التعليمة بين قرار النموذج وتنفيذها بواسطة حزمة تطوير البرمجيات (SDK).

• ثغرات AWS في AgentCore وStrands

• خصصت AWS النشرة الأمنية CVE-2026-18830، بتصنيف CVSS v4.0 بدرجة 8.6، لثغرة في التحقق من المدخلات في Amazon Bedrock AgentCore.
• تسمح الثغرة لمستخدم بعيد ومُصادق عليه بوضع كتلة محتوى لاستخدام أداة في الرسالة النهائية لطلب InvokeHarness، مما يدفع حلقة الأحداث لتشغيل الأداة مباشرةً دون الرجوع للنموذج.
• أثرت المشكلة على InvokeHarness API المُدارة قبل 31 يوليو 2026، وتم تطبيق التصحيح تلقائياً بإضافة التحقق من صحة المدخلات من جانب الخادم.
• بينما عالجت AWS خدمتها المُدارة، لا يزال مسار التجاوز المشابه موجوداً في الكود مفتوح المصدر Strands Python، الذي يُبنى عليه AgentCore. فقد أكد The Hacker News وجود فرع في `event_loop.py` (في `strands-py/src/strands/event_loop/event_loop.py`) يتجاوز استدعاء النموذج إذا كانت آخر رسالة تحتوي على ToolUse، وهو ما لاحظه الباحثون في 5 أغسطس 2026.
• تحذير من طلب سحب في أبريل 2026 (رقم 2136) من أن كتل `toolUse` المحقونة خارجياً يمكن أن تصل إلى تنفيذ الأداة دون استدعاء النموذج، لكنه أغلق دون دمج في 19 يونيو 2026.
• لم تنشر AWS CVE منفصلاً لعمليات نشر Strands المستقلة، وأوضحت أن المسؤولية تقع على عاتق العميل وفقاً لنموذج المسؤولية المشتركة، واكتفت بتغيير الوثائق بدلاً من إصلاح الكود.

• مساران منفصلان في Google ADK

• أثرت الثغرة الأولى في Google، المُتتبعة باسم CVE-2026-18236، بتصنيف CVSS v4.0 بدرجة 9.3، على ADK for Python قبل الإصدار 2.5.0.
• كانت الثغرة تسمح للمهاجمين الذين يمكنهم التلاعب بأحداث الجلسة بتزوير موافقة على أداة حساسة تتطلب تأكيداً بشرياً، مما يؤدي إلى تنفيذ غير مصرح به.
• لم تتحقق معالجة التأكيد من أن الأداة المستهدفة تنتمي للوكيل، أو أنها تتطلب تأكيداً، أو أن اسمها ووسائطها تتطابق مع الاستدعاء الأصلي المسجل. وقد أضاف تصحيح Google (في 16 يوليو 2026) هذه التحققات في ADK 2.5.0.
• جاء إصلاح ثانٍ مرتبط في نفس إصدار ADK 2.5.0: حيث كانت تدفقات وضع الاستئناف (resumable-mode) تقبل أحداثاً من تأليف المستخدم تحتوي على أجزاء `function_call`، مما يمكن تفسيره كتعليمات لتشغيل أدوات مسجلة.
• ترفض Google الآن استدعاءات الوظائف في رسائل المستخدم، منعاً لتجاوز نموذج اللغة الكبير (LLM) وتنفيذ أدوات مسجلة عشوائياً.

• Vercel وخرق صلاحيات Relay

• أثرت الثغرات في Vercel على `@ai-sdk/harness-codex` حتى الإصدار 1.0.28 (CVE-2026-64650، CVSS v4.0 6.3) وعلى `@ai-sdk/harness-opencode` حتى الإصدار 1.0.27 (CVE-2026-64651، CVSS v4.0 6.3).
• كانت آلية الترحيل (harness relay) تثق بعملية ما إذا كان سطر الأوامر الخاص بها يحتوي على مسار نص برمجي مساعد مُعتمد.
• مكن هذا ثغرة تجاوز صلاحيات من بيئة معزولة إلى المضيف، تتطلب نظام Linux، جلسة `harness` نشطة بأداة واحدة على الأقل مقدمة من المضيف، وتعليمة برمجية غير موثوقة تعمل بالفعل في البيئة المعزولة (مثل تبعية خبيثة).
• أزالت Vercel المسار الاحتياطي للعمليات (process-path fallback) (في 10 يوليو 2026)، وقُبل طلب الترحيل الآن فقط عندما يتطابق مع ترخيص دقيق وقصير الأجل لمرة واحدة لاسم الأداة والمدخلات المُلاحظة في حدث النموذج.
• سبق ذلك إصلاح آخر من Vercel في 10 يونيو 2026 (طلب سحب 15947) يتعلق بتزوير موافقات العميل، ونُسب هذا الاكتشاف إلى Mythos من Anthropic (تحت Project Glasswing).

السياق وتأثير السوق

تتجاوز هذه الثغرات مجرد عيوب برمجية عادية، لتُشكل تحدياً جوهرياً لنموذج أمن الوكلاء المبني على الذكاء الاصطناعي. على عكس حقن الأوامر (prompt injection)، الذي يحاول خداع النموذج الاحتمالي، لا تتضمن هجمات CoreBreak أي تفاعل مع النموذج. هذا يعني أن أي ضمانات تُطبق على مستوى موجه النظام (system prompt) أو استجابة النموذج تصبح بلا فائدة عندما يتمكن المهاجم من الوصول إلى مسار التشغيل دون دور شرعي للنموذج. كانت الصناعة تعتمد ضمنياً على النموذج كحارس للبوابة، لكن هذه الثغرات أثبتت أن البوابة نفسها يمكن تجاوزها.

تتقارب جميع الحلول المقدمة من AWS وGoogle وVercel نحو نفس نقطة التحكم: رفض استدعاءات الأدوات التي منشؤها المهاجم، والتحقق الصارم من كل استدعاء أداة مقابل الحدث الدقيق للنموذج الذي أنتجه، بدلاً من الثقة بشكل البيانات الواردة. هذا تحول في التفكير الأمني من الاعتماد على الذكاء الاصطناعي للتحكيم، إلى فرض التحقق على مستوى وقت التنفيذ (execution time). اللاعبون في السوق الذين لم يدمجوا ضوابط الصلاحية في طبقة التنفيذ هم الخاسرون الأكبر، حيث تُظهر هذه الحالات أن مجرد وجود أدوات حساسة غير كافٍ، بل يجب أن يكون لكل استدعاء للأداة إذن صريح وفوري من مصدر موثوق لا يمكن تزييفه. يعيد هذا تعريف ما يُعنى به بالمسؤولية المشتركة في سياق الذكاء الاصطناعي، خاصةً مع حالة Strands التي ألقت فيها AWS بالعبء على العملاء بدلاً من إصلاح الكود الأساسي الذي تعتمد عليه خدماتها المُدارة.

رؤية Glitch4Techs

إن ما كشفه CoreBreak ليس مجرد ثغرات أمنية، بل هو إشارة واضحة إلى فشل معماري في تصميم وكلاء الذكاء الاصطناعي الأوائل. الاعتماد على شكل البيانات كـ