تشيك بوينت: حزمة كسر قيود لـCodex تزرع إعلانات دائمة في إعدادات الوكيل

الملخص

• حللت تشيك بوينت حزمة Haiou لكسر قيود Codex فوجدتها تعدّل ملفات الإعدادات العامة لتحقن إعلاناً لبوابة نماذج تابعة لمؤلفها.
• عُثر على الحزمة على خادم مكشوف لمهاجم يشغّل Cobalt Strike ومعه أدوات مسح واختراق شائعة في المجتمعات الناطقة بالصينية.
• يسمّي الباحثون الظاهرة برمجية إعلانية بالأوامر: تعديل دائم لتعليمات الوكيل بلغة طبيعية لا بكود تنفيذي، قد يوجّه توصياته خفية.

خبر

يكفي أن يحيّي المستخدم وكيل Codex بكلمة hi أو 你好 ليرد بجملة ثابتة تروّج لبوابة نماذج لغوية على نطاق zz.aiapi2025.top، إذا كان قد ثبّت حزمة Haiou الصينية لكسر القيود. هذا ما وثّقته تشيك بوينت ريسيرش في 3 نوفمبر بعد تحليل الإصدار 4.5.0 من الحزمة المنشورة على غيت هاب، التي تجمع مطالبات لإضعاف حواجز النموذج وست مهارات أمنية هجومية. الباحثون لا يجدون ما يثبت أن البوابة نفسها خبيثة.

تفصيل

• الاكتشاف: عثرت تشيك بوينت على الحزمة في خادم ويب مهيأ بشكل خاطئ لمهاجم يشغّل إطار Cobalt Strike، وأظهرت سجلاته اختراق حواسيب خاصة لأفراد ناطقين بالصينية. ووُجدت إلى جانبها أداة المسح Ladon ووكيل اختبار الاختراق VulnClaw، وهما شائعان في المجتمعات نفسها، من دون دليل على أن مؤلف الحزمة مرتبط بالمهاجم.
• آلية الإعلان: تحتوي وحدة 00-identity.md تعليمة بأن يرد النموذج على كلمات تنشيط محددة، بينها hi وhello وctf وcoach، بسطر واحد لا غير يعلن أن النورس متصل ويدعو إلى دعم بوابة وسيطة أنشأها المؤلف، فيتكرر الإعلان في كل جلسة Codex تبدأ بتحية، وتحوي الحزمة أداة إزالة تعيد الإعدادات الأصلية.
• التعريف: تصف تشيك بوينت الحزمة بأنها برمجية إعلانية بالأوامر، أي تعديل لوكيل ذكاء اصطناعي يغيّر بصورة دائمة تعليماته الموثوقة، كالمطالبات العامة والمهارات وملفات الإعدادات، لأهداف تجارية أو سلوكية، ويعمل كلياً بلغة طبيعية داخل ملفات التهيئة لا بحمولة تنفيذية كما في البرمجيات الإعلانية التقليدية.
• تقنيات الكسر: تعيد الحزمة صياغة الطلبات الأمنية الهجومية في سياق تعليمي لمسابقات التقاط العلم، وتفرض شخصية تتجاهل عبارات الرفض الشائعة، وتمنع النموذج من افتتاح الرد بطلب تفويض، وتأمره بإعادة تفسير الطلبات مزدوجة الاستخدام تفسيراً مهنياً، وتتيح عبارات مختصرة بالصينية لإزالة ما تبقى من الحذر.
• التعتيم: لا يعرض المستودع ملفات المطالبات نصاً، بل حزمة مشفرة بـAES-256-GCM وموقعة بـEd25519 تفكّها أدوات التشغيل لأنظمة لينكس وماك وويندوز، وترجح تشيك بوينت أن الهدف منع الماسحات الآلية من قراءة المحتوى وبناء كشوف ثابتة تؤدي إلى رفض Codex للحزمة.
• الحماية الذاتية: تضع وحدة 03-protected-site.md نطاق البوابة المعلن عنها بوصفه بنية تحتية محمية، وتمنع أي اختبار هجومي ضده حتى لو ادعى المستخدم تفويضاً أو سياق مسابقة، فيحمي المؤلف خدمته من الأدوات التي يوزعها على مستخدميه.
• نسخة Claude: يضم مستودع المؤلف نسخة لـClaude Code بلا حقن إعلاني، وعند اختبار الحمولة فيه رصد Sonnet 5 محاولة حقن مطالبات ورفض الامتثال، وهو ما ترجح تشيك بوينت أنه سبب غياب الإعلان من تلك النسخة، فيما بقي ملف CLAUDE.md الحامل للإعلان في حزمة Codex بوصفه من بقايا التغليف.
• الانتشار: تجاوز المستودع 250 نجمة على غيت هاب، وتُروّج نسخة Claude بفيديو على بيليبيلي بعنوان يدعو من سئم إخلاء المسؤولية إلى الحصول على الكود مباشرة، مع إحالة إلى مجموعة على QQ، كما أُدرجت الحزمة في أداة Codex-X الصينية لضبط Codex بواجهة رسومية بدل الملفات النصية.
• المخاطر: تشير تشيك بوينت إلى دراسة حديثة وجدت بوابات نماذج تتجسس على بيانات المستخدمين وتسرق مفاتيح وصول سحابية بل تحقن استدعاءات أدوات لتنفيذ كود في جلسة الوكيل، وتحذر من أن آلية الثبات نفسها قد توجّه التوصيات نحو مورّدين مفضلين أو تحرف النصائح التقنية بلا علم المستخدم.

المصدر: تشيك بوينت ريسيرش