كشف باحثون أمنيون في 11 أغسطس عن تقنية تقوّض تدريب الرفض في وكلاء البرمجة المعتمدين على الذكاء الاصطناعي عبر تقسيم تعليمات خبيثة إلى شظايا تُسلَّم من خلال خادم Model Context Protocol متصل. وارتفع متوسط الامتثال عبر 11 نموذجًا جرى اختبارها عبر واجهة برمجة التطبيقات من 42% إلى 82%.
لماذا ينجح التجزئة
تُقيِّم فحوص السلامة رسالة واحدة. لا تمثل أي شظية منفردة طلبًا لسرقة أي شيء — فكل منها مجرد قيمة حقل بريئة على أداة اسمها integrity_checker تضم أربعة معاملات باهتة. ولا تظهر التعليمات إلا بعد أن يجمع الوكيل الأجزاء، وعندها يكون قد اجتاز بالفعل خطوة الرفض.
النتائج تختلف باختلاف النموذج
انتقلت GPT-4o وGemini 2.0 Flash وLlama 3.3 70B جميعًا من 0% إلى 100%. وامتثلت GPT-5.4 بنسبة 90% داخل Cursor وبنسبة 100% في Codex CLI، لكنها سجلت 0% خلف Claude Code — ما يعني أن بيئة التشغيل كانت مهمة بقدر أهمية النموذج. وحافظت Claude Haiku 4.5 على 0% عبر واجهة برمجة التطبيقات، لكنها بلغت 100% في نسخة من ثلاث شظايا داخل Cursor. وشملت الملفات التي جرى أخذها أثناء الاختبار .ssh/id_rsa و.env وcustomers.csv ومصدرًا مملوكًا.
ما الذي يتطلبه الهجوم
يفترض نموذج التهديد أن المطوّر قد ربط بالفعل خادم MCP الخاص بالمهاجم وأن الوكيل يملك صلاحية قراءة الملفات. هذا ليس استيلاءً عن بُعد على وكيل عشوائي؛ بل هو مشكلة في سلسلة التوريد داخل منظومة لا يتطلب فيها إضافة خادم سوى تغيير في الإعدادات بسطر واحد.
الحالة
إنه إثبات مفهوم بحثي مع تنفيذ مرجعي متاح للعامة. ولا توجد أي أدلة على استغلاله في الواقع ولا توجد CVE حتى وقت النشر؛ ولا يزال الإفصاح المنسق جارياً.
ما الذي يقلّل فعليًا نطاق الضرر
لا يصلح تدريب الرفض الأفضل هذه الثغرة. إن تقليل نطاق الوصول إلى الملفات لكل أداة، واشتراط موافقة صريحة قبل أن يقرأ الوكيل ما هو خارج دليل العمل، وتثبيت الخوادم التي يجوز للمشروع تحميلها أصلًا — أي التعامل مع الخوادم المتصلة على أنها مدخلات غير موثوقة — هو ما يحد من الضرر.