ملف camoleak-copilot-chatحقن الأوامر9 أكتوبر 2025الولايات المتحدة

CamoLeak: تعليقات مخفية في طلبات السحب تجعل GitHub Copilot Chat يسرّب أسرار المستودعات الخاصة

وجدت Legit Security ثغرة بدرجة CVSS 9.6 حيث وجّهت تعليقات markdown غير مرئية في طلبات السحب Copilot Chat لقراءة مستودعات خاصة وتسريب الأسرار حرفاً حرفاً عبر وكيل صور Camo في GitHub.

حرجةهجوم على الذكاء الاصطناعيالحالة: تم الترقيعملف موثّق

افتح في الخريطة التفاعلية الاستشهاد بهذا الملف

تاريخ الإبلاغ: 9 أكتوبر 2025
الموقع: الولايات المتحدة
الهدف: GitHub Copilot Chat
الخطورة: حرجة
الجهة المنفذة: Omer Mayraz (Legit Security)
نوع الجهة: باحثون أمنيون
الخسارة المُعلنة: لم يُعلن عن خسارة
CVE: لا يوجد

ماذا حدث

الأثر: سرّب إثبات المفهوم مفاتيح AWS ورموزاً ووصف ثغرة يوم صفر غير معلنة من مستودع خاص؛ وكان الهجوم قادراً أيضاً على دفع حزم خبيثة عبر اقتراحات Copilot

من نفّذها

الجهة: Omer Mayraz (Legit Security)

الإسناد: إفصاح مسؤول عبر HackerOne في يونيو 2025

الدافع: بحث أمني

كيف حدثت

أسلوب الهجوم: حقن أوامر في تعليقات غير مرئية في طلبات السحب أو المشكلات؛ يتصرف Copilot بصلاحيات المشاهد ويرمّز البيانات المسروقة كسلسلة من روابط صور Camo المولّدة مسبقاً تتجاوز CSP

السبب الجذري: استوعب Copilot Chat محتوى التعليقات المخفية كتعليمات واستطاع عرض الصور عبر وكيل Camo الموثوق، ما خلق قناة تسريب سرية

التسلسل الزمني

يونيو 2025Legit Security تبلّغ GitHub عن الثغرة عبر HackerOne
14 أغسطس 2025GitHub تعطّل عرض الصور في Copilot Chat لإغلاق قناة Camo
9 أكتوبر 2025الكشف العلني عن CamoLeak

الاستجابة

عطّلت GitHub عرض الصور كلياً في Copilot Chat وحجبت استخدام Camo لتسريب محتوى المستخدمين

الحالة الراهنة: تم الترقيع

المصادر (تُفتح في تبويب جديد)

Legit Security legitsecurity.com
The Register theregister.com
eSecurity Planet esecurityplanet.com

الاستشهاد بهذا الملف

CamoLeak: تعليقات مخفية في طلبات السحب تجعل GitHub Copilot Chat يسرّب أسرار المستودعات الخاصة. AI Threat Watch, ملف camoleak-copilot-chat, 9 أكتوبر 2025. https://aithreat.io/ar/cases/camoleak-copilot-chat/

رابط دائم: https://aithreat.io/ar/cases/camoleak-copilot-chat/