أعلنت جوجل عن إصلاح ثغرة أمنية حرجة في أداة Gemini CLI، حيث وصلت درجة خطورتها إلى 10/10، مما قد يهدد أمن المطورين والأنظمة البرمجية عبر تيكبامين.
ما هي ثغرة جوجل جيمناي الأمنية الجديدة؟
كشفت تقارير أمنية تقنية، تابعتها تيكبامين، عن معالجة شركة جوجل لثغرة أمنية في غاية الخطورة تتعلق بأداة الواجهة السطرية للذكاء الاصطناعي Gemini CLI. هذه الثغرة، التي لم يتم منحها معرّف CVE حتى الآن، حصلت على أعلى تقييم خطورة ممكن وهو 10.0 درجات على مقياس CVSS العالمي.
- الأدوات المتأثرة: حزمة @google/gemini-cli على منصة npm.
- بيئات العمل المتضررة: سير العمل (Workflows) الخاص بـ GitHub Actions.
- نوع التهديد: تنفيذ أوامر برمجية عشوائية عن بُعد (RCE).
كيف تهدد الثغرة بيئات التطوير والبرمجة؟
تكمن المشكلة الأساسية في كيفية تعامل الأداة مع المجلدات والملفات في بيئات التكامل المستمر (CI). في الإصدارات السابقة، كانت أداة جوجل جيمناي تثق تلقائياً في مجلدات العمل عند تشغيلها في وضع "Headless"، مما يفتح الباب أمام المهاجمين لاستغلال هذا المبدأ.
مخاطر وضع Headless والتحميل التلقائي
عندما تعمل الأداة في بيئة مؤتمتة دون تدخل بشري، يمكن للمهاجم الخارجي زرع ملفات إعداد خبيثة داخل مجلد محلي يسمى ".gemini". وبمجرد بدء تشغيل الأداة، يتم تحميل هذه الإعدادات والمتغيرات البيئية وتنفيذ الأوامر الخبيثة مباشرة على النظام المستضيف.
- تجاوز بيئة الأمان (Sandbox) قبل أن تبدأ في العمل.
- إمكانية الوصول الكامل لنظام المطور أو خوادم الاستضافة.
- تحويل خطوط إنتاج البرمجيات إلى مسارات لهجمات سلاسل التوريد.
خطوات حماية نظامك من اختراق Gemini CLI
أكدت جوجل في بيانها أن التأثير يقتصر على المستخدمين الذين يشغلون الأداة في أوضاع آلية دون مراجعة يدوية للمجلدات الموثوقة. ولحماية مشاريعك البرمجية، يجب على المطورين تبني نهج جديد في التعامل مع الأدوات البرمجية التابعة لشركة جوجل.
إجراءات جوجل الأمنية الجديدة والحلول البرمجية
- التحديث الفوري: يجب الانتقال فوراً إلى الإصدار 0.39.1 أو أحدث من حزمة Gemini CLI.
- تفعيل الثقة اليدوية: لن تقوم الأداة بعد الآن بتحميل الإعدادات من مجلدات غير موثوقة دون موافقة صريحة.
- تحسين وضع --yolo: أصبح محرك السياسات يفرض التحقق من قائمة الأدوات المسموح بها حتى في وضع الموافقة التلقائية.
وفقاً لتقرير تيكبامين، فإن هذه الخطوة تهدف لمنع سيناريوهات "حقن الأوامر" التي قد تحدث عبر مدخلات غير موثوقة، مثل البلاغات التي يقدمها المستخدمون على GitHub، والتي كانت تستغل سابقاً لتنفيذ أوامر shell دون الحاجة لتأكيد المستخدم.
أهمية الأمن الرقمي في أدوات الذكاء الاصطناعي
تسلط هذه الحادثة الضوء على التحديات الأمنية المتزايدة التي تفرضها أدوات الذكاء الاصطناعي المدمجة في بيئات التطوير الحديثة. إن وجود ثغرة Gemini CLI الأمنية يذكرنا بأن الأتمتة الكاملة قد تكون سلاحاً ذا حدين إذا لم تقترن ببروتوكولات أمنية صارمة ومراجعة دورية.
في الختام، يُنصح جميع المطورين الذين يعتمدون على تقنيات جوجل بمراجعة تدفقات العمل الخاصة بهم فوراً والتأكد من تطبيق التحديثات الأمنية لتجنب أي محاولات اختراق قد تستهدف أنظمتهم البرمجية.
