ملف gitlab-duo-hidden-promptحقن الأوامرالولايات المتحدة
حقن أوامر في GitLab Duo يسرّب شيفرة مصدرية خاصة عبر نص مخفي في طلبات الدمج
أظهرت Legit Security أن أوامر مخفية بتهريب Unicode أو Base16 أو نص KaTeX أبيض في طلبات الدمج والمشكلات يمكنها جعل GitLab Duo يسرّب شيفرة خاصة ويحقن HTML في ردوده. ورقّعت GitLab الثغرة.
متوسطةهجوم على الذكاء الاصطناعيالحالة: تم الترقيعملف موثّق
افتح في الخريطة التفاعليةالاستشهاد بهذا الملف
- تاريخ الإبلاغ
- 22 مايو 2025
- الموقع
- الولايات المتحدة
- الهدف
- مساعد الذكاء الاصطناعي GitLab Duo
- الخطورة
- متوسطة
- الجهة المنفذة
- فريق أبحاث Legit Security
- نوع الجهة
- باحثون أمنيون
- الخسارة المُعلنة
- لم يُعلن عن خسارة
- CVE
- لا يوجد
ماذا حدث
أظهرت Legit Security أن أوامر مخفية بتهريب Unicode أو Base16 أو نص KaTeX أبيض في طلبات الدمج والمشكلات يمكنها جعل GitLab Duo يسرّب شيفرة خاصة ويحقن HTML في ردوده. ورقّعت GitLab الثغرة.
الأثر: احتمال تسريب شيفرة مصدرية خاصة واقتراح حزم خبيثة للمطورين؛ ولم يُبلَّغ عن استغلال
من نفّذها
الجهة: فريق أبحاث Legit Security
الإسناد: أُبلغت GitLab في 12 فبراير 2025 وأُصلحت قبل الكشف
الدافع: بحث أمني
كيف حدثت
أسلوب الهجوم: حقن أوامر غير مباشر في محتوى المشروع الذي يقرؤه Duo؛ وعرض markdown المتدفق كـ HTML مكّن التسريب عبر السكربتات والصور
السبب الجذري: استوعب Duo سياق الصفحة الكامل بما فيه التعليقات والأوصاف كتعليمات، وعرض المخرجات كـ HTML قبل التنقية
التسلسل الزمني
- Legit Security تبلّغ GitLab عن المشكلات
- GitLab تطرح الإصلاحات
- الكشف العلني
الاستجابة
عالجت GitLab مشكلتي العرض والحقن
الحالة الراهنة: تم الترقيع
المصادر (تُفتح في تبويب جديد)
- Legit Security legitsecurity.com
- The Hacker News thehackernews.com
- TechRepublic techrepublic.com
الاستشهاد بهذا الملف
حقن أوامر في GitLab Duo يسرّب شيفرة مصدرية خاصة عبر نص مخفي في طلبات الدمج. AI Threat Watch, ملف gitlab-duo-hidden-prompt, 22 مايو 2025. https://aithreat.io/ar/cases/gitlab-duo-hidden-prompt/
رابط دائم: https://aithreat.io/ar/cases/gitlab-duo-hidden-prompt/