34万 نظام النجوم يتعرض للاختراق! وكيل اكتشاف الثغرات الذكي يكشف عن ثغرة عالية الخطورة جديدة في OpenClaw

في الآونة الأخيرة، تمكنت مجموعة 360 للأمن الرقمي، بالاعتماد على نظام تعاون لاستخراج الثغرات متعدد الذكاء الاصطناعي المطوّر داخليًا من شركة 360 (يُشار إليه اختصارًا بـ: وكيل استخراج الثغرات الذكي من 360)، من اكتشاف ثغرة عالية الخطورة بنجاح في منصة OpenClaw التي حصدت 340 ألف نجمة على GitHub—ثغرة تسريب الملفات المحلية عبر حقن موجهات (Prompt Injection) في بروتوكول MEDIA بما يلتف على أذونات الأدوات. وقد تم الاعتراف رسميًا بهذه الثغرة من قبل قاعدة بيانات ثغرات أمن المعلومات الوطنية (CNNVD)، وتشمل منطقة تأثيرها أكثر من 50 دولة ومنطقة حول العالم، مع تعرض أكثر من 170 ألف مثيل من OpenClaw يمكن الوصول إليها علنًا لخطر أمني. وهذه تُعد اختراقًا آخر في مجال حفر ثغرات الوكلاء بعد الاكتشاف السابق من 360 لثغرات أمنية مرتبطة بـ OpenClaw وحصولها على رد من مؤسس OpenClaw يؤكد ذلك، مما يُبرز ريادة 360 التقنية في مجال أمن وكلاء الذكاء الاصطناعي عالميًا.

据 خبراء الأمن من 360، فإن الثغرة عالية الخطورة التي تم اكتشافها هذه المرة موجودة في وحدة معالجة الوسائط الأساسية لإصدار OpenClaw 2026.3.13، وتتميز بثلاث سمات بارزة: عتبة هجوم منخفضة، ونطاق تأثير واسع، وخطورة كبيرة. يكمن الخطر الجوهري لهذه الثغرة في أن بروتوكول MEDIA يعمل في طبقة ما بعد المعالجة (post-processing) بعد الإخراج، ويمكنه الالتفاف الكامل على التحكم بسياسات أدوات المنصة؛ وحتى إذا قام Agent بتعطيل استدعاء جميع الأدوات، يمكن للمهاجم بدء الهجوم اعتمادًا فقط على صلاحيات العضو الأساسي ضمن محادثة جماعية، ثم سرقة معلومات حساسة على الخادم مباشرة، مما يجعل من السهل جدًا إثارة هجمات شبكية لاحقة.

وبخصوص هذه الثغرة، أكملت 360 بشكل مستقل التحقق من سلسلة هجومها وإجراء الاختبارات العملية، مؤكدة بالكامل مصداقيتها وإمكانية الاستفادة منها، ووفرت دعمًا تقنيًا متخصصًا وتوصيات لإصلاح المنصة.

ومن خلال اكتشاف هذه الثغرة عالية الخطورة في OpenClaw، تأكد بصورة دقيقة من الحكم التطلعي الذي أدلى به مؤسس مجموعة 360، تشو هونغ جيه، في مقترحاته خلال الاجتماعين الوطنيين في عام 2026 بشأن اتجاهات الأمان في عصر الوكلاء الذكيين للمهاجمين. وقد أشار إلى أنه في الوقت الحالي، تطور نموذج كبير متعدد الوسائط إلى وكيل يمكنه التفكير بشكل مستقل واستخدام الأدوات بمهارة، ما يعيد كتابة قواعد صناعة الأمن جذريًا. فمن جهة، يعتمد الأمن التقليدي على مطابقة القواعد والمراجعة اليدوية، مما يجعل من الصعب اكتشاف ثغرات عالية الخطورة مخفية، كما يؤدي نقص خبراء الأمن إلى صعوبة الاكتشاف وبطء الإصلاح؛ ومن جهة أخرى، يمكن لوكيل المهاجمين شن هجمات تلقائية على مدار 7×24 ساعة، لترتقي المواجهة من “التصادم بين البشر” إلى “مواجهة غير متناظرة بين الإنسان والآلة”؛ وفي الوقت نفسه، قد تؤدي الثغرات لدى الذكاء الاصطناعي وخطر الحقن إلى تمدد التهديدات الرقمية إلى العالم المادي.

وبمواجهة تحديات الصناعة، تعمق 360 في مجال الأمن لأكثر من عشر سنوات، ودمج تقنية الذكاء الاصطناعي بشكل عميق، وأنشأت سلسلة من الوكلاء الأمنيين مثل معالجة الثغرات وتتبع مصدر الهجمات وغيرها، وطبقت هذه الحلول في مجالات مثل البنية التحتية للمعلومات الحرجة وغيرها. ومن خلال بناء منظومة دفاع استباقي باستخدام وكلاء أمنيين يمتلكون قدرات الاستشعار والتحليل والاستجابة بشكل تلقائي، يتم التصدي بدقة لتهديدات وكلاء المهاجمين.

في الوقت الذي ما زالت فيه غالبية أدوات فحص الثغرات في الصناعة عالقة بمرحلة الفحص السلبي المبني على القواعد، حقق وكيل استخراج الثغرات الذكي من 360 اختراقًا حاسمًا، ودفع استخراج الثغرات من “الاعتماد على القواعد” إلى “الاعتماد على التفكير الذكي”. في عملية استخراج ثغرات OpenClaw هذه، يتم جدولة النظام بواسطة وكيل المراقب بشكل موحد؛ وتعمل معًا مجموعة من الوكلاء المتخصصين مثل تحليل سطح الهجوم، ومراجعة كود الذكاء الاصطناعي (AI code审计)، واختراق ديناميكي (dynamic渗透) لتكوين نظام لاستخراج الثغرات بشكل معياري وبحلقة مغلقة. ومن بينها، يقوم وكيل تحليل سطح الهجوم بتحديد جميع نقاط الدخول الخاصة بالعمل، ويقوم محرك القواعد بتثبيت نقاط الخطر بدقة؛ أما وكيل مراجعة كود الذكاء الاصطناعي فيخترق سلاسل الاستدعاء المعقدة عبر الملفات وعبر الوحدات، ويكشف بدقة عن ثغرات مخفية يصعب على الأدوات التقليدية الوصول إليها.

يحوّل المسار بأكمله خبرات المواجهة والهجوم لدى خبراء أمن من المستوى المتقدم إلى قدرات تشغيل معيارية للوكلاء، محققًا دفعًا فعّالًا لاستخراج الثغرات من الاكتشاف والتحقق وحتى إخراج حلول المعالجة، مع تحديد دقيق وسريع للثغرة الأمنية عالية القيمة في OpenClaw.

في المستقبل، ستواصل 360 ترقية قدرات تقنيات استخراج ثغرات الذكاء الاصطناعي (AI)، وستعمل بفعالية على دفع التطبيق واسع النطاق لوكلاء الأمن في المزيد من المجالات الناشئة، لضمان التنمية عالية الجودة لصناعة الذكاء الاصطناعي في عصر الاقتصاد الذكي.

(المحرر: يانغ يوندون)

【إخلاء المسؤولية】هذا المقال يعبر فقط عن آراء طرف ثالث، ولا يمثل موقف شبكة Hexun. يتحمل المستثمرون المسؤولية عن أي تصرفات يقومون بها وفقًا لذلك، وتتحملون أنتم مسؤولية المخاطر.

	 【إعلان】يعبر هذا المقال فقط عن آراء المؤلف نفسه، ولا علاقة له بشبكة Hexun. تحافظ شبكة Hexun على الحياد تجاه ما ورد من تصريحات وتقييمات للآراء في النص، ولا تقدم أي ضمان صريح أو ضمني بشأن دقة أو موثوقية أو اكتمال المحتوى المتضمن. يُرجى من القراء الاكتفاء بالمعلومات كمرجع فقط، وتحمل المسؤولية الكاملة بأنفسهم. البريد الإلكتروني: news_center@staff.hexun.com

الإبلاغ