ثغرتان فى Claude تسمحان بتشغيل 9 مهام حساسة دون موافقة

[ابوالوليد المسلم]

ثغرتان فى Claude تسمحان بتشغيل 9 مهام حساسة دون موافقة



كتب مايكل فارس

ثغرتان في Claude تسمحان بتشغيل 9 مهام حساسة دون موافقة


كشف باحثون أمنيون عن ثغرتين غير مصححتين في إضافة Claude لمتصفح Chrome، قد تسمحان لإضافة خبيثة أخرى بتنفيذ نقرات وهمية وتشغيل مهام حساسة دون تدخل مباشر من المستخدم، وتزداد خطورة المشكلة عند منح Claude صلاحية تنفيذ المهام تلقائيًا، لأن الإضافة قد تتعامل مع البريد والمستندات والمواعيد دون طلب موافقة جديدة قبل كل خطوة.
نقرات وهمية تصل إلى البريد والمستندات

وفقًا لتقرير منشور في موقع تك رادار، اكتشف باحثو شركة مانيفولد سيكيوريتي أن إضافة Claude لا تتحقق بصورة كافية من أن النقرة نفذها شخص حقيقي، وهو ما يسمح لإضافة خبيثة بمحاكاة النقر وتشغيل 9 مهام مبرمجة، وتشمل هذه المهام قراءة رسائل Gmail، وفتح ملفات Google Docs، وفحص المواعيد المسجلة في Google Calendar، وتعديل بيانات العملاء داخل Salesforce، وحصلت الثغرة على درجة خطورة بلغت 7.7 من 10 في الإعدادات العادية، وترتفع إلى 9.6 عند تفعيل التنفيذ التلقائي.
المشكلة بقيت خلال 8 تحديثات

ترتبط الثغرة الثانية بجزء داخل الرابط المستخدم لفتح اللوحة الجانبية لإضافة Claude، إذ يمكن التلاعب به لتجاوز طلب الموافقة الذي يظهر قبل تنفيذ المهمة، وقال الباحثون إن عملية التجاوز لا تحتاج إلا إلى 6 أسطر مكتوبة بلغة ****Script، كما وجدوا أن الأجزاء البرمجية المسؤولة عن المشكلة ظلت دون تغيير خلال 8 تحديثات متتالية، وأبلغ الفريق شركة Anthropic بالثغرتين، لكنهما بقيتا موجودتين في الإصدار الذي اختبره الباحثون.