تقوم بزيارة موقع إلكتروني. لا يتم تنزيل شيء. لا نافذة منبثقة، لا طلب إذن، لا تنبيه. ومع ذلك، تم اختطاف وكيل الذكاء الاصطناعي على جهازك للتو.
هذا هو السيناريو الذي أظهرته Oasis Security هذا الأسبوع عندما كشفت عن CVE-2026-65105، ثغرة في مجموعة أدوات الوكلاء NemoClaw من NVIDIA. يتطلب الهجوم شيئا واحدا فقط من الضحية: فتح صفحة ويب خبيثة في المتصفح. كل شيء آخر تلقائي.
ما هو NemoClaw؟
أطلقت NVIDIA شركة NemoClaw في مؤتمر GTC في مارس 2026 كمرجع لبناء وكلاء الذكاء الاصطناعي الذين يعملون داخل بيئات معزولة. الفكرة بسيطة: امنح وكيلك بيئة معزولة (OpenShell)، وخلفية نموذج (Ollama للاستدلال المحلي)، ومجموعة من الأدوات، واتركه يعمل.
NemoClaw شائع بين المطورين الذين يريدون الحفاظ على سير عمل الذكاء الاصطناعي محليا. بدلا من إرسال الأوامر إلى واجهة برمجة تطبيقات سحابية، يشغل الوكيل نموذجه على وحدة المعالجة الرسومية الخاصة بالمطور عبر Ollama. الافتراض هو أن المحلي يعني الخاص والآمن.
لقد أثبتت Oasis Security للتو أن هذا الافتراض خاطئ.
سلسلة هجوم DNS Rebinding
توجد الثغرة في كيفية تكوين NemoClaw لـ Ollama على Windows و WSL. يقوم بتشغيل Ollama مع متغير البيئة OLLAMA_HOST=0.0.0.0:11434، الذي يربط خادم النموذج بكل واجهة شبكة بدلا من localhost فقط.
واجهة برمجة تطبيقات Ollama على المنفذ 11434 ليس بها مصادقة. تعتمد على فحصين وسيطين: التحقق من ترويسة Host وقائمة CORS. لكن عندما يكون عنوان الربط ليس loopback (127.0.0.1)، يتم تخطي التحقق من ترويسة Host بالكامل.
هذا يترك فحص CORS، و DNS Rebinding يتجاوزه بسهولة. إليك كيفية عمل الهجوم:
- يقدم المهاجم صفحة ويب على المنفذ 11434 لنطاق يتحكم فيه
- تزور الضحية الصفحة في المتصفح
- يعاد حل نطاق المهاجم من خادمه إلى 127.0.0.1
- يتعامل المتصفح مع الطلبات كنفس المصدر
- تصل الطلبات إلى نسخة Ollama المحلية للضحية
الآن لدى المهاجم وصول كامل وغير موثق لواجهة برمجة التطبيقات لخادم النموذج.
تسمم النموذج: أسوأ سيناريو
الوصول الكامل لواجهة برمجة التطبيقات وحده خطير. يمكن للمهاجم سرد النماذج المثبتة، وقراءة أوامر النظام، واستخراج اسم المضيف والمفتاح العام، أو حذف النماذج مباشرة. لكن الجائزة الحقيقية هي تسمم النموذج.
ذهب الباحث Elad Luz وفريقه في Oasis Security أعمق من حقن الأوامر البسيطة. كانوا يعرفون أن حقن أمر نظام مخفي لن ينجو لأن OpenClaw يرسل أمر نظامه الخاص الذي يلغيه.
لذلك استهدفوا نقطة نهاية /api/create في Ollama، التي تقبل حقل قالب المحادثة. سلسلة الهجوم:
- سحب القالب الحالي للنموذج عبر /api/show
- إدراج أمر مخفي في القالب
- كتابته عبر /api/create
كل رسالة يرسلها العميل تمر الآن عبر القالب المعدل للمهاجم، بما في ذلك أمر النظام الخاص بالوكيل. يصل الأمر المخفي إلى النموذج بعد الأمر المشروع، مما يختطف كل استجابة فعليا.
من الخارج، لا يبدو شيء خاطئا. اسم النموذج وحجمه وبياناته الوصفية تبدو طبيعية. فتح محادثة جديدة لا ينظف شيئا. الحمولة تعيش في تعريف النموذج نفسه، بعيدا عن حالة المحادثة التي يمكن للمشغل إعادة تعيينها.
لماذا لا يساعد الحماية المعزولة (Sandboxing)
هذه هي الجزء الذي يجب أن يقلق كل فريق يشغل وكلاء الذكاء الاصطناعي. القيمة الكاملة لـ NemoClaw هي الحماية المعزولة: OpenShell يعزل نظام الملفات والشبكة والعمليات التي يمكن للوكيل لمسها.
لكن البيئة المعزولة لا تحمي من هذا الهجوم لأن الثغرة في خلفية النموذج، وليس في الوكيل نفسه. كما أشارت Oasis Security: الحماية المعزولة تحمي نقطة النهاية، لكن الاستيلاء على الوكيل يعني الاستيلاء على وصوله وأدواته.
الإصلاح وما يعنيه لystack الخاص بك
أطلقت NVIDIA نسخة NemoClaw v0.0.35 التي تصلح المشكلة على macOS و Linux. على Windows و WSL، أضافت v0.0.34 مسار تثبيت مع تحذير بدلا من إصلاح كامل.
إذا كان فريقك يشغل وكلاء ذكاء اصطناعي محليا، إليك ما يجب التحقق منه اليوم:
- تحديث NemoClaw إلى v0.0.35 أو أحدث على macOS و Linux
- التحقق من ربط Ollama - التأكد من أنه على 127.0.0.1 وليس 0.0.0.0
- إضافة التحقق من ترويسة Host - التحقق ضد قائمة قيم مصرح بها
- تدقيق مجموعة الوكلاء - أي خادم نموذج محلي مكشوف هو هدف
- مراقبة سلامة النموذج - مقارنة قوالب المحادثة وتجزئة النماذج ضد خطوط أساس معروفة
الصورة الأكبر
هذه الثغرة هي معاينة لتحديات الأمن التي تأتي مع الذكاء الاصطناعي الوكيلي. بينما ينتقل المطورون من الاستدلال السحابي فقط إلى النشر المحلي والهجين، تتوسع سطح الهجوم بطرق لا تغطيها نماذج الأمان التقليدية.
البيئة المعزولة تحمي نقطة النهاية. حماية المحادثة تحمي المحادثة. لكن لا شيء يحمي النموذج نفسه من إعادة الكتابة الصامتة عبر زيارة واحدة لموقع إلكتروني.
للمنظمات التي تبني على أطر عمل وكلاء الذكاء الاصطناعي، الدرس واضح: عاملوا بنية النماذج المحلية بنفس صرامة خوادم الإنتاج. لأنه في عالم الوكلاء، النموذج المخترع هو كل شيء مخترع.