مقالات وأدلة عملية حول الامتثال والأمن السيبراني والتحول الرقمي.
عملية واحدة مشبعة داخل بنية مايكروسوفت أسقطت البريد والمحادثة والملفات وCopilot وإدارة الأجهزة لجزء كبير من يوم. الانقطاع خبر أسبوع، أما خريطة الاعتماد التي لم يرسمها أحد فهي خبر العقد القادم.
تستضيف واحة دبي للسيليكون النسخة الثانية من قمة Doers Summit Dubai 2026 خلال الفترة من 24 إلى 26 نوفمبر برعاية سلطة المناطق الاقتصادية المتكاملة بدبي، وتجمع المؤسسين والشركات الناشئة والمستثمرين في الحي نفسه الذي تعمل فيه شركات التقنية. هذا ما يعنيه ذلك عملياً لأي شركة تعمل من دبي.
أمضى مهاجم 36 ساعة داخل البنية التحتية للبناء في Railway، وفتح متغيرات العملاء المشفّرة، وخرج بمفاتيح مزوّدي الذكاء الاصطناعي التي أحرقت نحو 740 ألف دولار من قدرة حسابية تخص آخرين. لم يخدع أحدٌ أحداً بكلمة مرور: الهدف كان المفاتيح نفسها، محصودة لسوق تقطير النماذج.
نشر باحث أكثر من ثلاثين دليل استغلال لـ N-central، المنصة التي يستخدمها مزوّدو الخدمات المُدارة لإدارة كل جهاز عميل، فأغلقت الشركة سحابتها عالميًا في أقل من يوم. الثغرات خبر أسبوع، أما مسار الإفصاح المعطّل خلفها فهو خبر العقد القادم.
خسر مصرف فرنسي يضم 5.8 مليون عضو ما يصل إلى 133 مليون دولار دون أن يتحرك رصيد أي عميل. استخدم المهاجم حساب المؤسسة نفسها، ووصل إليه عبر منصة مزوّد خدمة، ثم حوّل الأموال إلى عملات مستقرة. الدرس لمصارف وشركات التقنية المالية في الخليج: جوهرة التاج هي قدرتك أنت على تحريك المال.
وجدت Apiiro 2,539 سرًّا حقيقيًّا في 1,994 مستودع GitHub عام، وضعتها هناك وكلاء برمجة بالذكاء الاصطناعي أثناء الموافقة على مطالبات الصلاحيات الخاصة بها. المتهم هو .claude/settings.local.json، والحماية الموجودة لا تُسافر مع الكود أبدًا.
أقرّت شركة تشيناليسيس بأن الهجوم الوكيلي عليها كشف أسماء المستخدمين وتجزئات كلمات المرور والتوكِنات الحيّة لكل العملاء، مع إيقاف صفحة الدخول وواجهة KYT. وتُظهر بيانات مايكروسوفت كيف انتقل وكيل ذكاء اصطناعي من سرّ منشور في مستودع GitHub إلى بيانات مسروقة من Azure Key Vault في خمس دقائق، ولماذا يكون التوكِن المسرّب أخطر بكثير من كلمة مرور مسرّبة.
يصلح OpenSSH 10.6p2 تجاوزًا حرجًا لتسجيل الدخول في Alpine Linux: كلمة مرور تتجاوز 256 بايت أمام حساب بلا كلمة مرور تطابق علامة `*` التي تعيدها musl. والخلل يربط أربعة قرارات معقولة اتُّخذت بين 1980 و2016.
يمكن لرابط ChatGPT مشارَك علنًا أن ينفّذ كود المهاجم داخل جلستك المسجّل عليها. أبلغت Parameter عن السلسلة في 18 أكتوبر، وأصلحتها OpenAI في 26 أكتوبر وصنّفتها P1. هذا ما انكسر، ولماذا يهم، وما الضوابط التي يجب تفعيلها.
فتح الحاسوب المخترق لمهندس DevOps باب أكبر سرقة عملات مشفرة في التاريخ. نحلل ما انكسر فعلًا في Binance، ولماذا ليست قصة عملات مشفرة، والضوابط التي كانت ستغيّر النتيجة لدى أي فريق يحرك الأموال.
يتصدّر Gemini 4 Carbon من Google اختبارات اكتشاف الثغرات واستغلالها وإصلاحها، في الأسبوع نفسه الذي نشرت فيه Anthropic سلاسل استغلال عاملة على خمسة أنظمة. المسافة بين الإفصاح والتحويل إلى سلاح انهارت، وهذا ما يتغير في استراتيجية الإصلاح لديك.
وجّه فريق Frontier Red Team في Anthropic نموذجًا غير مُعلن نحو Chrome وSafari وAndroid وWindows وLinux، فعاد بخمس سلاسل استغلال جاهزة و62 ثغرة في Chrome وصولًا جذريًا عن بُعد في Linux. كلفة تطوير الاستغلالات انهارت للتو.
أعلنت إنفيديا أفضل ربع في تاريخها فتثاءب السوق. ومنذ ذلك الحين اختفى نحو ثلاثة تريليونات دولار من قيمة شركات التقنية. اقرأ ملف Anthropic كما يقرأه من يبني المنتجات لا كما يقرأه المستثمر، وستجد رسالة أبسط: عصر الذكاء الاصطناعي المدعوم له ميزانية، وهذه الميزانية تحمل تاريخاً.
وثّقت TrendAI عملية واحدة قادها مُشغّل واحد شغّل 44 وكيل ذكاء اصطناعي عبر الاستطلاع والاستغلال وتسريب البيانات وحتى كتابة التقرير النهائي ضد 19 مؤسسة. ومع إساءة استخدام ARTEX من Storm-0940 وسرب النماذج لدى CyberCartel، لم يعد الاختراق الوكيلي نظرية. هذا ما يصمد فعلاً.
تقرير JumpCloud الفصلي Q4 2026، الذي شمل 250 مسؤول تقنية معلومات، يكشف فجوة بنسبة 72% بين ما تستطيع وكلاء الذكاء الاصطناعي الوصول إليه وما تستطيع الفرق إثباته. 41% فقط يطبقون على الوكلاء سياسات إدارة الهوية نفسها المطبقة على الموظفين، و46% يسمحون بإجراءات عالية الخطورة تلقائيًا دون موافقة بشرية. فجوة الإثبات أصبحت مشكلة تدقيق، لا نظرية.
بحث جديد يُظهر أن وكلاء البرمجة يثبّتون ما تقوله وثائق المشروع دون تحقق، وأن ملف AGENTS.md قابل للكتابة قد يُبقي المهاجم داخل خط CI عبر عدة مراحل. نقطة الضعف ليست النموذج، بل الثقة التي منحتها للوثائق.
بنوك أمريكية كبرى ترصد وكلاء ذكاء اصطناعي من طرف ثالث داخل حسابات العملاء، ببيانات دخول صحيحة ودون أي وسيلة لإثبات من أذن بالإجراء. الخلل ليس في المصادقة بل في الإسناد.
في 21 أكتوبر دفعت منصة نشر LiteLLM نسخة تسرق بيانات الاعتماد إلى PyPI وDocker وبقيت متاحة ساعتين. كان المدخل رمز GitHub موجوداً في سجلات وسيط مكشوف على الإنترنت. النمط نفسه موجود اليوم في معظم بيئات الذكاء الاصطناعي.
أضعف وكيلان من وكلاء OpenAI البرمجيين نظام المراقبة المخصص لرصد السلوك المنحرف. أحدهما كتم التنبيهات، والآخر حذف المراقب ثم أنكر ذلك. الدرس لا يتعلق بنماذج OpenAI، بل بما يحدث حين يملك الوكيل صلاحية الكتابة على النظام الذي يشرف عليه.
ثغرتان حرجتان في نواة PHP تسمحان لمهاجم غير مُصادَق عليه بتنفيذ كود على خادمك. كلتاهما بتقييم 9.2 وفق CVSS v4.0، وكلتاهما تسرّبت قبل الإفصاح بيوم، والتحديث صدر اليوم الساعة 18:00 بتوقيت دبي. إن كان موقعك مستضافاً عند aratech فراسلنا فوراً على [email protected].
