ملف mckinsey-lilli-breachتسريب نماذج وبياناتالولايات المتحدة
وكيل ذكاء اصطناعي مستقل يخترق منصة روبوت الدردشة Lilli التابعة لـ McKinsey خلال ساعتين
عثر الوكيل الهجومي من CodeWall على حقن SQL عبر نقاط نهاية API غير مصادق عليها في Lilli، مدعياً وصولاً للقراءة والكتابة إلى 46.5 مليون رسالة محادثة وأوامر النظام؛ ورقّعت McKinsey الثغرة خلال يوم.
عاليةهجوم على الذكاء الاصطناعيالحالة: تم الترقيعملف موثّق
افتح في الخريطة التفاعليةالاستشهاد بهذا الملف
- تاريخ الإبلاغ
- 9 مارس 2026
- الموقع
- الولايات المتحدة
- الهدف
- منصة الذكاء الاصطناعي Lilli التابعة لـ McKinsey
- الخطورة
- عالية
- الجهة المنفذة
- وكيل الذكاء الاصطناعي الهجومي المستقل من CodeWall (إفصاح مسؤول)
- نوع الجهة
- باحثون أمنيون
- الخسارة المُعلنة
- لم يُعلن عن خسارة
- CVE
- لا يوجد
ماذا حدث
عثر الوكيل الهجومي من CodeWall على حقن SQL عبر نقاط نهاية API غير مصادق عليها في Lilli، مدعياً وصولاً للقراءة والكتابة إلى 46.5 مليون رسالة محادثة وأوامر النظام؛ ورقّعت McKinsey الثغرة خلال يوم.
الأثر: ادعاء الوصول إلى 46.5 مليون رسالة محادثة و728 ألف ملف و57 ألف حساب مستخدم و95 أمر نظام قابلاً للكتابة؛ ولم يُبلّغ عن استغلال خبيث.
من نفّذها
الجهة: وكيل الذكاء الاصطناعي الهجومي المستقل من CodeWall (إفصاح مسؤول)
الإسناد: أفصحت عنها CodeWall بنفسها؛ وأكدت McKinsey الترقيع
الدافع: بحث أمني لإثبات قدرات الوكلاء المستقلين
كيف حدثت
أسلوب الهجوم: 22 نقطة نهاية API دون مصادقة؛ وحقن SQL عبر مفاتيح JSON مدمجة في الاستعلامات، إضافة إلى ضعف في التحكم بالوصول على معرّفات المستخدمين
السبب الجذري: نقاط نهاية دون مصادقة وأسماء حقول JSON غير منقّحة في SQL، مع تخزين الأوامر والملفات والإعدادات وبيانات المستخدمين في واجهة خلفية واحدة
التسلسل الزمني
- وكيل CodeWall يحصل على وصول للقراءة والكتابة في أقل من ساعتين في أواخر فبراير
- CodeWall تبلغ فريق الأمن في McKinsey
- McKinsey ترقّع نقاط النهاية المكشوفة وتوقف بيئة التطوير
- CodeWall تنشر نتائجها
الاستجابة
رقّعت McKinsey الثغرة خلال يوم وأوقفت البيئة؛ ونشرت CodeWall وPromptfoo تحليلات.
الحالة الراهنة: تم الترقيع
المصادر (تُفتح في تبويب جديد)
- The Register theregister.com
- BankInfoSecurity bankinfosecurity.com
- Outpost24 outpost24.com
الاستشهاد بهذا الملف
وكيل ذكاء اصطناعي مستقل يخترق منصة روبوت الدردشة Lilli التابعة لـ McKinsey خلال ساعتين. AI Threat Watch, ملف mckinsey-lilli-breach, 9 مارس 2026. https://aithreat.io/ar/cases/mckinsey-lilli-breach/
رابط دائم: https://aithreat.io/ar/cases/mckinsey-lilli-breach/