قراصنة يستغلون ثغرة في SGLang لاختراق خادم استدلال لدى NEAR AI وسرقة بيانات الوكلاء والمستخدمين
استغل مهاجم ثغرة تنفيذ تعليمات برمجية عن بُعد في محرك الاستدلال مفتوح المصدر SGLang لتشغيل تعليمات برمجية على أحد خوادم الاستدلال التابعة لـNEAR AI، واستولى على بيانات 18 وكيلاً ونحو 100 مستخدم. كما يُحتمل أن تكون الطلبات المرسلة في الوضع السري مكشوفة على ذلك الخادم.
على الفرق التي تشغّل محركات استدلال مفتوحة المصدر تطبيق التحديثات بسرعة، لأن ثغرة واحدة قد تكشف مطالبات المستخدمين حتى في الإعدادات التي توصف بأنها سرية.
يختار aii.news الأخبار من مصادر موثوقة ويلخّصها بمساعدة الذكاء الاصطناعي. كل خبر يرتبط بالتقرير الأصلي. طريقة عملنا.
تابع القراءة
-
وكلاء ذكاء اصطناعي وباحثون من Microsoft يكتشفون 59 ثغرة في نواة Linux بعضها مخفي منذ أكثر من 20 عاماً
اكتشف مشروع تابع لـ Microsoft FORGE Lab يجمع بين وكلاء الذكاء الاصطناعي وباحثين بشريين 59 ثغرة في نواة Linux، بعضها موجود في شيفرة الإنتاج منذ أكثر من 20 عاماً. وسرّع الذكاء الاصطناعي عملية الاكتشاف، لكن التحقق من الثغرات وكتابة التصحيحات ظلّا يتطلبان جهداً بشرياً كبيراً.
لماذا يهمّك هذايكتشف الذكاء الاصطناعي ثغرات قديمة في البرمجيات الأساسية بسرعة، لذا ينبغي للفرق التي تشغّل Linux توقّع مزيد من التصحيحات والتخطيط للجهد البشري اللازم لإصلاحها.
-
باحثون يُظهرون أن مفاتيح Claude API المسروقة قد تحوّل Claude Code إلى أداة زرع يُتحكم بها عن بُعد
تمكّن باحثون من Darktrace في اختبار مخبري من التحكم في Claude Code عبر ميزة الذاكرة في منصة Anthropic، واستخرجوا ملفاً بحجم 1 GB عبر Files API. ومرّت كل حركة البيانات عبر نقطة الوصول المعتادة لواجهة Anthropic البرمجية، فبدت كأنها وكيل برمجة يؤدي عمله.
لماذا يهمّك هذاقد تمنح مفاتيح واجهات برمجة الذكاء الاصطناعي المسرّبة المهاجمين سيطرة خفية على وكلاء البرمجة، لذا ينبغي للشركات حماية هذه المفاتيح وتغييرها دورياً كما تفعل مع كلمات المرور.
-
اختراق Railway مكّن قراصنة من تحميل نحو 740,000 دولار من رسوم الذكاء الاصطناعي بمفاتيح عملاء مسروقة
قالت شركة Railway المزوّدة للمنصات إن مفاتيح مزودي الذكاء الاصطناعي التي خزّنها العملاء سُرقت في اختراق وقع في أكتوبر واستُخدمت في استهلاك غير مصرح به يُقدَّر بـ740,000 دولار، وقد يطال ذلك ما يصل إلى 100,000 مساحة عمل. وتعهدت الشركة بتغطية الرسوم التي لن يستردها مزودو الذكاء الاصطناعي.
لماذا يهمّك هذاأصبحت مفاتيح API الخاصة بالذكاء الاصطناعي المخزنة هدفاً مباشراً لسرقة قدرات الحوسبة وإعادة بيعها، لذا ينبغي وضع حدود للإنفاق وتدوير المفاتيح المحفوظة على منصات الأطراف الثالثة.
-
مايكروسوفت تُظهر أن تعديل أقل من 10 خلايا عصبية يكفي لزرع باب خلفي خفي في وكلاء الذكاء الاصطناعي
وصف باحثو مايكروسوفت تقنية تُدعى Lazarus تعدّل بضع خلايا عصبية خاملة في نموذج مفتوح الأوزان بحيث يدفعه مُحفِّز إلى إخراج أوامر المهاجم، دون الحاجة إلى إعادة التدريب. ويتصرف النموذج المعدَّل بشكل طبيعي في اختبارات السلامة القياسية، وتقول مايكروسوفت إنها لم ترصد مهاجمين يستخدمون هذه الطريقة.
لماذا يهمّك هذاعلى الفرق التي تشغّل وكلاء على نماذج مفتوحة الأوزان التحقق من مصدر ملفات نماذجها وتقييد ما يمكن للوكلاء تنفيذه.
-
ملفات إعدادات Claude Code سرّبت أكثر من 31,000 سرّ في مستودعات GitHub العامة
عثرت GitGuardian على 31,088 سرًّا مختلفًا، بينها بيانات اعتماد لقواعد بيانات ورموز سحابية، في ملفات الإعدادات المحلية لـClaude Code عبر 23,276 مستودعًا عامًا على GitHub. وكان 5,343 منها لا يزال صالحًا عند اكتشافه.
لماذا يهمّك هذاإذا كنت تستخدم Claude Code، فتأكد من استبعاد ملف إعداداتك المحلي من Git، وغيّر أي بيانات اعتماد ربما تكون قد رُفعت.
