خلفية استغلال Grok: تحليل إساءة استخدام سلسلة صلاحيات وكيل الذكاء الاصطناعي

مقالة: فريق أمن慢雾

الخلفية

مؤخرًا، حدثت حادثة إساءة استخدام صلاحيات على سلسلة Base تتعلق بدمج وكيل الذكاء الاصطناعي ونظام التداول الآلي. قام المهاجمون من خلال إرسال محتوى معين مُصمم على منصة X إلى @grok، بتحريضه على إصدار أوامر تحويل أموال تم التعرف عليها بواسطة وكيل التداول الخارجي (@bankrbot)، مما أدى في النهاية إلى نقل الأصول الحقيقية على السلسلة.

حول “محفظة Grok” :

العنوان الذي تم تمييزه في الحدث باسم “محفظة Grok” (0xb1058c959987e3513600eb5b4fd82aeee2a0e4f9) لا ينتمي إلى السيطرة الرسمية لـ xAI. هذا العنوان هو محفظة مرتبطة تم إنشاؤها تلقائيًا بواسطة @bankrbot لحساب @grok على منصة X، والمفتاح الخاص يُحتجز بواسطة خدمة محفظة طرف ثالث تعتمد عليها Bankr، والسيطرة الفعلية تقع في يد Bankr. قامت BaseScan بتصحيح وسم هذا العنوان من “Grok” إلى Bankr 1 أو علامات ذات صلة.

()

يمتلك هذا المحفظة كمية كبيرة من DRB (حوالي 3 مليارات وحدة)، والتي تنبع أيضًا من تصميم آلية Bankr: في وقت سابق من هذا العام، استفسر أحد المستخدمين عن اقتراحات تسمية الرموز المميزة، ورد Grok بـ “DebtReliefBot” (اختصارًا DRB). بعد ذلك، قام نظام Bankr بتحليل هذا الرد كإشارة للنشر، وأطلق عملية إنشاء الرمز المميز ذات الصلة على سلسلة Base، ووفقًا لقواعد Launchpad، تم توزيع حصة المنشئ على هذه المحفظة المرتبطة.

عملية الهجوم

تتكون عملية الهجوم من مرحلتين رئيسيتين: ترقية الصلاحيات وحقن الأوامر، مما يشكل سلسلة كاملة من “مدخلات غير موثوقة → مخرجات AI → تنفيذ بواسطة وكيل خارجي → نقل الأصول”.

1. مرحلة ترقية الصلاحيات

قام المهاجم (العنوان المرتبط ilhamrafli.base.eth) بتمكين عضوية نادي Bankr من خلال آلية مركزية. هذا الإجراء فتح أدوات عالية الصلاحية لـ @bankrbot (مجموعة الأدوات الوكيلة)، مما يوفر له الصلاحيات اللازمة لتنفيذ عمليات التحويل لاحقًا.

2. مرحلة تنفيذ حقن الطلبات

أرسل المهاجم إلى @grok رمز مورس مصمم بعناية، وبعد أن قام Grok بترجمته أو فك تشفيره حسب طلب المستخدم، خرج بأوامر نصية واضحة وأرسلها إلى @bankrbot. اعتبر @bankrbot رد Grok العام أمرًا قابلاً للتنفيذ، وبدأ مباشرة عملية تحويل على سلسلة Base.

()

بعد ذلك، قام المهاجم بسرعة بتحويل DRB إلى USDC/ETH. بعد إتمام الهجوم، قام الحساب المعني بحذف المحتوى بسرعة وإغلاق الحساب.

الذكاء في الهجوم يكمن في استغلال خاصية “المساعدة” في Grok، حيث تجاوزت عملية التحقق التقليدية من مصدر الأوامر، وبنى حلقة مغلقة بين مخرجات AI والتنفيذ على السلسلة.

حالة استرداد الأموال

بعد الحادث، أظهرت تتبع المجتمع وفريق Bankr أن حوالي 80% إلى 88% من قيمة الأموال قد عادت عبر تفاوض (معظمها على شكل USDC و ETH). أما الجزء المتبقي، فوفقًا للمصادر، عُالج كبرنامج مكافآت أخطاء غير رسمي. وأكدت شركة Bankrbot علنًا تفاصيل الهجوم واتخذت إجراءات تقييدية مناسبة.

تحليل السبب الجذري

ثغرة في نموذج الثقة: قام نظام Bankrbot بربط مخرجات اللغة الطبيعية لـ Grok مباشرة بأوامر مالية قابلة للتنفيذ، دون التحقق بشكل كافٍ من مصدر الأوامر، أو نية صحتها، أو أنماط غير طبيعية (مثل رموز مورس أو ترميزات غير قياسية).

نقص في عزل الصلاحيات: تفعيل العضوية يمنح أدوات عالية الخطورة مباشرة، دون وجود تأكيد ثانوي أو قيود على الحصص.

عدم وضوح الحدود بين الوكلاء: على الرغم من أن Grok هو ذكاء اصطناعي حواري، إلا أن مخرجاته لا ينبغي أن تُعتبر مساوية لتفويض مالي، لكن طبقة التنفيذ تعتبرها موثوقة.

مخاطر معالجة الإدخال: أنظمة LLM سهلة التلاعب من خلال حقن الطلبات أو تجاوز مرشحات الأمان باستخدام ترميزات غير قياسية، وهو مشكلة معروفة، ولكن عند دمجها مع طبقة تنفيذ الأصول الحقيقية، تتضخم الخسائر بشكل كبير.

من المهم أن نذكر أن Grok نفسه لا يملك مفاتيح خاصة أو ينفذ عمليات على السلسلة بشكل مباشر، بل هو حلقة وسيطة تم استغلالها، والجهة الفاعلة الحقيقية هي نظام التداول الآلي لـ @bankrbot.

الدروس المستفادة من الأمان

هذه الحادثة تقدم دروسًا عملية مهمة لمجال الذكاء الاصطناعي + وكلاء العملات المشفرة:

يجب أن يكون إخراج اللغة الطبيعية مفصولًا بشكل صارم عن الإجراءات المالية؛

يجب إدخال عمليات عالية القيمة مع التحقق المتعدد، والتحكم في الحصص، والكشف عن الشذوذ (مثل نوع الترميز، حد المبلغ، قائمة المصادر البيضاء)؛

يجب أن تعتمد تفاعلات الوكلاء على بروتوكولات منظمة وقابلة للتحقق، بدلاً من أوامر نصية غير منظمة؛

يجب أن يُدرج تهديد حقن الطلبات في تصميم كامل لسلسلة الوكلاء، بما في ذلك الاستغلال غير المباشر لقدرات ذكاء اصطناعي آخر.

الخلاصة

هذه حادثة نموذجية تتعلق بأمان صلاحيات وكيل الذكاء الاصطناعي. على الرغم من أن Grok استُغل في حقن الطلبات، إلا أن المشكلة الأساسية تكمن في أن نظام Bankrbot يربط بشكل غير محكم بين مخرجات الذكاء الاصطناعي وتنفيذ الأصول الحقيقية على السلسلة. تقدم هذه الحالة مثالًا عمليًا قيّمًا جدًا لمجال الذكاء الاصطناعي + وكلاء العملات المشفرة، وترسل رسالة واضحة: عند منح الوكيل القدرة على التنفيذ على السلسلة، يجب إقامة حدود ثقة صارمة وآليات أمان. مستقبلًا، يتطلب تصميم البنى التحتية الأمنية تعزيزًا مستمرًا لمواجهة أنماط هجوم جديدة تتجاوز الأنظمة والحدود الدلالية.