ثغرة في فيرسل بسبب أداة ذكاء اصطناعي مخترقة، كونتيكست.آي

أعلنت منصة النشر على الويب Vercel عن حادثة أمنية. كان السبب هو اختراق أداة ذكاء اصطناعي تابعة لجهة خارجية، وهي Context.ai. سمح هذا الوصول غير المصرح به بالدخول إلى حساب Google Workspace الخاص بأحد الموظفين وإلى الأنظمة الداخلية. تُظهر الحالة خطرًا متزايدًا: سلسلة توريد البرمجيات والخدمات الخارجية كناقل للهجوم.

الحلقة الأضعف في سلسلة التكاملات الحديثة 🔗

لم يستغل الحادث ثغرة أمنية مباشرة في البنية التحتية لـ Vercel، بل في خدمة متصلة. عملت Context.ai، التي تم دمجها على الأرجح لأغراض التحليل أو الإنتاجية، كجسر. يسلط هذا الضوء على تحدٍ تقني: إدارة الأذونات ورموز الوصول في التكاملات مع OAuth أو واجهات برمجة التطبيقات (APIs) التابعة لجهات خارجية. الرمز المميز ذو الامتيازات المفرطة، بمجرد سرقته، يمنح وصولًا جانبيًا. لم يخفف المصادقة متعددة العوامل في الحساب الرئيسي من هذا الأمر، لأن الهجوم عمل من جلسة تمت المصادقة عليها بالفعل عبر الأداة المخترقة.

نثق في الذكاء الاصطناعي لئلا يتم اختراقنا... وكان الذكاء الاصطناعي هو المخترق 🤖

المفارقة لها طبقات. ندمج أدوات الذكاء الاصطناعي لنكون أكثر كفاءة، وربما أكثر ذكاءً في مواجهة التهديدات. ولكن يتبين أن الأداة نفسها تتحول إلى حصان طروادة. الأمر أشبه بتركيب قفل من أحدث طراز، ليكتشف أن صانع الأقفال هو من سرق المفتاح الرئيسي. لم تعد الحلقة الأضعف هي الإنسان الذي ينقر على رابط، بل الخدمة الآلية التي فوّضناها بالثقة. تذكير بأنه في السحابة، أمنك قوي بقدر قوة أصغر مزود تستخدمه.