اختراق Lilli من ماكنزي: وكيل ذكاء اصطناعي كشف 46.5 مليون رسالة
كشف اختراق Lilli من ماكنزي، الذي أعلنته شركة الاختبار الهجومي الناشئة CodeWall في 9 مارس 2026، أن وكيل ذكاء اصطناعي حصل على صلاحية قراءة وكتابة كاملة في منصة الذكاء الاصطناعي الداخلية للشركة الاستشارية خلال ساعتين. وتقول CodeWall إن الوكيل وصل إلى 46.5 مليون رسالة محادثة و95 من تعليمات النظام القابلة للتعديل عبر ثغرة حقن SQL. وتقول ماكنزي إنها أصلحت المشكلات خلال ساعات ولم تجد أي دليل على الوصول إلى بيانات العملاء. وبالنسبة إلى أي شركة تشغّل مساعد ذكاء اصطناعي داخليا، تُظهر الحالة أن ثغرة ويب قديمة باتت قادرة على الوصول إلى تعليمات النموذج نفسها.
لماذا كانت Lilli من ماكنزي هدفا ثمينا
تحتوي Lilli على جزء كبير مما تعرفه ماكنزي. فقد أطلقت الشركة الاستشارية منصة الذكاء الاصطناعي التوليدي في يوليو 2023، ووفقا للشركة يستخدمها الآن 72 في المئة من موظفيها، أي أكثر من 40,000 شخص. ويعالج روبوت المحادثة أكثر من 500,000 طلب كل شهر.
ويستخدم المستشارون Lilli لطرح الأسئلة على قاعدة معارف الشركة بلغة طبيعية. وفي مقابلة مع The Stack مطلع 2025، قالت جاكي رايت، التي كانت آنذاك كبيرة مسؤولي التكنولوجيا والمنصات في ماكنزي، إن الشركة حولت معارفها إلى مخازن متجهات باستخدام نماذج التضمين من OpenAI، مع بحث دلالي وبحث بالكلمات المفتاحية وأداة إعادة الترتيب من Cohere لتحسين النتائج. وتقول الشركة إن أعمال الاستشارات في الذكاء الاصطناعي تمثل نحو 40% من إيراداتها، وقال رئيسها التنفيذي إنها بنت 25,000 وكيل ذكاء اصطناعي لدعم موظفيها.
كيف اختار وكيل CodeWall ماكنزي وكيف دخل
تستخدم CodeWall وكلاء ذكاء اصطناعي لمهاجمة البنية التحتية لعملائها حتى يصلحوا نقاط الضعف أولا. وقد اقترح وكيل الأمن الخاص بها ماكنزي هدفا، مستندا إلى سياسة الإفصاح المسؤول العلنية للشركة المنشورة على HackerOne، وإلى تحديثات حديثة على Lilli. ولم يكن لدى الوكيل أي بيانات اعتماد.
فقد عثر على توثيق API مكشوف للعامة يسرد أكثر من 200 نقطة نهاية، منها 22 لا تتطلب أي مصادقة. وكانت إحدى النقاط المفتوحة تكتب استعلامات بحث المستخدمين، وكانت مفاتيح JSON، أي أسماء الحقول، تُدمج مباشرة في استعلامات SQL. وحين رأى الوكيل أسماء الحقول هذه تظهر حرفيا في رسائل أخطاء قاعدة البيانات، تعرّف على ثغرة حقن SQL لا تكشفها الأدوات المعتادة. وتقول CodeWall إنها أجرت بعد ذلك خمس عشرة محاولة عمياء حتى بدأت بيانات الإنتاج الحية بالتدفق.
وقال بول برايس، مؤسس CodeWall، لموقع The Stack إن الاختراق استغرق ساعتين وكلّف 20 دولارا من الرموز. وقال لموقع The Register إن العملية كانت "مستقلة بالكامل، من البحث عن الهدف إلى التحليل والهجوم وكتابة التقرير".
ما الذي وصل إليه الوكيل داخل Lilli
تقول CodeWall إن الوكيل حصل خلال ساعتين على صلاحية قراءة وكتابة كاملة في قاعدة بيانات الإنتاج. وبحسب إحصائها، شمل ذلك 46.5 مليون رسالة محادثة عن الاستراتيجية وعمليات الاندماج والاستحواذ ومشاريع العملاء، مخزنة كنص غير مشفر، إلى جانب 728,000 ملف و57,000 حساب مستخدم و384,000 مساعد ذكاء اصطناعي و94,000 مساحة عمل.
هذه أرقام CodeWall. ووصف محلل الأمن إدوارد كيليجيان سلسلة الهجوم بأنها "معقولة وسليمة تقنيا"، لكنه قال إن حجم الأثر المزعوم "غير مثبت بالكامل". وقال مصدر في ماكنزي لصحيفة Financial Times إن الملفات الأصلية كانت مخزنة بشكل منفصل و"لم تكن معرضة للخطر قط".
لماذا ترفع تعليمات النظام القابلة للتعديل حجم الخطر
كانت تعليمات النظام الـ 95 في Lilli، وهي التعليمات التي تحدد كيف يجيب روبوت المحادثة، موجودة في قاعدة البيانات نفسها، والثغرة كانت تسمح بالكتابة. وكان بإمكان المهاجم إعادة كتابتها بصمت، فيغيّر طريقة إجابة Lilli على المستشارين والضوابط التي تتبعها وطريقة استشهادها بالمصادر، دون كود جديد ودون تنبيهات أمنية معتادة.
"لا حاجة إلى نشر. لا تغيير في الكود. مجرد أمر UPDATE واحد داخل طلب HTTP واحد." CodeWall، عن الطريقة التي كان يمكن بها إعادة كتابة تعليمات Lilli
كيف تعاملت ماكنزي مع الإفصاح
عثر وكيل CodeWall على الثغرة في نهاية فبراير، وأفصح الباحثون عن سلسلة الهجوم كاملة في 1 مارس. وبحلول 2 مارس كانت ماكنزي قد أغلقت كل نقاط النهاية غير المصادق عليها، وأوقفت بيئة التطوير، وحجبت توثيق API العام.
وقال متحدث باسم ماكنزي إن الشركة أصلحت المشكلات خلال ساعات. وتقول الشركة إن تحقيقها، بدعم من شركة رائدة في التحليل الجنائي الرقمي، لم يجد أي دليل على أن الباحث أو أي طرف ثالث غير مصرح له وصل إلى بيانات العملاء أو معلوماتهم السرية. ويقول برايس إن فريق ماكنزي راجع تدوينة CodeWall وعدّلها قبل نشرها.
ماذا يعني الاختراق للشركات التي تملك أدوات ذكاء اصطناعي داخلية
لم تكن الثغرة جديدة. فبحسب CodeWall، كانت Lilli تعمل في بيئة الإنتاج منذ أكثر من عامين ولم تعثر أدوات الفحص الداخلية في ماكنزي على المشكلة؛ ويقول برايس إن فحصا بأداة OWASP ZAP لم يكتشفها أيضا. لم تصنع طبقة الذكاء الاصطناعي الثغرة، لكنها رفعت ثمنها.
وبالنسبة إلى أي شركة، المهمة واضحة: المساعد الداخلي يرث كل نقاط ضعف تطبيق الويب المحيط به. فتوثيق API المكشوف ونقاط النهاية بلا مصادقة وتعليمات النظام المخزنة بجوار بيانات المستخدمين تحوّل خللا عاديا إلى وسيلة لتغيير ما يُقال لآلاف الموظفين. وحذّر برايس من أن المهاجمين سيستخدمون أساليب الوكلاء نفسها لأهداف مثل الابتزاز المالي أو برامج الفدية.
أسئلة وأجوبة
كيف اخترق وكيل ذكاء اصطناعي منصة Lilli من ماكنزي؟
عثر وكيل CodeWall على توثيق API عام، واستخدم واحدة من 22 نقطة نهاية لا تتطلب مصادقة، ورصد ثغرة حقن SQL في طريقة دمج مفاتيح JSON في استعلامات قاعدة البيانات. ثم سرّبت رسائل الأخطاء بيانات الإنتاج الحية.
هل كُشفت بيانات عملاء ماكنزي في اختراق Lilli؟
تقول CodeWall إن وكيلها كان قادرا على الوصول إلى بيانات عملاء سرية. وتقول ماكنزي إن تحقيقها، بدعم من شركة تحليل جنائي خارجية، لم يجد أي دليل على وصول الباحث أو أي جهة غير مصرح لها إلى بيانات العملاء.
ما منصة Lilli من ماكنزي؟
Lilli منصة الذكاء الاصطناعي التوليدي الداخلية في ماكنزي، أُطلقت في يوليو 2023. وهي تجيب عن أسئلة المستشارين من قاعدة معارف الشركة، وتقول الشركة إن 72 في المئة من موظفيها يستخدمونها.
رؤية MOZGII
كيف كنا سنبنيه
المساعد الداخلي مثل Lilli هو في الواقع ثلاثة أشياء: مخزن للمستندات، ومجموعة تعليمات تخبر النموذج كيف يجيب، وخدمة ويب تتيح للناس السؤال. في هذه الحالة كانت نقطة الضعف خدمة الويب، وكانت التعليمات في قاعدة البيانات نفسها مع كل شيء آخر. لو كنا نبني مساعدا كهذا، لاحتفظنا بتعليمات النظام في مخزن منفصل يستطيع التطبيق قراءته ولا يستطيع الكتابة فيه أبدا. وكان أي تغيير في التعليمات سيمر بالمراجعة نفسها التي يمر بها تغيير الكود، مع شخص محدد بالاسم يعتمده.
وكنا سنضع كل نقطة نهاية خلف تسجيل الدخول افتراضيا، ونبقي توثيق API بعيدا عن الإنترنت العام. وكنا سنوجّه أيضا وكيل هجوم خاصا بنا إلى الخدمة وفق جدول منتظم، لأن الحالة تُظهر أن أدوات الفحص العادية قد تفوّت ما يجده وكيل يحاول مرة بعد مرة. وكل نتيجة كانت ستذهب إلى شخص مسؤول عن إصلاحها، مع موعد نهائي.
ونقطة الانكسار حيث تضيف الفرق نقاط نهاية جديدة بسرعة لدعم ميزة جديدة وتتجاوز المراجعة. والمؤشر الوحيد الذي كنا سنراقبه هو نسبة نقاط النهاية الحية التي تتطلب مصادقة، ويجب أن تبقى كلها. وبعد ذلك كنا سنبني تنبيها ينطلق حين تتغير تعليمات المساعد خارج مسار الإصدار المعتمد، فيصبح التعديل الصامت تعديلا مسموعا.
المصادر
من أين جاءت حقائق هذا الخبر.