كيف يمكن لمستودع شخص آخر اختطاف Claude Code: سبع قواعد للحماية

وثائق Ailoot: واجهة API والمفاتيح والإعداد.

أربعة مسارات موثقة من نص غير موثوق إلى إجراءات الوكيل#

يُسمى هذا رسميًا حقن التعليمات غير المباشر: لا تأتي التعليمة الخبيثة منك مباشرة، بل عبر بيانات يعالجها الوكيل أثناء تنفيذ مهمة، مثل ملف README تابع لجهة أخرى، أو رسالة خطأ، أو تعليق على GitHub، أو استجابة من خدمة خارجية. يمكنك نسيان المصطلح بعد هذه الفقرة؛ فمن الآن فصاعدًا سأستخدم لغة بسيطة.

أربعة أمثلة بحثية يناقشها المقال:

1. أظهر مستودع يبدو بريئًا كيف يمكن أن يتحول إلى غلاف عكسي.
2. أظهر عنوان طلب سحب إمكانية اختطاف ثلاثة وكلاء ذكاء اصطناعي مختلفين في الوقت نفسه.
3. أظهر مثال وكيلًا يقبل تقرير خطأ مزيفًا من Sentry بدلًا من تقرير حقيقي.
4. يوضح معيار MCPTox تأثير البيانات الوصفية المسمومة لأدوات MCP، مع اختلاف النتائج حسب النموذج والإعداد.

كيف يتحول ملف README في مستودع يبدو بريئًا إلى غلاف عكسي؟#

يعرض إثبات 0DIN للمفهوم المنشور في 25 يونيو 2026 هذه الآلية، المصممة بحيث لا تبدو أي طبقة منفردة مثيرة للريبة:

1. تستنسخ مستودعًا يبدو عاديًا وتطلب من Claude Code تشغيله.
2. يستدعي المستودع حزمة Python مصممة للفشل عند استخدامها للمرة الأولى.
3. تقترح رسالة الخطأ بلطف أمر «إصلاح»: python3 -m axiom init.
4. يشغّل الأمر init الملف setup.sh.
5. يستعلم البرنامج النصي عن سجل DNS TXT (يُستخدم عادةً لملاحظات تتعلق بالنطاقات، لكن الحقل يقبل أي نص). يضع المهاجم فيه أمرًا مشفرًا بترميز base64 (طريقة لتحويل أي بيانات إلى نص عادي من دون مسافات أو أحرف خاصة)، ثم يمرره مباشرة إلى bash.
6. يمكن تغيير قيمة سجل DNS في أي وقت، ما يمنح المهاجم غلافًا عكسيًا تفاعليًا بصلاحيات المستخدم وإمكانية الوصول إلى جميع الأسرار على الجهاز.

جُلبت الحمولة المعروضة وقت التشغيل من DNS؛ لذا لم يكشف فحص بايتات المستودع وحدها الحمولة النهائية. لا يثبت ذلك عجز كل ماسح أو تحكم وقت التشغيل؛ فقد يكشف فحص المحتوى المجلوب ومراقبة العمليات وقيود الشبكة السلسلة أو يقطعها. المصدر إثبات مفهوم، وليس قياسًا لشيوع حوادث فعلية.

كيف اختطف عنوان طلب سحب ثلاثة وكلاء ذكاء اصطناعي مختلفين؟#

أظهر أسلوب مُعلن جوهر المشكلة بهذه الطريقة:

يصف الباحث هذه المسارات والاستجابات؛ وهذا تقرير تاريخي، وليس تحققًا من كل إصدار حالي للمنتجات:

مرّ نحو خمسة أشهر بين أول وآخر تقرير في دورة الإفصاح هذه (كان أول تقرير عن Claude Code في 17 أكتوبر 2025، وآخر إصلاح لخلل في GitHub Copilot في 9 مارس 2026). لا يثبت تغير الخطورة ووسائل الحد إغلاق كل حمولة محتملة بالكامل. يوثق مستودع إثبات المفهوم للباحث مسار Claude المعروض؛ ولا تشغل حمولة الهجوم على أنظمة حقيقية. تكمن الفائدة لك في نمط الهجوم نفسه: تدخل بيانات غير موثقة من GitHub إلى الوكيل، وينفذ الوكيل الأوامر، ثم تتسرب الأسرار عبر GitHub نفسه؛ ولا يحتاج المهاجم إلى خادم خارجي.

يكفي تحليلان لرؤية النمط: لا يمكن عمليًا إصلاح كل اكتشاف جديد على حدة؛ فثغرات من هذا النوع تظهر كل أسبوعين. وكتابة قواعد الأمان صراحةً في CLAUDE.md وsettings.json بدلًا من حفظها في ذهنك جزء من هندسة السياق: تضبطها مرة واحدة، فتعمل تلقائيًا في كل جلسة Claude Code جديدة من دون تذكير. تعمل ثلاثة ركائز معًا: استنساخ الذكاء الاصطناعي + Second Brain + هندسة السياق؛ فهذا المزيج يحول Claude Code من منفذ يثق بكل شيء إلى وكيل له قواعد صريحة.

هل يمكن لتقرير خطأ مزيف من Sentry أن يستولي على وكيلك؟#

لا يتطلب الهجوم سوى مفتاح DSN من Sentry، وهو معرّف عام تدرجه مشاريع كثيرة مباشرةً في الشيفرة البرمجية من جهة العميل:

الآلية بسيطة: يطلب مطور من الوكيل فحص أخطاء Sentry المفتوحة؛ فيطلبها الوكيل عبر خادم MCP، ويتلقى حدثًا خبيثًا ممزوجًا بأحداث حقيقية، ثم يقرأ الأمر المضمّن فيه باعتباره تعليمات موثوقة لإصلاح الخطأ، لأن هذا هو بالضبط ما طُلب منه رسميًا.

يفيد تقرير Agentjacking من Tenet بأن الضوابط القائمة لم تنبه في البيئات المختبرة. لا يثبت ذلك تنفيذًا بلا آثار في كل نشر؛ فقد تسجل سجلات الوكيل والأدوات وقياسات الأجهزة والشبكة الإجراءات اللاحقة. يبدأ الهجوم بقياسات مرسلة من الخارج ثم يعتمد على أدوات الوكيل وأذوناته الفعلية.

لماذا لا يقل خطر وصف أداة MCP عن خطر مطالبة النظام؟#

صياغة Microsoft هي الأدق التي وجدتها في هذا الموضوع:

تسمى هذه التقنية تسميم الأدوات: إذ تجعل تعليمات مخفية في وصف أداة تبدو غير ضارة الوكيل يتصرف وفقها.

حقق Claude 3.7 Sonnet أفضل أداء من حيث مقاومة الهجوم في هذا الاختبار، لكنه رفض اتباع تعليمات مسمومة في أقل من 3% من الحالات؛ وحتى أفضل النماذج يعتمد في مقاومته على الحظ أكثر من اعتماده على الحماية. تخص ملاحظة ارتباط القدرة بالتعرض نماذج هذا الاختبار وإعداده؛ ولا تثبت أن كل تحسن في اتباع التعليمات يضعف التمييز بين المصادر الموثوقة وغير الموثوقة.

ما المشترك بين هذه الهجمات، وما الذي قد يفوت الكشف؟#

ينطبق الاستنتاج على النتائج الأربع جميعها: لا يمكنك الاعتماد على أن «الشيفرة تبدو عادية»؛ فكل خطوة منفردة في الهجوم غير ضارة فعلًا. قيّد قدرات الوكيل الفعلية وافحص إجراءاته المقترحة؛ فالكشف والاحتواء يعالجان جزأين مختلفين من الهجوم.

ما وسائل الحماية الموجودة بالفعل في Claude Code، ولماذا لا تكفي؟#

تقر Anthropic بالمشكلة مباشرةً في وثائقها، بدلًا من إخفائها:

وفقًا للوثائق، يحلل الوكيل المطالبة كاملةً بحثًا عن تعليمات مشبوهة، ولا يوافق تلقائيًا على curl وwget، ويبقي محتوى الويب في نافذة سياق منفصلة كيلا يختلط بالسياق الرئيسي، ويطلب تأكيد الثقة عند التشغيل لأول مرة في قاعدة شيفرة جديدة أو الاتصال بخادم MCP جديد.

لكن هناك تحذيرًا قاطعًا تصرّح به Anthropic بوضوح:

إذا سبق أن شغّلت Claude Code باستخدام --dangerously-skip-permissions بدافع الانزعاج كي «يكف عن إزعاجك بالأسئلة»، فقد أوقفت عندها كل الآليات التي كان بإمكانها إيقاف الهجمات الأربع المذكورة أعلاه تحديدًا. أُبقي هذه العلامة معطلة عمدًا، حتى عندما يسألني Claude Code للمرة العاشرة في الجلسة؛ الأمر مزعج، لكن تلك الأسئلة هي الحد الفاصل بين «قرأ الوكيل نصًا مشبوهًا» و«نفّذه الوكيل». الإعداد المعقول لغير المبرمج هو وضع الأذونات القياسي (default أو acceptEdits) مع تفعيل وضع العزل: تُجرى تعديلات الملفات العادية من دون أسئلة إضافية، بينما تعجز أوامر الطرفية فعليًا عن الخروج من بيئة العزل حتى لو خُدع الوكيل.

كيف تفعّل وضع العزل وتسُد الثغرة التي يتركها مفتوحة افتراضيًا؟#

لتفعيله بشكل دائم في جميع المشاريع، أجرِ تغييرًا واحدًا في ~/.claude/settings.json:

{
  "sandbox": { "enabled": true }
}

افتراضيًا، لا تستطيع الأوامر المعزولة الكتابة إلا في مجلد عمل المشروع والمجلد المؤقت للجلسة. ويمر الوصول إلى الشبكة عبر وكيل وسيط؛ فلا توجد نطاقات مسموح بها مسبقًا، وسيطلب Claude Code التأكيد عند الاتصال بنطاق جديد للمرة الأولى. وتقول Anthropic إن هذا يقلل طلبات الأذونات بشكل حاد، بنسبة 84% وفق قياسات الشركة الداخلية، لأن وضع العزل يتولى بعض الحالات الآمنة بنفسه بدلًا من سؤالك في كل مرة.

الثغرة التي تتركها الإعدادات القياسية مفتوحة هي أن وضع العزل يقيّد الكتابة افتراضيًا، لكنه لا يمنع قراءة ملفات مثل ~/.aws/credentials و~/.ssh. وهذه تحديدًا الملفات ومتغيرات البيئة المستهدفة في الهجمات المذكورة أعلاه. سد هذه الثغرة بإضافة كتلة منفصلة في الملف نفسه:

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

المقصود أن هذه المتغيرات والملفات تُزال فعليًا من بيئة العملية قبل أن تبدأ، حتى لو فُتح الغلاف العكسي الوارد في التحليل الأول داخل بيئة العزل؛ إذ لن يتبقى شيء لسرقته.

ما قواعد permissions.deny التي ينبغي إضافتها اليوم؟#

مجموعة أساسية لغير المبرمج تغطي أهم أهداف الهجمات الأربع جميعها:

{
  "permissions": {
    "deny": [
      "Read(~/.ssh/**)",
      "Read(~/.aws/credentials)",
      "Read(.env)",
      "Bash(curl *)",
      "Bash(wget *)",
      "Bash(sudo *)"
    ]
  }
}

وفقًا لوثائق Claude Code، تكون الأولوية دائمًا لقواعد deny على قواعد allow. لذلك، حتى إذا سمحت أنت أو الوكيل خطأً بإمكانية وصول أوسع في موضع آخر، تظل قاعدة deny المحددة سارية أولًا. تنطبق أولوية القواعد على طلبات الأدوات المطابقة. ولا تثبت استحالة وصول كل عملية فرعية أو أداة إلى سر؛ استخدم قيود نظام ملفات وبيئة مفروضة أيضًا.

يحتوي Claude Code أيضًا على وضع auto، حيث يفحص نموذج تصنيف منفصل الإجراءات قبل تنفيذها؛ وهو ليس النموذج نفسه الذي يتحدث معك. ويحظر افتراضيًا، ضمن أمور أخرى، نمط «نزّل الشيفرة ثم نفّذها فورًا» (curl | bash)، وهو النمط الذي ينتهي به الهجوم الأول المذكور أعلاه. وتحذر Anthropic صراحةً من أن هذا وضع بحثي يقلل عدد المطالبات لكنه لا يضمن السلامة بمفرده؛ لذا اعتبره طبقة إضافية، لا بديلًا عن وضع العزل وpermissions.deny.

كيف تتحقق من مستودع وخادم MCP قبل أن تثق بهما وتكلف وكيلك باستخدامهما؟#

إليك قائمة قصيرة للتحقق منها قبل تسليم المستودعات إلى الوكيل:

1. لا تنتقل مباشرةً إلى التثبيت من رابط في بريد إلكتروني أو منشور أو مراجعة مصدرها غير معروف؛ فهذه إحدى طرق توزيع المستودعات.
2. إذا ظهر أثناء التثبيت خطأ يتضمن توجيهًا مثل «شغّل الأمر X لإصلاحه»، فاقرأ ما يفعله X فعلًا قبل السماح لـ Claude Code بتشغيله. بدا التوجيه في التحليل أعلاه اعتياديًا تمامًا؛ وهذا هو المقصود.
3. تحقق من عمر المستودع وسجل تعديلاته، لا من عدد نجومه فقط؛ فمن السهل إضافة نجوم مزيفة إلى المستودعات المنشأة حديثًا خصيصًا لهذا النوع من الهجمات.
4. إذا كان المستودع غير مألوف، فنفّذ التثبيت في جهاز افتراضي، لا على جهاز عملك الذي يحتوي على مفاتيح حقيقية. هذه توصية مباشرة من Anthropic عند العمل مع الخدمات الخارجية.

موقف Anthropic من خوادم MCP معلن بوضوح:

وهذا يعني أن مسؤولية التحقق من خوادم MCP التابعة لجهات أخرى تقع عليك، لا على المنصة التي ثبّتها منها. تعمل بعض الفرق، ومعظمها شركات ناشئة في مجال الأمن، على بناء أدوات لهذا الغرض بالفعل: ماسحات لإعدادات MCP تبحث عن الأوصاف المسمومة، وميزة «تثبيت» الأدوات التي تحفظ تجزئة الوصف عند التثبيت الأول وتنبّه إلى أي تغيير لاحق. لا تزال هذه التقنيات حديثة، ومن المبكر الاعتماد عليها بوصفها وسيلة الحماية الوحيدة، لكن يجدر متابعتها، خصوصًا إذا كنت توصل خوادم MCP ببيئة الإنتاج. ويمكنك تثبيت إصدار كل حزمة وتسجيل بصمة أوصاف الأدوات في سجل تدقيق لهذه الاتصالات.

7 قواعد للحماية: قائمة التحقق اليوم#

1. فعّل وضع العزل (/sandbox أو "sandbox": {"enabled": true} في ~/.claude/settings.json) وأضف كتلة credentials تمنع قراءة ~/.ssh و~/.aws/credentials.
2. أضف قواعد permissions.deny لمنع قراءة الملفات السرية وتنفيذ أوامر bash الخطيرة (curl وwget وsudo)؛ فقواعد deny تتغلب دائمًا على قواعد allow.
3. لا تستخدم مطلقًا --dangerously-skip-permissions مع شيفرة تابعة لجهة أخرى أو غير متحقق منها؛ فهذا يعطل جميع وسائل الحماية دفعة واحدة، بما فيها ما كان يمكن أن يمنع هذه الهجمات تحديدًا.
4. لا تسمح لـ Claude Code بتشغيل أمر «إصلاح» تلقائيًا من رسالة خطأ؛ اقرأ أولًا ما يفعله الأمر فعلًا.
5. ثبّت خوادم MCP من مصادر تثق بها فقط، وتذكر أن Anthropic لا تفحص أمانها نيابةً عنك.
6. افصل الجلسات حسب الأذونات: تتعامل إحداها مع بياناتك الشخصية ولا ترى بيانات خارجية؛ وتفحص ثانية رسائل البريد والمستودعات والتذاكر التابعة للآخرين، لكنها لا تصل إلى الأسرار؛ وتنشر ثالثة إلى الخارج، وفقط ما وافقت عليه بنفسك. أطبق هذا الفصل بصرامة في مشاريعي: الجلسة التي تصل إلى مفاتيح الدفع لا تقرأ تذاكر أو مستودعات خارجية عشوائية، والجلسة التي تحلل شيفرات الآخرين لا ترى الأسرار إطلاقًا. لا تخلط هذه الأدوار في محادثة واحدة.
7. حدّث Claude Code ونصوص الأتمتة المتصلة به باستمرار؛ فقد أُغلقت معظم الثغرات التي نوقشت هنا بتحديثات إصلاحية وقت نشر هذا الدليل، وتُعالج الثغرات الجديدة بالطريقة نفسها.

ما الخطوة التالية؟#

لا تضمن أي من هذه الطبقات الحماية الكاملة؛ وتقول Anthropic نفسها بصدق إنه لا توجد وسيلة حماية توفر مناعة تامة. لا أتوقع أن يتعرف Claude Code بنفسه على حيلة مخبأة في رسالة خطأ أو تعليق على issue. بالنسبة إليّ، يشكل وضع العزل وpermissions.deny جزءًا من طريقة إدارة سياق المشروع: ما يراه الوكيل، وما يثق به افتراضيًا، وما يحدث عندما يرتكب خطأً.

إذا كنت تحتاج إلى الوصول إلى الشبكات العصبية عبر Ailoot، فألقِ نظرة على Ailoot.