ماذا حدث
كشفت شركة Check Point للأمن السيبراني عن ثلاث ثغرات أمنية في إطار العمل المفتوح المصدر LangGraph، الذي طوّرته LangChain لبناء تطبيقات الذكاء الاصطناعي متعددة الوكلاء (Multi-Agent AI). وقد جرى تصحيح الثغرات الثلاث، غير أن الباحثين نبّهوا إلى إمكانية تسلسلها معاً للوصول إلى تنفيذ تعليمات برمجية عن بُعد (Remote Code Execution - RCE) على الخوادم المتأثرة.
التفاصيل
رصد الباحث يردن بورات، المنسوب إليه اكتشاف الثغرات الثلاث والإبلاغ عنها، الأخطار التالية:
**CVE-2025-67644** (درجة CVSS: 7.3) — ثغرة حقن SQL (SQL Injection) في تطبيق نقاط التفتيش (Checkpoint) المعتمد على SQLite ضمن LangGraph، تسمح للمهاجم بالتلاعب في استعلامات قاعدة البيانات عبر مفاتيح تصفية البيانات الوصفية. تطال هذه الثغرة الإصدارات السابقة للإصدار 3.0.1 من حزمة langgraph-checkpoint-sqlite.
**CVE-2026-28277** (درجة CVSS: 6.8) — ثغرة إلغاء تسلسل غير آمن (Unsafe Deserialization) باستخدام بروتوكول msgpack، تُفضي إلى إعادة بناء كائنات برمجية خبيثة عند تحميل نقطة تفتيش معدَّلة من قِبل المهاجم. تطال إصدارات langgraph السابقة للإصدار 1.0.10.
**CVE-2026-27022** (درجة CVSS: 6.5) — ثغرة حقن استعلام RediSearch (RediSearch Query Injection) في حزمة langchain/langgraph-checkpoint-redis@، تُمكّن من تجاوز ضوابط الوصول (Access Controls). تطال الإصدارات السابقة للإصدار 1.0.1.
### كيف تعمل سلسلة الاستغلال؟
يعتمد الهجوم المركّب بين CVE-2025-67644 وCVE-2026-28277 على نقطة نهاية (Endpoint) تسمى get_state_history()، التي تتيح استرداد نقاط التفتيش التاريخية بناءً على بياناتها الوصفية. تسير الهجمة وفق الخطوات التالية:
1. يُعدّ المهاجم حمولة (Payload) مشفّرة بصيغة msgpack تحمل تعليمات تنفيذ أكواد عشوائية. 2. يُرسل معامل تصفية خبيث يستغل ثغرة حقن SQL لإدراج صف مزيّف في نتائج قاعدة البيانات، يتضمّن عمود نقطة التفتيش بيانات مُتحكَّماً فيها من قِبل المهاجم. 3. حين تُعالج التطبيقات نتائج الاستعلام، تُلغي تسلسل نقطة التفتيش الخبيثة المخزّنة على شكل BLOB. 4. تُشغّل ثغرة إلغاء التسلسل الحمولة الخبيثة، مانحةً المهاجم صلاحية تنفيذ التعليمات البرمجية على الخادم.
أشار فريق LangGraph إلى أن CVE-2026-28277 تُصنَّف ثغرة ما بعد الاستغلال (Post-Exploitation)، إذ تستلزم القدرة على كتابة بيانات في طبقة تخزين نقاط التفتيش أولاً، وأن منصة LangSmith المُدارة غير متأثرة بهذه الثغرات.
لماذا يهمّك
تُبرز هذه الاكتشافات كيف أن فئات الثغرات الكلاسيكية كحقن SQL باتت أشد خطورةً حين تظهر داخل أطر عمل وكلاء الذكاء الاصطناعي، نظراً لما تتمتع به هذه الوكلاء من صلاحيات وصول مرتفعة وثقة واسعة في البيئات التي تعمل ضمنها. وقد يفضي الاختراق الناجح إلى تسريب أسرار بيئة التشغيل، أو توفير وصول غير مشروع إلى أنظمة أخرى متصلة بالخادم المخترق.
توصيات
- **تطبيق التحديثات فوراً**: الترقية إلى langgraph-checkpoint-sqlite 3.0.1، وlanggraph 1.0.10، وlangchain/langgraph-checkpoint-redis@ 1.0.1.
- **تفعيل المصادقة** على خوادم LangGraph المستضافة ذاتياً وعدم تركها مكشوفة بلا حماية.
- **تجنّب الأسرار الثابتة طويلة الأمد** واعتماد بيانات اعتماد دورية.
- **تطبيق تقسيم الشبكة (Network Segmentation)** للحدّ من انتشار أي اختراق محتمل.
- **معاملة وكلاء الذكاء الاصطناعي كهويات ذات امتيازات** وتطبيق مبدأ أدنى الصلاحيات (Principle of Least Privilege - PoLP) للتحكم في نطاق وصولها.
