ملف shadowleak-deep-researchحقن الأوامرالولايات المتحدة
ShadowLeak: حقن أوامر دون نقرة يجعل Deep Research في ChatGPT يسرّب بيانات Gmail
أظهرت Radware أن HTML مخفياً في رسالة بريد يمكنه جعل وكيل Deep Research في ChatGPT يستخرج بيانات صندوق الوارد وينشرها إلى رابط المهاجم من سحابة OpenAI دون أي نقرة من المستخدم. ورقّعته OpenAI في أغسطس 2025.
عاليةهجوم على الذكاء الاصطناعيالحالة: تم الترقيعملف موثّق
افتح في الخريطة التفاعليةالاستشهاد بهذا الملف
- تاريخ الإبلاغ
- 18 سبتمبر 2025
- الموقع
- الولايات المتحدة
- الهدف
- وكيل Deep Research في ChatGPT من OpenAI (موصل Gmail)
- الخطورة
- عالية
- الجهة المنفذة
- فريق أبحاث Radware
- نوع الجهة
- باحثون أمنيون
- الخسارة المُعلنة
- لم يُعلن عن خسارة
- CVE
- لا يوجد
ماذا حدث
أظهرت Radware أن HTML مخفياً في رسالة بريد يمكنه جعل وكيل Deep Research في ChatGPT يستخرج بيانات صندوق الوارد وينشرها إلى رابط المهاجم من سحابة OpenAI دون أي نقرة من المستخدم. ورقّعته OpenAI في أغسطس 2025.
الأثر: حقق إثبات المفهوم تسريباً موثوقاً لمحتوى Gmail؛ وحذرت Radware من أن التقنية نفسها قد تطال موصلات أخرى مثل Google Drive وDropbox وGitHub وOutlook وSharePoint. ولم يُبلَّغ عن ضحايا فعليين
من نفّذها
الجهة: فريق أبحاث Radware
الإسناد: إفصاح مسؤول من باحثي Radware؛ ولا دليل على إساءة استخدام فعلية
الدافع: بحث أمني وإفصاح مسؤول
كيف حدثت
أسلوب الهجوم: نص HTML مخفي في رسالة بريد؛ عندما يطلب المستخدم من Deep Research تحليل صندوق الوارد يستدعي الوكيل browser.open مع بيانات شخصية مرمّزة بـ Base64 ملحقة برابط المهاجم
السبب الجذري: عامل الوكيل محتوى البريد غير الموثوق كتعليمات واستطاع إرسال طلبات HTTP خارجية من جانب الخادم، فتجاوز التسريب فحوصات الروابط على جانب العميل ومراقبة المؤسسات
التسلسل الزمني
- Radware تبلّغ OpenAI عن الثغرة
- OpenAI تنشر إصلاحاً
- Radware تنشر شرح ShadowLeak
الاستجابة
رقّعت OpenAI مسار التسريب على جانب الخدمة في أوائل أغسطس 2025 قبل الكشف العلني
الحالة الراهنة: تم الترقيع
المصادر (تُفتح في تبويب جديد)
- Security Affairs securityaffairs.com
- The Register theregister.com
- Infosecurity Magazine infosecurity-magazine.com
الاستشهاد بهذا الملف
ShadowLeak: حقن أوامر دون نقرة يجعل Deep Research في ChatGPT يسرّب بيانات Gmail. AI Threat Watch, ملف shadowleak-deep-research, 18 سبتمبر 2025. https://aithreat.io/ar/cases/shadowleak-deep-research/
رابط دائم: https://aithreat.io/ar/cases/shadowleak-deep-research/