كشف باحثون في مختبرات Zenity Labs عن ثغرة أمنية خطيرة في وكلاء مساحة عمل ChatGPT، أطلقوا عليها اسم AgentForger، تتيح للمهاجمين تزوير عميل ذكي مستقل يعمل داخلياً في المؤسسة المستهدفة عبر نقرة واحدة فقط على رابط تصيد ضار. وأعلنت الشركة عن هذا الاكتشاف يوم الأربعاء 23 يوليو 2026، مؤكدة أن الثغرة مكنت من إنشاء تهديد داخلي ذاتي التشغيل يعمل بهوية وصول شرعية، متجاوزاً بذلك مفهوم الهجمات السيبرانية التقليدية.
وتكمن خطورة الثغرة في طريقتها المبتكرة لاستغلال أداة بناء الوكلاء داخل ChatGPT. فقد اكتشف الباحثون أن معاملاً برمجياً مفرط الصلاحية يُسمى initial_assistant_prompt في رابط التهيئة، كان يسمح للمهاجم بدمج تعليمات خبيثة ضمن رابط يبدو عادياً. وبمجرد نقر المستخدم عليه، تنتقل هذه التعليمات إلى أداة بناء الوكيل لدى الضحية، لتبدأ بصمت في إنشاء وكيل مستقل وإعداده ونشره.
ولتنفيذ الهجوم، يجب أن يكون الضحية مسجلاً الدخول إلى حسابه في ChatGPT، وأن تكون ميزة وكلاء مساحة العمل مفعلة لديه، مع وجود موصل واحد مرخص مسبقاً على الأقل، مثل Gmail أو Outlook. وهذه النقطة بالغة الأهمية، إذ أن وجود هذه التوصيلات المسبقة يعني عدم ظهور أي شاشة موافقة OAuth جديدة، ما يجعل عملية إنشاء الوكيل خفية تماماً. ولا يحتاج الضحية للنقر على رابط آخر أو حتى زيارة ChatGPT مجدداً بعد النقرة الأولى.
وبمجرد إنشائه، يصبح الوكيل المزور “مشغلاً مستمراً”، حسب وصف الباحثين. فهو يتلقى تعليماته من المهاجم عبر رسائل بريد إلكتروني تحمل عنوان “TASK”، حيث يتحقق الوكيل دورياً من البريد الوارد، وينفذ المهام المطلوبة، ثم يعيد النتائج إلى عنوان البريد الإلكتروني الذي يسيطر عليه المهاجم. والأخطر من ذلك، أن التعليمات المضمنة في الرابط الضار كانت تأمر الوكيل بتعطيل مطالبات الموافقة عبر تفعيل خيار “عدم السؤال مطلقاً”، ما يمنحه صلاحية التصرف دون أي تدخل بشري.
وفي هذا السياق، صرح مايكل بارغوري، الشريك المؤسس والمدير التقني لشركة Zenity، قائلاً:
“هذا ليس طلباً مزوراً، بل عميلاً داخلياً مزوراً. بنقرة واحدة، يحصل المهاجم على وكيل مستقل بالكامل داخل شركتك، يمتلك هوية موظفيك وصلاحيات وصولهم، دون حواجز حماية. لم يعد المهاجمون بحاجة لاختراق الأنظمة لسرقة البيانات، بل يمكنهم تزوير عميل داخلي يذهب لجلبها لهم. هذا فشل في الثقة بالوكلاء، وأدوات الأمان الحالية لم تُصمم لرؤيته.”
وقد أظهرت سيناريوهات إثبات المفهوم التي طورتها Zenity Labs القدرات التدميرية لهذا الوكيل المزور. فبإمكانه مسح البريد الإلكتروني، وتطبيقات المراسلة مثل Slack وTeams، والتقويمات، ومخازن الملفات السحابية لرسم خريطة كاملة للبيئة التنظيمية، وتحديد الأشخاص والمشاريع النشطة. كما يمكنه البحث عن كلمات المرور ومفاتيح API المخزنة في الرسائل، وانتحال شخصية الموظف لإطلاق حملات تصيد داخلية، أو تنفيذ هجمات احتيال عبر البريد الإلكتروني للأعمال (BEC). والأخطر من ذلك، أن الوكيل يظل كامناً ويعمل بشكل مستمر، متلقياً مهاماً جديدة عبر البريد الإلكتروني.
من الناحية التقنية، صُنفت الثغرة على أنها تزوير طلبات عبر المواقع (CSRF) مخصص، لكن تأثيرها يتجاوز هذا التصنيف بكثير. فعلى عكس هجمات CSRF التقليدية التي تجبر متصفح الضحية على تنفيذ إجراء واحد غير مقصود، فإن AgentForger تجعل هذا الإجراء الوحيد هو إنشاء نظام مستقل جديد بأكمله: وكيل ذكي مزود بأدوات وموافقات وتعليمات وجدول زمني وإمكانية الوصول إلى موصلات مرخصة مسبقاً. ولم تُسجل للثغرة أي معرفة CVE، كما لم تُبلغ أي جهة عن استغلال فعلي لها قبل التصحيح.
وقد التزمت Zenity Labs بمبادئ الإفصاح المسؤول، حيث أبلغت شركة OpenAI عن الثغرة عبر برنامج Bugcrowd في 4 يونيو 2026. وتحركت OpenAI بسرعة، إذ أقرت بالاكتشاف خلال يوم واحد، وأصلحت الثغرة بإزالة المعامل المسبب في 8 يونيو، أي خلال أربعة أيام فقط، وذلك قبل الإعلان العلني عنها.
رغم معالجة الثغرة، إلا أن اكتشاف AgentForger يسلط الضوء على تحول جوهري في نموذج التهديدات السيبرانية. فمع تزايد اعتماد المؤسسات على وكلاء الذكاء الاصطناعي المستقلين لأداء مهام تشغيلية حساسة، يتحول سطح الهجوم تدريجياً من استهداف الأنظمة والبرمجيات إلى استهداف الوكلاء أنفسهم.
ويحذر خبراء الأمن من أن هذه المخاطر لا تقتصر على منصة واحدة، بل قد تكون منصات وكلاء ذكاء اصطناعي أخرى عرضة لثغرات مماثلة، مما يستدعي تطوير أدوات أمان سيبراني قادرة على مراقبة سلوكيات هؤلاء الوكلاء والتحقق من صحتها، وهو ما تعجز عنه الحلول التقليدية المصممة لمراقبة المستخدمين والنقاط الطرفية.
