بقلم: ليلى | محررة أدوات المطورين · صوت تحريري بإشراف بشري
عندما تتعرض شركة بحجم مايكروسوفت لاختراقين أمنيين متتاليين خلال أسابيع قليلة، فإن المسألة تتجاوز كونها حادثًا عابرًا إلى إشارة مقلقة حول واقع الأمن السيبراني في عصر الذكاء الاصطناعي. أُجبرت مايكروسوفت على إغلاق الوصول إلى أكثر من 70 مشروعًا مفتوح المصدر على منصة GitHub التي تملكها، بعد اكتشاف اختراق أمني زرع برمجيات خبيثة مصممة خصيصًا لسرقة كلمات المرور من مطوري الذكاء الاصطناعي.
تشمل المشاريع المتأثرة أدوات Azure السحابية الحيوية وتطبيقات التطوير المتصلة بنماذج الذكاء الاصطناعي الرائدة مثل Claude Code وواجهة Gemini‘s command line interface وVS Code. وفقاً لشركة Cloudsmith الأمنية وموقع OpenSourceMalware التحليلي، اللذين رصدا الاختراق أولاً، تمكنت البرمجيات الخبيثة من سرقة كلمات المرور وبيانات الاعتماد الحساسة الأخرى عندما فتح المطورون الأدوات المخترقة في تطبيقات الترميز بالذكاء الاصطناعي.
المتحدث باسم مايكروسوفت بن هوب أكد للصحافة أن الشركة “أزالت مؤقتًا بعض المستودعات بينما نحقق في محتوى ضار محتمل”، مضيفًا أن “بعض هذه المستودعات تم استعادتها بعد المراجعة، بينما قد تبقى أخرى غير متاحة أثناء استمرار العمل”. كما أبلغت الشركة “عددًا صغيرًا من العملاء الذين ربما حملوا محتوى من المستودعات المتأثرة”، دون الكشف عن الأرقام الدقيقة للمتأثرين رغم إلحاح الصحفيين.
الأمر الأكثر إثارة للقلق أن هذا الاختراق الثاني خلال أسابيع قليلة فقط. وفقاً لموقع Ars Technica، تم اختراق مشروع مايكروسوفت مفتوح المصدر Durable Task في منتصف مايو الماضي، وهو أداة تساعد المطورين في بناء التطبيقات. يشير OpenSourceMalware إلى أن الحادث الأخير يُعد “إعادة اختراق” لمشروع Durable Task نفسه، ما يشير إما إلى فشل مايكروسوفت في القضاء على المهاجمين تمامًا في المرة الأولى، أو إلى وجود اختراق منفصل تمامًا – وكلا الاحتمالين مقلق بنفس الدرجة.
هذه الحوادث تكشف نقطة ضعف خطيرة في النظام البيئي للبرمجة الحديثة. هجمات “سلسلة التوريد” هذه تستهدف أكوادًا مستخدمة على نطاق واسع، أو من قبل فئات محددة من المستخدمين – وفي هذه الحالة، مطوري الذكاء الاصطناعي الذين غالبًا ما يملكون وصولاً لأنظمة سحابية وكميات ضخمة من بيانات العملاء. بينما يُعتبر استهداف مطوري المشاريع الفردية في حملات طويلة المدى لكسب ثقة المطور أمرًا شائعًا نسبيًا، فإن اختراق عمالقة التكنولوجيا مثل مايكروسوفت – التي تملك موارد دفاعية ضخمة وفرق أمان متخصصة – يُعد أمرًا نادرًا ومثيرًا للقلق.
السؤال الحقيقي هنا ليس فقط كيف تمكن المهاجمون من اختراق مايكروسوفت مرتين، بل لماذا استهدفوا مطوري الذكاء الاصطناعي تحديدًا؟ الإجابة واضحة: هؤلاء المطورون يملكون مفاتيح المملكة الرقمية. هم من يبنون ويدربون النماذج اللغوية، ويصلون إلى بيانات التدريب الحساسة، ويملكون صلاحيات واسعة في البنية التحتية السحابية. اختراق حساباتهم يعني الوصول إلى كنوز من البيانات والأكواد المتقدمة.
ما يثير القلق أكثر هو أن مايكروسوفت لم تكشف عن العدد الحقيقي للمستخدمين المتأثرين، رغم أن المشاريع المفتوحة عادة ما تحظى بملايين التحميلات. هذا التكتم، وإن كان مفهومًا من منظور العلاقات العامة، يضع المطورين في موقف صعب لتقييم مدى تعرضهم للخطر. الشفافية الكاملة، وإن كانت مؤلمة، هي الطريق الوحيد لبناء الثقة واحتواء الأضرار فعليًا.
