ثغرتان في Amazon Q Developer تشغّلان إعدادات MCP من المشروع دون موافقة المستخدم
فتح مستودع غير موثوق في المحرر قد يكفي لتسريب مفاتيح السحابة، والمشكلة نفسها ظهرت في عدة أدوات برمجة بالذكاء الاصطناعي، لا في أداة واحدة.
بحث GuardFall: حماية 10 من 11 أداة AI coding agent مفتوحة المصدر قابلة للتجاوز
حارس يفحص نص الأمر قبل أن يعالجه الـ shell يفحص نصًا غير الذي سيُنفَّذ، ولأن الخلل في نمط تصميم لا في مكوّن، فلا يوجد تحديث واحد يصلحه.
Check Point تكشف ثغرات في Claude Code عبر ملفات إعداد المشروع، وAnthropic تصلحها في الإصدار 2.0.65
حين تقرأ أداة البرمجة بالذكاء الاصطناعي إعداداتها من داخل المستودع نفسه، يصبح فتح مشروع من مصدر مجهول قرارًا أمنيًا، لا مجرد قراءة كود.
ثغرة في بوابة LiteLLM تعرّض مفاتيح OpenAI وAnthropic API للسرقة عبر نقاط MCP
البوابة التي تجمع مفاتيح عدة مزودين في مكان واحد تصبح هدفًا واحدًا لكل تلك المفاتيح، وتسرّب مفتاح API يعني فاتورة يدفعها صاحبه عن استهلاك غيره.