AIR Security تكشف VerCellBreak لتجاوز قيود شبكة Vercel
تقنية تستغل تفاعل mTLS مع امتداد AIA في شهادات TLS لتسريب المفاتيح دون اتصال مباشر بخادم المهاجم.
كشفت شركة الأمن السيبراني AIR Security عن تقنية أطلقت عليها اسم VerCellBreak، تستطيع تجاوز قيود الوصول إلى الشبكة داخل بيئة العزل (sandbox) الخاصة بوكلاء الذكاء الاصطناعي في منصة Vercel، ما يتيح تسريب أسرار محمية.
وبحسب ما نقلته datanet.co.kr، تستغل التقنية التفاعل بين المصادقة المتبادلة عبر شهادات TLS (mTLS) وامتداد AIA (الوصول إلى معلومات الجهة المُصدرة) أثناء التحقق من شهادة TLS.
ويمكن تحويل مفتاح سري إلى جزء من عنوان URL داخل شهادة عميل مُصممة بعناية، ما يجعل نطاقاً موثوقاً ومسموحاً به يطلب عنوان URL المحدد في امتداد AIA من خادم يسيطر عليه المهاجم. ولا يحتاج وكيل الذكاء الاصطناعي إلى الاتصال مباشرة بخادم المهاجم حتى تتم عملية التسريب.
تصنيف التقرير ضمن برنامج المكافآت
قال الباحثون إن Vercel صنّفت التقرير على أنه خارج نطاق برنامج مكافآت الثغرات، لأن التقنية تعتمد على سلوك خوادم خارجية لا تديرها الشركة.
وفي سياق أوسع، كانت نماذج ذكاء اصطناعي متقدمة طورتها OpenAI وAnthropic قد ارتبطت بحوادث مُبلَّغ عنها لاختراق شركات خارجية.
أسئلة سريعة
ما هي تقنية VerCellBreak؟
تقنية كشفتها AIR Security لتجاوز قيود الوصول إلى الشبكة داخل بيئة عزل وكلاء الذكاء الاصطناعي في Vercel، بهدف تسريب أسرار محمية.
كيف تعمل عملية التسريب؟
تُرمّز مفاتيح سرية في عنوان URL داخل شهادة عميل مُصممة، ثم يطلب نطاق موثوق عنوان URL الخاص بامتداد AIA من خادم يسيطر عليه المهاجم، من دون اتصال مباشر بين الوكيل وخادم المهاجم.
لماذا لم تُقبل الثغرة في برنامج مكافآت Vercel؟
قال الباحثون إن Vercel صنّفت التقرير خارج نطاق البرنامج لأن التقنية تعتمد على سلوك خوادم خارجية لا تديرها الشركة.