تحذير أمني.. ثغرة خطيرة في أداة Gemini CLI من جوجل تهدد المطورين
تاريخ النشر: 1st, August 2025 GMT
كشفت شركة Tracebit المتخصصة في الأمن السيبراني عن وجود ثغرة أمنية خطيرة في أداة Gemini CLI، التي أطلقتها جوجل في 25 يونيو لمساعدة المطورين على كتابة التعليمات البرمجية باستخدام تقنية Google Gemini مباشرة عبر سطر الأوامر.
الثغرة تنفذ أوامر خبيثة لسرقة بيانات المطوريم دون علمهموفقا لـ Tracebit، تم اكتشاف الثغرة بعد يومين فقط من إطلاق الأداة، حيث تجمع بين ضعف في التحقق من صحة الأوامر، وهجوم حقن الأوامر Prompt Injection، وتجربة مستخدم مضللة
كل ذلك مكن المهاجمين من تنفيذ تعليمات برمجية ضارة بصمت، بمجرد قيام المستخدم بفحص شيفرة غير موثوقة، مما يسمح بسرقة بيانات الاعتماد والمعلومات الحساسة من جهاز المطور وإرسالها إلى خوادم خارجية، دون علمه.
وقد أوضحت Tracebit في مدونة تقنية الطريقة التي يمكن من خلالها استغلال الثغرة، مشيرة إلى أن الهجوم قد لا يكتشف بسهولة من قبل الضحية بسبب طبيعة تنفيذ الاستغلال في الخلفية.
إفصاح واستجابة جوجلأبلغت Tracebit شركة جوجل عن الثغرة عبر برنامج Bug Hunters في 27 يونيو، أي بعد يومين فقط من إطلاق الأداة.
في البداية، صنفت جوجل الثغرة كـ أولوية منخفضة، لكنها عدلت التصنيف إلى P1, S1 (الأعلى خطورة وأولوية) في 23 يوليو بعد تبين خطورتها.
وفي 25 يوليو، أطلقت جوجل تحديثا جديدا (الإصدار 0.1.14) يتضمن إصلاحا للثغرة، وأعلنت عنه رسميا في 28 يوليو بعد الاتفاق مع الباحثين الأمنيين.
خلال الفترة التي امتدت لنحو شهر بين إطلاق الأداة وإصدار التحديث، لوحظ أن عدة باحثين أمنيين اكتشفوا بعض عناصر الثغرة بشكل مستقل.
كيف يؤثر ذلك على المستخدمين؟ وما هو الحل؟
يمنع التحديث الجديد تنفيذ الأوامر بشكل خفي، حيث يعرض للمستخدمين تحذيرات صريحة في حال محاولة تنفيذ شيفرات ضارة، ويتطلب منهم الموافقة اليدوية على تشغيل أي ملفات تنفيذية إضافية.
كما أكدت جوجل أن الأداة الآن تعتمد على نموذج أمني متعدد الطبقات يشمل:
- تشغيل الأوامر داخل بيئات معزولة Sandboxing عبر أدوات مثل Docker وPodman.
- تحذيرات بارزة باللون الأحمر في حال تعطيل العزل.
- حاويات معدة مسبقا لتأمين تنفيذ الأوامر بشكل تلقائي دون تعريض النظام للخطر.
كما أكدت Tracebit على أهمية التحقق دائما من الشيفرة غير الموثوقة، وخاصة مع الانتشار الواسع لأدوات الذكاء الاصطناعي في بيئة تطوير البرمجيات. ودعت المستخدمين إلى:
- تحديث الأداة فورا إلى الإصدار الأخير
تفعيل ميزات العزل sandboxing عند العمل مع مصادر غير معروفة
المصدر: صدى البلد
إقرأ أيضاً:
المعلمون في خطر.. خاصية جديدة في "تشات جي بي تي" تشرح الدروس
قررت شركة "أوبن إيه آي" المالكة لنظام الدردشة "تشات جي بي تي" إطلاق خاصية جديدة تدعى "وضع الدراسة" تتيح شرح الدروس للطلاب والأكاديميين من دون الحاجة إلى معلم، كما تحد من عمليات الغش الأكاديمي.
ووفقا لصحيفة "الغارديان"، فإن الميزة الجديدة، صُممت لتكون أداة فعالة في المساعدة على حل الواجبات، والتحضير للامتحانات، وتعلم مواضيع جديدة، كما أنها قادرة على التفاعل مع الصور، ما يسمح باستخدامها في تحليل اختبارات سابقة عند تحميلها.
وتهدف خاصية "وضع الدراسة" إلى الحد من استخدام ChatGPT كأداة لتوليد الإجابات الجاهزة، حيث أوضحت الشركة أن الأداة لا تكتفي بتقديم الحلول، بل تركز على مساعدة الطلاب في فهم المفاهيم وتطوير قدراتهم. ومع ذلك، تبقى إمكانيات تجاوز هذا النمط قائمة إذا اختار الطلاب تجاهل الميزة.
وأفادت أوبن إيه آي بأن أكثر من ثلث الشباب في سن الدراسة الجامعية في الولايات المتحدة يستخدمون تشات جي بي تي، مع الإشارة إلى أن نحو ربع رسائلهم عبر الروبوت تتعلق بالتعلم أو التعليم الخصوصي أو أداء الواجبات المدرسية.
وقالت جاينا ديفاني، المسؤولة عن التعليم الدولي لدى تشات جي بي تي في الولايات المتحدة، إن الشركة لا ترغب في أن يُساء استخدام الروبوت من قبل الطلاب، وتعتبر هذه الأداة "خطوة نحو تشجيع الاستخدام الأكاديمي البنّاء لتشات جي بي تي".
واعترفت ديفاني بأن معالجة الغش الأكاديمي ستتطلب "محادثة على مستوى الصناعة بأكملها" بشأن تغيير أساليب التقييم ووضع "إرشادات واضحة جدا حول ما يعد استخداما مسؤولا للذكاء الاصطناعي".
وقالت إن الوضع الجديد صُمم لتشجيع المستخدمين على التفاعل مع المواضيع والمشكلات بدلا من تقديم الإجابة فورا، وتابعت: "إنه يوجهني نحو الإجابة بدلا من إعطائها لي مباشرة".
وأشارت أوبن إيه آي إلى أنها تعاونت مع معلمين وعلماء وخبراء تعليم لتطوير هذه الأداة، لكنها حذرت من احتمال وجود "سلوك غير متسق وأخطاء عبر المحادثات".
ويأتي هذا التطوير في وقت كشفت فيه دراسة لصحيفة "ذا غارديان" عن تسجيل ما يقرب من 7000 حالة غش مثبتة باستخدام أدوات الذكاء الاصطناعي في الجامعات البريطانية خلال عام 2023-2024، ما يعادل 5.1 حالات لكل ألف طالب، مقارنة بـ1.6 فقط في العام السابق.
حسام موافي: شرب الحشيش لا يحتاج لمصحة.. والترامادول يستوجب الدخول الفوري