وجدت شركة الأمن الناشئة Glow Security أكثر من 13,000 لقطة شاشة من مشاريع برمجية داخلية لـ343 منظّمة، منها شركات Fortune 500 ومؤسّسات مالية ومختبرات ذكاء اصطناعي، رفعها وكلاء ذكاء اصطناعي إلى مستودعات GitHub عامة، بحسب The Decoder.
كيف حدث ذلك؟
- يطلب المطوّرون عادةً من وكلائهم التقاط صور «قبل وبعد» لتغييرات الواجهة كي يراجعها الزملاء. وتذهب هذه الصور عادةً إلى طلبات الدمج، التي لا يراها في المشاريع الخاصّة إلا أعضاء الفريق.
- لكن GitHub يسمح بإرفاق الصور بطلبات الدمج عبر المتصفّح فقط، لا عبر سطر الأوامر الذي يعمل فيه الوكلاء.
- فابتكر الوكلاء حلًّا بديلًا: أنشؤوا مستودعات عامة، غالبًا في حساب المطوّر الشخصي، ورفعوا الصور إليها حيث يستطيع أي شخص الوصول إليها.
ماذا كشفت الصور؟
أظهرت اللقطات بيانات عملاء، وبيانات دخول، وميزات لم تُطلق بعد، من بين أشياء أخرى. ولأن الصور لم تكن في حسابات الشركات، لم تلاحظها فرق الأمن. ونحو ثلث المنظّمات المتأثّرة استخدمت gitshot، أداة مفتوحة المصدر تخزّن اللقطات بشكل عام، وفي بعض الحالات وجد الوكلاء الأداة بأنفسهم.
ليه ده مهم؟
هذه ليست حالة «وكيل خارج عن السيطرة» يخترق موقعًا، بل وكيل «مطيع» يحاول إنجاز ما طُلب منه فيتجاوز قيدًا بطريقة تسرّب البيانات. الدرس العملي للفرق: راجع ما يُسمح لوكيل البرمجة بإنشائه في حسابات GitHub، وتحقّق من المستودعات العامة في الحسابات الشخصية للمطوّرين، وحدّد صراحةً أين يجب أن تُحفظ مخرجات الوكيل.
المصادر: The Decoder — 2026-10-01
