براين أرمسترونغ يطالب بأداة كتابة الشفرة بالذكاء الاصطناعي في Coinbase يمكن اختراقها بواسطة فيروس جديد

قد يكون رئيس Coinbase قد أجبر شركته على استخدام أدوات الذكاء الاصطناعي Cursor، ولكن وفقاً لمنصة الأمان السيبراني HiddenLayer، فإن هذه الخطوة قد تعرض المنصة للخطر.

تم العثور على أن مساعد كتابة الشفرة بالذكاء الاصطناعي المفضل لمطوري Coinbase عرضة لهجوم سيبراني يمكنه زرع برمجيات خبيثة مخفية وتعويض المنظمة بأكملها، وفقاً لتقرير جديد من شركة الأمان السيبراني HiddenLayer.

في مدونة نُشرت في وقت متأخر من يوم الخميس، كتبت HiddenLayer أن الهجوم يكشف عن نقاط ضعف في محرر الشفرة Cursor من خلال استغلال يُعرف بـ "هجوم ترخيص CopyPasta"، وهي طريقة تبدو بريئة من الخارج، لكنها تضم تعليمات خبيثة في ملفات المطورين الشائعة.

HiddenLayer تكتشف هجوم CopyPasta

يوفر Cursor إكمالاً تلقائياً ذكياً، واقتراحات شفرة آلية، وكشف الأخطاء في الوقت الفعلي لمساعدة المطورين على تبسيط البرمجة. ولكن في وضع التشغيل التلقائي، حيث يمكن للبرنامج تنفيذ الأوامر تلقائياً، اكتشف الباحثون عيباً يتجاوز الحماية المصممة لمنع تشغيل التعليمات غير الآمنة دون موافقة.

اقترحت HiddenLayer أن هجوم CopyPasta يستغل أوامر النظام داخل Cursor، وهو أمر حاسم للامتثال لترخيص البرمجيات. يحاكي نص الترخيص مثل اتفاقيات GPL، ثم يتنكر كنص ماركداون README.

يستخدم الهجوم أيضاً تعليقات مخفية في ملفات ماركداون وإدخالات تعتمد على النحوية للتستر على التعليمات الخبيثة كأوامر مطورين موثوقة.

"عند دمجها مع تعليمات خبيثة، يتمكن هجوم CopyPasta من نسخ نفسه في نفس الوقت بطريقة مشفرة إلى مستودعات جديدة وإدخال نقاط ضعف متعمدة في قواعد الشفرة التي كانت آمنة بخلاف ذلك،" قالت HiddenLayer في إفصاحها.

في الاختبارات، استخدم الباحثون حمولة غير ضارة أدخلت سطر واحد من الشفرة في بداية أي ملف بايثون. لكنهم حذروا من أن نفس الطريقة يمكن استخدامها أثناء اختراقات الأمان، بما في ذلك زرع أبواب خلفية، أو استخراج بيانات حساسة، أو استهلاك موارد النظام، أو إتلاف بيئات الإنتاج.

قارن الباحثوه بمثل هذه التجارب مثل هجوم "Morris II"، على سبيل المثال، الذي أظهر كيف يمكن خدع وكلاء البريد الإلكتروني لإرسال رسائل مزعجة أو تسريب البيانات أثناء نسخ أنفسهم. كان لـ Morris II معدل نجاح نظري عالٍ، لكنه كان محدوداً في الممارسة العملية لأن أنظمة البريد الإلكتروني لا تزال تتطلب مراجعة بشرية قبل إرسال الرسائل.

قالت HiddenLayer إن مساعدي كتابة الشفرة بالذكاء الاصطناعي الآخرين، مثل Windsurf و Kiro و Aider، ينشرون أيضاً استغلال CopyPasta إلى ملفات جديدة بطريقة يصعب اكتشافها. تم الإبلاغ عن الثغرة بشكل مستقل من قبل كل من HiddenLayer ومجموعة الأمان BackSlash. 

مهندسو Coinbase تحت ضغط كبير من كتابة الشفرة بالذكاء الاصطناعي

كما أبلغ به Cryptopolitan أمس، كشف رئيس تنفيذي لـ Coinbase، براين أرمسترونغ، أن فريق الهندسة في المنصة يستخدم Cursor كأداة مفضلة لمعظم أعماله، مع خطط لجعل "كل مهندس في Coinbase" يستخدمها بحلول فبراير من العام المقبل.

أخبر رئيس الشركة جون كولينسون، المؤسس المشارك لـ Stripe، في بودكاست في أواخر أغسطس أنه أعطى المطورين أسبوعاً للبدء في استخدام GitHub Copilot و Cursor، أو فقدان وظائفهم.

"تصرفت بشكل مستقل ونشرت في قناة Slack العامة. الذكاء الاصطناعي مهم. نريد منكم جميعاً تعلمه والتسجيل على الأقل. لا يتعين عليك استخدامه كل يوم حتى نقوم ببعض التدريب، ولكن سجل على الأقل بحلول نهاية الأسبوع. إذا لم تفعل ذلك، سأستضيف اجتماعاً يوم السبت مع كل من لم يفعل ذلك، وأرغب في مقابلة لفهم السبب،" استنتج أرمسترونغ.

في يوم الأربعاء، نشر على X أن الذكاء الاصطناعي كان مسؤولاً عن كتابة ما يصل إلى 40% من شفرة الشركة، ويتوقع أن ترتفع هذه النسبة إلى 50% بحلول الشهر المقبل.

~40% من الشفرة اليومية المكتوبة في Coinbase مولدة بالذكاء الاصطناعي. أريد أن أجعلها تتجاوز 50% بحلول أكتوبر.

من الواضح أنه يجب مراجعتها وفهمها، ولا يمكن لجميع مجالات الأعمال استخدام الشفرة المولدة بالذكاء الاصطناعي. لكن يجب علينا استخدامها بمسؤولية قدر الإمكان. pic.twitter.com/Nmnsdxgosp

— براين أرمسترونغ (@brian_armstrong) سبتمبر 3، 2025

كان أرمسترونغ أحد أكثر المؤيدين صراحة في وادي السيليكون لدمج الذكاء الاصطناعي في سير العمل المؤسسي. لكن إصراره على تبني المهندسين لأدوات كتابة الشفرة بالذكاء الاصطناعي لا يلقى قبولاً لدى بعض أعضاء المجتمع.