دخل ثلاثة باحثين إلى منتدى المساعدة الخاص بـ OpenAI بملف صورة يبدو غير مؤذٍ. وبعد أقل من 72 ساعة كانوا يسيطرون على حسابات ChatGPT وCodex لعدد من موظفي OpenAI ووصلوا إلى مستودع شيفرة داخلي. لم يخمّنوا كلمة مرور قط. ولم يصطادوا أحدًا. كل ما فعلوه هو سلسلة ثغرتين تبدو كل واحدة منهما، بمفردها، مشكلة شخص آخر. وهذا هو الجزء الذي يجب أن يتوقف عنده كل مؤسس ومدير تقني.
ما حدث فعلاً
فريق شركة الأمن Hacktron أبلغ عن السلسلة بنفسه، وأثبت الوصول بطلب دمج غير مؤذٍ، ثم توقف. وأصدرت OpenAI إصلاحًا بعد نحو 14 ساعة من الإبلاغ، ودفعت مكافأة قدرها 6500 دولار في الأول من سبتمبر. كان هذا بحثًا جيدًا ومنضبطًا، لا هجومًا حقيقيًا. لكن الآلية درس متقدم في كيفية عمل سلاسل الاختراق الحديثة، وشكلها شيء يمكنك اختباره في مؤسستك هذا الأسبوع.
بدأت السلسلة في Discourse، البرمجية مفتوحة المصدر التي يعمل عليها منتدى OpenAI العام. يمرّر Discourse الصور المرفوعة بصيغتي HEIC وHEIF إلى ImageMagick، الذي يستخدم بدوره مكتبة libheif لفك ترميزها. وسمحت ثغرة في libheif لصورة مصممة بعناية بإفساد ذاكرة خادم المنتدى. ومن هناك تصاعد الباحثون إلى تنفيذ شيفرة على مضيف المنتدى.
هذا هو الفصل الأول. الفصل الثاني هو حيث تصبح الأمور غير مريحة.
خطأ في منتدى لا يجب أن يصل إلى حسابات الموظفين
سبب وصول خطأ في منتدى عام إلى موظفي OpenAI لا علاقة له ببرمجية المنتدى. فالمنتدى يوفّر خيار «Sign in with OpenAI»، وهو نفس تسجيل الدخول الموحّد الذي يستخدمه الموظفون في كل مكان. وبعد أن سيطر الباحثون على خادم المنتدى، مكّنهم هذا الدخول المشترك من الاستيلاء على حسابات ChatGPT وCodex لأعضاء المنتدى الذين يعملون في OpenAI. لم يرتكب الضحايا أي خطأ. ولم يكن عليهم النقر على أي شيء.
تشخيص Hacktron نفسه صريح: كانت هذه مشكلة في معمارية الهوية، لا مشكلة في Discourse. وأي خدمة داخلية أو خارجية تستخدم نفس تسجيل الدخول كانت ستمنح نفس الوصول. ولأن الموظفين يربطون أدوات مثل GitHub وSlack والبريد الإلكتروني بـ ChatGPT وCodex، كان بإمكان نفس الوصول أن يمتد نظريًا إلى أبعد من ذلك. يقول الفريق إنه لم يستخدم هذا النطاق الأوسع، لكن الباب كان مفتوحًا.
هذا هو الدرس الذي يستحق أن يُعلَّق فوق مكتبك: تسجيل الدخول الموحّد ليس ميزة راحة. إنه نطاق التأثير لديك.
الإصلاح الذي كان متاحًا في مايو، والصورة التي لم تحمله
هنا الجزء المؤلم. أُصلحت ثغرة libheif في الإصدار 1.22.0 في مايو 2026. وكانت الثغرة المعروفة (CVE) منشورة علنًا. ومع ذلك، عندما نظر الباحثون في يوليو، كانت صورة خادم Discourse المبنية على Debian 12 لا تزال تضم libheif 1.19.7. كان الإصلاح موجودًا؛ لكنه لم يصل إلى النسخة المعبّأة التي استخدمتها المنصة.
هذا ليس أمرًا غريبًا. إنه نمط الفشل الهادئ والعادي المختبئ اليوم في آلاف صور الحاويات: شيفرة تطبيقك حديثة، أما صورة الأساس فليست كذلك. وإعادة البناء من أحدث صورة ليست مثل تنفيذ تحديث لواجهة الويب، وبالنسبة إلى Discourse المستضاف ذاتيًا فإن الإصدارات المصححة هي 2026.7.0 و2026.6.1 و2026.5.2 و2026.1.6. أما مواقع Discourse المستضافة فقد كانت مصححة مسبقًا. وإذا كنت تستضيفه ذاتيًا، فأعد البناء.
الخلاصة ليست «صحّح أسرع». بل «اعرف ما يوجد فعلاً داخل الأثر الذي تنشره»، وهو سؤال مختلف عن السؤال الذي يجيب عنه الماسح الضوئي مقابل قائمة الحزم.
ما الذي غيّره الذكاء الاصطناعي هنا
استخدم الباحثون الذكاء الاصطناعي في الجزء الصعب. فشل Claude Opus 4.8 عبر جلسات متعددة في بناء استغلال فعّال عند تفعيل عشوائية تخطيط مساحة العناوين (ASLR). ثم أطلقت Anthropic نموذج Claude Opus 5 مساء 24 يوليو، فأنتج في جلسة جديدة استغلالًا فعالًا خلال ساعات.
صدر Opus 5 بضوابط تهدف إلى منعه من كتابة شيفرة استغلال ضد أهداف حقيقية. وتجاوزها الفريق بتوجيه النموذج إلى خادم اختبار خاص بهم، متنكّرًا في هيئة هدف تدريبي من نوع capture-the-flag، ثم تركه يعمل في حلقة آلية. ويؤكدون أن هذا لم يكن اختراقًا بلا أيدٍ بشرية: فالتوجيه البشري الماهر ظل مهمًا. لكن القفزة من جلسات فاشلة إلى استغلال فعّال خلال ساعات عبر إصدار نموذج واحد هي الإشارة.
بلغت التكلفة المعلنة للحملة الأوسع، التي تسميها Hacktron HEIF Heist، أقل من 3000 دولار من استخدام الذكاء الاصطناعي على مدى نحو شهرين. وقد بحثت تلك الحملة عن نفس فئة ثغرات فك ترميز الصور في برمجيات تستخدمها شركات كبيرة أخرى، مع روابط غير مؤكدة بثغرات معلنة في Slack ومنتجات Meta وGitHub Enterprise وأطر عمل مثل Next.js. وثغرة Next.js مؤكدة في إرشاد Vercel نفسه، وأكد القائمون على libheif وجود استغلال فعال للثغرة المرتبطة بـ Meta؛ أما الادعاءات الأوسع فلم تُتحقق منها جهات مستقلة. ويقول الفريق أيضًا إن شركة واحدة فقط، هي Shopify، يبدو أنها لاحظت النشاط، حتى مع تكرار انهيار معالجات الصور لديها تحت آلاف محاولات الرفع التجريبية.
ثلاثة أسئلة تطرحها هذا الأسبوع
- ما الخدمات الخارجية التي تملك أذونات دخول إلى حساباتك الأساسية؟ إذا كان منتدى تسويقي أو بوابة دعم أو أداة شريك تشارك مزوّد الهوية لديك، فهي داخل حدود ثقتك. احصرها، وتعامل مع أي شيء قادر على إصدار جلسة لحساب ذي صلاحيات باعتباره من الطبقة صفر.
- هل تحمل صورك المنشورة مكتبات أقدم من إصلاحاتها الأصلية؟ افحص الأثر قيد التشغيل، لا القائمة فقط. قارن ما هو مثبّت فعلاً مع ملاحظات الإصدار الأصلية، وأعد بناء صور الأساس وفق إيقاع يوازي سرعة الإفصاح.
- هل كنت ستلاحظ حملة مسلسلة منخفضة الضجيج؟ لاحظتها Shopify لأن معالجات صورها كانت تنهار. أما معظم الفرق فلن ترى شيئًا. والكشف الذي يراقب التوقيعات المعروفة فقط لن يلتقط باحثًا (أو مهاجمًا) يدمج ثغرتين متوسطتين في يوم سيئ جدًا.
لا شيء من هذا يتطلب بطولات. بل يتطلب التعامل مع الهوية كبنية تحتية، والأثر كغير موثوق حتى يثبت العكس، والفجوة بين الإفصاح والاستغلال كشيء يُقاس بالساعات لا بالأرباع السنوية. استغرقت سلسلة OpenAI أقل من 72 ساعة بيد حفنة من الأشخاص وميزانية ذكاء اصطناعي متواضعة. افترض أن التالية ستكون أسرع.