مخترق يزرع أمراً لمسح البيانات في إضافة Amazon Q Developer لبرنامج VS Code

من نفّذها

الجهة: مخترق مجهول يستخدم الاسم المستعار lkmanka58 على GitHub

الإسناد: ادعى المسؤولية بنفسه في مقابلة مع 404 Media (قال إن هدفه فضح 'مسرحية أمن الذكاء الاصطناعي')؛ ولم تنسب Amazon الهوية علناً

الدافع: إثبات ضعف ضوابط سلسلة توريد الذكاء الاصطناعي؛ وزعم المهاجم أنه لم يقصد إحداث ضرر فعلي

كيف حدثت

أسلوب الهجوم: تعديل في مستودع aws-toolkit-vscode مفتوح المصدر على GitHub يُدرج أمراً تدميرياً بلغة طبيعية شُحن ضمن الإصدار الموقّع 1.84.0

السبب الجذري: ضوابط وصول ومراجعة أكواد غير كافية في المستودع العام سمحت لحساب مجهول بإدراج حمولة أوامر جرى تغليفها وتوقيعها دون اكتشافها

التسلسل الزمني

1. 13 يوليو 2025الحساب lkmanka58 يرسل الأمر الخبيث إلى مستودع Amazon على GitHub
2. 17 يوليو 2025الإصدار 1.84.0 من Amazon Q Developer لـ VS Code يُشحن مع أمر المسح
3. 23 يوليو 2025404 Media تكشف الاختراق؛ وAmazon تقرّ به وتسحب الإصدار
4. 24 يوليو 2025Amazon تصدر النسخة النظيفة 1.85.0 وتلغي بيانات الاعتماد المخترقة

الاستجابة

أزالت Amazon الإصدار 1.84.0 وألغت بيانات الاعتماد واستبدلتها وأصدرت 1.85.0 وقالت إنها أحبطت محاولة لاستغلال مشكلة معروفة في مستودعين مفتوحي المصدر

الحالة الراهنة: تم الحل