ملف nx-s1ngularityسلسلة توريد الذكاء الاصطناعيعالمي
s1ngularity: حزم Nx مفخخة تسخّر أدوات Claude وGemini لسرقة الأسرار
شغّلت إصدارات خبيثة من Nx على npm أدوات برمجة ذكاء اصطناعي محلية بخيارات تجاوز الصلاحيات لجرد الأسرار، ثم سرّبت آلاف بيانات اعتماد المطورين إلى مستودعات عامة على GitHub.
حرجةهجوم على الذكاء الاصطناعيالحالة: تم الاحتواءملف موثّق
افتح في الخريطة التفاعليةالاستشهاد بهذا الملف
- تاريخ الإبلاغ
- 27 أغسطس 2025
- الموقع
- عالمي
- الهدف
- مستخدمو نظام البناء Nx
- الخطورة
- حرجة
- الجهة المنفذة
- مهاجم مجهول عبر سلسلة التوريد (s1ngularity)
- نوع الجهة
- إجرامي
- الخسارة المُعلنة
- لم يُعلن عن خسارة
- CVE
- لا يوجد
ماذا حدث
شغّلت إصدارات خبيثة من Nx على npm أدوات برمجة ذكاء اصطناعي محلية بخيارات تجاوز الصلاحيات لجرد الأسرار، ثم سرّبت آلاف بيانات اعتماد المطورين إلى مستودعات عامة على GitHub.
الأثر: تسريب أكثر من 2,000 سر و20,000 ملف من نحو 1,000 مطور؛ وتحويل 480 حساباً ونحو 6,700 مستودع خاص إلى عامة؛ وتأثر 2,180 حساباً إجمالاً بحسب Wiz
من نفّذها
الجهة: مهاجم مجهول عبر سلسلة التوريد (s1ngularity)
الإسناد: لا نسبة علنية؛ حلله القائمون على Nx وWiz وStepSecurity وSocket وGitHub Security Lab
الدافع: سرقة جماعية لأسرار المطورين (رموز GitHub وnpm ومفاتيح SSH ومحافظ العملات المشفرة وبيانات الاعتماد السحابية)
كيف حدثت
أسلوب الهجوم: سكربت postinstall خبيث في إصدارات Nx على npm من 20.9.0 إلى 21.8.0 شغّل أدوات سطر الأوامر Claude وGemini وQ بخيارات تجاوز الصلاحيات للعثور على الأسرار، ثم دفعها إلى مستودعات عامة على GitHub
السبب الجذري: سير عمل GitHub Actions في Nx يستخدم pull_request_target مع عنوان طلب دمج غير منقّح سمح للمهاجم بسرقة رمز النشر إلى npm من فرع قديم
التسلسل الزمني
- إضافة سير العمل المعرض للثغرة إلى مستودع Nx؛ والتراجع عنه في الفرع الرئيسي مع بقائه في فرع قديم
- المهاجم ينشر إصدارات Nx مفخخة على npm؛ والبرمجية الخبيثة تشغّل أدوات الذكاء الاصطناعي وتسرّب الأسرار لعدة ساعات
- Nx تسحب الإصدارات الخبيثة وتلغي الرموز وتنشر التنبيه GHSA-cxm3-wv7p-598c
- المرحلة الثانية: استخدام رموز GitHub المسروقة لتحويل نحو 6,700 مستودع خاص إلى عامة عبر 480 حساباً
- Wiz تفيد بتأثر 2,180 حساباً و7,200 مستودع عبر ثلاث مراحل
الاستجابة
ألغت Nx رموز npm وأزالت الحزم وفرضت المصادقة الثنائية والنشر الموثوق؛ وأزال GitHub المستودعات المسربة؛ وطُلب من الضحايا تدوير جميع بيانات الاعتماد
الحالة الراهنة: تم الاحتواء
المصادر (تُفتح في تبويب جديد)
- Okta okta.com
- Wiz wiz.io
- BleepingComputer bleepingcomputer.com
- GitHub Security Lab securitylab.github.com
الاستشهاد بهذا الملف
s1ngularity: حزم Nx مفخخة تسخّر أدوات Claude وGemini لسرقة الأسرار. AI Threat Watch, ملف nx-s1ngularity, 27 أغسطس 2025. https://aithreat.io/ar/cases/nx-s1ngularity/
رابط دائم: https://aithreat.io/ar/cases/nx-s1ngularity/