يعتمد Typosquatting على الأخطاء الإملائية والالتباسات: حرف ناقص، أو I كبيرة بدل l صغيرة، أو شرطة ناقصة. النمط قديم – فقد سرق crossenv في 2017 متغيرات البيئة، وسرق jeIlyfish في 2019 مفاتيح SSH وGPG –، لكنه يُدار اليوم على نطاق صناعي: أحصت Check Point في 2024 أكثر من 500 حزمة PyPI خبيثة في موجتين، ووثّقت Microsoft في 28.05.2026 أربع عشرة حزمة npm لجهة واحدة خلال أربع ساعات استهدفت بيانات اعتماد AWS ورموز Vault وسياق GitHub Actions ورموز npm.
Slopsquatting ووكلاء البرمجة: تأمين سلسلة توريد برمجيات الذكاء الاصطناعي
تقترح نماذج الذكاء الاصطناعي حزمًا غير موجودة — ويمكن للمهاجمين تسجيل هذه الأسماء تحديدًا. ووكلاء البرمجة الذين يملكون وصولًا إلى الطرفية يثبّتون ما يرونه صحيحًا. تربط هذه الدراسة المعمّقة Typosquatting وSlopsquatting في npm وPyPI بنموذج أمني لوكلاء البرمجة وبيئة تشغيلهم (Harness): سلسلة الهجوم، وخمس طبقات حماية، والالتزامات الناشئة عن CRA وNIS2 وDORA، وتقييم ذاتي، وورقة بيضاء لـ CISO.
تحصلون على رابط التنزيل فورًا على الصفحة وعبر البريد الإلكتروني.
Promptنزّل النموذج من Hugging Face عبر سطر الأوامر.
Agentلذلك سأثبّت حزمة CLI المناسبة:
pip install huggingface-cli
بوابة الاعتماديات – السياسة
- توثيق الشركة المصنِّعةالتثبيت الرسمي: huggingface_hub[cli] – الاسم مختلف
- معروفاسم مُهلوس بشكل متكرر – تجربة Bar Lanyado (Lasso Security)
- قائمة السماحغير معتمد
محظور – اختلاف عن توثيق الشركة المصنِّعة – طلب موافقة إلى فريق AppSec
مُعاد تمثيله وفق التجربة الموثّقة لـ Bar Lanyado (Lasso Security، 2024).
Promptاضبط متغيرات البيئة في سكربتات npm بشكل متوافق مع جميع المنصات.
Agentسأضيف الاعتمادية المناسبة:
npm install crossenv
بوابة الاعتماديات – السياسة
- الاسمصيغة cross-env بدون الفاصل
- السجلTyposquat معروف: أُزيل في 2017، وكان يسرق متغيرات البيئة
- سكربتات التثبيتمعطّلة في البناء – لا شيفرة عند التثبيت
- قائمة السماحغير معتمد
محظور – اشتباه Typosquat – المقصود كان cross-env
حالة تاريخية من منظومة npm (2017).
Promptتحقق من مدخلات النموذج باستخدام مخطط (Schema).
Agentسأستخدم المكتبة المعتمدة بإصدار ثابت:
npm install zod --save-exact
بوابة الاعتماديات – السياسة
- قائمة السماحمعتمد، المالك: فريق المنصة
- عمر الإصدارالإصدار أقدم من فترة التهدئة البالغة 7 أيام
- سكربتات التثبيتمعطّل (allowScripts)
- Lockfileالإصدار مثبّت، وتم التحقق من تجزئة السلامة
مسموح – يظهر التغيير في Pull Request للموافقة
- 19,7 % مراجع حزم مختلقة لدى 16 نموذجًا للشيفرة
- 30.000+ عمليات تنزيل لحزمة بديلة فارغة (وفقًا لـ Lasso)
- 237+ مستودعات تحتوي أمر npx مُهلوسًا
19,7 %من مراجع الحزم لدى 16 نموذجًا للشيفرة كانت مختلقة – 440,445 من أصل 2.23 مليون (USENIX Security 2025)
43 %من الأسماء المختلقة عادت في كل مرة عند التكرار عشر مرات – ما يمكن توقّعه يمكن تسجيله
24 CVEفي بيئات التطوير المدعومة بالذكاء الاصطناعي ووكلاء البرمجة من سلسلة أبحاث واحدة (IDEsaster، ديسمبر 2025)
11.09.2026منذ هذا اليوم تسري التزامات الإبلاغ وفق CRA – وتتحمّل الشركة المصنِّعة المُدمِجة واجب العناية بالمكوّنات
في يونيو 2024 أظهر باحثون بقيادة Joseph Spracklen (University of Texas at San Antonio) أن 16 نموذجًا للشيفرة اختلقت 19.7% من مراجع الحزم في 576,000 مثال شيفرة – أي 205,474 اسمًا فريدًا لم تكن موجودة في npm وPyPI. وظهر 43% منها مجددًا في كل مرة عند تكرار الطلب عشر مرات. ومن يسجّل مثل هذه الأسماء لم يعد بحاجة إلى خطأ إملائي: منذ 2025 يُسمّى ذلك Slopsquatting. وفي الوقت نفسه تحوّل مشهد الأدوات – من مساعد يقترح إلى وكيل يثبّت في الطرفية ويستدعي خوادم MCP ويحمّل Skills. لذلك تصف HiddenLayer الـ Harness، لا النموذج، بأنه سطح الهجوم الفعلي، وتنظّم الدفاع في خمس طبقات: الرؤية والتحكم والتحقق والمراقبة والحوكمة. وتُكمل ThreatLocker جانب الحزم: التحقق من الأسماء، وضبط الاعتماديات عبر قوائم السماح، وتعطيل سكربتات التثبيت، وإبعاد الأسرار عن مسارات البناء، وZero Trust وقت التشغيل. ويُظهر اختبار عملي من أكتوبر 2026 أن أدوات اليوم ما زالت تختلق حزمًا – نادرًا، لكن على نحو قابل للتكرار. وتحوّل هذه الصفحة ذلك إلى برنامج: تُظهر سلسلة الهجوم أين تعمل ضوابطكم. وتحدد خريطة الـ Harness عشر علاقات ثقة لوكيل البرمجة مع حالات موثّقة. ويفحص مدقق أسماء الحزم الاقتراحات محليًا في المتصفح. وتربط مصفوفة الالتزامات CRA وNIS2 وDORA وAI Act والمسؤولية عن المنتجات. ويقيس التقييم الذاتي مستوى نضجكم – وتقدّم الورقة البيضاء لمسؤولي أمن المعلومات (CISO) خارطة طريق وخط أساس للإعدادات وسياسة نموذجية وقائمة تدقيق.
من الخطأ الإملائي إلى الحزمة المختلقة
محطات Typosquatting وهلوسات الحزم والهجمات على وكلاء البرمجة – وصولًا إلى الالتزامات السارية اليوم.
1 أغسطس 2017
crossenv: Typosquatting في npm
حزمة باسم crossenv تقلّد cross-env وترسل متغيرات البيئة إلى خادم غريب. ويزيل npm نحو 40 حزمة للجهة نفسها.
1 ديسمبر 2019
jeIlyfish على PyPI
حرف I كبير بدل l صغير: نسخة jellyfish المقلّدة تسرق مفاتيح SSH وGPG منذ ديسمبر 2018، قبل أن يُبلَّغ عنها وتُزال.
28 مارس 2024
huggingface-cli وأكثر من 500 حزمة Typosquat
ينشر Bar Lanyado (Lasso Security) تجربته مع حزمة فارغة تحت اسم مُهلوس – وفقًا لـ Lasso أكثر من 30,000 عملية تنزيل خلال ثلاثة أشهر. وفي اليوم نفسه تُبلغ Check Point عن أكثر من 500 حزمة Typosquat خبيثة على PyPI.
12 يونيو 2024
دراسة الهلوسات
ينشر Spracklen وزملاؤه تحليلهم: 16 نموذجًا للشيفرة، و576,000 مثال شيفرة، و19.7% مراجع حزم مُهلوسة. ويُنشر العمل في 2025 في USENIX Security.
8 أبريل 2025
مصطلح Slopsquatting
يعرّف Andrew Nesbitt مصطلح Slopsquatting بأنه النسخة المرتبطة بالذكاء الاصطناعي من Typosquatting، وينسب الاسم إلى Seth Larson من Python Software Foundation.
26 أغسطس 2025
s1ngularity: واجهات سطر أوامر الذكاء الاصطناعي كأداة
تستدعي إصدارات Nx المخترقة واجهات سطر أوامر الذكاء الاصطناعي المثبّتة محليًا للبحث عن الأسرار. وتُحصي GitGuardian 2,349 سرًّا مسرّبًا.
15 سبتمبر 2025
Shai-Hulud
دودة npm ذاتية التكاثر تخترق أكثر من 500 حزمة عبر رموز مسروقة. وفي نوفمبر تتبعها موجة ثانية.
21 يناير 2026
react-codeshift
تعثر Aikido على أمر npx مُهلوس في Agent-Skills مولّدة بالذكاء الاصطناعي، منتشر في أكثر من 237 مستودعًا، وتسجّل الاسم دفاعيًا.
10 مارس 2026
ENISA تذكر Slopsquatting
تُدرج Technical Advisory for Secure Use of Package Managers مصطلح Slopsquatting صراحةً بوصفه ناقل هجوم جديدًا في التطوير المدعوم بالذكاء الاصطناعي.
28 يوليو 2026
خمس طبقات للـ Harness
تنشر HiddenLayer نموذجها الأمني لوكلاء البرمجة: الرؤية والتحكم والتحقق والمراقبة والحوكمة. وقبل ذلك بيوم توضّح المفوضية في إرشاداتها بشأن CRA أن الشركة المصنِّعة المُدمِجة هي من تتحمّل واجب العناية.
11 سبتمبر 2026
سريان التزامات الإبلاغ وفق CRA
تُبلغ الشركات المصنِّعة عن الثغرات الأمنية المستغلّة فعليًا عبر Single Reporting Platform التابعة لـ ENISA: إنذار مبكر خلال 24 ساعة، وإبلاغ خلال 72 ساعة، وتقرير نهائي في موعد أقصاه 14 يومًا بعد توفر إجراء معالجة.
6 أكتوبر 2026
اختبار عملي بثلاث أدوات
يفحص مطوّر 30 مهمة npm باستخدام ثلاث أدوات برمجة بالذكاء الاصطناعي: ستة أسماء حزم مختلقة، اثنان منها لدى عدة أدوات. عيّنة صغيرة – لكنها إشارة واضحة.
تسع رسائل أساسية حول Slopsquatting ووكلاء البرمجة
ملخص لكل رسالة أساسية – افتحوه للاطلاع على التفاصيل والأرقام والمصادر.
تفاعلي – سلسلة الهجوم
أين تنقطع سلسلتكم؟ سبع مراحل من اسم الحزمة المختلق حتى الانتشار
يحتاج هجوم Slopsquatting أو Typosquatting إلى كل مرحلة. فعّلوا الضوابط وشاهدوا عند أي مرحلة يتوقف الهجوم – وهل لديكم نقطة قطع واحدة فقط أم دفاع متعدد الطبقات. ربط الضوابط بالمراحل تصنيف من VamiSec استنادًا إلى المصادر المذكورة.
الوضع الراهن
عقبات فقطعقبات نعم، نقطة قطع لا
ضوابطكم تُصعّب مراحل منفردة، لكنها لا توقف الهجوم بشكل مؤكد. فالمراجعة والفحوص والقواعد في الـ Prompt تعتمد على أن يلاحظ إنسان أو نموذج الخطأ.
- نقاط القطع
- 0 / 7
- أول نقطة قطع
- —
- مراحل بعقبات فقط
- 3
- الضوابط المفعّلة
- 3 / 16
تفعيل الضوابط
الرؤية
التحكم
التحقق
المراقبة
Governance
توقف المرحلة تُصعّب المرحلة
المرحلة 01 / 07
نموذج يقترح اسم حزمة غير موجود – أو إنسان يخطئ في الكتابة
تُكمل نماذج الشيفرة اعتماديات تبدو معقولة لكنها لم تُنشر قط. أما Typosquatting فيعتمد على الأخطاء الإملائية والالتباس مع أسماء معروفة. وكلاهما يبدأ قبل أن يعمل مدير الحزم أصلًا.
الدليلفي دراسة Spracklen وزملائه (USENIX Security 2025) كانت 19.7% من الحزم التي اقترحتها 16 نموذجًا للشيفرة غير موجودة.
ما يعمل في هذه المرحلة – النقر يبدّل
التعليمات في AGENTS.md أو ملفات القواعد تخفض معدل الأخطاء، لكنها ليست ضابطًا: قد يتجاهلها النموذج، وقد يتلاعب بها المهاجمون.
دليل OpenSSF لمساعدي الشيفرة (08/2025)يقيس كم مرة تختلق أدواتكم حزمًا أو تقترح أوامر غير آمنة في بيئتكم التقنية – وهل تعمل ضوابطكم.
HiddenLayer – Validation
مهاجم يسجّل الاسم في npm أو PyPI
الهلوسات المتكررة يمكن توقّعها. ومن يجمعها يحتل هذه الأسماء تحديدًا – بوصف مقنع وملف README منسوخ وسكربت تثبيت. أما في Typosquatting فتكفي صيغ مشابهة لأسماء شائعة.
الدليلرفع Bar Lanyado في أواخر 2023 على سبيل الاختبار حزمة فارغة تحت اسم مُهلوس بشكل متكرر – ووفقًا لـ Lasso Security نُزّلت أكثر من 30,000 مرة خلال ثلاثة أشهر.
ما يعمل في هذه المرحلة – النقر يبدّل
لا تأثير لكم على هذه المرحلة: تسجيل الاسم يحدث في السجل العام (Registry). ولهذا تزداد أهمية المراحل السابقة واللاحقة.
يصل الاسم إلى الشيفرة أو ملف التعريف (Manifest) أو أمر التثبيت
عبر شيفرة منسوخة، أو الإكمال التلقائي، أو وكيل يثبّت بنفسه وحدة ناقصة، أو توثيق ينقل الاسم الخاطئ. وهنا على أبعد تقدير يفيد زوج ثانٍ من العيون.
الدليلوجدت الدراسة أسماء مُهلوسة ظهرت مرارًا عند تكرار الطلبات – فهي لا تصل إلى الشيفرة صدفةً، بل على نحو قابل للتكرار.
ما يعمل في هذه المرحلة – النقر يبدّل
بدون جرد لا تعرفون أي وكلاء يعملون بأي صلاحيات في أي مستودعات – ولا يمكن عندئذٍ فرض أي ضابط آخر على نطاق شامل.
HiddenLayer – Visibilityالتعليمات في AGENTS.md أو ملفات القواعد تخفض معدل الأخطاء، لكنها ليست ضابطًا: قد يتجاهلها النموذج، وقد يتلاعب بها المهاجمون.
دليل OpenSSF لمساعدي الشيفرة (08/2025)يقيس كم مرة تختلق أدواتكم حزمًا أو تقترح أوامر غير آمنة في بيئتكم التقنية – وهل تعمل ضوابطكم.
HiddenLayer – Validationيجوز للوكيل اقتراح الحزم، لكن لا يجوز له تثبيتها بنفسه. ولا ينجح ذلك إلا إذا تحقق الشخص المُوافق من الاسم فعلًا.
HiddenLayer – Controlتصبح الحزم الجديدة وتغييرات Lockfile مرئية وتحتاج إلى موافقة مسمّاة قبل دمجها.
ThreatLocker 2026؛ NIS2 المادة 21 الفقرة 2 البند e
مدير الحزم يحلّ الاسم ويحمّل الحزمة
بدون قائمة سماح أو Proxy داخلي أو حد أدنى لعمر الإصدارات، يجلب npm أو pip ما هو موجود في السجل – حتى حزمة أُنشئت قبل يومين. وهنا تقع أقوى نقطة قطع ضد Slopsquatting.
الدليلProxy مع قائمة سماح لا يعرف الاسم المختلق ببساطة – فيفشل التثبيت.
ما يعمل في هذه المرحلة – النقر يبدّل
تحمّل عمليات البناء والوكلاء الحزم فقط عبر Proxy لا يقدّم إلا الحزم المعتمدة. والاسم المختلق غير موجود هناك.
NIS2 المادة 21 الفقرة 2 البند dتصبح الحزم الجديدة وتغييرات Lockfile مرئية وتحتاج إلى موافقة مسمّاة قبل دمجها.
ThreatLocker 2026؛ NIS2 المادة 21 الفقرة 2 البند eغالبًا ما تُكتشف حزم Squat المسجّلة حديثًا وتُزال خلال أيام قليلة. وتلتقطها فترة التهدئة – لكنها لا تلتقط أسماء يحتلها مهاجم منذ مدة أطول.
ميزة في مدير الحزم، مثل pnpm minimumReleaseAgeتمنع npm ci و--frozen-lockfile و--require-hashes أن يحلّ البناء حزمًا أخرى دون إشعار. أما الاعتماديات الجديدة فتُضاف عن وعي.
ThreatLocker 2026يكتشف الحزم الخبيثة المعروفة والأنماط المريبة مثل سكربتات التثبيت التي تصل إلى الشبكة – لكنه لا يكتشف حزم Squat الجديدة غير المعروفة بشكل موثوق.
ThreatLocker 2026
سكربتات التثبيت أو شيفرة الاستيراد تعمل بصلاحيات المطوّر أو الوكيل أو البناء
تعمل سكربتات دورة حياة npm (preinstall وinstall وpostinstall) وشيفرة البناء لحزم مصادر Python تلقائيًا عند التثبيت. ومع وكلاء البرمجة الذين يملكون وصولًا إلى الطرفية، غالبًا لا يراقب أحد.
الدليلوفقًا لـ Microsoft، نشرت جهة واحدة في 2026 أربع عشرة حزمة npm خبيثة خلال أربع ساعات؛ وعملت خطافات التثبيت فيها تلقائيًا.
ما يعمل في هذه المرحلة – النقر يبدّل
يقطع مسار التنفيذ الأكثر شيوعًا لحزم npm الخبيثة. أما الشيفرة التي لا تعمل إلا عند الاستيراد فتبقى – لذلك يلزم العزل إضافةً إلى ذلك.
npm ignore-scripts؛ ThreatLocker 2026يكتشف الحزم الخبيثة المعروفة والأنماط المريبة مثل سكربتات التثبيت التي تصل إلى الشبكة – لكنه لا يكتشف حزم Squat الجديدة غير المعروفة بشكل موثوق.
ThreatLocker 2026يمنع سكربتات التثبيت من تشغيل برامج غير معروفة، ويحدّ مما يحق لمديري الحزم وبيئات التشغيل الوصول إليه.
ThreatLocker 2026 – Zero Trust وقت التشغيلحاوية أو Devcontainer أو VM بلا بيانات اعتماد مركّبة: حتى إن عملت الشيفرة الخبيثة، فلن تجد ما يستحق السرقة.
HiddenLayer – Control؛ OWASP ASI05يكتشف الوصول إلى ملفات بيانات الاعتماد والعمليات غير المتوقعة ووجهات الشبكة غير المعتادة – خارج النموذج الذي لا يفرض بنفسه أي سياسة أمنية.
HiddenLayer – Monitoring
الشيفرة الخبيثة تصل إلى الأسرار
بيانات اعتماد السحابة، ورموز Vault، ورموز نشر npm، ومفاتيح SSH، وسياق مهام CI – كل ما يمكن الوصول إليه على الجهاز أو في الحاوية أو في البناء.
الدليلاستهدفت الحزم التي وصفتها Microsoft بيانات اعتماد AWS ورموز HashiCorp Vault وسياق GitHub Actions ورموز نشر npm.
ما يعمل في هذه المرحلة – النقر يبدّل
حاوية أو Devcontainer أو VM بلا بيانات اعتماد مركّبة: حتى إن عملت الشيفرة الخبيثة، فلن تجد ما يستحق السرقة.
HiddenLayer – Control؛ OWASP ASI05يمنع سكربتات التثبيت من تشغيل برامج غير معروفة، ويحدّ مما يحق لمديري الحزم وبيئات التشغيل الوصول إليه.
ThreatLocker 2026 – Zero Trust وقت التشغيلتنتهي صلاحية الرموز المسروقة بسرعة وتتيح القليل. ولنشر حزمكم الخاصة: Trusted Publishing بدل الرموز المخزّنة.
ThreatLocker 2026؛ npm Trusted Publishingيكتشف الوصول إلى ملفات بيانات الاعتماد والعمليات غير المتوقعة ووجهات الشبكة غير المعتادة – خارج النموذج الذي لا يفرض بنفسه أي سياسة أمنية.
HiddenLayer – Monitoring
تتسرب البيانات، والرموز المسروقة تنقل الهجوم إلى أبعد
تسريب عبر الشبكة؛ وبرموز النشر المسروقة يتلاعب المهاجم بحزم أخرى. وهكذا يتحول خطأ واحد إلى هجوم على سلسلة التوريد يطال عملاءكم.
الدليلانتشرت دودة npm المسماة Shai-Hulud في 2025 ذاتيًا إلى حزم أخرى عبر رموز مسروقة.
ما يعمل في هذه المرحلة – النقر يبدّل
بدون اتصال بالخارج تبقى الغنيمة داخل الحاوية – ولا يصل البناء إلى السجلات إلا عبر الـ Proxy.
HiddenLayer – Controlيمنع سكربتات التثبيت من تشغيل برامج غير معروفة، ويحدّ مما يحق لمديري الحزم وبيئات التشغيل الوصول إليه.
ThreatLocker 2026 – Zero Trust وقت التشغيلتنتهي صلاحية الرموز المسروقة بسرعة وتتيح القليل. ولنشر حزمكم الخاصة: Trusted Publishing بدل الرموز المخزّنة.
ThreatLocker 2026؛ npm Trusted Publishingيكتشف الوصول إلى ملفات بيانات الاعتماد والعمليات غير المتوقعة ووجهات الشبكة غير المعتادة – خارج النموذج الذي لا يفرض بنفسه أي سياسة أمنية.
HiddenLayer – Monitoringيختصر الوقت حتى الاحتواء: من يدوّر أي رموز، ومن يحظر ماذا، ومن يُبلغ مَن – وفي أي مهلة.
HiddenLayer – Governance؛ CRA المادة 14
نموذج مبسّط. الهجمات الحقيقية تتخطى مراحل: إذا اختُرقت حزمة مشروعة، كما حدث في 2025 مع chalk وdebug، تبدأ السلسلة عند المرحلة 4 – وعندئذٍ لا تعمل إلا الضوابط من تلك المرحلة فصاعدًا.
تفاعلي – خريطة الـ Harness
الـ Harness هو سطح الهجوم: عشرة مكوّنات يثق بها وكيل البرمجة
وكيل البرمجة أكثر من مجرد نموذج. فملفات القواعد والمدخلات والطرفية وخوادم MCP وSkills ومديرو الحزم والأسرار والمستودع والشبكة ومزوّد النموذج تشكّل الـ Harness الخاص به – وكل مكوّن من هذه المكوّنات علاقة ثقة يمكن لمهاجم استغلالها. اختاروا مكوّنًا أو مسار هجوم موثّقًا.
مسار الهجوم
ملفات القواعد وملفات السياق وSystem-Prompt
AGENTS.md وCLAUDE.md و.cursor/rules وcopilot-instructions.md وتوثيق المشروع وكل ما يصل إلى نافذة السياق.
التهديدات والحالات الموثّقة- Rules File Backdoor
أحرف Unicode غير مرئية (Zero-Width-Joiner، علامات Bidi) تخفي تعليمات في ملفات القواعد لدى Cursor وGitHub Copilot. لا يراها البشر في المراجعة، لكن النموذج يتبعها – عبر الجلسات وفي النسخ المتفرعة (Forks) أيضًا.
Pillar Security، 18.03.2025 – صنّفتها Cursor وGitHub مسؤوليةً على المستخدم، بلا CVE - CopyPasta
حقن Prompt متنكّر في صورة إشعار ترخيص داخل تعليق Markdown مخفي في ملف README يدفع الوكيل إلى نسخ الحمولة في كل ملف يعدّله – فينتشر الحقن ذاتيًا عبر قواعد الشيفرة.
HiddenLayer، 04.09.2025 – عُرض على Cursor، وكذلك Windsurf وKiro وAider
- التحققمعاملة ملفات القواعد والسياق كالشيفرة: مراجعة وCODEOWNERS وفحص تلقائي للأحرف غير المرئية.
- التحكمتصنيف محتوى المستودع كمُدخل غير موثوق – وعدم السماح بتنفيذ تعليمات من التعليقات أو الملفات.
- المراقبةإطلاق تنبيه عند تغيير إعدادات الوكلاء وملفات القواعد.
Prompts والمحتوى الخارجي
Issues وPull Requests والتذاكر ورسائل الدردشة وصفحات الويب والتوثيق ومخرجات الأدوات التي يقرؤها الوكيل.
التهديدات والحالات الموثّقة- تعليمة مستخدم مزيّفة
استغل تعليق HTML مخفي في ملف README وسوم التحكم الداخلية لدى Cursor (<user_query>) كي يُعامَل النص المحقون كتعليمة من المستخدم. وتسرّب مفتاح API عبر curl – مع أن curl كان في قائمة الحظر.
HiddenLayer، 31.07.2025 – أُصلح في Cursor 1.3 - Toxic Agent Flow
دفع Issue مُعدّ في مستودع عام وكيلًا يستخدم خادم GitHub-MCP الرسمي إلى كتابة بيانات من مستودعات خاصة في Pull Request عام.
Invariant Labs، 26.05.2025 – ناجم عن البنية، وليس خطأً في خادم MCP
- التحكمتقييد الوكلاء لكل مهمة بمستودع واحد وبأدنى حد من مصادر البيانات (Least Agency).
- التحققفحص الإجراءات المخططة قبل تنفيذها – لا الـ Prompt فقط.
- المراقبةاكتشاف تدفقات البيانات بين الوجهات الخاصة والعامة وحظرها.
الطرفية ونظام الملفات واستدعاءات الأدوات
أوامر Shell وصلاحيات الكتابة على الملفات وإعدادات IDE وقوائم السماح للأوامر ووضع الموافقة التلقائية.
التهديدات والحالات الموثّقة- الموافقة التلقائية عبر الحقن
جعل حقن Prompt برنامج GitHub Copilot في وضع الوكيل يكتب «chat.tools.autoApprove» في إعدادات VS Code. وبعد ذلك عملت أوامر الطرفية دون استئذان – تنفيذ شيفرة عن بُعد.
CVE-2025-53773، CVSS 3.1: 7.8 – أغسطس 2025 - تجاوز موافقات الأوامر
دُمجت أوامر معتمدة مثل grep أو echo مع أوامر ملحقة لتجاوز التأكيدات وتسريب متغيرات البيئة.
Gemini CLI (Tracebit، 07/2025، أُصلح في 0.1.14)؛ Claude Code CVE-2025-54795 (CVSS 4.0: 8.7)
- التحكمحظر أوضاع الموافقة التلقائية؛ والتثبيت والدفع (Push) والحذف وتغييرات السحابة فقط بموافقة بشرية.
- التحكمتشغيل الوكلاء في حاوية أو Devcontainer أو VM – دون وصول إلى المضيف.
- المراقبةتسجيل كل أمر مُنفَّذ مع سياقه (مَن، وأي Prompt، وأي مستودع).
خوادم MCP وأوصاف الأدوات
خوادم MCP المحلية والبعيدة وأوصاف أدواتها ومعاملاتها وملفات الإعداد مثل mcp.json.
التهديدات والحالات الموثّقة- Tool Poisoning وRug Pull
تصل التعليمات المخفية في أوصاف الأدوات إلى السياق بمرتبة النظام. ويمكن لخادم أن يستبدل وصفه بعد الموافقة – وفي التجربة تسرّب بهذه الطريقة سجل محادثات WhatsApp.
Invariant Labs، 01.04. و07.04.2025 - MCPoison
كانت Cursor توافق على إدخالات MCP بالاسم فقط. ومن كان لديه حق الكتابة في المستودع استبدل الأمر والوسائط بعد الموافقة – تنفيذ شيفرة صامت ودائم.
CVE-2025-54136، CVSS 3.1: 7.2 – أُصلح في Cursor 1.3
- الرؤيةتسجيل جميع خوادم MCP لكل وكيل – مع المصدر والإصدار والصلاحيات.
- التحققفحص أوصاف الأدوات والبيانات الوصفية المخفية قبل الموافقة؛ وإعادة الموافقة عند كل تغيير.
- التحكمالسماح فقط بخوادم MCP المعتمدة بإصدارات ثابتة، لا «latest».
Skills والإضافات والأسواق
Agent-Skills مع YAML-Frontmatter والإضافات والملحقات والأسواق التي تأتي منها.
التهديدات والحالات الموثّقة- مهارات خبيثة
تُحمَّل البيانات الوصفية في YAML-Frontmatter إلى System-Prompt قبل أن تعمل أي شيفرة. وتغيّر الصلاحيات أو المشغّلات المخفية السلوك دون أن تلفت الانتباه في واجهات السوق.
HiddenLayer، 28.07.2026 - ToxicSkills
فحصت Snyk 3,984 Skill: 534 (13.4%) بها اكتشاف حرج واحد على الأقل، و76 تأكّد أنها خبيثة.
Snyk، 05.02.2026
- التحققفحص Skills قبل الموافقة بما في ذلك Frontmatter؛ والتحقق من المصدر والمؤلف.
- التحكمالسماح فقط بـ Skills منتقاة من كتالوج داخلي.
- الرؤيةجرد Skills المثبّتة لكل محطة عمل.
مديرو الحزم والسجلات (Registries)
npm وpnpm وYarn وpip وuv وPoetry – والسجلات العامة npm وPyPI التي تحمّل منها.
التهديدات والحالات الموثّقة- Slopsquatting
يقترح النموذج حزمة غير موجودة. والهلوسات المتكررة يمكن توقّعها – فيسجّل مهاجم هذه الأسماء تحديدًا.
Spracklen وزملاؤه، USENIX Security 2025: 19.7% حزم مُهلوسة - Typosquatting وسكربتات التثبيت
الأسماء المتشابهة تلتقط الأخطاء الإملائية؛ وسكربتات دورة الحياة تنفّذ الشيفرة فورًا عند التثبيت – بصلاحيات الوكيل.
OWASP ASI05: عمليات تثبيت حزم غير مُتحقق منها
- التحكمالحصول على الحزم فقط عبر Proxy داخلي مع قائمة سماح؛ وحد أدنى لعمر الإصدارات.
- التحكمتعطيل سكربتات التثبيت افتراضيًا، وفرض Lockfile.
- التحققفحص كل اعتمادية جديدة مقابل توثيق الشركة المصنِّعة والعمر والمشرفين (Maintainer) والمستودع.
الأسرار والرموز والهويات
بيانات اعتماد السحابة، ومفاتيح API، ورموز npm وPyPI، ومفاتيح SSH، وبيانات اعتماد Git، والهوية التي يتصرف الوكيل باسمها.
التهديدات والحالات الموثّقة- البحث عن الأسرار عبر واجهة سطر أوامر للذكاء الاصطناعي
في أغسطس 2025 استدعت إصدارات Nx المخترقة واجهات سطر أوامر الذكاء الاصطناعي المثبّتة محليًا – وفقًا لـ Wiz بخيارات تتخطى طلبات التأكيد – للبحث عن الأسرار. فأصبح الوكيل أداة في يد المهاجم؛ ووفقًا لـ GitGuardian نجح ذلك على 95 من أصل 366 نظامًا مُستهدفًا.
s1ngularity / Nx، 26.08.2025 - مفتاح API قبل حوار الثقة
وجّه إعداد في المستودع طلبات API إلى نقطة نهاية غريبة قبل أن يمنح المستخدم الثقة للمشروع – فكان بالإمكان تسريب مفتاح API.
Claude Code CVE-2026-21852، CVSS 4.0: 5.3 – أُصلح في 2.0.65
- التحكمبيانات اعتماد قصيرة العمر ومحدودة النطاق (OIDC) بدل الرموز طويلة الأمد؛ ولا أسرار إنتاجية على أنظمة الوكلاء.
- التحكممنح الوكلاء هوية خاصة بهم بأدنى الصلاحيات – لا هوية المطوّر.
- المراقبةاكتشاف الوصول إلى ملفات بيانات الاعتماد والاستخدام غير المعتاد للرموز.
المستودع وخطوط المعالجة (Pipelines) والإصدار
الفروع وPull Requests ومسارات عمل CI وإعدادات البناء وخطوط الإصدار وصلاحيات النشر.
التهديدات والحالات الموثّقة- إضافة مخترقة في الإصدار
سمح رمز GitHub بصلاحيات واسعة أكثر من اللازم في إعدادات البناء بإيداع شيفرة في إضافة Amazon Q؛ واحتوى الإصدار 1.84.0 على تعليمة حذف موجّهة إلى الوكيل. ولم تُنفَّذ بسبب خطأ في الصياغة.
AWS-2025-015 / CVE-2025-8217 – أُصلح في 1.85.0 - إعدادات من المستودع
شغّلت ملفات المشروع خوادم MCP أو شيفرة قبل أن يمنح المستخدم الثقة للمشروع.
Codex CLI CVE-2025-61260؛ Claude Code CVE-2025-59536 (CVSS 4.0: 8.7)
- التحكمحماية الفروع ومراجعة إلزامية حتى لإيداعات الوكلاء؛ ولا يجوز للوكلاء الدمج بأنفسهم.
- التحكممنح الرموز في خطوط المعالجة أدنى الصلاحيات؛ وTrusted Publishing بدل رموز النشر المخزّنة.
- Governanceإدراج هويات الوكلاء في مفهوم الصلاحيات وإعادة اعتمادها بانتظام.
الشبكة وحركة الخروج (Egress)
الاتصالات الصادرة من الوكلاء ومديري الحزم ومهام البناء – بما في ذلك النطاقات المسموح بها التي تصلح قناةً للتسريب.
التهديدات والحالات الموثّقة- التسريب عبر وجهات مسموح بها
تتسرب الأسرار عبر طلب HTTP أو DNS أو عبر إيداعات في مستودعات عامة – غالبًا عبر وجهات معتمدة للعمل.
من بينها s1ngularity 2025 وTracebit 2025
- التحكمتقييد الحركة الصادرة من الوكلاء وعمليات البناء بالوجهات المعتمدة (deny by default).
- المراقبةإطلاق تنبيه عند الوجهات وأحجام البيانات وأنماط الرفع غير المعتادة.
النموذج والمزوّد والذكاء الاصطناعي الظلّي
النماذج المستخدمة ومزوّدوها ومعالجة البيانات والأدوات التي يستخدمها الموظفون دون موافقة.
التهديدات والحالات الموثّقة- الهلوسة وعدم الحتمية
يقترح النموذج نفسه لنفس المهمة حزمًا وأوامر مختلفة – فلا يمكن تفويض الأمن إلى النموذج.
OWASP LLM09: Unsafe Code Generation - الذكاء الاصطناعي الظلّي
الحسابات الخاصة والإضافات تتجاوز الجرد والموافقات والتسجيل.
HiddenLayer: الرؤية والمراقبة (Visibility & Monitoring)
- Governanceتحديد الأدوات والنماذج وفئات البيانات المسموح بها في سياسة.
- الرؤيةكشف الذكاء الاصطناعي الظلّي عبر بيانات الهوية والتراخيص ونقاط النهاية.
- المراقبةمراقبة استخدام API واستهلاك الحوسبة اللافت.
الحالات التي لها رقم CVE تم إصلاحها؛ وتذكر كل نشرة استشارية (Advisory) إصدارات الإصلاح. وقيم CVSS مذكورة مع إصدارها (3.1 أو 4.0) ولا يمكن مقارنتها مباشرة. ويتبع ربط الضوابط بالطبقات الخمس نموذج HiddenLayer (28.07.2026) وهو تصنيف من VamiSec.
تفاعلي – فحص أسماء الحزم
اسم حزمة معقول أم فخ؟ افحصوا اقتراحًا
أدخلوا اسم حزمة اقترحه عليكم مساعد أو وكيل أو ملف README. يقارن الفحص محليًا مع حزم npm وPyPI الشائعة، ويتعرّف على الأنماط النموذجية لـ Typosquatting وCombosquatting، ويميّز الأسماء الخيالية التي تبدو معقولة. أما ما إذا كان الاسم مختلقًا فلا يُظهره إلا السجل (Registry) – ويقدّم الفحص أوامر التحقق المناسبة.
الأمثلة
يعمل الفحص بالكامل في متصفحكم: لا يُرسَل شيء ولا يُخزَّن، ولا يوجد أي استعلام من npm أو PyPI.
لم يُدخَل اسم بعد
اكتبوا اسم حزمة – مثلًا من اقتراح ذكاء اصطناعي أو ملف README أو سجل وكيل.
فحص الدقائق الخمس قبل كل اعتمادية جديدة
- المطابقة مع توثيق الشركة المصنِّعةليس مع إجابة الذكاء الاصطناعي، بل مع توثيق المشروع أو مستودعه. هل يتطابق الاسم تمامًا؟
- العمر والمشرفون والتنزيلاتحزمة أُنشئت حديثًا، وتنزيلات قليلة، وتغيير للمشرفين قبيل الإصدار: توقفوا واستفسروا.
- الاطلاع على سكربتات التثبيتpreinstall أو postinstall أو شيفرة بناء تحمّل محتوى إضافيًا أو تفتح اتصالات – إشارة تحذير.
- المستودع وProvenanceهل يوجد مستودع مرتبط، وهل تتوافق الشيفرة مع الوصف، وهل يوجد Build-Provenance؟
- الموافقة والتثبيت على إصدارالإضافة فقط عبر قائمة السماح، وتثبيت الإصدار، وفحص فروق Lockfile في Pull Request.
تفاعلي – مصفوفة الالتزامات
أي قاعدة تنطبق وأين؟ ثمانية مجالات ضبط وخمسة أُطر تنظيمية إضافةً إلى الأدلة الإرشادية
لا يوجد قانون مستقل للاعتماديات التي يقترحها الذكاء الاصطناعي ولوكلاء البرمجة – لكن CRA وNIS2 مع BSIG وDORA وAI Act والمسؤولية عن المنتجات تنطبق في مواضع محددة. اختاروا دوركم لإبراز الأطر التنظيمية ذات الصلة، وخلية لعرض المرجع والتصنيف. النص القانوني وحده هو الملزم؛ أما الأدلة الإرشادية فتوجيه غير ملزم بشأن أحدث ما توصلت إليه التقنية.
دوركم
| مجال الضبط – الإطار التنظيمي | CRAالمادة 14 منذ 11.09.2026، والمادة 13 والملحق I اعتبارًا من 11.12.20275 | NIS2 / BSIGسارٍ8 | DORAسارٍ منذ 17.01.20257 | AI Actعلى مراحل اعتبارًا من 20252 | المسؤولية عن المنتجاتللمنتجات المطروحة في السوق بعد 09.12.2026؛ عبر القانون الوطني1 | الأدلة الإرشاديةتوجيه7 |
|---|---|---|---|---|---|---|
| اختيار المكوّنات ومصدرها | — | — | ||||
| الجرد وSBOM | — | — | ||||
| التطوير والاختبارات الآمنة، بما في ذلك لشيفرة الذكاء الاصطناعي | — | — | ||||
| التغييرات والموافقات | — | — | — | |||
| السلامة والحماية من البرمجيات الخبيثة | — | — | — | |||
| الثغرات الأمنية في المكوّنات والإبلاغ | — | — | ||||
| مسؤولية الإدارة والكفاءة | — | — | ||||
| التصنيف والمسؤولية والعقوبات | — | — |
اختاروا خلية لعرض المرجع والتصنيف. وباستخدام مرشّح الأدوار تُخفون الأطر التنظيمية غير ذات الصلة بملفكم.
Cyber Resilience Act، اللائحة (EU) 2024/2847المادة 14 منذ 11.09.2026، والمادة 13 والملحق I اعتبارًا من 11.12.2027
- اختيار المكوّنات ومصدرهاالمادة 13 الفقرة 5
يجب على الشركات المصنِّعة بذل العناية الواجبة عند دمج مكوّنات من أطراف ثالثة – بما في ذلك صراحةً البرمجيات الحرة ومفتوحة المصدر؛ ويتحدد النطاق وفق المخاطر (الحيثية 34). ويسري الالتزام اعتبارًا من 11.12.2027. ووفقًا لإرشادات المفوضية غير الملزمة C(2026) 5252 (المثال 34)، لا تقع على مستودعات الحزم والمطورين الأفراد التزامات بموجب CRA – فالشركة المصنِّعة المُدمِجة هي من تتحمّل واجب العناية.
- الجرد وSBOMالملحق I الجزء II الرقم 1
تحديد المكوّنات وتوثيقها، ومن ذلك عبر SBOM بصيغة شائعة قابلة للقراءة آليًا تغطي على الأقل الاعتماديات من المستوى الأعلى. ولا يفرض CRA حاليًا صيغة محددة؛ ولا تُدرج صفحة التنفيذ الخاصة بالمفوضية أي قانون تنفيذي وفق المادة 13 الفقرة 24 (حكم اختياري) (الوضع في 27.07.2026). ويسري اعتبارًا من 11.12.2027.
- التطوير والاختبارات الآمنة، بما في ذلك لشيفرة الذكاء الاصطناعيالملحق I الجزء I الرقم 2 a وb وj – الجزء II الرقم 3
على أساس تقييم المخاطر وحيثما ينطبق: طرح منتجات بلا ثغرات أمنية معروفة قابلة للاستغلال، وإعدادات افتراضية آمنة، وتقليص سطح الهجوم، واختبار الأمن بفعالية وانتظام. ويسري اعتبارًا من 11.12.2027.
- الثغرات الأمنية في المكوّنات والإبلاغالمادة 13 الفقرة 6 – المادة 14
اعتبارًا من 11.12.2027: الإبلاغ عن الثغرات الأمنية في المكوّنات المدمجة إلى الشركات المصنِّعة لها أو مشرفيها (المادة 13 الفقرة 6). ومنذ 11.09.2026: الإبلاغ عن الثغرات الأمنية المستغلّة فعليًا في آنٍ واحد إلى فريق CSIRT المنسِّق وإلى ENISA عبر Single Reporting Platform: إنذار مبكر خلال 24 ساعة، وإبلاغ خلال 72 ساعة، وتقرير نهائي في موعد أقصاه 14 يومًا بعد توفر إجراء معالجة.
- التصنيف والمسؤولية والعقوباتالمادة 64 الفقرتان 2 و10
يمكن المعاقبة على مخالفات الملحق I والمادة 13 والمادة 14 بغرامة تصل إلى 15 مليون يورو أو 2.5% من حجم المبيعات السنوي العالمي، أيهما أعلى. ولا غرامات على Open-Source-Software-Stewards؛ وتُستثنى المؤسسات متناهية الصغر والصغيرة عند تفويت مهلة الإنذار المبكر البالغة 24 ساعة.
توجيه NIS2 (EU) 2022/2555 وBSIG (ساري المفعول منذ 06.12.2025)سارٍ
- اختيار المكوّنات ومصدرهاالمادة 21 الفقرة 2 البند d، الفقرة 3 – المادة 30 الفقرة 2 الجملة 2 الرقم 4 من BSIG
تشمل إجراءات إدارة المخاطر أمن سلسلة التوريد. ووفقًا للمادة 21 الفقرة 3 من NIS2، يجب عند اختيار إجراءات سلسلة التوريد مراعاة الثغرات الأمنية الخاصة بالمورّدين المباشرين والجودة الإجمالية لمنتجاتهم وممارساتهم في الأمن السيبراني بما فيها عمليات التطوير الآمن – ولم يُنقل ذلك حرفيًا إلى BSIG، لكن يمكن الاستناد إليه عبر التفسير المتوافق مع التوجيه.
- الجرد وSBOMاللائحة التنفيذية 2024/2690 الملحق الرقم 6.1.2 البند c
طلب معلومات عن مكوّنات الأجهزة والبرمجيات المستخدمة عند شراء منتجات تقنية المعلومات والاتصالات. وهذا ملزم فقط لأنواع الجهات الرقمية المذكورة في اللائحة التنفيذية، مثل مزوّدي السحابة ومقدّمي الخدمات المُدارة.
- التطوير والاختبارات الآمنة، بما في ذلك لشيفرة الذكاء الاصطناعيالمادة 21 الفقرة 2 البند e – المادة 30 الفقرة 2 الجملة 2 الرقم 5 من BSIG
إجراءات أمنية عند اقتناء أنظمة تقنية المعلومات ومكوّناتها وعملياتها وتطويرها وصيانتها، بما في ذلك إدارة الثغرات الأمنية والإفصاح عنها.
- التغييرات والموافقاتاللائحة التنفيذية 2024/2690 الملحق الرقم 6.2
قواعد للتطوير الآمن عبر جميع المراحل، بما في ذلك المتطلبات الأمنية لبيئات التطوير – ملزمة لأنواع الجهات الرقمية المدرجة، وتوجيه جيد لغيرها.
- السلامة والحماية من البرمجيات الخبيثةاللائحة التنفيذية 2024/2690 الملحق الرقم 6.6.1 البند c، و6.9
التصحيحات فقط من مصادر موثوقة ومع فحص السلامة؛ والحماية من البرمجيات الخبيثة وغير المصرّح بها بإجراءات كشف ومنع.
- الثغرات الأمنية في المكوّنات والإبلاغالمادة 30 الفقرة 2 الجملة 2 الرقم 5 من BSIG
إدارة الثغرات الأمنية والإفصاح عنها جزء من الحد الأدنى من الإجراءات – ويشمل ذلك بحسب تصنيف VamiSec الكشف السريع عن الاعتماديات المخترقة ومعالجتها.
- مسؤولية الإدارة والكفاءةالمادة 20 من NIS2 – المادة 38 من BSIG
تنفّذ الإدارة العليا الإجراءات وتراقبها، وتتحمّل المسؤولية وفق قانون الشركات عند الإخلال بالواجبات عن خطأ، وتشارك بانتظام في التدريبات.
- التصنيف والمسؤولية والعقوباتالمادة 65 الفقرة 2، والفقرات 5–7 من BSIG
غرامات عند عدم اتخاذ الإجراءات وفق المادة 30 الفقرة 1 أو عدم توثيقها: تصل إلى 10 ملايين يورو للجهات بالغة الأهمية و7 ملايين يورو للجهات المهمة؛ وعند تجاوز إجمالي المبيعات 500 مليون يورو تصل إلى 2% أو 1.4% من إجمالي المبيعات على التوالي.
DORA، اللائحة (EU) 2022/2554، وRTS (EU) 2024/1774سارٍ منذ 17.01.2025
- اختيار المكوّنات ومصدرهاRTS المادة 16 الفقرة 8
يجب تحليل الشيفرة المصدرية لمقدّمي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة ومن مشاريع المصادر المفتوحة واختبارها قبل الاستخدام الإنتاجي – قدر الإمكان. وينطبق ذلك على المؤسسات المالية الخاضعة للإطار الكامل لإدارة مخاطر تقنية المعلومات والاتصالات (الباب II).
- الجرد وSBOMRTS المادة 10 الفقرة 2 البند d
تتبّع استخدام مكتبات الأطراف الثالثة والمصادر المفتوحة من قِبل خدمات تقنية المعلومات والاتصالات للوظائف الحرجة أو المهمة – بما في ذلك الإصدارات والتحديثات.
- التطوير والاختبارات الآمنة، بما في ذلك لشيفرة الذكاء الاصطناعيRTS المادة 16 الفقرتان 3 و4
مراجعات للشيفرة المصدرية باختبارات ثابتة وديناميكية، واختبارات أمنية لحزم البرمجيات في مرحلة الدمج على أبعد تقدير – بغض النظر عمّا إذا كان إنسان أو وكيل قد كتب الشيفرة.
- التغييرات والموافقاتالمادة 9 الفقرة 4 البند e – RTS المادة 17 الفقرة 1
تُسجَّل جميع التغييرات على أنظمة تقنية المعلومات والاتصالات وتُختبر وتُقيَّم وتُعتمد وتُنفَّذ ويُتحقق منها؛ مع فصل وظيفي بين الاعتماد والتنفيذ. وإذا اقترح وكيل اعتمادية جديدة، فهذا بحسب تصنيف VamiSec تغيير – يتطلب موافقة من جهة مستقلة.
- السلامة والحماية من البرمجيات الخبيثةRTS المادة 16 الفقرة 7
توفير ضوابط لحماية سلامة الشيفرة المصدرية – ويشمل ذلك بحسب تصنيف VamiSec أيضًا ما يحق للوكيل كتابته في المستودع والإعدادات.
- الثغرات الأمنية في المكوّنات والإبلاغRTS المادة 10 الفقرة 2 البند d
مراقبة إصدارات المكتبات المستخدمة وتحديثاتها – شرط أساسي للاستجابة السريعة لحزمة مخترقة.
- مسؤولية الإدارة والكفاءةالمادة 28 الفقرة 1
تظل المؤسسات المالية مسؤولة مسؤولية كاملة في جميع الأوقات عند استخدام خدمات تقنية المعلومات والاتصالات – ويشمل ذلك بحسب تصنيف VamiSec أيضًا خدمات وكلاء البرمجة المُستعان بها خارجيًا (SaaS)، التي يُرجّح اعتبارها خدمة تقنية معلومات واتصالات.
لائحة الذكاء الاصطناعي (EU) 2024/1689 بصيغتها المعدّلة باللائحة (EU) 2026/1744على مراحل اعتبارًا من 2025
- مسؤولية الإدارة والكفاءةالمادة 4 بصيغة اللائحة (EU) 2026/1744
يتخذ مزوّدو أنظمة الذكاء الاصطناعي ومشغّلوها إجراءات لدعم الكفاءة في الذكاء الاصطناعي. ومنذ Digital Omnibus (ساري المفعول منذ 27.07.2026) لم يعد يلزم ضمان مستوى كفاءة محدد لدى الأفراد.
- التصنيف والمسؤولية والعقوباتالمادة 6 الفقرة 2 – الملحق III
تطوير البرمجيات غير مدرج في الملحق III – فمساعد البرمجة بالذكاء الاصطناعي ليس عادةً ذكاءً اصطناعيًا عالي المخاطر. وتقع الالتزامات وفق المادتين 53 و55 على مزوّدي نماذج GPAI، لا على الشركات التي تستخدم وكلاء البرمجة.
توجيه المسؤولية عن المنتجات (EU) 2024/2853للمنتجات المطروحة في السوق بعد 09.12.2026؛ عبر القانون الوطني
- التصنيف والمسؤولية والعقوباتالمادة 4 الرقم 1 – المادة 8 الفقرة 1 – المادة 11 الفقرة 2
البرمجيات منتج. وتشمل مسؤولية الشركة المصنِّعة أيضًا الأضرار الناجمة عن مكوّنات معيبة دُمجت تحت سيطرتها؛ ولا يُعفي غياب تحديثات البرمجيات الضرورية للأمن من المسؤولية. ويسري ذلك على المنتجات المطروحة في السوق بعد 09.12.2026، وفقط على أضرار الأشخاص الطبيعيين. ويُطبَّق التوجيه عبر القانون الوطني؛ ولم يُتحقق من إصدار مشروع الحكومة الألمانية (BT-Drs. 21/4297) حتى 08.10.2026.
BSI وANSSI وENISA وOWASP وHiddenLayer – توجيه غير ملزمتوجيه
- اختيار المكوّنات ومصدرهاENISA (مارس 2026) – BSI CON.8.A6 – Grundschutz++ DEV.4.2
تذكر ENISA مصطلح Slopsquatting صراحةً وتوصي بالرؤية الكاملة لجميع الحزم التي يختارها الذكاء الاصطناعي. وينص IT-Grundschutz الصادر عن BSI على الحصول على المكتبات من مصادر موثوقة (CON.8.A6)، وينص Grundschutz++ كمتطلب من نوع SOLLTE على حظر المكوّنات من مصادر غير موثوقة أو مجهولة (DEV.4.2) – بما في ذلك صراحةً الحزم والنماذج.
- الجرد وSBOMBSI TR-03183-2 الإصدار 2.1.0 – Grundschutz++ DEV.4.3
SBOM مع حلّ تكراري للاعتماديات، حتى أول مكوّن خارج نطاق التسليم على الأقل، بصيغة CycloneDX من 1.6 أو SPDX من 3.0.1 – أعمق من الحد الأدنى في CRA.
- التطوير والاختبارات الآمنة، بما في ذلك لشيفرة الذكاء الاصطناعيBSI/ANSSI 2024 – OWASP LLM09
مساعدو البرمجة بالذكاء الاصطناعي لا يحلّون محل المطورين ذوي الخبرة؛ يجب فحص الشيفرة المولّدة وتوسيع ضمان الجودة بالتوازي مع الإنتاجية. وتُدرج OWASP المكتبات المختلقة تحت LLM09 بوصفها Unsafe Code Generation.
- التغييرات والموافقاتHiddenLayer – Control
موافقة بشرية على الإجراءات ذات الأثر الكبير، وأدنى الصلاحيات كمعيار، وفحص System-Prompts والإعدادات الافتراضية قبل الاستخدام.
- السلامة والحماية من البرمجيات الخبيثةBSI CON.8.A20 – Grundschutz++ DEV.4.4
فحص المكوّنات الخارجية غير المعروفة التي لا تخضع لمراجعات راسخة بحثًا عن الثغرات الأمنية؛ وضمان السلامة عبر مجموع اختباري أو شهادة تشفيرية.
- الثغرات الأمنية في المكوّنات والإبلاغENISA 03/2026
أوراق مرجعية مختصرة (Cheat-Sheets) للاختيار والدمج باستخدام Lockfiles وفحص التجزئة والمراقبة والمعالجة؛ وإدارة معزَّزة للثغرات الأمنية في الحزم التي يختارها الذكاء الاصطناعي.
- مسؤولية الإدارة والكفاءةHiddenLayer – Governance
مالك لكل وكيل إنتاجي، وإدراج وكلاء البرمجة في نماذج التهديدات وحوكمة الذكاء الاصطناعي، واستجابة للحوادث خاصة بالوكلاء، ومراجعة منتظمة للصلاحيات والتكاملات الموثوقة.
- التزام ملزم
- ملزم لجهات مخاطَبة محددة أو بشكل غير مباشر
- دليل إرشادي، غير ملزم
الوضع في 08.10.2026. الربط بمجالات الضبط تصنيف من VamiSec وليس استشارة قانونية. وتستند الاقتباسات من التشريعات الأوروبية إلى النسخ الإنجليزية الأصلية؛ أما إرشادات المفوضية ووثائق ENISA وBSI وOWASP فغير ملزمة.
النص الكامل
Slopsquatting ووكلاء البرمجة بالتفصيل: 13 فصلًا من صورة الوضع حتى خطة الـ 90 يومًا
تقود الفصول من صورة الوضع عبر آلية الهجمات إلى طبقات الحماية الخمس، ونظافة الاعتماديات، والالتزامات الناشئة عن CRA وNIS2 وDORA وAI Act، وصولًا إلى خطة التنفيذ. كل رقم موثّق؛ ويُميَّز بين الالتزام والممارسة وتوصية VamiSec بشكل منفصل.
من الاقتراح إلى التنفيذ
أصبحت أدوات البرمجة بالذكاء الاصطناعي جزءًا من الحياة اليومية للمطورين. ومنذ أن صار الوكلاء يثبّتون الحزم ويستدعون الأدوات بأنفسهم، انتقلت المخاطر من الاقتراح الخاطئ إلى التنفيذ غير الخاضع للإشراف.
في وقت قصير تحولت أدوات الذكاء الاصطناعي من تجربة إلى عُدّة أساسية في تطوير البرمجيات. ففي Stack Overflow Developer Survey 2025 أفاد 84% من المشاركين بأنهم يستخدمون أدوات الذكاء الاصطناعي في عملية التطوير أو يخططون لذلك (2024: 76%). وكانت مستخدمة فعليًا لدى 78.5%، ويوميًا لدى 47.1%. أما وكلاء الذكاء الاصطناعي فلم يستخدمهم في العمل في 2025 سوى أقل من الثلث بقليل (نحو 31%)، ولم تكن لدى 37.9% خطط بهذا الشأن.
84 %يستخدمون أدوات الذكاء الاصطناعي أو يخططون لذلك (Stack Overflow 2025)
73 %يستخدمون مساعدي البرمجة ووكلاءها يوميًا (Stack Overflow 2026)
> 1 مليونPull Requests من Copilot Coding Agent، من مايو إلى سبتمبر 2025 (Octoverse)
+178 %نمو المستودعات العامة التي تستخدم LLM-SDK إلى أكثر من 1.1 مليون (Octoverse 2025)
بعد عام انتقل مركز الثقل. ففي استطلاع 2026 (30,903 إجابة صالحة من 169 دولة) أصبح مساعدو البرمجة ووكلاؤها، بنسبة 66%، أهم حالة استخدام للذكاء الاصطناعي، متقدمين على روبوتات الدردشة العامة (63%). ويلخص Stack Overflow ذلك بأن «الغالبية الساحقة» تستخدم الآن مساعدي البرمجة ووكلاءها يوميًا (73%) – والرقم يصف الفئتين معًا، لا الوكلاء وحدهم. ويُظهر Octoverse 2025 من GitHub الاتجاه نفسه: أكثر من 180 مليون مطوّر ومطوّرة، منهم نحو 36 مليونًا جدد، ويستخدم قرابة 80% من الجدد Copilot منذ الأسبوع الأول. ولا تذكر GitHub نسبة قبول لـ Pull Requests الخاصة بـ Coding Agent.
المساعدون يقترحون، والوكلاء ينفّذون
ما يهم الأمن ليس كمية الشيفرة التي يكتبها النموذج بقدر ما يحق له فعله بنفسه. فالمساعد يقدّم اقتراحًا يقرؤه إنسان فيتبنّاه أو يرفضه. أما الوكيل فيعمل في الطرفية، وينفّذ npm install أو pip install، ويدمج خوادم MCP (Model Context Protocol، الواجهة إلى الأدوات ومصادر البيانات الخارجية) وSkills (حزم تعليمات قابلة لإعادة الاستخدام للوكلاء)، ويقرأ محتوى المستودع وIssues والتوثيق كسياق. وتشير HiddenLayer إلى أن الوكلاء قد يتبنّون حزمًا مُقلَّدة (Typosquatted) بفحص بشري أقل، وأن خوادم MCP البعيدة قد تتغير دون أن تلاحظ المؤسسة ذلك (HiddenLayer، 16.07.2026).
| البُعد | المساعد (اقتراح) | الوكيل (تنفيذ) |
|---|---|---|
| اسم الحزمة | يظهر في الدردشة أو الشيفرة؛ ويقرر إنسان بشأن التثبيت | يُثبَّت مباشرة في الطرفية |
| السياق | الـ Prompt الخاص بالمطوّرة أو المطوّر | README وIssues وملفات القواعد وأوصاف الأدوات وصفحات الويب – كل مصدر مدخل محتمل لحقن Prompt، أي تعليمات مخفية في البيانات |
| الصلاحيات | لا صلاحيات خاصة | صلاحيات الجلسة: نظام الملفات والشبكة والرموز وملفات تعريف السحابة |
| الامتدادات | نادرًا | خوادم MCP وSkills وHooks والإضافات |
| نقطة التحكم | المراجعة قبل الإيداع (Commit) | حوار الموافقة – ما لم تُمنح الموافقة تلقائيًا |
مقارنة مبسّطة؛ تصنيف من VamiSec.
من المرصود أن الوكلاء ينفّذون تعليمات التثبيت دون التحقق من المالك: وجد باحثون على 6,214 نطاقًا 8,265 ملفًا من نوع llms.txt أو llms-full.txt؛ أحال 120 منها إلى حزم أو نطاقات غير مسجّلة. وبعد أن شغلوا بعض هذه الأسماء بحزم Beacon، ظهرت شركة من قائمة Fortune 500 خلال ساعة؛ وأشارت سلاسل العمليات إلى Claude وOpenAI Codex وNous Research Hermes (وفقًا لـ Schneier استنادًا إلى Ars Technica، 09/2026). وهذه ليست هلوسة – فالأسماء جاءت من توثيق الشركات المصنِّعة –، لكنها تتبع المنطق نفسه: من يشغل اسمًا شاغرًا أولًا يحدد ما يثبّته الوكيل. والإصدارات أيضًا غير موثوقة: ففي نحو 37,000 توصية ترقية مولّدة بالذكاء الاصطناعي جرى تحليلها، هلوس GPT-5 وفقًا لـ Sonatype 27.8% من إصدارات المكوّنات.
ثلاثة مصادر أساسية وتصنيفها
ThreatLocker، 15.09.2026
مدوّنة شركة مصنِّعة حول Typosquatting وSlopsquatting في npm وPyPI. تستشهد بـ Spracklen وزملائه وتوصي بفحص الحزم وقوائم الاعتماديات المعتمدة أو سجل داخلي أو Proxy، والتثبيت على إصدارات باستخدام Lockfiles، وتحليل مكوّنات البرمجيات (SCA)، وتعطيل سكربتات دورة الحياة، وعمليات بناء معزولة ببيانات اعتماد قصيرة العمر. التصنيف: الحادثتان المذكورتان هناك (Microsoft 2026، Check Point 2024) كلتاهما Typosquatting تقليدي.
HiddenLayer، 28.07.2026
إطار عمل لوكلاء البرمجة والـ Harness الخاص بهم – بيئة التنفيذ المكوّنة من Prompts والأدوات وSkills وخوادم MCP المحيطة بالنموذج. خمس طبقات: الرؤية والتحكم والتحقق والمراقبة والحوكمة. مفاهيمي، بلا إحصاءات خاصة.
Harsh، dev.to، 06.10.2026
اختبار ذاتي بثلاثين Prompt يوميًا لـ npm على ثلاث أدوات برمجة؛ اقترحت كل منها اسم حزمة غير موجود واحدًا على الأقل. عيّنة لا دراسة: نُفّذ كل Prompt مرة واحدة، ولا يمكن حساب نسبة. ويصف المؤلف النتيجة بنفسه بأنها «إشارة لا حكم».
الفكرة المحورية لهذه الدراسة المعمّقة: سلسلة توريد البرمجيات تبدأ اليوم في الـ Prompt. فاسم الحزمة الذي يقترحه نموذج أو يتبنّاه وكيل من ملف Skill هو الحلقة الأولى في سلسلة تمتد عبر التسجيل والحلّ والتنفيذ حتى الرموز المسروقة والانتشار. ومن يقيّم النموذج وحده يغفل المراحل التي يمكن فيها فعلًا قطع الهجوم.
Typosquatting: قديم، لكنه صار صناعيًا
تسجيل أسماء حزم قابلة للالتباس نمط قديم. الجديد هو السرعة والأتمتة والأهداف التي باتت تكمن في أدوات الذكاء الاصطناعي نفسها.
في Typosquatting يسجّل مهاجم اسمًا يشبه حزمة شائعة إلى حد الالتباس، ويعوّل على الأخطاء الإملائية أو النسخ غير المنتبه أو الأدوات المؤتمتة. وتمنح السجلات العامة الأسماء لمن يأتي أولًا؛ ويكفي حساب جديد. والأنماط محدودة:
| النمط | المبدأ | مثال موثّق |
|---|---|---|
| حذف | أحرف ناقصة | «suport-color»، مستوحى بوضوح من supports-color (SANDWORM_MODE، Socket 2026) |
| إضافة، استبدال، تبديل | يُضاف حرف أو يُستبدل أو يُبدَّل موضعه | «reqjuests» (requests)، «tensoflom» (tensorflow) – Check Point 2024 |
| Homoglyphs | أحرف متشابهة بصريًا، مثل rn بدل m أو رقم بدل حرف | «jeIlyfish» بحرف I كبير بدل l (PyPI، أُبلغ عنه في 01.12.2019، متاح منذ 11.12.2018؛ سرق مفاتيح SSH وGPG) |
| فاصل | تغيير الشرطة أو الشرطة السفلية أو النقطة | «crossenv» بدل cross-env (npm، 01.08.2017؛ نقل متغيرات البيئة، وأُزيلت نحو 40 حزمة للحساب hacktask) |
| بادئة، لاحقة، علامة تجارية | اسم معروف مع إضافة مثل -setup أو -helper أو -utility | تقليد لأدوات OpenSearch وElasticsearch، بعضها برابط مستودع مزيّف (Microsoft 2026)؛ وتقليد لـ Claude Code (Socket 2026) |
| التباس الـ Scope | حزمة ذات Scope (@name/…) تقلّد حزمة بلا Scope – أو العكس | لم يُوثَّق منفردًا في الحالات التي جرى تحليلها؛ وفي حالة Microsoft ظهرت حزم بـ Scope خاص وبدونه (@vpmdhaj) |
أسماء الأمثلة من Check Point (28.03.2024) وMicrosoft (28.05.2026) وSocket (20.02.2026) والحالتين التاريخيتين crossenv (npm، 2017) وjeIlyfish (PyPI، 2019). لا تثبّتوها.
من الفاعل المنفرد إلى خط الإنتاج
Check Point، مارس 2024 (PyPI)
أكثر من 500 حزمة خبيثة في موجتين (نحو 200، ثم أكثر من 300)، كل منها من حساب مشرف مستقل: أُنشئت الحسابات في 26.03.، وتبعتها عمليات الرفع في اليوم التالي. وفي Windows حمّل setup.py مرحلة ثانية سرقت كلمات المرور والملفات واستبدلت برمجيات محافظ العملات المشفرة. وأزال PyPI الحزم بعد الإبلاغ بوقت قصير.
Microsoft، 28.05.2026 (npm)
نشر حساب أُنشئ حديثًا خلال أربع ساعات 14 حزمة قلّدت أدوات OpenSearch وElasticsearch وDevOps والإعداد. واستولت خطافات التثبيت على بيانات اعتماد AWS (IMDSv2 وأدوار مهام ECS وSTS وSecrets Manager في 16 منطقة على الأقل) ورموز HashiCorp Vault ورموز GitHub Actions مع سياقها ورموز npm ذات صلاحيات النشر.
21.764حزم مفتوحة المصدر خبيثة في الربع الأول من 2026 (Sonatype)
46 يوميًاحزم npm خبيثة جديدة في المتوسط – 75% من جميع الحالات الجديدة (Sonatype، الربع الأول 2026)
+73 %زيادة في اكتشافات الحزم مفتوحة المصدر الخبيثة في 2025؛ وكان نحو 90% منها في npm (ReversingLabs)
لا تربط Check Point ولا Microsoft هذه الحملات بالذكاء الاصطناعي؛ فالأمر يتعلق بـ Typosquatting وانتحال العلامات التجارية. واللافت هو الهدف: المطلوب بيئات البناء وأدوار السحابة ورموز النشر – وهي تحديدًا الصلاحيات التي يعمل بها وكلاء البرمجة أيضًا. وتصف Sonatype إساءة استغلال الثقة في الأسماء والأدوات ومسارات عمل الإصدار المعروفة بأنها ناقل الهجوم الأنجح في الربع الأول من 2026.
SANDWORM_MODE: Typosquatting يستهدف الوكيل
تمثّل حملة وصفتها Socket في 20 فبراير 2026 نقطة التحوّل: سرقت 19 حزمة npm على الأقل منتحِلة بأسلوب typosquatting، ثلاث منها تقليد لـ Claude Code، بيانات اعتماد npm وGitHub وCI والعملات المشفّرة، إضافة إلى مفاتيح LLM-API لدى تسعة مزوّدين. كما أضافت خادم MCP خاصًا بها إلى إعدادات Claude Code وClaude Desktop وCursor وVS Code Continue وWindsurf. وتضمّنت أدواته ذات الأسماء غير اللافتة مثل index_project أو lint_check حقنًا للأوامر (Prompt Injection): كان على المساعد قراءة مفاتيح SSH وبيانات اعتماد AWS و.npmrc و.env وإخفاء هذه الخطوة عن المستخدم. ولمواصلة الانتشار استخدمت البرمجية الخبيثة رموز npm مسروقة ومسارات عمل pull_request_target مدسوسة وSSH كمسار احتياطي.
تقييم VamiSec: الحزمة هنا مجرد بوابة دخول. أما الحمولة الفعلية فهي تغيير دائم في بيئة الوكيل يسري في كل جلسة مستقبلية بصلاحيات المطوّر أو المطوّرة.
ما الذي تقدّمه السجلات – وأين يتوقف
- فحص Typosquatting: تكتشف PyPI بحسب تصريحها حالات Typosquatting المحتملة وتضع عليها علامة تلقائيًا عند إنشاء مشروع؛ ولا تذكر PyPI عتبات أو أرقامًا (مراجعة سنة 2025).
- الحجر: يمكن للمسؤولين سحب المشاريع من الفهرس دون حذفها. ومنذ أغسطس 2024 طال ذلك نحو 140 مشروعًا، لم يُفرج إلا عن واحد منها (PyPI، 30 ديسمبر 2024). وفي مارس 2026 بات الحجر يعمل تلقائيًا عبر مُبلِّغين موثوقين.
- مؤشر الحالة: عبر PEP 792 تُشير واجهات API للفهرس إلى الحالة «quarantined»؛ وينبغي لأدوات التثبيت أن تحذّر منها.
- زمن الاستجابة: في عام 2025 عالجت PyPI أكثر من 2,000 بلاغ عن برمجيات خبيثة، 66% منها خلال أربع ساعات و92% خلال 24 ساعة.
الحدود بنيوية. فكل هذه الإجراءات تبدأ بعد الرفع؛ وتبقى النافذة الزمنية حتى الإزالة قائمة. وقد ردّت npm أيضًا على Shai-Hulud بحظر عمليات الرفع التي تتضمن مؤشرات معروفة – وهو ردّ تفاعلي كذلك. كما أن فحص التشابه لا يكتشف إلا ما يشبه اسمًا قائمًا، وهنا تحديدًا يفشل مع الأسماء التي يخترعها نموذج لغوي بحرّية.
Slopsquatting: عندما يخترع النموذج الاسم
تخترع النماذج اللغوية أسماء حزم – بشكل قابل للتكرار ونادرًا ما يمكن تمييزه كخطأ إملائي. ومن يسجّل مثل هذا الاسم أولًا يحدّد ما سيُثبَّت.
يُنسب مصطلح Slopsquatting إلى Seth Larson (Python Software Foundation)؛ ونشره Andrew Nesbitt في 8 أبريل 2025. والمقصود: نموذج لغوي يهلوس باسم حزمة غير موجود، فيسجّله مهاجم بشيفرة خبيثة. ويعود القياس المرجعي إلى Spracklen et al. (USENIX Security 2025، جائزة Distinguished Paper Award)، الذين لا يستخدمون المصطلح بأنفسهم.
19,7 %من 2.23 مليون مرجع حزمة كانت مُهلوَسة (440,445)
205.474اسم حزمة مخترع فريد
43 %من الهلوسات تكررت في جميع التكرارات العشرة (العيّنة: 500 موجّه)
48,6 %من أسماء Python المخترعة: تبعد ستة تغييرات حرفية أو أكثر عن حزم حقيقية
جعل الباحثون 16 نموذجًا برمجيًا تولّد 576,000 عيّنة شيفرة بلغتي Python وJavaScript. واعتُبر مُهلوَسًا كل ما لم يكن موجودًا على PyPI أو npm في 10 يناير 2024 – وهذا حدّ أدنى. وتشير نسبة 19.7% إلى مراجع الحزم لا إلى عيّنات الشيفرة.
| الملاحظة | النتيجة (Spracklen et al.) | الأثر على الدفاع |
|---|---|---|
| نوع النموذج | التجارية بمتوسط 5.2%، والمفتوحة المصدر 21.7% (ثلاثة نماذج تجارية فقط، جميعها من OpenAI) | اختيار النموذج يخفّض المخاطر ولا يزيلها |
| درجة الحرارة | درجة حرارة أعلى، هلوسات أكثر (الحد الأقصى: GPT-4 8.9%، GPT-3.5 31.8%)؛ ولم تُفد معاملات فك الترميز الأخرى | حتى الإعدادات المحافظة تُنتج حزمًا مخترعة |
| قابلية التكرار | 500 موجّه عشر مرات لكل منها: 43% في جميع التشغيلات، 58% أكثر من مرة، 39% لم تتكرر أبدًا | كثير من الأسماء المخترعة قابل للتنبؤ – وبالتالي قابل للتسجيل |
| خصوصية النموذج | 81% من الأسماء صدرت عن نموذج واحد فقط من النماذج الـ 16 | تقاطع صغير؛ والمخاطر مرتبطة بالنموذج |
| المسافة بين الأسماء | من أصل 76,489 اسم Python: 13.4% بمسافة Levenshtein من 1 إلى 2، و37.9% من 3 إلى 5، و48.6% من 6 فأكثر | في الغالب ليست أخطاء إملائية – ولا يفلح الكشف التقليدي عن الأخطاء الإملائية |
| الخلط بين اللغات | 8.7% من أسماء Python المخترعة هي حزم npm حقيقية | الاسم الموجود ليس بالضرورة الاسم الصحيح |
| تدابير مضادة على مستوى النموذج | تفيد RAG (Retrieval-Augmented Generation) والتحسين الذاتي والضبط الدقيق؛ وقد خفّض الضبط الدقيق المعدل لدى DeepSeek بنسبة 83%، لكنه خفّض أداء HumanEval أيضًا من 51.4% إلى 25.3% | التصحيح على مستوى النموذج يكلّف جودة – ويجب أن تكون الضوابط خارج النموذج أيضًا |
Spracklen et al.، USENIX Security 2025 (arXiv:2406.10279 v3). مسافة Levenshtein = عدد تغييرات الحرف الواحد بين اسمين. ودُرست قابلية التكرار على أربعة نماذج ولغة Python.
أدلة من البحث والممارسة، من 2023 إلى 2026
أظهر Bar Lanyado عام 2023 لدى Vulcan Cyber أن ChatGPT 3.5 أوصى بحزم غير منشورة في أكثر من 40 من 201 سؤال عن Node.js وأكثر من 80 من 227 سؤالًا عن Python. وفي دراسته اللاحقة التي نشرها عام 2024 لدى Lasso Security رفع حزمة فارغة تحت الاسم المُهلوَس مرارًا huggingface-cli (الحقيقي: huggingface_hub[cli]) – وبحسب Lasso حققت أكثر من 30,000 تنزيل حقيقي في ثلاثة أشهر. وذكرت Alibaba الأمر pip install huggingface-cli في أول التزام README لمستودعها GraphTranslator (26 فبراير 2024).
النماذج الرائدة 2026 (نسخة أولية)
كرّر Aleksandr Churilov المنهجية عام 2026 مع خمسة نماذج حديثة: معدلات من 4.62% إلى 6.10%. واخترعت النماذج الخمسة كلها 127 اسمًا متطابقًا؛ وبعد إبلاغ منسّق بقي 53 منها قابلًا للتسجيل (حتى أبريل 2026). لم تخضع للتحكيم؛ وقد يشوّه الاستخراج بالتعابير النمطية وقوائم المرجع من 2024 القيم.
الوكلاء (Trend Micro، 2025)
اخترع وكلاء البرمجة ذوو قدرات الاستدلال نحو نصف عدد أسماء الحزم التي اخترعتها النماذج الأساسية، لكن ليس صفرًا – ولا حتى Cursor مع التحقق المباشر عبر خوادم MCP.
عيّنة dev.to (6 أكتوبر 2026)
في الاختبار الذاتي الموصوف في البداية اخترع Claude Haiku 4.5 اسمين، وGitHub Copilot اسمًا واحدًا، وChatGPT/Codex ثلاثة أسماء حزم؛ وظهر اثنان منها لدى عدة أدوات، ولم تُنشر عمدًا. ليس قياسًا، لكنه مؤشر على أن المشكلة مستمرة.
react-codeshift (Aikido، 21 يناير 2026)
اسم npm لم يُنشر قط، مركّب من jscodeshift وreact-codemod، ورد كأمر npx في Agent Skills مولّدة بالذكاء الاصطناعي ووصل إلى 237 مستودعًا على الأقل. سجّلته Aikido كعنصر نائب غير ضار، وتعزو التنزيلات اللاحقة إلى وكلاء اتّبعوا تلك الـ Skills.
HalluSquatting (Spira et al.، 2026)
تُهلوَس المستودعات والـ Skills أيضًا – في سيناريوهات الاختبار بنسبة تصل إلى 85% و100% على التوالي. ونجحت الموارد المسجّلة مسبقًا لدى جميع مساعدي البرمجة الستة المختبَرين في 20 إلى 65% من المحاولات. ومع بحث مسبق على الويب استنسخ Cursor CLI بشكل صحيح بنسبة 93.4%، ودون بحث بنسبة 0.9%. نسخة أولية، ولا إصابات حقيقية معروفة.
لا هجوم مُثبَت حتى الآن
حتى 8 أكتوبر 2026 لا تُعرف حالة مُثبتة علنًا سجّل فيها مهاجم اسمًا مُهلوَسًا بشكل مُثبت لأغراض خبيثة وثبّته ضحايا بسبب اقتراح من الذكاء الاصطناعي. والقول بأن PhantomRaven (2025) مثلًا استغلّ Slopsquatting هو تقدير من Koi دون دليل منشور. كما لا ترى Socket وInfoWorld تسجيلات خبيثة لأسماء Churilov الـ 53.
تقييم VamiSec: هذا ليس إنذارًا بزوال الخطر. فالشروط المسبقة مُثبتة: الهلوسات تتكرر، وثمة تقاطع صغير عابر للنماذج، وتلقّت عناصر نائبة غير ضارة تثبيتات حقيقية، مؤخرًا على ما يبدو عبر وكلاء. وفي الوقت ذاته يظل اكتشاف الإصابة صعبًا: فالاسم لا يبدو في الغالب خطأً إملائيًا، ويرى Seth Larson أنه من الصعب، بل ربما من المستحيل، تقدير عدد محاولات تثبيت الحزم المُهلوَسة (The Register، 12 أبريل 2025). لذلك فإن غياب الحالات المُثبتة لا يُثبت انخفاض المخاطر.
الإشعال: سكربتات التثبيت وشيفرة الاستيراد والرموز
لا يصبح اسم الحزمة الخاطئ خطيرًا إلا عندما تُنفَّذ شيفرة. وتُظهر حوادث 2025/2026 مدى قِصر الطريق من التثبيت إلى الرموز المسروقة والانتشار الذاتي.
بين اقتراح الاسم والضرر يقع التنفيذ. وتوفّر مديرات الحزم لذلك عدة نقاط إشعال، ولا يمكن تعطيلها جميعًا بمفتاح واحد. والنصيحة الشائعة بتعطيل سكربتات دورة الحياة (ignore-scripts) صحيحة لكنها غير كاملة.
| نقطة الإشعال | متى تُنفَّذ الشيفرة | حالة موثّقة | هل يوقفها npm ignore-scripts؟ |
|---|---|---|---|
| سكربتات دورة حياة npm (preinstall، install، postinstall) | عند التثبيت | حالة Microsoft في مايو 2026؛ Shai-Hulud في سبتمبر ونوفمبر 2025 | نعم |
| حزمة مصدر Python (setup.py) | عند التثبيت من حزمة المصدر | Check Point 2024 | غير منطبق (pip) |
| ملف .pth | عند كل تشغيل لمفسّر Python، دون استيراد | litellm 1.82.8 (24 مارس 2026): كان الملف مدرجًا في RECORD، ولم تُنبّه فحوص التجزئة | لا – ليس سكربت دورة حياة |
| شيفرة وقت الاستيراد | عند أول import أو require | سمّتها OWASP تحت ASI05 | لا |
| تبعية Git | عند التثبيت: يمكن لملف .npmrc مرفق أن يستبدل مسار برنامج git | سبب إدخال --allow-git=none (GitHub، 18 فبراير 2026) | لا |
| تبعية URL | تُحمَّل الحمولة عند التثبيت من عنوان HTTP، وتكون غير مرئية في أرشيف السجل | PhantomRaven (بحسب Koi، أكتوبر 2025) | لا يوقف التحميل اللاحق؛ ولذلك --allow-remote=none |
المصادر: Microsoft 28 مايو 2026؛ Check Point 28 مارس 2024؛ Snyk 24 مارس 2026؛ GitHub Changelog 18 فبراير 2026؛ The Register 30 أكتوبر 2025؛ OWASP Top 10 for Agentic Applications 2026.
ست حوادث، نمط واحد
- واجهات سطر أوامر الذكاء الاصطناعي كأداة للمهاجمs1ngularity/Nx – 26 أغسطس 2025
عبر مسار عمل pull_request_target مع حقن أوامر Shell استولى المهاجمون على رمز npm ونشروا إصدارات Nx خبيثة لمدة أربع ساعات تقريبًا. وبحثت الحمولة عن واجهات سطر أوامر الذكاء الاصطناعي المثبتة محليًا وشغّلتها بحسب Wiz مع --dangerously-skip-permissions أو --yolo أو --trust-all-tools لجرد الأسرار. وبحسب GitGuardian لم ينجح ذلك إلا على 95 من 366 نظامًا مستهدفًا (نحو 26%)؛ وكُشف إجمالًا 2,349 سرًا فريدًا للعلن.
- التصيّد، سارق عناوين العملات المشفّرةchalk/debug – 8 سبتمبر 2025
وقع أحد المشرفين ضحية رسالة تصيّد من support@npmjs[.]help؛ وكان النطاق قد سُجّل في 5 سبتمبر 2025. واستبدلت إصدارات خبيثة من 18 حزمة شائعة (Aikido؛ وتحصي Socket 19 إصدارًا) تتجاوز تنزيلاتها الأسبوعية بحسب Aikido ملياري تنزيل عناوين المحافظ في المتصفح عبر اعتراض fetch وXMLHttpRequest وwindow.ethereum.
- دودة عبر رموز مسروقةShai-Hulud – سبتمبر 2025
حقنت دودة ذاتية التكاثر سكربتات post-install، وبحثت عن الأسرار باستخدام TruffleHog ومتغيرات البيئة وبيانات السحابة الوصفية، ونشرت حزمًا إضافية برموز npm مسروقة. وأزالت GitHub أكثر من 500 حزمة مخترقة؛ وتعزو Wiz الحملة إلى بيانات اعتماد من s1ngularity.
- preinstall وباب خلفي في المشغّلاتShai-Hulud 2.0 – اعتبارًا من 24 نوفمبر 2025
اشتعلت الموجة الثانية في مرحلة preinstall متنكّرة كأداة تثبيت Bun، وسجّلت الأجهزة المصابة كمشغّلات GitHub مستضافة ذاتيًا، وأنشأت بحسب Wiz أكثر من 25,000 مستودع خبيث. وإذا لم تتمكن من سرقة بيانات الاعتماد ولا تسريب البيانات، حاولت بحسب Unit 42 تدمير الدليل الرئيسي.
- جهاز مشرف مخترقaxios – 31 مارس 2026
بعد هندسة اجتماعية وإصابة جهازه بـ RAT (حصان طروادة للوصول عن بُعد) صدر عبر الحساب الشخصي للمشرف الرئيسي axios 1.14.1 و0.30.4 مع تبعية إضافية حمّلت على مراحل برمجيات خبيثة أخرى بما فيها RAT – لمدة ثلاث ساعات تقريبًا. وأوصت CISA في تحذيرها الصادر في 20 أبريل 2026 صراحةً بـ ignore-scripts=true وmin-release-age=7 (أيام) في .npmrc، إضافة إلى مصادقة MFA مقاومة للتصيّد.
- Provenance صالحة، والوكيل موضعًا للاستمراريةTanStack / Mini Shai-Hulud – 11 مايو 2026
عبر مسار عمل pull_request_target وذاكرة Actions مؤقتة مسمومة قرأ المهاجمون رمز OIDC الخاص بـ Trusted Publishing من ذاكرة المشغّل ونشروا 84 إصدارًا خبيثًا من 42 حزمة @tanstack – مع Provenance صالحة بمستوى SLSA Build Level 3 (StepSecurity). وللاستمرارية كتبت البرمجية الخبيثة SessionStart-Hook في .claude/settings.json ينفّذ node .vscode/setup.mjs عند كل تشغيل لـ Claude Code، إضافة إلى مهمة VS Code مع runOn: folderOpen.
درسان
أولًا: Provenance – الدليل الموقّع على المستودع وعملية البناء اللذين نشأت منهما الحزمة – تُثبت المصدر لا السلامة. وبمعنى ما تقوله StepSecurity، تؤكد SLSA-Provenance أي خط إنتاج أنشأ الأداة البرمجية – لا ما إذا كان قد تصرّف كما هو مقصود. وفي حالة Red Hat «Miasma» حملت 32 حزمة متلاعبًا بها أيضًا توقيعات صالحة، لأن المهاجمين استخدموا مسار النشر الشرعي عبر OIDC (Microsoft، 2 يونيو 2026). وتنص وثائق npm نفسها على أن Provenance لا تضمن محتوى خاليًا من الشيفرة الخبيثة.
ثانيًا: الرموز هي عملة الانتشار. فقد بحثت معظم هذه الحمولات عن بيانات اعتماد npm أو GitHub أو السحابة أو LLM-API واستخدمت صلاحيات النشر للموجة التالية. تقييم VamiSec: كل جلسة وكيل يمكن فيها الوصول إلى رموز بنص صريح أو ملفات تعريف سحابية أو صلاحيات كتابة في السجل هي نقطة انطلاق محتملة لموجة كهذه. ويُظهر Mini Shai-Hulud كذلك أن إعدادات الوكيل نفسها تصبح موضعًا للاستمرارية.
الـ Harness هو سطح الهجوم
الهجمات الموثّقة هنا على وكلاء البرمجة لا تكسر أي نموذج. بل تستغل الثقة – في ملفات السياق وأوصاف الأدوات والإعدادات ومنطق الموافقة.
تضع HiddenLayer في إطارها الصادر في 28 يوليو 2026 أطروحة في المركز: سطح الهجوم الجوهري لوكيل البرمجة ليس النموذج، بل الـ Harness الخاص به – الموجّهات والأدوات والـ Skills وخوادم MCP ومنطق التنسيق المحيط بالنموذج. وترى HiddenLayer أن جذر الهجمات هو الثقة في غير موضعها. وكانت الشركة قد صنّفت في 16 يوليو 2026 كل مصدر يقرؤه وكيل كنقطة دخول محتملة لحقن الأوامر غير المباشر.
> 30ثغرة أمنية في بيئات التطوير المتكاملة بالذكاء الاصطناعي، منها 24 بمعرّف CVE (IDEsaster، 6 ديسمبر 2025)
13,4 %534 من 3,984 Agent Skill مفحوصة بها نتيجة حرجة واحدة على الأقل (Snyk)
76Skills أو حمولات خبيثة مؤكدة (Snyk، 5 فبراير 2026)
فئات الهجوم مع الأدلة
| الهجوم (المصدر، التاريخ) | مكوّن Harness المُستغَل | الارتباط بـ OWASP |
|---|---|---|
| حقن أوامر مخفي في Cursor (HiddenLayer، 31 يوليو 2025) | تعليق HTML مخفي في ملف README يستخدم رموز التحكم في موجّه النظام ليُعامَل كتعليمات من المستخدم؛ وتجاوز قائمة الحظر عبر $()، وتسريب مفاتيح SSH عبر أدوات لا تتطلب إذنًا. أُصلح في Cursor 1.3 | LLM01، ASI01، ASI02 |
| CopyPasta (HiddenLayer، 4 سبتمبر 2025) | حقن أوامر في تعليق README مخفي، متنكّر كترخيص؛ ينسخه الوكيل إلى كل ملف يعدّله (Cursor، وكذلك Windsurf وKiro وAider) | LLM01، ASI01، ASI06 |
| Rules File Backdoor (Pillar Security، 18 مارس 2025) | ملفات قواعد Cursor وGitHub Copilot بأحرف Unicode غير مرئية؛ لا يوجد CVE، وصنّفه المصنّعان كلاهما كمسؤولية المستخدم | LLM01، ASI01، ASI06 |
| Tool Poisoning، Rug Pull (Invariant Labs، أبريل 2025) | تعليمات مخفية في أوصاف أدوات MCP؛ ويغيّر Rug Pull الوصف بعد الموافقة. العرض التوضيحي: قرأ الوكيل ~/.cursor/mcp.json و~/.ssh/id_rsa | ASI02، ASI04 |
| Toxic Agent Flow (Invariant Labs، 26 مايو 2025) | تجعل Issue خبيثة في مستودع عام الوكيلَ يكتب محتوى خاصًا في PR عام عبر خادم GitHub-MCP الرسمي – خلل معماري لا خلل في الخادم | ASI01، ASI02؛ سيناريو OWASP تحت ASI04 |
| Auto-Approve-RCE، CVE-2025-53773 (GitHub Copilot في VS Code/Visual Studio؛ CVSS 3.1: 7.8) | يكتب حقن الأوامر chat.tools.autoApprove: true في .vscode/settings.json؛ فتسقط التأكيدات وتُنفَّذ أوامر الطرفية | LLM01، ASI05 |
| MCPoison، CVE-2025-54136 (Cursor؛ CVSS 3.1: 7.2) | كانت إدخالات MCP تُعتمد باسم المفتاح فقط؛ ثم يستبدل التزامٌ الأمر. أُصلح في Cursor 1.3 | ASI04، ASI05 |
| CurXecute، CVE-2025-54135 (Cursor؛ CVSS 3.1: 8.6) | رسالة Slack مقروءة عبر MCP تجعل الوكيل يكتب إدخالًا في mcp.json يبدأ دون موافقة – حتى عند رفض التغيير. الإصلاح بحسب إدخال CVE في 1.3.9، وبحسب المكتشفين في 1.3 | LLM01، ASI01، ASI05 |
| ملفات المشاريع في Claude Code وCodex CLI (2025/2026) | CVE-2025-59536: نُفّذت شيفرة المشروع قبل حوار الثقة (CVSS 4.0: 8.7). CVE-2026-21852: أمكن لإعداد في المستودع إرسال مفتاح API إلى نقطة نهاية خارجية قبل الحوار (CVSS 4.0: 5.3). CVE-2025-61260: شغّلت إعدادات المشروع أوامر MCP دون موافقة (CVSS 3.1: 9.8، تقييم CISA-ADP) | ASI04، ASI05 |
| ToxicSkills (Snyk، 5 فبراير 2026) | Skills من ClawHub وskills.sh: حقن أوامر في 91% من الـ Skills الخبيثة المؤكدة البالغ عددها 76، وشيفرة خبيثة فيها جميعًا | ASI01، ASI04 |
| Amazon Q لـ VS Code 1.84.0 (AWS-2025-015، CVE-2025-8217) | أتاح رمز GitHub ذو صلاحيات واسعة أكثر من اللازم في CodeBuild إدخال شيفرة مدسوسة؛ وكان الموجّه بحسب The Register يهدف إلى حذف ملفات وموارد سحابية. وبحسب AWS لم يُنفَّذ بسبب خطأ نحوي؛ ولم يُحذف شيء | ASI01، ASI02، ASI04 |
LLM01 Prompt Injection، LLM09 Misinformation (OWASP Top 10 for LLM Applications 2025)؛ ASI01 Agent Goal Hijack، ASI02 Tool Misuse and Exploitation، ASI04 Agentic Supply Chain Vulnerabilities، ASI05 Unexpected Code Execution (RCE)، ASI06 Memory & Context Poisoning (OWASP Top 10 for Agentic Applications 2026). التصنيف: تقييم VamiSec؛ وAmazon Q وToxic Agent Flow بحسب OWASP. لا يمكن مقارنة CVSS 4.0 و3.1 مباشرة.
تصنّف OWASP هلوسات الحزم ذاتها تحت LLM09 Misinformation («Unsafe Code Generation»)، لا تحت LLM03 Supply Chain. وفي القائمة الوكيلية يغطي ASI05 حالة تنفيذ حزم مثبتة دون فحص لشيفرة خبيثة عند التثبيت أو الاستيراد؛ ويوصي ASI04 من بين أمور أخرى بالفحص بحثًا عن Typosquats.
يصف IDEsaster (Ari Marzouk) لـ Copilot وCursor وWindsurf وClaude Code وبيئات تطوير متكاملة أخرى بالذكاء الاصطناعي سلسلة جديدة: Prompt Injection → Tools → الوظائف الأساسية لبيئة التطوير، مثل مخططات JSON البعيدة أو إعدادات مساحة العمل المستبدلة. يضاف إلى ذلك أخطاء في منطق الموافقة والعزل في واجهات سطر أوامر الوكلاء، مثل حوار تأكيد قابل للتجاوز في Claude Code (CVE-2025-54795، CVSS 4.0: 8.7) أو الهروب من العزل عبر دليل عمل يحدده النموذج في Codex CLI (CVE-2025-59532، CVSS 4.0: 8.6).
الفكرة الموجّهة: الأمن خارج النموذج
تشترك معظم الحالات في بنية واحدة: فعل النموذج ما أوحى به سياقه. وحيث أجرى المصنّعون تحسينات، لم يكن ذلك في النموذج بل في الـ Harness – عبر إعادة الموافقة على إعدادات MCP المعدّلة، وحوار الثقة قبل كل تنفيذ، والتحقق القانوني من المسارات، أو قوائم سماح أضيق. وتبعًا لذلك تعنون HiddenLayer طبقة المراقبة لديها: يجب أن يوجد الأمن خارج النموذج. تقييم VamiSec: تعاملوا مع ملفات القواعد وإعدادات MCP والـ Hooks والـ Skills كشيفرة قابلة للتنفيذ – بمراجعة وإدارة إصدارات وموافقة – ومع كل مصدر يقرؤه الوكيل كمدخل غير موثوق.
الرؤية: معرفة كل علاقة ثقة
لا يمكن تأمين إلا ما هو معروف. وتحصر الطبقة الأولى الوكلاء والنماذج ومكوّنات الـ Harness والصلاحيات والتبعيات – بما في ذلك الأدوات التي لم يسجّلها أحد.
ما توصي به HiddenLayer (الممارسة)
تعنون HiddenLayer الطبقة الأولى من إطارها الصادر في 28 يوليو 2026 بـ «Understand Every Trust Relationship» – فهم كل علاقة ثقة. والمقصود أربعة عناصر:
- جميع الوكلاء والنماذج والـ Harnesses والأدوات وخوادم MCP والـ Skills المستخدمة – بما في ذلك صراحةً الذكاء الاصطناعي الظلّي.
- صلاحيات كل وكيل والأنظمة التي يمكنه الوصول إليها.
- مصدر وسلامة الأدوات والـ Skills والخدمات الخارجية.
- التفاعلات أثناء التشغيل بين الوكلاء والأدوات والمستودعات والأنظمة الخارجية.
المصدر والسلامة ليسا إجراءً شكليًا: إذ يمكن لخوادم MCP البعيدة أن تتغير دون أن تلاحظ المؤسسة ذلك (HiddenLayer، 16 يوليو 2026). ولذلك يتقادم الجرد الذي لا يحتوي إلا على الأسماء بصمت. ولمواجهة الذكاء الاصطناعي الظلّي يوصي BSI وANSSI بحسابات مؤسسية خاضعة للرقابة بدلًا من الحسابات الخاصة، وبقواعد واضحة بشأن الأدوات المسموح باستخدامها ومع أي بيانات. كما توصي ENISA في توصيتها غير الملزمة قانونًا بشأن مديرات الحزم الصادرة في 10 مارس 2026 بالرؤية الشاملة لجميع الحزم التي تختارها أدوات الذكاء الاصطناعي.
التنفيذ: قائمة مكوّنات الوكلاء وSBOM (توصية VamiSec)
نوصي بإدارة الجرد كقائمة مكوّنات للوكلاء (AI-BOM): سجلّ مقروء آليًا يوثّق لكل وكيل الأداة وإصدارها، والنموذج ومزوّده، ونمط التشغيل، وخوادم MCP والـ Skills المرتبطة مع الإصدار أو التجزئة، وملفات القواعد، والهوية المستخدمة. وإلى جانبها توجد SBOM (Software Bill of Materials، قائمة بجميع مكوّنات البرمجيات) لكل إصدار. وكلتاهما تجيب في حالة الطوارئ عن السؤال ذاته: أين يوجد المكوّن المتأثر؟
| ما يجب حصره | مصدر البيانات | المسؤول |
|---|---|---|
| الوكلاء والـ Harness: الأداة، الإصدار، النمط | توزيع البرمجيات، جرد نقاط النهاية، قوائم إضافات بيئات التطوير | فريق المنصة |
| النماذج والمزوّدون | العقود، المشتريات، سجلات بوابة أو وكيل الذكاء الاصطناعي | المشتريات مع AppSec |
| خوادم MCP، الـ Skills، ملفات القواعد | ملفات الإعدادات في المستودعات والأدلة الرئيسية، مثل mcp.json وsettings.json وAGENTS.md | مسؤولو المستودعات |
| هويات الوكلاء وصلاحياتهم | مزوّد الهوية، إدارة الرموز في السجل ومنصة Git والسحابة | IAM |
| التبعيات | توليد SBOM في خط CI، ملفات القفل | فريق المنتج |
| الذكاء الاصطناعي الظلّي | سجلات DNS والوكيل مقارنةً بقائمة الموافقات | أمن المعلومات |
| التفاعلات أثناء التشغيل | قياس الـ Hooks لدى الوكلاء، سجلات التدقيق، EDR | SOC |
توصية VamiSec. اضبطوا الأدوار وفق مؤسستكم – الحاسم هو وجود مسؤول مُسمّى لكل سطر.
تستحق دقة عمق SBOM الاهتمام. إذ يشترط CRA في الملحق I الجزء II البند 1 وجود SBOM بصيغة شائعة مقروءة آليًا تغطي على الأقل التبعيات العليا – وتسري اعتبارًا من 11 ديسمبر 2027؛ ولا يفرض حاليًا صيغة محددة. أما BSI TR-03183-2 (الإصدار 2.1.0) فتشترط في المقابل لملفات SBOM المتوافقة مع TR تحليلًا تكراريًا وتذكر CycloneDX من 1.6 أو SPDX من 3.0.1. وقد تأتي الشيفرة الخبيثة عبر تبعيات متعدية: إذ أضاف الإصدار الخبيث axios 1.14.1 التبعية plain-crypto-js التي حمّلت مراحل خبيثة أخرى (CISA، 20 أبريل 2026). لذلك نوصي بـ SBOM التكرارية كمعيار عمل – كأفضل ممارسة لا كالتزام بموجب CRA. وبحسب ENISA (SBOM Adoption State of Play، يونيو 2026) يحتاج 24% من المستطلَعين إلى تحليل عميق كامل، ولا يحصل عليه إلا 14%.
الارتباط بسلسلة الهجوم
الرؤية ليست نقطة كسر، لكنها شرط مسبق لكل النقاط الأخرى. فهي تُصعّب المرحلة 03 (الاستيلاء)، لأن الحزم وخوادم MCP والـ Skills الجديدة تلفت الانتباه. ودون جرد لا يمكن فرض قوائم الموافقات والعزل والمراقبة بشكل شامل. وبعد الحادث تحدّ من المرحلة 07 (الانتشار): إذ يمكن تسمية المستودعات والأجهزة والرموز المتأثرة فورًا بدلًا من البحث عنها أولًا.
دليل الإثبات: قائمة مكوّنات الوكلاء
جرد مُدار الإصدارات بتاريخ تحديث، وشخص مسؤول لكل إدخال، ومقارنة منتظمة مع الاستخدام الفعلي.
دليل الإثبات: خط أساس الإعدادات
خوادم MCP والـ Skills المعتمدة لكل وكيل مع الإصدار أو التجزئة؛ والانحرافات موثّقة.
دليل الإثبات: SBOM لكل إصدار
الصيغة والعمق وتوقيت التوليد قابلة للتتبع، ومحفوظة مع التوثيق التقني.
دليل الإثبات: مطابقة الذكاء الاصطناعي الظلّي
تقييم دوري لبيانات الوكيل أو DNS مقارنةً بقائمة الموافقات، مع الإجراءات المتخذة.
مرجع تنظيمي: يجب على المؤسسات المالية الخاضعة لإطار DORA الكامل وفق المادة 10 الفقرة 2 البند d من اللائحة المفوّضة (EU) 2024/1774 (RTS بشأن إدارة مخاطر تقنية المعلومات والاتصالات) تتبّع مكتبات الأطراف الثالثة والمكتبات المفتوحة المصدر التي تستخدمها خدمات تقنية المعلومات والاتصالات للوظائف الحرجة أو المهمة – مع الإصدارات والتحديثات. وينص Grundschutz++ الصادر عن BSI كمتطلب من فئة SOLLTE على توثيق المكوّنات قبل الإصدار عبر SBOM (DEV.4.3، مع الإحالة إلى TR-03183-2).
التحكم: الحدّ من ضرر الاختراق
في وقت ما سيقرأ وكيلٌ تعليمات متلاعبًا بها أو يقترح حزمة خاطئة. وتضمن الطبقة الثانية حينها أن يكون مسموحًا له بالقليل، وأن يصل إلى القليل، وألا يجد شيئًا ذا قيمة.
ما توصي به HiddenLayer (الممارسة)
تحت عنوان «Limit the Impact of Compromise» تذكر HiddenLayer خمسة إجراءات: أقل الصلاحيات كمعيار افتراضي، وموافقة بشرية على الإجراءات ذات العواقب، والوصول فقط إلى الأدوات وخوادم MCP والـ Skills المعتمدة، وتقييد الاتصالات الشبكية الصادرة غير الضرورية، وفحص موجّهات النظام والإعدادات الافتراضية قبل الاستخدام. وتوسّع OWASP Top 10 for Agentic Applications 2026 مبدأ أقل الصلاحيات إلى «Least Agency»: لا استقلالية حيث لا حاجة إليها. كما توصي إرشادات CISA وNSA والجهات الشريكة في Five Eyes الصادرة في 1 مايو 2026 بعدم منح الوكلاء وصولًا واسعًا إلى البيانات الحساسة والأنظمة الحرجة.
تُظهر ثغرات موثّقة أن القيم الافتراضية ليست آمنة تلقائيًا: فقبل الإصدار 1.0.4 احتوى Claude Code على قائمة واسعة أكثر من اللازم من الأوامر «الآمنة» أمكن عبرها تسريب محتويات الملفات دون استفسار (CVE-2025-55284، CVSS 4.0: 7.1). وفي GitHub Copilot (VS Code/Visual Studio) أمكن تعطيل إلزامية التأكيد كليًا عبر حقن الأوامر (CVE-2025-53773، انظروا الفصل 5).
التنفيذ في ست خطوات (توصية VamiSec)
- بيئة التنفيذالعزل
تعمل الوكلاء ذات الوصول إلى الطرفية وعمليات البناء في حاويات أو Devcontainers أو أجهزة افتراضية – دون بيانات اعتماد مضيف مركّبة أو SSH-Agent أو ملفات تعريف سحابية. وإذا نُفّذت شيفرة خبيثة، فإنها تجد أقل ما يمكن مما يستحق السرقة.
- الهويةمنح هوية مستقلة
لا يعمل الوكيل بالرموز الشخصية للمطوّرة، بل بهوية مستقلة محدودة النطاق بدقة: فقط المستودعات والنطاقات التي تحتاجها المهمة، دون صلاحية نشر.
- Tokensبيانات اعتماد قصيرة العمر
انشروا حزمكم عبر Trusted Publishing (OIDC) بدلًا من الرموز المخزّنة – متاح عمومًا في npm منذ 31 يوليو 2025، اعتبارًا من npm CLI 11.5.1. وحيث تبقى الرموز، اختاروا أقصر مدة صلاحية عملية.
- الأدوات، MCP، الـ Skillsفرض قوائم الموافقات
لا يمكن تحميل إلا الأدوات وخوادم MCP والـ Skills المعتمدة؛ وتأتي الحزم حصريًا عبر الوكيل الداخلي (انظروا نظافة التبعيات).
- الشبكةتقييد حركة البيانات الصادرة (Egress)
الحركة الصادرة فقط إلى وجهات معتمدة. فحتى الأدوات غير الضارة تنقل البيانات: أظهرت HiddenLayer عام 2025 كيف تسرّب مفتاح SSH عبر عنوان URL لصورة مخطط.
- الإعداداتفرض الإعدادات مركزيًا
إيقاف Auto-Approve؛ واشتراط الموافقة على عمليات التثبيت وأوامر الشبكة وعمليات الكتابة على إعدادات الوكيل. وحظر علامات مثل --dangerously-skip-permissions أو --yolo أو --trust-all-tools – فبحسب Wiz استدعت برمجية s1ngularity الخبيثة واجهات سطر أوامر الذكاء الاصطناعي المحلية بها تحديدًا. وحيث تدعم الأداة سياسات مُدارة مركزيًا، ينبغي أن تكون لها الأولوية على الإعدادات القادمة من المستودع.
7 أياممدة الصلاحية الافتراضية لرموز npm الدقيقة الجديدة ذات صلاحية الكتابة (منذ منتصف أكتوبر 2025)
90 يومًاأقصى مدة صلاحية لهذه الرموز
ساعتانمدة صلاحية رموز الجلسة بعد npm login
09.12.2025رموز npm التقليدية أُلغيت نهائيًا
لا تكون الموافقة البشرية فعّالة إلا إذا رأى الشخص ما يوافق عليه. ففي العرض التوضيحي لـ Tool Poisoning من Invariant Labs لم يعرض حوار التأكيد المدخلات كاملة. ويوصي BSI صراحةً بتأكيد من المستخدم قبل أن ينفّذ نموذج LLM وظائف (Evasion Attacks on LLMs، 6 نوفمبر 2025). ونوصي بحوارات تعرض الأمر واسم الحزمة والوجهة كاملة – وبموافقات قليلة تؤخذ بجدية بدلًا من التأكيدات المستمرة.
الارتباط بسلسلة الهجوم
توفّر هذه الطبقة معظم نقاط الكسر: العزل دون أسرار المضيف يقطع المرحلة 06 (الوصول)، والتحكم في الحركة الصادرة المرحلة 07 (الانتشار)، وقائمة الموافقات في الوكيل المرحلة 04 (الحل). وتُصعّب الموافقة البشرية المرحلة 03 (الاستيلاء). وتحدّ الرموز قصيرة العمر ومحدودة النطاق من مدى ما تبلغه بيانات الاعتماد المسروقة.
أدلة الإثبات للمدققين
- إعداد مركزي مفروض لكل وكيل (Auto-Approve، إلزاميات الموافقة، العلامات المحظورة) مع سجل التغييرات.
- تعريف الصورة أو Devcontainer دون بيانات اعتماد مركّبة، إضافة إلى قواعد الحركة الصادرة.
- جرد الرموز بالهوية والنطاق وتاريخ الانتهاء؛ وTrusted Publishing للحزم الخاصة.
- عيّنات من سجلات الموافقات.
مرجع تنظيمي: بالنسبة للجهات بالغة الأهمية والجهات المهمة، تشترط المادة 21 الفقرة 2 البند e من NIS2 والمادة 30 الفقرة 2 الجملة 2 البند 5 من BSIG إجراءات أمنية في الاقتناء والتطوير والصيانة. وتشترط اللائحة التنفيذية (EU) 2024/2690 لأنواع الجهات المذكورة فيها، مثل مزوّدي الخدمات السحابية والخدمات المُدارة، متطلبات أمنية لبيئات التطوير (الملحق البند 6.2). ويجب على المؤسسات المالية الخاضعة لإطار DORA الكامل الفصل بين الموافقة على التغييرات وطلبها وتنفيذها (المادة 17 الفقرة 1 من RTS 2024/1774 بشأن المادة 9 الفقرة 4 البند e من DORA) – والوكيل الذي يوافق على تغييراته بنفسه لا يكاد يتوافق مع ذلك (تقييم VamiSec).
التحقق: فحص المكوّنات بدلًا من الثقة في الافتراضات
ما يحمّله الوكيل أو ينفّذه أو يكتبه يجب فحصه قبل أن يسري مفعوله – خوادم MCP والـ Skills وكذلك الحزم والشيفرة المولّدة.
ما توصي به HiddenLayer (الممارسة)
- اختبار الوكلاء قبل الاستخدام بمدخلات عدائية (محاكاة الهجمات (Red Teaming)).
- فحص الإجراءات المقترحة قبل تنفيذها.
- فحص أدوات وSkills الأطراف الثالثة – بما في ذلك البيانات الوصفية المخفية.
- اعتماد إصدارات محددة بدلًا من الثقة الدائمة في «latest».
تستهدف النقطة الأخيرة الـ Rug Pull: إذ يغيّر خادم MCP وصف أدواته بعد اعتماده (Invariant Labs، 1 أبريل 2025). وأظهر MCPoison النمط ذاته في الإعدادات: فبعد الموافقة الأولى كفى التزام واحد لاستبدال أمر إدخال MCP دون استفسار جديد (CVE-2025-54136، انظروا الفصل 5). وبحسب The Register قدّمت حزمة npm غير الرسمية postmark-mcp خمسة عشر إصدارًا غير لافت، قبل أن يرسل الإصدار 1.0.16 كل بريد إلكتروني صادر كنسخة مخفية إلى عنوان غريب.
البيانات الوصفية المخفية هي المحور الثاني. فالتعليمات في أوصاف الأدوات غير مرئية للمستخدمين، بينما يقرؤها النموذج (Invariant Labs)؛ ويمكن أن تحمل ملفات القواعد تعليمات بأحرف Unicode غير مرئية (Pillar Security، 18 مارس 2025). ومن بين 3,984 Agent Skill فحصتها Snyk كانت 76 خبيثة بشكل مُثبت (5 فبراير 2026، التفاصيل في الفصل 5).
التنفيذ: الموافقة لكل مكوّن (توصية VamiSec)
| المكوّن | ما يجب فحصه | أداة الموافقة |
|---|---|---|
| خوادم MCP | المصدر، الشيفرة المصدرية أو الصورة، الأوصاف الكاملة للأدوات، الصلاحيات المطلوبة ووجهات الشبكة | إدخال في قائمة الموافقات مع الإصدار والتجزئة؛ وكل تغيير يفرض موافقة جديدة |
| الـ Skills وملفات القواعد | النص الصريح للتعليمات، الأحرف غير المرئية، أوامر التثبيت المضمّنة، الإحالات الخارجية | مراجعة كالشيفرة، CODEOWNERS، التزام مثبّت |
| الحزم | الوجود، العمر، الانتشار، المشرفون، سكربتات التثبيت | مراجعة التبعيات في Pull Request، إدخال في الوكيل |
| إعدادات الوكيل | Auto-Approve، الـ Hooks، إدخالات MCP، نقطة نهاية النموذج | المطابقة مع الإعداد المركزي قبل النشر |
| شيفرة مولَّدة بالذكاء الاصطناعي | الفحوص نفسها كما في الشيفرة البشرية: مراجعة، SAST، DAST، اختبارات | فحوص إلزامية في خط الإنتاج، دون استثناء لـ PRs الوكلاء |
توصي OWASP Top 10 for Agentic Applications 2026 (ASI04) أيضًا بالتثبيت عبر التجزئة ومعرّف الالتزام.
لا يوجد طريق خاص لشيفرة الذكاء الاصطناعي. إذ يؤكد BSI وANSSI أن مساعدي البرمجة بالذكاء الاصطناعي لا يحلّون محل المطوّرين ذوي الخبرة، وأن مكاسب الإنتاجية يجب موازنتها بمزيد من ضمان الجودة (4 أكتوبر 2024). وتفيد ملفات التعليمات مثل AGENTS.md، لكنها ليست ضابطًا. ويوصي دليل OpenSSF لمساعدي البرمجة (1 أغسطس 2025) بتعليمات بعدم إضافة تبعيات قد تكون خبيثة أو مُهلوَسة. قد يخفّض ذلك المخاطر – لكن النموذج قد يتجاوز القاعدة، بل قد تزيد تعليمات Skills تبدو غير ضارة من هلوسات الحزم (Hsu et al.، مقبولة في EMNLP 2026).
محاكاة الهجمات (Red Teaming) قبل النشر
- تحديد السيناريوهات
مهام تستفز اقتراحات حزم؛ وملفات README وIssues وأوصاف أدوات مُعدّة بتعليمات مخفية؛ ومحاولات لتغيير إعدادات الوكيل أو قراءة ملفات بيانات الاعتماد.
- التنفيذ في الإعداد المستهدف
بالنموذج والـ Harness وخوادم MCP والـ Skills نفسها المزمع نشرها تمامًا – في بيئة معزولة.
- القياس
كم مرة يخترع الوكيل حزمًا؟ هل يتبع تعليمات محقونة؟ هل تعمل الموافقة والوكيل والعزل من الطبقة 2؟
- التكرار
عند كل تغيير للنموذج أو إصدار الأداة أو التكامل، وكاختبار انحدار بعد الحوادث.
الارتباط بسلسلة الهجوم: يُصعّب التحقق المرحلة 01 (الاختراع) و03 (الاستيلاء)، لأن الأسماء المخترعة تلفت الانتباه في الاختبار والمراجعة. وتمنع الموافقة على الإصدارات تحميل مكوّن تغيّر بصمت في المرحلة 04 (الحل). أدلة الإثبات للمدققين: تقرير Red Team لكل إعداد وكيل، وقائمة موافقات بالإصدارات والتجزئات، وسجلات المراجعة للتبعيات الجديدة، وأدلة اختبار للشيفرة المولّدة بالذكاء الاصطناعي.
مرجع تنظيمي: بالنسبة للمؤسسات المالية الخاضعة لإطار DORA الكامل، تشترط RTS 2024/1774 في المادة 16 مراجعات للشيفرة المصدرية مع اختبارات ثابتة وديناميكية (الفقرة 3)، واختبارات أمنية لحزم البرمجيات في مرحلة التكامل على أبعد تقدير (الفقرة 4)، و– قدر الإمكان – تحليل الشيفرة المصدرية المفتوحة واختبارها قبل الاستخدام الإنتاجي (الفقرة 8). ويشترط CRA على الشركات المصنِّعة اعتبارًا من 11 ديسمبر 2027 اختبارات ومراجعات أمنية فعّالة ومنتظمة (الملحق I الجزء II البند 3).
المراقبة: الأمن لا ينتمي إلى النموذج
النموذج لا يفرض سياسة أمنية. ولذلك تراقب الطبقة الرابعة من الخارج ما يفعله الوكلاء ومديرات الحزم وعمليات البناء فعليًا.
تعلّل HiddenLayer الطبقة الرابعة باختصار: النماذج اللغوية مصممة لاتباع التعليمات – لا لفرض السياسات الأمنية (بالمعنى). والضابط الموجود في الموجّه فقط يسقط مع أول حقن أوامر ناجح. لذلك تبدأ المراقبة من نظام التشغيل والشبكة وخط الإنتاج والـ Harness. وتصف OWASP Top 10 for Agentic Applications قابلية الرصد القوية بأنها «غير قابلة للتفاوض».
ما تريد HiddenLayer مراقبته (الممارسة)
- حركة البيانات الحساسة
- استخدام الأدوات وعمليات الملفات
- محاولات تصعيد الصلاحيات
- نشاط الذكاء الاصطناعي الظلّي
- استخدام API والاستهلاك الحوسبي اللافت
أفكار للكشف مستمدة من حوادث حقيقية (توصية VamiSec)
توفّر حملات الأشهر الماضية أنماطًا ملموسة. فقد رسّخت موجة Mini Shai-Hulud حول TanStack نفسها بحسب StepSecurity عبر SessionStart-Hook في Claude Code ومهمة VS Code (التفاصيل في الفصل 4). وأضاف SANDWORM_MODE بحسب Socket خادم MCP خاصًا به إلى إعدادات Claude Code وCursor وأدوات أخرى. واحتفظ Miasma بحسب Microsoft بقناة تسريب خاملة عبر api.anthropic.com؛ وكان نطاق التسريب لإصدارات litellm قد سُجّل بحسب Snyk قبل يوم واحد. وشغّلت عدة موجات Bun كبيئة تشغيل – وهو طريق يتجاوز المراقبة المتمحورة حول Node.
| الإشارة | المصدر | الاستجابة |
|---|---|---|
| يقرأ node أو python أو bun أثناء التثبيت ملفات بيانات اعتماد مثل ~/.npmrc أو ~/.aws/credentials أو ~/.ssh/ أو ~/.claude.json أو .env | EDR، تدقيق الوصول إلى الملفات على محطات العمل والمشغّلات | إيقاف العملية، عزل الجهاز، تدوير الرموز التي يمكن الوصول إليها |
| Hooks أو إدخالات MCP أو قيم Auto-Approve جديدة أو معدّلة، أو مهام مع runOn: folderOpen | مراقبة سلامة الملفات، الفروق في Pull Request، قياس الـ Hooks | التراجع عن التغيير، توضيح المصدر، فحص الجهاز |
| اتصالات من البناء أو الوكيل إلى نطاقات مسجّلة حديثًا أو مجهولة | سجلات DNS والوكيل | حظر الوجهة وتقييمها، فحص الجلسة |
| تصعيد الصلاحيات: قاعدة sudo جديدة، /etc/hosts معدّل، مشغّل مستضاف ذاتيًا مسجّل حديثًا | EDR، سجل تدقيق منصة Git | عزل الجهاز، إزالة المشغّل، فحص مسارات العمل |
| بيئة تشغيل غير متوقعة مثل Bun في خط الإنتاج أو ملفات .pth جديدة في site-packages | قياس العمليات، سجلات CI، مراقبة سلامة الملفات | إلغاء المهمة، تحديد الحزمة المسبّبة |
| قفزة مفاجئة في استهلاك مفتاح API لنموذج أو وصول إلى خدمات ذكاء اصطناعي غير معتمدة | الفوترة، بوابة الذكاء الاصطناعي، الوكيل | حظر المفتاح، توضيح الاستخدام |
أنماط من StepSecurity (11 مايو 2026) وSocket (20 فبراير 2026) وMicrosoft (2 يونيو 2026) وSnyk (24 مارس 2026) وWiz (24 نوفمبر 2025، المشغّلات المستضافة ذاتيًا في Shai-Hulud 2.0). التصنيف والاستجابات: توصية VamiSec.
القياس عن بُعد عبر Hooks الوكلاء
توفّر عدة وكلاء برمجة واجهات Hooks تشغّل برامج خاصة عند استدعاء الأدوات. ونوصي بتسجيل استدعاءات الأدوات وأوامر Shell والوصول إلى الملفات مركزيًا عبرها، وفحص الاستدعاءات الخطرة قبل تنفيذها. لكن الواجهة ذاتها هي طريق للاستمرارية، كما تُظهر موجة TanStack؛ وفي Claude Code كانت الـ Hooks من ملفات المشروع تعمل مؤقتًا دون موافقة (Check Point، أُصلح في 26 أغسطس 2025). لذلك تنتمي الـ Hooks إلى الإعدادات المُدارة مركزيًا – وكل تغيير فيها هو بحد ذاته إشارة إنذار.
الارتباط بسلسلة الهجوم: لا تقطع المراقبة أي مرحلة بشكل موثوق، لكنها تقلّص المدة التي تبقى فيها المرحلة 05 (التنفيذ) و06 (الوصول) و07 (الانتشار) دون أن تُلاحَظ. وتُظهر الحوادث مدى قِصر النوافذ: فقد وُسمت إصدارات TanStack الخبيثة كمتقادمة بعد نحو 1.7 ساعة، وأُزيلت إصدارات axios بعد ثلاث ساعات تقريبًا. ويترتب على ذلك بالنسبة لنا: يجب أن يستجيب الكشف الذاتي خلال ساعات لا أيام.
مرجع تنظيمي: تشترط اللائحة التنفيذية (EU) 2024/2690 لأنواع الجهات المذكورة فيها الحماية من البرمجيات الخبيثة وغير المصرّح بها بما في ذلك إجراءات الكشف (الملحق البند 6.9)؛ وتمثّل للجهات الأخرى الخاضعة لـ NIS2 إطارًا توجيهيًا. وتذكر إرشادات Five Eyes بشأن الذكاء الاصطناعي الوكيلي (1 مايو 2026) المراقبة المستمرة صراحةً.
دليل الإثبات: مفهوم التسجيل
أي بيانات للوكلاء والبناء ونقاط النهاية تُجمع، مع قواعد الاحتفاظ والوصول.
دليل الإثبات: قواعد الكشف
قواعد موثّقة مع دليل اختبار، مثل وصول محاكى إلى ملف بيانات اعتماد طُعم.
دليل الإثبات: سجلات الإنذارات
عيّنات مع زمن الاستجابة والتقييم والنتيجة.
الحوكمة: الأمن يحتاج إلى مسؤولين
تتقادم الضوابط التقنية إذا لم يكن أحد مسؤولًا عنها. وترسّخ الطبقة الخامسة وكلاء البرمجة في المسؤوليات والسياسات وعمليات الطوارئ.
ما توصي به HiddenLayer (الممارسة)
تحت عنوان «Security Requires Ownership» تذكر HiddenLayer أربع نقاط: شخص مسؤول (Owner) عن كل وكيل مستخدم إنتاجيًا، وإدراج وكلاء البرمجة في نماذج التهديدات وبرامج حوكمة الذكاء الاصطناعي القائمة، وإجراءات الاستجابة للحوادث خاصة بالذكاء الاصطناعي الوكيلي، والمراجعة المنتظمة للصلاحيات والتكاملات الموثوقة. كما توصي إرشادات Five Eyes الصادرة في 1 مايو 2026 بدمج مخاطر الذكاء الاصطناعي الوكيلي في الأطر القائمة وممارسة نمذجة التهديدات.
بالنسبة للجهات الخاضعة لـ NIS2 هذه مهمة للإدارة. إذ يجب على هيئات الإدارة اعتماد إجراءات إدارة المخاطر والإشراف على تنفيذها، ويمكن مساءلتها (المادة 20 الفقرتان 1 و2 من NIS2). وفي ألمانيا تُلزم المادة 38 من BSIG الإدارة العليا للجهات بالغة الأهمية والجهات المهمة بالتنفيذ والإشراف والتدريب المنتظم؛ وتخضع المسؤولية لقانون الشركات. لذلك ينبغي أن تعتمد الإدارة سياسة لأدوات البرمجة بالذكاء الاصطناعي.
مكوّنات سياسة لأدوات البرمجة بالذكاء الاصطناعي (توصية VamiSec)
- الأدوات والنماذج وأنماط التشغيل المعتمدة؛ والاستخدام فقط عبر الحسابات المؤسسية.
- فئات البيانات: أي معلومات يُسمح بإدخالها إلى أي أداة.
- مستويات الاستقلالية: ما يُسمح للوكيل به بنفسه، وما يحتاج إلى موافقة، وما هو محظور.
- قواعد الحزم: الحصول عليها فقط عبر الوكيل الداخلي، فترة انتظار (Cooldown)، لا سكربتات تثبيت دون موافقة.
- عملية موافقة لخوادم MCP والـ Skills وملفات القواعد مع الربط بالإصدار أو التجزئة.
- مبدأ العيون الأربع لعمليات الدمج – بما في ذلك Pull Requests المقدّمة من الوكلاء.
- التسجيل وإجراءات الاستثناء وإعادة اعتماد الصلاحيات والتكاملات، مثلًا كل ستة أشهر.
- التدريب: تشترط المادة 4 من لائحة الذكاء الاصطناعي على المزوّدين والمشغّلين منذ Digital Omnibus (اللائحة (EU) 2026/1744، السارية منذ 27 يوليو 2026) اتخاذ إجراءات لدعم الكفاءة في الذكاء الاصطناعي، لكن دون مستوى مضمون.
في نموذج التهديدات يظهر الوكيل كجهة فاعلة مستقلة ذات صلاحيات؛ وتمثّل ملفات القواعد والـ Skills وخوادم MCP ومصادر الحزم حدودًا للثقة. ويصف مسودة ENISA بشأن تطوير البرمجيات بمساعدة الذكاء الاصطناعي (v0.4، سبتمبر 2026) لذلك تهديدات STRIDE مثل دسّ حزم أو Skills أو ملفات تعليمات خبيثة.
دليل الاستجابة للحوادث: تثبيت حزمة خبيثة أو اختراق وكيل
- الاحتواءالعزل
فصل الأجهزة والحاويات والمشغّلات المتأثرة عن الشبكة، وإنهاء جلسات الوكلاء الجارية، وإيقاف خطوط الإنتاج التي تستخدم الحزمة. وتأمين الآثار قبل إعادة الإعداد.
- الاحتواءتدوير بيانات الاعتماد
جميع الأسرار التي يمكن الوصول إليها: رموز السجل، رموز منصة Git، الوصول إلى السحابة وVault، مفاتيح API للنماذج. وقد نصحت CISA بعد Shai-Hulud صراحةً بالتدوير. ودون جرد الرموز من الطبقتين 1 و2 تبقى هذه الخطوة ناقصة.
- التنظيففحص ملفات القفل والذاكرات المؤقتة
أي مستودعات وملفات قفل وذاكرات مؤقتة للحزم وCI تحتوي على الإصدارات المتأثرة؟ في TanStack جرى الهجوم عبر ذاكرة GitHub Actions مؤقتة مسمومة – والذاكرات المؤقتة جزء من التنظيف.
- التنظيفالبحث عن الاستمرارية في إعدادات الوكيل
الـ Hooks وإدخالات MCP في إعدادات المستخدم والمشروع، ومهام VS Code مع runOn: folderOpen، ومشغّلات مستضافة ذاتيًا ومسارات عمل جديدة، وملفات .pth. وعند الشك، أعيدوا الإعداد بدلًا من التنظيف.
- الإبلاغفحص التزامات الإبلاغ
تُبلغ الشركات المصنِّعة الخاضعة لـ CRA منذ 11 سبتمبر 2026 عن الثغرات الأمنية المستغلة فعليًا في منتجاتها عبر Single Reporting Platform بالتزامن إلى فريق CSIRT المنسّق وإلى ENISA: إنذار مبكر خلال 24 ساعة، وإبلاغ خلال 72 ساعة، وتقرير نهائي في موعد أقصاه 14 يومًا بعد توفر معالجة. وهذا ذو صلة إذا كان من الممكن أن تكون شيفرة خبيثة قد وصلت إلى منتج مُسلَّم (تقييم VamiSec، يُفحص قانونيًا في كل حالة على حدة). وتفحص الجهات الخاضعة لـ NIS2 وDORA بالتوازي مسارات الإبلاغ الخاصة بها.
- التعلّمالمتابعة اللاحقة
توثيق السبب والمرحلة التي بُلغت ونقاط الكسر المفقودة، وإعادة اعتماد الصلاحيات والتكاملات، وإبلاغ مشغّلي السجلات والمشرفين.
الارتباط بسلسلة الهجوم: تُصعّب الحوكمة المرحلة 07 (الانتشار)، لأنه يكون قد تحدّد مسبقًا من يدوّر أي رموز، ومن يحظر ماذا، ومن يُبلغ مَن. وفي الوقت ذاته تُبقي الطبقات الأخرى محدّثة – فدون إعادة اعتماد تتنامى الصلاحيات والتكاملات تدريجيًا.
دليل الإثبات: سجل المسؤولين
كل وكيل إنتاجي مع الشخص المسؤول والغرض والصلاحيات وموعد الفحص التالي.
دليل الإثبات: سياسة معتمدة
قرار الإدارة مع الإصدار ونطاق السريان، إضافة إلى أدلة التدريب.
دليل الإثبات: إعادة الاعتماد
سجلات مراجعة الصلاحيات والتكاملات، بما في ذلك الوصول المسحوب.
دليل الإثبات: دليل إجراءات مُتمرَّن عليه
تمرين محاكاة نظرية أو تقني مع التاريخ والمشاركين والتحسينات المستخلصة.
نظافة التبعيات: ما تستطيعه npm وpnpm وYarn وBun وpip وuv اليوم
عزّزت مديرات الحزم قدراتها بوضوح في 2025 و2026: فترات انتظار للإصدارات الجديدة وحظر سكربتات التثبيت. لكن كثيرًا من ذلك غير مفعّل افتراضيًا – وعليكم تفعيله.
عند الحصول على الحزم يتحمّل الـ Cooldown – حدّ أدنى لعمر الإصدارات الجديدة قبل التثبيت – وحظر سكربتات التثبيت العبء الأكبر. انتبهوا إلى الوحدات.
| الأداة | Cooldown (اعتبارًا من الإصدار) | الافتراضي 10/2026 | سكربتات التثبيت |
|---|---|---|---|
| npm | min-release-age بالأيام (11.10.0) | لا يوجد | اعتبارًا من v12 (8 يوليو 2026) allowScripts معطّل: سكربتات التبعيات فقط بعد الموافقة عبر npm approve-scripts؛ و--allow-git=none و--allow-remote=none مفعّلان افتراضيًا |
| pnpm | minimumReleaseAge بالدقائق (10.16) | يوم واحد (1440) اعتبارًا من pnpm 11 | اعتبارًا من v10 لا سكربتات للتبعيات؛ pnpm 11: strictDepBuilds، والموافقة عبر allowBuilds |
| Yarn | npmMinimalAgeGate (4.10)، اليوم كمدة مثل 1d | 1d اعتبارًا من 4.15 بحسب Changelog؛ وتذكر الوثائق 1w | اعتبارًا من 4.14 enableScripts: false |
| Bun | minimumReleaseAge بالثواني (1.3) | لا يوجد | فقط قائمة افتراضية منسّقة وtrustedDependencies |
| uv | exclude-newer كمدة نسبية (0.9.17) | لا يوجد | شيفرة التثبيت والاستيراد ممكنة – خطّطوا للعزل |
| pip | --uploaded-prior-to: تاريخ (26.0)، مدة بالأيام (26.1) | لا يوجد | شيفرة التثبيت والاستيراد ممكنة – خطّطوا للعزل |
| Renovate | الإعدادات المسبقة security:minimumReleaseAgeNpm و…Pypi | 3 أيام عند تفعيل الإعداد المسبق | – |
| Dependabot | cooldown بالأيام في dependabot.yml (GA 1 يوليو 2025) | 3 أيام منذ 14 يوليو 2026، لتحديثات الإصدارات فقط | – |
الحالة: ملاحظات الإصدار والوثائق، مفحوصة في 8 أكتوبر 2026. في Python يمكن أن تُنفَّذ الشيفرة في setup.py عند التثبيت (Check Point، 2024) وفي ملفات .pth عند كل تشغيل للمفسّر (litellm 1.82.8).
ثمة حدّان. أولًا، يعترض الـ Cooldown الإصدارات الخبيثة التي تُكتشف وتُزال بحسب pnpm غالبًا خلال ساعة – لكنه لا يعترض اسمًا مُهلوَسًا يحجزه مهاجم مبكرًا وينتظر. ثانيًا، ignore-scripts غير كامل: إذ يمكن لتبعيات Git تنفيذ شيفرة عبر ملف .npmrc خاص (والحل --allow-git=none اعتبارًا من npm 11.10.0)، وتحتاج تبعيات URL كما في PhantomRaven إلى --allow-remote=none (اعتبارًا من 11.15.0)، ولا يشمل أي حظر للسكربتات شيفرة الاستيراد.
الإعدادات لعمليات البناء والوكلاء (توصية VamiSec)
# عمليات بناء CI والوكلاء: فقط عبر الوكيل الداخلي (عنصر نائب)
registry=https://registry.intern.example/
# لا سكربتات دورة حياة
ignore-scripts=true
# فقط إصدارات أقدم من 7 أيام (اعتبارًا من npm 11.10.0)
min-release-age=7
أوصت CISA بالقيمتين كلتيهما في تنبيه axios الصادر في 20 أبريل 2026؛ وفي تنبيه Nx Console الصادر في 28 مايو 2026 ذكرت CISA ثلاث ساعات على الأقل. ومع ignore-scripts تسقط أيضًا سكربتات pre وpost الخاصة؛ أما npm test والأوامر الأخرى المشغّلة صراحةً فتستمر في العمل.
# pyproject.toml: فقط إصدارات أقدم من 7 أيام (اعتبارًا من uv 0.9.17)
[tool.uv]
exclude-newer = "7 days"
# استثناءات لكل حزمة: exclude-newer-package
# pip اعتبارًا من 26.1: مدة بالأيام، مع إلزامية التجزئة
pip install --require-hashes --uploaded-prior-to P7D -r requirements.txt
يقبل uv قيمًا مثل «7 days» أو مدد ISO-8601، لا الأشهر أو السنوات. ولا يعرف pip 26.0 إلا نقاطًا زمنية؛ ولا يعمل الخيار إلا إذا وفّر الفهرس أوقات الرفع.
استثناء التحديثات الأمنية: يجب ألا يؤخّر الـ Cooldown الإصلاحات. إذ يتجاوزه Dependabot وRenovate افتراضيًا للتحديثات الأمنية، وتعرف مديرات الحزم قوائم استثناء (min-release-age-exclude، minimumReleaseAgeExclude، minimumReleaseAgeExcludes، exclude-newer-package). وتنصح PyPI بربط فترات الانتظار بفحص الثغرات الأمنية.
ملفات القفل، المراجعة، الوكيل، Provenance
في بيئات CI والوكلاء ثبّتوا فقط بشكل قابل لإعادة الإنتاج: npm ci، pnpm install --frozen-lockfile، pip مع --require-hashes. ففي LiteLLM كانت بحسب PyPI نحو 40 إلى 50% من عمليات التثبيت خلال نافذة الهجوم غير مثبّتة الإصدار. وتصف OWASP حالة يعيد فيها وكيل توليد ملف قفل من مواصفات غير مثبّتة ويسحب إصدارًا فرعيًا مخترقًا – لذلك تحتاج كل تبعية جديدة وكل تغيير في ملف القفل إلى موافقة مُسمّاة في مراجعة التبعيات. وتقنيًا يفرض ذلك وكيل سجل داخلي مع قائمة موافقات؛ ويوصي BSI وANSSI بقوائم سماح للحزم المسموح بها. ولا يكفي مجرد التحقق من الوجود: فقد يكون المهاجم قد سجّل الاسم مسبقًا (Spracklen et al.).
يفحص npm audit signatures توقيعات السجل وشهادات Provenance (اعتبارًا من npm 9.5.0)؛ وتدعم PyPI منذ 14 نوفمبر 2024 الشهادات وفق PEP 740، والتي لا يفحصها pip وuv تلقائيًا بحسب Trail of Bits. وكلاهما يُثبت المصدر لا السلامة: فحتى حزم TanStack وMiasma الخبيثة حملت Provenance أو توقيعات صالحة (انظروا الفصل 4). وهذا مفيد كفحص إضافي، وغير مناسب كمعيار وحيد للموافقة.
مرجع تنظيمي: توصي توصية ENISA غير الملزمة قانونًا بشأن مديرات الحزم (10 مارس 2026) بسجلات رسمية قابلة للتحقق وملفات قفل وفحوص سلامة في CI/CD. وينص Grundschutz++ كمتطلبات من فئة SOLLTE على حظر الأدوات البرمجية الخارجية من مصادر مجهولة واختبار سلامتها وفحصها بحثًا عن تحديثات أمنية (DEV.4.2، DEV.4.4، DEV.4.5)؛ ويشترط Kompendium 2023 مصادر موثوقة وفحص المكوّنات المجهولة (CON.8.A6، CON.8.A20). وتشترط المادة 21 الفقرة 2 البند d من NIS2 والمادة 30 الفقرة 2 الجملة 2 البند 4 من BSIG أمن سلسلة التوريد؛ ويقع على الشركات المصنِّعة الخاضعة لـ CRA اعتبارًا من 11 ديسمبر 2027 واجب العناية بمكوّنات الأطراف الثالثة وفق المادة 13 الفقرة 5 – صراحةً بما في ذلك المصادر المفتوحة.
ما الذي تشترطه CRA وNIS2 وDORA وAI Act
من المسؤول عندما يثبّت وكيل ذكاء اصطناعي حزمة خبيثة؟ في المقام الأول الشركة التي تدمج المكوّن أو تشغّله، لا السجل. وما الالتزام القائم اليوم، وما الذي يسري فقط اعتبارًا من 11 ديسمبر 2027، وما هو مجرد إرشاد.
تتبع CRA وNIS2 وDORA نهجًا متشابهًا: المسؤول هو من يدمج المكوّن أو يشغّل النظام (تقييم VamiSec). وبالنسبة لقانون المرونة السيبرانية الأوروبي (CRA) يُظهر ذلك المثال 34 من إرشادات المفوضية C(2026) 5252 الصادرة في 27 يوليو 2026: فالمطوّر الفرد الذي ينشر مكتبة مفتوحة المصدر مجانية في مستودع حزم عام، والمستودع نفسه، لا يقع عليهما أي التزامات بموجب CRA. ويتحمّل واجب العناية وفق المادة 13 الفقرة 5 اعتبارًا من 11 ديسمبر 2027 المصنّع الذي يدمج المكوّن، على أساس المخاطر وفق الحيثية 34. والإرشادات غير ملزمة. ولا يغيّر من ذلك شيئًا ما إذا كان إنسان أو وكيل قد اختار الحزمة (تقييم VamiSec).
قانون المرونة السيبرانية: التزام الإبلاغ منذ 2026، وواجب العناية اعتبارًا من 2027
- التزام منذ 11 سبتمبر 2026 (المادة 14 الفقرتان 1–2): الإبلاغ عن الثغرات الأمنية المستغلة فعليًا عبر Single Reporting Platform (SRP) إلى CSIRT وENISA — إنذار مبكر خلال 24 ساعة، وإبلاغ خلال 72 ساعة، وتقرير نهائي في موعد أقصاه 14 يومًا بعد توفر معالجة؛ وكذلك للمنتجات القائمة.
- التزام اعتبارًا من 11 ديسمبر 2027: العناية بمكوّنات الأطراف الثالثة بما في ذلك البرمجيات المفتوحة المصدر المجانية (المادة 13 الفقرة 5)، والإبلاغ عن الثغرات في المكوّنات إلى مصنّعيها أو مشرفيها (الفقرة 6)، وعدم تسليم منتجات بثغرات معروفة قابلة للاستغلال (الملحق I الجزء I البند 2 الفقرة a).
- SBOM: يشترط الملحق I الجزء II البند 1 على الأقل التبعيات العليا؛ ولا يشترط التحليل التكراري إلا BSI TR-03183-2 v2.1.0 — ممارسة جيدة لا التزام بموجب CRA. ولا يفرض CRA صيغة مثل CycloneDX أو SPDX؛ ولا تُدرج المفوضية قانونًا تنفيذيًا بهذا الشأن (المادة 13 الفقرة 24، حكم جوازي) (حتى 27 يوليو 2026).
- الغرامات (المادة 64 الفقرة 2): عند مخالفة الملحق I أو المادة 13 أو 14 حتى 15 مليون يورو أو 2.5% من حجم المبيعات السنوي العالمي، أيهما أعلى.
NIS2 وBSIG: سلسلة التوريد والتطوير كحد أدنى من الإجراءات
تشترط NIS2 أمن سلسلة التوريد (المادة 21 الفقرة 2 البند d) وكذلك الأمن في الاقتناء والتطوير والصيانة (البند e). أما المادة 21 الفقرة 3، التي تقضي بأن تراعي الجهات عند اختيار إجراءات سلسلة التوريد أيضًا عمليات التطوير الآمن لدى مورّديها المباشرين، فلا ترد حرفيًا في BSIG؛ ويمكن الاستناد إليها عبر التفسير المتوافق مع التوجيه. وفي ألمانيا تسري منذ 6 ديسمبر 2025 المادة 30 الفقرة 2 الجملة 2 البندان 4 و5 من BSIG؛ وتتولى الإدارة العليا التنفيذ والإشراف وتتحمّل المسؤولية عند الإخلال بالواجبات عن تقصير وفق قانون الشركات (المادة 38 من BSIG، المادة 20 من NIS2). وللإجراءات الغائبة أو غير الموثّقة تنص المادة 65 على غرامة تصل إلى 10 ملايين يورو (الجهات بالغة الأهمية) أو 7 ملايين يورو (الجهات المهمة)، وعند تجاوز إجمالي المبيعات 500 مليون يورو حتى 2% أو 1.4% من إجمالي المبيعات. واللائحة التنفيذية (EU) 2024/2690 ملزمة فقط لأنواع الجهات المدرجة في المادة 1 مثل مزوّدي الخدمات السحابية ومراكز البيانات والخدمات المُدارة، وتمثّل للجميع الآخرين إطارًا توجيهيًا.
DORA: المراجع الدقيقة موجودة في RTS
تشترط DORA منذ 17 يناير 2025 أن تُسجَّل التغييرات على أنظمة تقنية المعلومات والاتصالات وتُختبر وتُقيَّم وتُعتمد وتُنفَّذ ويُتحقق منها (المادة 9 الفقرة 4 البند e)، وتُبقي المؤسسات المالية مسؤولة مسؤولية كاملة عن خدمات تقنية المعلومات والاتصالات (المادة 28 الفقرة 1). وبالنسبة للمكتبات المتاحة مجانًا تكون RTS 2024/1774 أكثر دقة (الإطار الكامل، الباب II): تتبّع المكتبات للوظائف الحرجة أو المهمة (المادة 10 الفقرة 2 البند d)، ومراجعات الشيفرة مع اختبارات ثابتة وديناميكية (المادة 16 الفقرة 3)، واختبار حزم البرمجيات عند التكامل على أبعد تقدير (الفقرة 4)، وحماية سلامة الشيفرة المصدرية (الفقرة 7)، وفحص الشيفرة المفتوحة المصدر قبل الاستخدام الإنتاجي قدر الإمكان (الفقرة 8)، والفصل بين اعتماد التغييرات وتنفيذها (المادة 17 الفقرة 1). والوكيل الذي يدمج Pull Requests الخاصة به لا يتوافق مع ذلك (تقييم VamiSec).
AI Act والمسؤولية عن المنتجات
لا يُعد مساعد البرمجة عادةً نظامًا عالي المخاطر بموجب AI Act، لأن تطوير البرمجيات غير مدرج في الملحق III. وتبقى المادة 4 سارية على الشركات المستخدِمة: فمنذ Digital Omnibus (اللائحة (EU) 2026/1744، السارية منذ 27 يوليو 2026) يجب عليها اتخاذ إجراءات لدعم الكفاءة في الذكاء الاصطناعي دون ضمان مستوى معيّن. وتقع التزامات GPAI على مزوّدي النماذج لا المستخدمين. ووفق توجيه المسؤولية عن المنتجات (EU) 2024/2853 تُعد البرمجيات منتجًا؛ وبالنسبة للمنتجات المطروحة في السوق بعد 9 ديسمبر 2026 يتحمّل المصنّع المسؤولية تجاه الأشخاص الطبيعيين أيضًا عن المكوّنات المعيبة المدمجة تحت سيطرته، ولا يعفيه غياب التحديثات الأمنية. ويسري التوجيه عبر القانون الوطني؛ ولم يُتحقق حتى 8 أكتوبر 2026 من إصدار مشروع الحكومة الألمانية (BT-Drs. 21/4297).
| الإطار التنظيمي | المرجع | ما يعنيه ذلك للتبعيات التي يختارها الذكاء الاصطناعي | يسري اعتبارًا من |
|---|---|---|---|
| CRA · التزام | المادة 14 الفقرتان 1–2 | الإبلاغ عن الثغرات الأمنية المستغلة فعليًا عبر SRP في المواعيد المحددة | 11.09.2026 |
| CRA · التزام | المادة 13 الفقرة 5؛ الملحق I الجزء II البند 1 | عناية قائمة على المخاطر لكل مكوّن طرف ثالث مدمج؛ وSBOM على الأقل للمستوى الأعلى | 11.12.2027 |
| NIS2 / BSIG · التزام | المادة 21 الفقرة 2 البندان d وe؛ المادة 30 الفقرة 2 الجملة 2 البندان 4 و5 من BSIG | سلسلة التوريد والتطوير كحد أدنى موثّق من الإجراءات | 06.12.2025 |
| اللائحة التنفيذية 2024/2690 · التزام للجهات المدرجة | الملحق البنود 5.1.2 a و6.1.2 c و6.2 و6.6.1 c و6.9 | بيئة تطوير آمنة، فحص السلامة، الحماية من البرمجيات الخبيثة | سارية منذ 2024 |
| DORA · التزام | المادة 9 الفقرة 4 البند e، المادة 28 الفقرة 1؛ RTS 2024/1774 المادة 10 الفقرة 2 البند d، المادة 16، المادة 17 الفقرة 1 (الباب II) | التبعية الجديدة كتغيير مُختبَر ومعتمد بشكل منفصل | 17.01.2025 |
| AI Act · التزام | المادة 4 بصيغة اللائحة (EU) 2026/1744 | تعزيز الكفاءة في الذكاء الاصطناعي، دون ضمان مستوى | 2 فبراير 2025؛ الصيغة الجديدة منذ 27 يوليو 2026 |
| المسؤولية عن المنتجات · بعد التحويل إلى القانون الوطني | التوجيه (EU) 2024/2853 المادة 8 الفقرة 1، المادة 11 الفقرة 2 | المسؤولية تجاه الأشخاص الطبيعيين، بما في ذلك عن المكوّنات المدمجة | المنتجات بعد 9 ديسمبر 2026 |
العمود 3: تقييم VamiSec. النصوص القانونية وحدها ملزمة؛ وإرشادات المفوضية ووثائق ENISA وBSI غير ملزمة. الحالة: 8 أكتوبر 2026.
الإرشادات: توجيه غير ملزم
- ENISA، Secure Use of Package Managers (10 مارس 2026): تذكر Slopsquatting صراحةً وتوصي بإظهار الحزم التي يختارها الذكاء الاصطناعي وفحصها آليًا في CI/CD.
- ENISA، AI-assisted software development (مسودة v0.4، سبتمبر 2026): حزم مُهلوَسة، وSkills وملفات تعليمات مدسوسة — ليست نهائية بعد.
- BSI وANSSI، AI Coding Assistants (4 أكتوبر 2024): هلوسات الحزم كطريق إلى «package confusion»؛ فحص المعقولية، قوائم السماح، العزل (Sandboxing).
- BSI Grundschutz++ من DEV.4.2 إلى DEV.4.5 (متطلبات SOLLTE): حظر الأدوات البرمجية من مصادر غير موثوقة أو مجهولة، بما في ذلك الحزم والنماذج؛ SBOM، اختبارات السلامة. Kompendium 2023: CON.8.A6، CON.8.A20.
خطة 90 يومًا والمؤشرات
ثلاث مراحل كل منها 30 يومًا: الرؤية أولًا، ثم إدخال نقاط الكسر، ثم الفرض والقياس. إضافة إلى عشرة مؤشرات بقيم مستهدفة كتوصية من VamiSec، وأدلة إثبات يمكنكم تقديمها للمدققين.
الخطة توصية من VamiSec وتتبع سلسلة الهجوم: أولًا تحققون الرؤية وتسدّون الثغرات الواضحة، ثم تُدخلون نقاط كسر عند المرحلتين 04 الحل و05 التنفيذ، وأخيرًا تجعلون القواعد ملزمة وقابلة للقياس. ونقطة الانطلاق جرد صادق للوضع، مثلًا عبر التقييم الذاتي على هذه الصفحة. وتبدأ الشركات الخاضعة للتنظيم بما هو سارٍ بالفعل: التزامات الإبلاغ بموجب CRA منذ 11 سبتمبر 2026، وإجراءات BSIG منذ 6 ديسمبر 2025، وDORA منذ 17 يناير 2025.
| المرحلة | الإجراءات | المسؤول | النتيجة |
|---|---|---|---|
| الأيام 1–30: الرؤية والإجراءات الفورية | جرد جميع أدوات البرمجة بالذكاء الاصطناعي والوكلاء وخوادم MCP والـ Skills مع صلاحياتها؛ تعطيل أنماط Auto-Approve مركزيًا؛ تعطيل سكربتات التثبيت في بيئات CI والوكلاء (npm: ignore-scripts، --allow-git=none، --allow-remote=none)؛ ضبط Cooldown في مديرات الحزم وروبوتات التحديث؛ حصر الرموز طويلة العمر وتدويرها | CISO مع قائد AppSec؛ فريق المنصة | جرد مع المسؤولين، القيم الأولية للمؤشرات، إعداد فوري مُدار الإصدارات |
| الأيام 31–60: إدخال نقاط الكسر | وكيل سجل مع قائمة موافقات، وحظر الوصول المباشر إلى السجل من عمليات البناء والوكلاء؛ التثبيت فقط من ملف القفل؛ مراجعة التبعيات مع موافقة مُسمّاة على الحزم الجديدة؛ الوكلاء في بيئات معزولة مع قائمة موافقات للحركة الصادرة؛ خوادم MCP والـ Skills معتمدة ومثبّتة فقط؛ النشر عبر Trusted Publishing | فريق المنصة وDevOps؛ قائد AppSec | نقاط كسر عند الحل والتنفيذ، بنية مرجعية لبيئة عزل الوكلاء |
| الأيام 61–90: الفرض والقياس | إقرار سياسة لأدوات البرمجة بالذكاء الاصطناعي؛ الفحوص كفحوص إلزامية في حماية الفروع؛ تسجيل إجراءات الوكلاء مركزيًا؛ محاكاة الهجمات (Red Teaming) بحقن الأوامر وملفات قواعد مُعدّة؛ تمرين حوادث مع تدوير الرموز ومسار الإبلاغ بموجب CRA؛ أول تقرير KPI | رئيس الهندسة مع CISO؛ والإدارة العليا تعتمد | سياسة معتمدة، سجل التمرين، تقرير KPI إلى الإدارة العليا |
المراحل والمسؤولون والترتيب توصية من VamiSec. npm: --allow-git اعتبارًا من 11.10.0، و--allow-remote اعتبارًا من 11.15.0؛ وفي npm v12 (8 يوليو 2026) يكون كلاهما افتراضيًا على none، ولا تُنفَّذ سكربتات التثبيت للتبعيات إلا بعد الموافقة.
عشرة مؤشرات بقيم مستهدفة
قيسوا ما يقطع السلسلة فعلًا، لا عدد الدورات التدريبية. القيم المستهدفة توصيات من VamiSec وليست عتبات تنظيمية؛ ويمكن جمع معظمها تلقائيًا من سجلات الوكيل الوسيط (Proxy) وإعدادات CI والإعدادات المركزية للوكلاء. ويبيّن s1ngularity مدى خطورة الأوضاع التي تعمل دون تأكيد: فوفقًا لـ Wiz، استدعت البرمجية الخبيثة أدوات CLI للذكاء الاصطناعي المثبتة محليًا بخيارات مثل --dangerously-skip-permissions و--yolo لحصر الأسرار. قدّموا تقريرًا ربع سنوي إلى الإدارة العليا؛ ففي الجهات الخاضعة لـ NIS2 يتعيّن عليها أصلًا الإشراف على تنفيذ الإجراءات وفقًا للمادة 38 من BSIG.
| المؤشر | مصدر القياس | القيمة المستهدفة (توصية VamiSec) |
|---|---|---|
| نسبة عمليات البناء التي تجلب الحزم عبر Registry-Proxy فقط | سجلات Proxy والجدار الناري | اليوم 90: ≥ 95%، ثم 100% |
| نسبة المستودعات التي تطبّق فترة انتظار (Cooldown) فعّالة | فحص إعدادات مدير الحزم وروبوت التحديثات | ≥ 90%، حد أدنى للعمر ≥ 3 أيام، باستثناء التحديثات الأمنية |
| نسبة مهام CI التي تثبّت من ملف القفل (Lockfile) فقط | إعدادات CI (npm ci، --frozen-lockfile، --require-hashes) | 100 % |
| نسبة عمليات البناء وبيئات الوكلاء التي لا تعمل فيها سكربتات التثبيت إلا بعد الموافقة | إعدادات مدير الحزم، قائمة الموافقات | 100 % |
| نسبة التبعيات الجديدة ذات الموافقة الموثّقة | سجل طلبات الدمج (Pull Requests)، Dependency Review | 100 % |
| الوكلاء الذين يعملون بوضع Auto-Approve أو YOLO | الإعدادات المركزية للوكلاء، فحص نقاط النهاية | 0 |
| نسبة الوكلاء في بيئة معزولة مع قائمة موافقات لحركة الخروج (Egress) | الجرد، سياسات الشبكة | 100% في CI، ≥ 80% على محطات العمل |
| نسبة إضافات الوكلاء المثبّتة الإصدار والمعتمدة (خوادم MCP، Skills، Plugins) | AI-BOM، قائمة الموافقات | 100 % |
| الوقت الوسيط حتى تدوير الرموز (Tokens) المتأثرة بعد بلاغ اختراق | تذاكر الحوادث، مدير الأسرار | ≤ 24 ساعة |
| رموز النشر وCI طويلة الأمد | جرد الرموز لـ npm وPyPI وCI | 0، والنشر عبر Trusted Publishing فقط |
بشأن الحد الأدنى للعمر: أوصت CISA بعد حادث axios بـ min-release-age=7 (أيام)، وبعد حادث Nx Console بثلاث ساعات على الأقل؛ ومنذ 14 يوليو 2026 ينتظر Dependabot افتراضيًا 3 أيام في تحديثات الإصدارات، وpnpm 11 يومًا واحدًا افتراضيًا — التوصيات والقيم الافتراضية غير موحّدة. يحلّ Trusted Publishing محل الرموز طويلة الأمد، لكنه لا يثبت أن الشيفرة حميدة (TanStack وMiasma 2026).
أدلة الإثبات للمدققين
- جرد أدوات البرمجة بالذكاء الاصطناعي والوكلاء وخوادم MCP وSkills مع المسؤول والإصدار والصلاحيات (AI-BOM)
- سياسة لأدوات البرمجة بالذكاء الاصطناعي تعتمدها الإدارة العليا (المادة 20 الفقرة 1 من NIS2؛ التنفيذ والإشراف وفقًا للمادة 38 من BSIG)
- إعدادات مُدارة بالإصدارات للـ Proxy ومديري الحزم وروبوتات التحديث وقواعد Egress — إذ تشترط المادة 30 الفقرة 1 من BSIG توثيق الالتزام بالإجراءات
- سجلات الموافقة على التبعيات الجديدة وإضافات الوكلاء من سجل طلبات الدمج، مع موافقة بشرية على تغييرات الوكلاء (للمؤسسات المالية الخاضعة لـ DORA: الفصل بين المهام وفقًا للمادة 17 الفقرة 1 من RTS 2024/1774)
- SBOM لكل إصدار: التبعيات من المستوى الأعلى على الأقل (CRA الملحق I الجزء II البند 1، اعتبارًا من 11 ديسمبر 2027)، والأفضل بصورة متكررة وفق BSI TR-03183-2 v2.1.0
- أدلة اختبار حزم البرمجيات في مرحلة التكامل كحد أقصى (المادة 16 الفقرة 4 من RTS 2024/1774) وتقرير Red Teaming للوكلاء
- دليل استجابة للحوادث مع قائمة تدوير الرموز ومسارات الإبلاغ وفقًا للمادة 14 من CRA (24 ساعة / 72 ساعة / 14 يومًا) مع محضر التمرين
- تقرير مؤشرات أداء ربع سنوي إلى الإدارة العليا
تقييم ذاتي · نحو 10 دقائق
Coding-Agent & Supply-Chain Readiness Check
29 سؤالًا في ستة أبعاد: الطبقات الخمس لوكلاء البرمجة إضافة إلى سلامة التبعيات. يحدد ملفكم المستوى المستهدف والأطر التنظيمية ذات الصلة. وتُظهر النتيجة عند أي مرحلة تقطع ضوابطكم سلسلة الهجوم، وأكبر فجواتكم مع خارطة طريق، وأدلة الإثبات التي يتوقعها المدققون.
0 / 29 أسئلة تمت الإجابة عنها
نتيجتكم
لم تتم الإجابة عن جميع الأسئلة بعد — التقييم مبدئي.
تغطية سلسلة الهجوم
- 01الاختلاق
- 02التسجيل
- 03التبنّي
- 04الحلّ
- 05التنفيذ
- 06الوصول
- 07الانتشار
لا تبلغ أي من إجاباتكم عند أي نقطة قطع مستوى «محدد ومنفّذ» — فاسم حزمة مختلق يمر اليوم حتى مرحلة الانتشار.
تُحتسب الضوابط من المستوى 2 فما فوق التي تقطع مرحلة من السلسلة: Dependency Review أو إلزامية الموافقة (الاعتماد)، وProxy مع قائمة موافقات (الحلّ)، وتعطيل سكربتات التثبيت (التنفيذ)، وSandbox الوكلاء (الوصول)، وضبط Egress (الانتشار).
أكبر خمس فجوات لديكم
لم تتم الإجابة عن جميع الأسئلة بعد — التقييم مبدئي.
ستتلقون الورقة البيضاء للـ CISO مع خارطة الطريق والنماذج وقائمة الفحص. ولا تُرسل النتيجة إلا إذا حددتم ذلك صراحةً في النموذج.
يجري التقييم بالكامل في متصفحكم. لا يُحفظ أي شيء ولا يُنقل ما لم ترسلوه بأنفسكم عبر النموذج.
ورقة بيضاء مجانية
Slopsquatting ووكلاء البرمجة لـ CISOs — تأمين سلسلة توريد برمجيات الذكاء الاصطناعي
تترجم الورقة البيضاء الوضع حول Typosquatting وSlopsquatting ونموذج الطبقات الخمس لوكلاء البرمجة إلى برنامج لمسؤول أمن المعلومات وفرق AppSec والمنصات: من صورة الوضع مرورًا بضوابط الـ Harness وخط أساس الإعدادات وصولًا إلى الالتزامات وخارطة الطريق وقائمة الفحص.
- ملخص إداري، وصفحة لمجلس الإدارة، وعشر رسائل أساسية — مع فصل واضح بين الالتزام والممارسة والتوصية
- سلسلة الهجوم في سبع مراحل، وخريطة Harness بالحالات الموثقة وثغرات CVE، وخمس طبقات مع أدلة الإثبات
- خط أساس للإعدادات لـ npm وpnpm وYarn وBun وpip وuv، ومصفوفة التزامات CRA وNIS2/BSIG وDORA وAI Act
- خطة 90 يومًا، ومجموعة مؤشرات أداء، وRACI، وسياسة نموذجية لوكلاء البرمجة، ووحدة أمنية لـ AGENTS.md، و30 سؤال فحص
ما تتضمنه الورقة البيضاء «Slopsquatting & Coding-Agenten für CISOs»
صورة الوضع وسلسلة الهجوم
ملخص إداري بعشر رسائل أساسية، وتصنيف أمين لحالة الأبحاث حول هلوسة الحزم، وملفات حالات من crossenv إلى Mini Shai-Hulud، وسلسلة الهجوم في سبع مراحل بجميع نقاط القطع.
خمس طبقات للـ Harness
الرؤية والتحكم والتحقق والمراقبة والحوكمة، لكلٍّ منها أهداف الضوابط وخطوات التنفيذ وأدلة الإثبات والصلة بـ OWASP Agentic Top 10 وLLM Top 10 وثغرات CVE الموثقة.
خط الأساس للإعدادات
Cooldown وسكربتات التثبيت وملف القفل والـ Proxy لـ npm وpnpm وYarn وBun وpip وuv — مع القيم الافتراضية حتى أكتوبر 2026 وأمثلة إعدادات جاهزة للاعتماد.
الالتزامات والخطة والنماذج
مصفوفة الالتزامات لـ CRA وNIS2/BSIG وDORA وAI Act ومسؤولية المنتجات، وخطة 90 يومًا، ومجموعة مؤشرات أداء، وRACI، وسياسة نموذجية لوكلاء البرمجة، ووحدة أمنية لـ AGENTS.md، و30 سؤال فحص للمراجعة والتدقيق.
تابعوا القراءة
التحكم أثناء التشغيل: كيف يفحص Agent Control Standard استدعاءات الأدوات قبل تنفيذها
المراقبة خارج النموذج هي جوهر الطبقة الرابعة — وهناك تحديدًا يعمل OWASP Agent Control Standard: يُعرض كل خطوة من خطوات الوكيل على Guardian Agent عبر Hooks قبل تنفيذها، فيقرر بواحدة من خمس Dispositions. وبذلك تتحول قائمة موافقات الحزم إلى قاعدة لا يستطيع حتى الوكيل تجاوزها. تشرح دراستنا المعمّقة حول ACS الـ Hooks والـ Dispositions والـ Failure Posture؛ ويقود إطار HiddenLayer إلى المصدر الأساسي للطبقات الخمس.
19 Hook16 Hook لدورة الحياة و3 Hooks للـ Skills في ACS
5 Dispositionsallow, deny, modify, ask, defer
5 طبقاتمن الرؤية إلى الحوكمة وفق HiddenLayer
- يمكن اعتراض عمليات تثبيت الحزم التي يجريها الوكيل بوصفها استدعاء أداة وفحصها مقابل قائمة الموافقات.
- إذا غاب قرار الـ Guardian، تحدد الـ Failure Posture ما إذا كان الوكيل سيُحظر أم يواصل العمل.
- يُسجَّل كل قرار — دليل إثبات للمدققين وأساس للمراقبة.
Agent Control Standard مشروع من OWASP في مرحلة مبكرة (المواصفة v0.1.0، الإصدار 0.1.2)؛ والتنفيذ المرجعي إثبات مفهوم (Proof of Concept).
المسرد
مصطلحات حول Slopsquatting ووكلاء البرمجة
24 مصطلحًا من Agent Harness إلى Typosquatting، بشرح موجز قريب من المصادر.
مصطلحات وُجدت
- Slopsquatting
- تسجيل اسم حزمة تختلقه نماذج الذكاء الاصطناعي لاقتناص عمليات التثبيت التي يجريها المطورون أو وكلاء البرمجة. يُنسب المصطلح إلى Seth Larson (Python Software Foundation)، ونشره Andrew Nesbitt في أبريل 2025.
- Typosquatting
- تسجيل أسماء حزم لا تختلف عن الحزم الشائعة إلا بخطأ إملائي أو التباس، مثل reqjuests أو tensoflom من حملة على PyPI شملت أكثر من 500 حزمة (Check Point 2024).
- Combosquatting
- تقنية قريبة من Typosquatting: يُدمج اسم معروف دون خطأ إملائي مع إضافات مثل ‚setup‘ أو ‚helper‘ أو ‚utils‘ لتبدو الحزمة أداة إضافية رسمية. وعلى هذا النمط جاءت أسماء مثل opensearch-setup أو elastic-opensearch-helper في الحالة التي وصفتها Microsoft في مايو 2026؛ وتصفها Microsoft نفسها بـ Typosquatting.
- Package Hallucinationهلوسة الحزم
- يقترح نموذج لغوي تبعية غير موجودة في السجل. لدى Spracklen et al. شمل ذلك 19.7% من 2.23 مليون مرجع حزمة؛ وتدرج OWASP هذا الخطر تحت LLM09 Misinformation.
- Package Confusion
- مصطلح جامع للهجمات التي تستدرج إلى تثبيت حزمة خاطئة، مثلًا عبر أسماء متشابهة كما في Typosquatting. ويصف BSI وANSSI (2024)، استنادًا إلى Spracklen et al.، أن هلوسة الحزم قد تؤدي إلى مثل هذه الهجمات إذا سجّل المهاجمون حزمًا بأسماء مُهلوَسة. ويُسمى هذا النوع اليوم غالبًا Slopsquatting.
- Dependency Confusion
- يحمّل مدير الحزم بدلًا من حزمة داخلية حزمة عامة بالاسم نفسه نشرها مهاجم. والعلاج هو ربط ثابت للسجلات بنطاقات الأسماء الداخلية واستخدام Registry-Proxy.
- Agent HarnessHarness
- طبقة التنفيذ المحيطة بالنموذج: موجّه النظام، وملفات القواعد، والأدوات، وSkills، وخوادم MCP، ومنطق التنسيق. ووفقًا لـ HiddenLayer فهي سطح الهجوم الفعلي لوكلاء البرمجة.
- وكيل البرمجةAI Coding Agent
- أداة ذكاء اصطناعي لا تقتصر على اقتراح الشيفرة، بل تعدّل الملفات بنفسها وتنفذ أوامر الطرفية وتثبّت الحزم وتنشئ طلبات الدمج، مثل Claude Code أو Cursor أو GitHub Copilot في وضع الوكيل.
- خوادم MCPModel Context Protocol
- خدمة توفر للوكيل أدوات ومصادر بيانات عبر Model Context Protocol. وكل خادم MCP مكوّن في سلسلة التوريد: فوفقًا لـ Koi Security (كما نقلت The Register)، أضافت حزمة npm غير الرسمية postmark-mcp اعتبارًا من الإصدار 1.0.16 عنوانًا للمهاجم في النسخة المخفية لكل بريد إلكتروني صادر.
- Tool Poisoning
- تعليمات مخفية في وصف أداة MCP لا يراها المستخدمون لكن النموذج يتبعها. وقد أظهرت Invariant Labs في 2025 كيف جعلت أداة تبدو بريئة الوكيلَ يقرأ مفاتيح SSH وملفات الإعدادات ويمررها.
- Rug Pull
- يتغير خادم MCP أو إعداد معتمد مسبقًا بعد الموافقة، مثل وصف الأداة أو الأمر المُشغَّل. والعلاج: تثبيت الإصدارات وإخضاع كل تغيير لموافقة جديدة، كما طُبّق في Cursor بعد CVE-2025-54136 (MCPoison).
- Agent SkillSkill
- حزمة من التعليمات وربما السكربتات تضيف قدرة إلى الوكيل وتُجلب من الأسواق أو المستودعات. وجدت Snyk في 2026 مشكلة حرجة واحدة على الأقل في 534 من أصل 3,984 Skill تم فحصها (13.4%).
- Rules File Backdoor
- تقنية وصفتها Pillar Security في 2025، تُخفي فيها أحرف Unicode غير مرئية تعليماتٍ في ملفات قواعد Cursor أو GitHub Copilot. لا يراها البشر أثناء المراجعة، لكن النموذج يتبعها.
- حقن الأوامر (Prompt Injection)LLM01
- تعليمات مدسوسة يعاملها النموذج كأوامر لا كبيانات. وفي وكلاء البرمجة تكون غالبًا غير مباشرة: عبر ملفات README أو Issues أو مخرجات الأدوات أو صفحات الويب التي يقرؤها الوكيل.
- سكربت دورة الحياة (Lifecycle)preinstall, install, postinstall
- سكربت في package.json ينفذه npm تلقائيًا عند التثبيت. وتستغله حزم npm خبيثة كثيرة، مثل Shai-Hulud 2.0 عبر Hook من نوع preinstall؛ ولا ينفذ npm v12 هذه السكربتات من التبعيات افتراضيًا إلا بعد الموافقة.
- Lockfile
- ملف يثبّت الإصدارات المحلولة بدقة والمجاميع الاختبارية لجميع التبعيات، مثل package-lock.json أو pnpm-lock.yaml أو pylock.toml. وإذا ثبّتت CI منه فقط، فلن يدخل أي اسم حزمة جديد إلى البناء دون تغيير مرئي في ملف القفل.
- Dependency Cooldownالحد الأدنى للعمر، Release-Age-Gate
- الحد الأدنى لعمر إصدار حزمة قبل تثبيته أو اقتراحه كتحديث. يعترض الإصدارات الخبيثة المنشورة حديثًا، لكنه لا يعترض الأسماء التي سجّلها مهاجم مبكرًا.
- وسيط السجلمستودع داخلي للمخرجات (Artifacts)
- ذاكرة وسيطة داخلية بين المطورين وعمليات البناء والسجلات العامة، تعكس الحزم، وعند تشغيلها مع قائمة موافقات لا تسلّم إلا الحزم المعتمدة. وهي من منظور VamiSec نقطة قطع محورية ضد Slopsquatting، لأن الاسم المختلق غير مدرج في قائمة الموافقات.
- Trusted PublishingOIDC-Publishing
- نشر الحزم من CI عبر هويات OIDC قصيرة الأمد بدلًا من رموز API طويلة الأمد، ومتاح من بين جهات أخرى في PyPI (منذ 2023) وnpm (منذ يوليو 2025). يحلّ محل الرموز طويلة الأمد القابلة للسرقة، لكنه لا يحمي من خط إنتاج مخترق كما في حالة TanStack في مايو 2026.
- Provenanceدليل المنشأ، Attestation
- دليل موقّع يبيّن من أي مستودع وأي عملية بناء جاءت الحزمة. يثبت المنشأ لا السلامة: ففي حالتي TanStack وMiasma 2026 حملت حزم خبيثة Provenance صالحًا.
- SBOMSoftware Bill of Materials
- قائمة مكوّنات قابلة للقراءة آليًا لجميع مكونات البرمجية، مثلًا بصيغة CycloneDX أو SPDX. يشترط CRA اعتبارًا من 11 ديسمبر 2027 التبعيات العليا على الأقل دون فرض صيغة معينة؛ بينما تطلب BSI TR-03183-2 حلًّا متكررًا.
- AI-BOMAIBOM
- قائمة مكوّنات لمكونات الذكاء الاصطناعي: النماذج والوكلاء وخوادم MCP وSkills وPlugins والموجّهات مع المصدر والإصدار. وتذكر OWASP كلًّا من SBOM وAIBOM تحت ASI04 كإجراء مضاد لمخاطر سلسلة التوريد في الأنظمة الوكيلية.
- Least Agency
- مبدأ من OWASP Top 10 for Agentic Applications 2026: منح الوكلاء من الاستقلالية بقدر ما تتطلبه المهمة فقط. ويوسّع مبدأ Least Privilege بسؤال: ما الذي يجوز للوكيل أن يقرره بنفسه؟
- ضبط حركة الخروج (Egress)Egress Filtering
- تقييد حركة الشبكة الصادرة بوجهات معتمدة وفق مبدأ deny by default. وبالنسبة للوكلاء وعمليات البناء، يصعّب ذلك على الشيفرة الخبيثة تسريب البيانات إلى وجهات غريبة أو تحميل حزم متجاوزةً قائمة الموافقات؛ وتبقى القنوات عبر وجهات معتمدة مثل GitHub ممكنة.
FAQ
أسئلة شائعة حول Slopsquatting ووكلاء البرمجة
إجابات موجزة وموثوقة مع المصدر — حتى 8 أكتوبر 2026.
Slopsquatting هجوم على سلسلة التوريد يسجّل فيه المهاجم اسم حزمة تختلقه نماذج الذكاء الاصطناعي، كي يثبّت المطورون أو وكلاء البرمجة الحزمة الخبيثة. يُنسب الاسم إلى Seth Larson من Python Software Foundation، ونشره Andrew Nesbitt في 8 أبريل 2025، بمعنى النسخة الذكية اصطناعيًا من Typosquatting. والأساس هو دراسة Spracklen et al. (USENIX Security 2025): من بين 2.23 مليون مرجع حزمة في 576,000 عينة شيفرة من 16 نموذجًا، كانت 19.7% مُهلوَسة. ومن المهم للتقدير: لا تُعرف حتى الآن حالة موثقة علنًا سجّل فيها مهاجم اسمًا ثبت أنه مُهلوَس بنية خبيثة وثبّته الضحايا بسبب اقتراح من الذكاء الاصطناعي.
يعتمد Typosquatting على الأخطاء الإملائية البشرية والتباس الأسماء المعروفة، بينما يعتمد Slopsquatting على أسماء يختلقها نموذج ذكاء اصطناعي. وثّقت Check Point في 2024 أكثر من 500 حزمة PyPI خبيثة بأسماء مثل reqjuests أو tensoflom؛ ووصفت Microsoft في 28 مايو 2026 14 حزمة npm ظهرت خلال أربع ساعات. وكلاهما Typosquatting وليس Slopsquatting. في المقابل، كثيرًا ما لا تكون الأسماء المُهلوَسة أخطاءً إملائية: لدى Spracklen et al. لم تبعد سوى 13.4% من أسماء Python المختلقة خطوتي تحرير على الأكثر عن حزمة حقيقية، و48.6% ست خطوات أو أكثر. لذا فإن الكشف عبر تشابه الأسماء قاصر. وتعمل كثير من الإجراءات المضادة ضد الهجومين معًا: Registry-Proxy مع قائمة موافقات، وCooldown، وملفات القفل، وتعطيل سكربتات التثبيت.
بحسب النموذج والدراسة، بنسبة تتراوح من بضعة في المائة إلى أكثر من خُمس الحزم المقترحة. قاس Spracklen et al. (USENIX Security 2025) إجمالًا 19.7% من مراجع الحزم المُهلوَسة، بمتوسط 5.2% لدى نماذج OpenAI التجارية الثلاثة المختبرة و21.7% لدى نماذج المصدر المفتوح. وكثير من الأخطاء قابل للتكرار: في الاختبارات المتكررة ظهر 43% من الأسماء المختلقة مجددًا في جميع الجولات العشر، و39% لم تظهر مجددًا قط. وتوصلت مسودة بحثية غير محكّمة لـ Churilov (2026) إلى 4.62 حتى 6.10% لخمسة نماذج حالية. ووجد اختبار قصير على dev.to في 6 أكتوبر 2026 بـ 30 موجّهًا لـ npm اسمين مختلقين لدى Claude Haiku 4.5، واسمًا واحدًا لدى Copilot، وثلاثة لدى ChatGPT/Codex — وهو بحسب الكاتب مؤشر لا حكم.
لا تُعرف حتى الآن حالة خبيثة موثقة علنًا (حتى 8 أكتوبر 2026). لكن الثابت أن الأسماء المختلقة تُثبَّت فعلًا: ففي تجربة نُشرت في 2024، رفع Bar Lanyado حزمة فارغة على PyPI باسم huggingface-cli المُهلوَس مرارًا؛ ووفقًا لـ Lasso Security تلقت أكثر من 30,000 تنزيل في ثلاثة أشهر. وفي 2026 وجدت Aikido في Agent Skills مولّدة بالذكاء الاصطناعي الاستدعاء npx react-codeshift الذي يشير إلى حزمة npm لم تُنشر قط، ومنتشرًا في 237 مستودعًا على الأقل، فسجّلت الاسم دفاعيًا. وكانت الحزمتان عنصرين نائبين غير ضارين. وقد صنّفت Koi Security حملات مثل PhantomRaven ضمن Slopsquatting دون نشر أدلة على أن ذكاءً اصطناعيًا اقترح الأسماء. الخطر حقيقي، لكن لم تُوثَّق علنًا حتى الآن حالة ضرر.
بعدة ضوابط، جوهرها من منظور VamiSec هو Registry-Proxy داخلي مع قائمة موافقات: فالاسم المختلق أو المكتوب بخطأ غير مدرج في القائمة ولا يمكن تثبيته. أضيفوا حدًا أدنى لعمر الإصدارات الجديدة (npm min-release-age بالأيام اعتبارًا من الإصدار 11.10.0، وpnpm minimumReleaseAge بالدقائق، وuv exclude-newer، وpip --uploaded-prior-to)، والتثبيت من ملف القفل فقط، وتعطيل سكربتات التثبيت، وDependency Review في طلب الدمج. ومنذ 8 يوليو 2026 لا ينفذ npm v12 سكربتات التثبيت الخاصة بالتبعيات افتراضيًا إلا بعد الموافقة. وبالنسبة لحزمكم الخاصة: النشر عبر Trusted Publishing بدلًا من الرموز؛ وتنتهي رموز الكتابة في npm افتراضيًا بعد 7 أيام، وبحد أقصى بعد 90 يومًا. ويثبت Provenance منشأ الحزمة لا سلامتها.
الـ Harness هو كل ما يشكّل وكيل البرمجة حول النموذج اللغوي: موجّه النظام، وملفات القواعد، والأدوات، وSkills، وخوادم MCP، ومنطق التنسيق الذي ينسّق استدعاءات النموذج واستدعاءات الأدوات وسير العمل. وتحاجّ HiddenLayer في إطارها الصادر في 28 يوليو 2026 بأن هذا الـ Harness، لا النموذج، هو سطح الهجوم الفعلي؛ وأن سبب الهجمات هو الثقة في غير موضعها. وتدعم ذلك حالات موثقة: تعليمات مخفية في ملفات القواعد (Rules File Backdoor، Pillar Security 2025)، وأوصاف أدوات مُتلاعب بها لخوادم MCP (Invariant Labs 2025)، أو Prompt Injection عطّلت طلب التأكيد في GitHub Copilot (CVE-2025-53773، CVSS 3.1: 7.8).
تأتي الطبقات الخمس من إطار HiddenLayer (28 يوليو 2026): الرؤية، والتحكم، والتحقق، والمراقبة، والحوكمة. الرؤية تعني معرفة كل وكيل ونموذج وأداة وخادم MCP وSkill مع صلاحياته، بما في ذلك الذكاء الاصطناعي الظلي. والتحكم يحدّ من الضرر: الحد الأدنى من الصلاحيات، وموافقة بشرية للإجراءات ذات العواقب، والأدوات المعتمدة فقط، وتقييد حركة الشبكة الصادرة. والتحقق يفحص قبل منح الثقة: Red Teaming، وفحص أدوات الأطراف الثالثة بما فيها البيانات الوصفية المخفية، واعتماد إصدارات محددة بدلًا من «latest». والمراقبة تجري خارج النموذج. والحوكمة ترسّخ المسؤولين ونماذج التهديدات والاستجابة للحوادث. وتضيف VamiSec في التقييم الذاتي سلامة التبعيات بُعدًا سادسًا.
لا. يمنع ignore-scripts npm من تنفيذ سكربتات دورة حياة الحزم عند التثبيت، فيُغلق بذلك مسار تنفيذ شائعًا، مثل Install-Hooks في الحالة التي وصفتها Microsoft في 28 مايو 2026. لكن تبقى ثلاث ثغرات: يمكن لتبعيات Git أن تجلب ملف .npmrc خاصًا بها يستبدل مسار برنامج Git وينفّذ شيفرة رغم ignore-scripts (العلاج --allow-git=none اعتبارًا من npm 11.10.0)؛ وتحمّل تبعيات URL شيفرة من خوادم عشوائية (--allow-remote=none اعتبارًا من npm 11.15.0)؛ والشيفرة الخبيثة التي لا تعمل إلا عند الاستيراد أو بدء المفسّر ليست سكربت دورة حياة، كما في ملف .pth في litellm 1.82.8. لذا اجمعوا هذا الخيار مع Registry-Proxy وCooldown وبيئات بناء ووكلاء معزولة.
يشترط CRA اعتبارًا من 11 ديسمبر 2027 أن تبذل الشركات المصنِّعة العناية الواجبة عند دمج مكونات الأطراف الثالثة، وصراحةً أيضًا في البرمجيات الحرة مفتوحة المصدر (المادة 13 الفقرة 5). ويتحدد النطاق وفق المخاطر؛ ويذكر الحيثية 34 مثلًا فحص سجل التحديثات، والمطابقة مع قاعدة بيانات الثغرات الأوروبية، واختبارات أمنية إضافية. ووفقًا لإرشادات المفوضية غير الملزمة C(2026) 5252 (المثال 34)، لا تقع التزامات CRA على مستودع الحزم ولا على المطوّر الفرد الذي ينشر فيه برمجيات حرة؛ وتقع العناية على الشركة المصنِّعة المدمِجة. ويُضاف إلى ذلك SBOM تشمل التبعيات العليا على الأقل (الملحق I الجزء II البند 1)، والإبلاغ عن الثغرات المكتشفة إلى الشركة المصنِّعة أو المشرف على المكوّن (المادة 13 الفقرة 6). وتسري التزامات الإبلاغ وفق المادة 14 منذ 11 سبتمبر 2026.
في الغالب لا. فالأنظمة عالية المخاطر وفق المادة 6 الفقرة 2 تقتصر على مجالات الاستخدام المدرجة في الملحق III، وتطوير البرمجيات ليس منها. وقد يختلف الأمر إذا استُخدمت أداة مثلًا لتقييم أداء الموظفين (الملحق III البند 4 الفقرة b). وعلى أي حال لا تسري التزامات الأنظمة عالية المخاطر للملحق III إلا اعتبارًا من 2 ديسمبر 2027. أما الشركات التي تستخدم مساعدات البرمجة، فيبقى عليها أساسًا المادة 4: فمنذ Digital Omnibus (اللائحة (EU) 2026/1744، النافذة منذ 27 يوليو 2026) يتعين عليها اتخاذ إجراءات لدعم الكفاءة في الذكاء الاصطناعي دون ضمان مستوى معين. وتقع التزامات نماذج الأغراض العامة على مزوّدي النماذج لا على المستخدمين.
Dependency Cooldown هو حد أدنى للعمر يجب أن يبلغه إصدار حزمة جديد قبل تثبيته أو اقتراحه كتحديث. والفكرة: كثيرًا ما تُكتشف الإصدارات الخبيثة وتُزال سريعًا؛ ويبرر pnpm هذه الميزة بأن ذلك يحدث غالبًا خلال ساعة. وتختلف الوحدات: npm min-release-age بالأيام، وpnpm minimumReleaseAge بالدقائق (منذ pnpm 11 افتراضيًا 1,440، أي يوم واحد)، وBun بالثواني، وYarn npmMinimalAgeGate كمدة مثل 1d، وuv exclude-newer كمدة، وpip --uploaded-prior-to كتاريخ أو اعتبارًا من الإصدار 26.1 بصيغة P3D. ومنذ 14 يوليو 2026 ينتظر Dependabot افتراضيًا ثلاثة أيام في تحديثات الإصدارات، باستثناء التحديثات الأمنية. والحدّ: الأسماء المسجلة مبكرًا تتجاوز أي Cooldown.
تقيسون مستوى النضج بتقييم ذاتي على امتداد الطبقات الخمس إضافة إلى سلامة التبعيات، وببضعة مؤشرات صارمة. يقيّم VamiSec Readiness Check في هذه الصفحة 29 سؤالًا في ستة أبعاد على أربعة مستويات، من «غير موجود» إلى «مفروض ومقاس»، ويبيّن عند أي مرحلة من سلسلة الهجوم تعمل ضوابطكم. ونوصي من بين المؤشرات بنسبة عمليات البناء عبر Registry-Proxy، ونسبة المستودعات المطبّقة لـ Cooldown، وعدد الوكلاء العاملين بوضع Auto-Approve (الهدف: صفر)، والوقت الوسيط حتى تدوير الرموز، ونسبة إضافات الوكلاء المثبّتة الإصدار. قدّموا القيم ربع سنويًا إلى الإدارة العليا.
المعايير والمصادر
يستند محتوى هذه الصفحة إلى الأدلة والدراسات التالية المتاحة للعموم.
كيفية الحد من هجمات Typosquatting وSlopsquatting في npm وPyPI
المصدر الأولي: إجراءات مضادة لـ npm وPyPI بتاريخ 15 سبتمبر 2026؛ مدونة الشركة المصنِّعة.
اختبرت 3 أدوات برمجة بالذكاء الاصطناعي بحثًا عن Slopsquatting: هذا عدد الحزم الوهمية التي اختلقتها
المصدر الأولي: اختبار قصير بـ 30 موجّهًا لـ npm بتاريخ 6 أكتوبر 2026، ذو طابع قصصي وصنّفه الكاتب نفسه كمؤشر.
إطار أمني لوكلاء البرمجة والـ Harnesses الخاصة بهم
المصدر الأولي: خمس طبقات هي الرؤية والتحكم والتحقق والمراقبة والحوكمة (28 يوليو 2026).
لدينا حزمة لكم! تحليل شامل لهلوسة الحزم لدى نماذج LLM المولّدة للشيفرة
دراسة أولية: 19.7% (440,445 من 2.23 مليون) من مراجع الحزم في 576,000 عينة شيفرة من 16 نموذجًا كانت مُهلوَسة.
تعمّق أكبر في هلوسة الحزم لدى الذكاء الاصطناعي
تجربة Bar Lanyado بالحزمة النائبة huggingface-cli وأكثر من 30,000 تنزيل في ثلاثة أشهر.
Agent Skills تنشر أوامر npx مُهلوَسة
react-codeshift: أمر npx مُهلوَس في Agent Skills مولّدة بالذكاء الاصطناعي، سُجّل دفاعيًا.
النطاق يتقلّص والتهديد باقٍ: إعادة تقييم هلوسة الحزم لدى نماذج LLM في جيل النماذج الرائدة لعام 2026
مسودة بحثية غير محكّمة: معدلات الهلوسة لخمسة نماذج حالية والأسماء المشتركة.
حزم npm من نوع Typosquatting تُستخدم لسرقة أسرار السحابة وCI/CD
14 حزمة npm من نوع Typosquatting خلال أربع ساعات في 28 مايو 2026؛ Typosquatting وليس Slopsquatting.
PyPI يغرق في حملة Typosquatting خبيثة
أكثر من 500 حزمة PyPI خبيثة في مارس 2024؛ Typosquatting تقليدي دون صلة بالذكاء الاصطناعي.
s1ngularity: هجوم على سلسلة التوريد يسرّب أسرارًا على GitHub: كل ما تحتاجون معرفته
أساءت برمجية خبيثة استخدام أدوات CLI للذكاء الاصطناعي المثبتة محليًا بخيارات تتجاوز طلبات التأكيد.
تعزيز أمن npm: تغييرات مهمة في المصادقة وإدارة الرموز
رموز الكتابة الدقيقة المنشأة حديثًا في npm: مدة افتراضية 7 أيام، وحد أقصى 90 يومًا.
أمن npm وقت التثبيت وإيقاف GAT bypass2fa
npm v12 (8 يوليو 2026): سكربتات التثبيت الخاصة بالتبعيات بعد الموافقة فقط، وتبعيات Git وURL محظورة افتراضيًا.
pnpm 11.0
قيم افتراضية جديدة: minimumReleaseAge بقيمة 1,440 دقيقة (يوم واحد)، ولا تبعيات فرعية من Git أو Tarball، وسكربتات البناء بعد الموافقة فقط (allowBuilds).
ثغرة جديدة في GitHub Copilot وCursor: كيف يمكن للمخترقين تحويل وكلاء الشيفرة إلى سلاح
Rules File Backdoor: تعليمات Unicode غير مرئية في ملفات القواعد.
إشعار أمني بشأن MCP: هجمات تسميم الأدوات (MCP Security Notification: Tool Poisoning Attacks)
تعريف Tool Poisoning وRug Pull وTool Shadowing في خوادم MCP.
OWASP Top 10 for Agentic Applications for 2026
ASI04 Agentic Supply Chain Vulnerabilities، وASI05 Unexpected Code Execution، ومبدأ Least Agency.
LLM09:2025 المعلومات المضللة (Misinformation)
يدرج المكتبات غير الموجودة التي تقترحها النماذج كخطر لتوليد الشيفرة غير الآمن.
دليل يركّز على الأمن لتعليمات مساعدات الشيفرة بالذكاء الاصطناعي
دليل لتعليمات الوكلاء الآمنة، يذكر التبعيات المُهلوَسة وSlopsquatting.
AI Coding Assistants
ورقة رسمية بتاريخ 4 أكتوبر 2024: هلوسة الحزم كمدخل لـ Package Confusion، والإجراءات المضادة.
الإرشاد الفني من ENISA للاستخدام الآمن لمديري الحزم (Technical Advisory for Secure Use of Package Managers)
توصية غير ملزمة بتاريخ 10 مارس 2026، تسمّي Slopsquatting صراحةً كناقل هجوم.
اللائحة (EU) 2024/2847 (Cyber Resilience Act)
واجب العناية بمكونات الأطراف الثالثة (المادة 13 الفقرة 5، اعتبارًا من 11 ديسمبر 2027)، والتزامات الإبلاغ (المادة 14، منذ 11 سبتمبر 2026)، وSBOM (الملحق I الجزء II البند 1).
إرشادات تنفيذ Cyber Resilience Act، C(2026) 5252 final
إرشادات غير ملزمة بتاريخ 27 يوليو 2026؛ يُسند المثال 34 واجب العناية إلى الشركة المصنِّعة المدمِجة.
قانون BSI (BSIG) بصيغة NIS2UmsuCG، المادة 30
إجراءات إدارة المخاطر بما فيها سلسلة التوريد (الفقرة 2 الجملة 2 البند 4) وكذلك الاقتناء والتطوير والصيانة (البند 5)؛ وBSIG الجديد نافذ منذ 6 ديسمبر 2025 (BGBl. 2025 I Nr. 301).
اللائحة المفوّضة (EU) 2024/1774 (RTS بشأن إدارة مخاطر تقنية المعلومات والاتصالات)
تفصّل DORA للإطار الكامل (الباب II): تتبّع مكتبات المصدر المفتوح، واختبار حزم البرمجيات، وإدارة التغيير.
هل تريدون اعتماد وكلاء البرمجة دون فتح سلسلة التوريد؟
تدعمكم VamiSec في الجرد والسياسة الخاصة بأدوات البرمجة بالذكاء الاصطناعي، وفي Registry-Proxy وفترة التهدئة (Cooldown) وتحصين سكربتات التثبيت، وفي عزل الوكلاء ومراقبتهم، وكذلك في محاكاة الهجمات (Red Teaming) على وكلاء البرمجة – بما يتوافق مع CRA وNIS2 وDORA.