ثغرة أداة البرمجة بالذكاء الاصطناعي في Coinbase تشكل خطرًا أمنيًا كبيرًا

تم العثور على ثغرة أمنية في أداة المؤشر المستخدمة على نطاق واسع في Coinbase

تم تحديد ثغرة أمنية حرجة في Cursor، مساعد البرمجة المعتمد على الذكاء الاصطناعي والذي يُستخدم بشكل كبير من قبل فريق تطوير Coinbase. وفقًا لتقرير حديث من شركة الأمن السيبراني HiddenLayer، يحتوي الأداة على عيب خطير يمكن استغلاله لزرع رمز خبيث في أنظمة المنظمة.

تكشف تقرير الأمان، الذي نُشر يوم الخميس، أن محرر الشيفرة الخاص بـ Cursor عرضة لاستغلال متطور يُسمى "هجوم ترخيص CopyPasta." على الرغم من أنه يبدو غير ضار على السطح، يمكن أن تعمل هذه الطريقة بفعالية على تضمين تعليمات خبيثة في ملفات المطورين القياسية المستخدمة في جميع أنحاء قاعدة الشيفرة في المنظمة.

التفاصيل التقنية لثغرة CopyPasta

يعزز Cursor إنتاجية المطورين من خلال الإكمال الذكي التلقائي، واقتراحات الشيفرة الآلية، وقدرات الكشف عن الأخطاء في الوقت الفعلي. ومع ذلك، اكتشف الباحثون في HiddenLayer أنه في وضع التشغيل التلقائي - حيث ينفذ البرنامج الأوامر تلقائيًا - توجد ثغرة أمان حرجة تسمح بتنفيذ التعليمات غير الآمنة دون الحاجة لموافقة المستخدم.

تستهدف هجمة CopyPasta بشكل خاص مطالبات النظام داخل Cursor التي تتعامل مع الامتثال لترخيص البرمجيات. تتنكر الاستغلال كالنصوص الترخيصية المشروعة مثل اتفاقيات GPL وتظهر كملف README بتنسيق markdown. تُظهر التحليلات الفنية أن الهجمة تستخدم تعليقات مخفية في ملفات markdown ومدخلات بناء جملة متخصصة لجعل التعليمات الخبيثة تبدو كأوامر مطور معتمدة.

"عند دمجه مع تعليمات خبيثة، فإن هجوم CopyPasta قادر على تكرار نفسه في وقت واحد بطريقة مبهمة إلى مستودعات جديدة وإدخال ثغرات متعمدة في قواعد الشفرات التي كانت ستكون آمنة بخلاف ذلك،" قالت HiddenLayer في إفصاحها.

خلال الاختبارات المراقبة، قام الباحثون بتطبيق حمولة غير ضارة أدخلت سطرًا واحدًا من الشفرة في بداية ملفات بايثون. ومع ذلك، حذرت فريق الأمن من أن نفس التقنية يمكن أن تُستخدم خلال الحوادث الأمنية لأغراض أكثر ضررًا - بما في ذلك إنشاء نقاط وصول خلفية، واستخراج البيانات الحساسة، واستهلاك موارد النظام، أو إفساد بيئات الإنتاج.

قارن فريق البحث هذه الثغرة بمفهوم هجوم "Morris II"، الذي أظهر كيف يمكن التلاعب بأنظمة البريد الإلكتروني لتسريب البيانات أثناء التكاثر الذاتي. في حين أن Morris II كان لديه معدلات نجاح نظرية عالية، إلا أن تأثيره العملي كان محدودًا لأن أنظمة البريد الإلكتروني تتطلب عادةً تحققًا بشريًا قبل إرسال الرسائل.

أشارت HiddenLayer أيضًا إلى أن أدوات البرمجة بالذكاء الاصطناعي الأخرى - بما في ذلك Windsurf و Kiro و Aider - تقوم بترويج استغلال CopyPasta إلى ملفات جديدة بطرق تتجنب طرق الكشف القياسية. تم الإبلاغ عن الثغرة بشكل مستقل من قبل كل من HiddenLayer ومجموعة أبحاث الأمن BackSlash.

ارتفاع معدل الاعتماد في Coinbase يثير مخاوف أمنية

تأتي الإفصاح عن الأمان في وقت مقلق بشكل خاص، حيث زادت Coinbase بسرعة من اعتمادها على أدوات البرمجة المدعومة بالذكاء الاصطناعي. كشف الرئيس التنفيذي لشركة Coinbase، بريان أرمسترونغ، مؤخرًا أن فريق الهندسة في البورصة قد اعتمد على Cursor كأداة التطوير الأساسية، مع خطط تتطلب "كل مهندس في Coinbase" لاستخدامها بحلول فبراير 2026.

في محادثة بودكاست مع جون كوليسون، أحد مؤسسي سترايب، في أواخر أغسطس، وصف أرمسترونغ نهجه المباشر في فرض اعتماد أدوات الذكاء الاصطناعي. وقال: "لقد تصرفت بشكل متمرد ونشرت في قناة Slack العامة. الذكاء الاصطناعي مهم. نحتاج منكم جميعًا تعلمه وعلى الأقل الانضمام. ليس من الضروري استخدامه كل يوم بعد حتى نقوم ببعض التدريب، ولكن على الأقل الانضمام بحلول نهاية الأسبوع. إذا لم تفعلوا، سأستضيف اجتماعًا يوم السبت مع الجميع الذين لم يقوموا بذلك، وأود أن ألتقي بكم لفهم السبب."

في وقت سابق من هذا الأسبوع، شارك أرمسترونغ على وسائل التواصل الاجتماعي أن الذكاء الاصطناعي كان مسؤولاً عن توليد حوالي 40% من شفرة الشركة، مع توقعات بأن تصل هذه النسبة إلى 50% بحلول أكتوبر.

~40% من الكود اليومي المكتوب في Coinbase تم إنشاؤه بواسطة الذكاء الاصطناعي. أريد أن أرفع النسبة إلى >50% بحلول أكتوبر.

من الواضح أنه يحتاج إلى مراجعة وفهم، وليس كل مجالات العمل يمكنها استخدام الشيفرة التي تم إنشاؤها بواسطة الذكاء الاصطناعي. ولكن يجب علينا استخدامها بشكل مسؤول قدر الإمكان.

— بريان أرمسترونغ (@brian_armstrong) 3 سبتمبر 2025

إن التبني السريع لأدوات الذكاء الاصطناعي القابلة للاختراق المحتمل يمثل تداعيات أمنية كبيرة لتبادلات الأصول الرقمية، حيث تؤثر أمان الكود بشكل مباشر على أموال العملاء وسلامة المنصة. تسلط المخاطر التقنية التي حددتها HiddenLayer الضوء على أهمية تدقيق الأمان الشامل لمساعدي البرمجة بالذكاء الاصطناعي، خاصة عند تنفيذها على نطاق واسع داخل منظمات التكنولوجيا المالية التي تتعامل مع أصول رقمية كبيرة.