> ## Content Index
> Fetch the complete content index at: https://globalfeed.ai/llms.txt
> Use this file to discover other available public pages before exploring further.

# اختراق OpenAI Codex وLiteLLM وأدوات ذكاء اصطناعي أخرى في مسابقة Pwn2Own
- URL: https://globalfeed.ai/ar/khtrq-openai-codex-wlitellm-wdwt-dhk-stnaay-khr-fy-msbq-pwn2own/
- Published: 2026-10-08T17:42:22.000Z
- Updated: 2026-10-08T17:42:22.000Z
- Description: في مسابقة Pwn2Own Ireland 2026 بمدينة كورك، اخترق باحثون OpenAI Codex بثغرة واحدة وLiteLLM في هجومين منفصلين، كما اختُرقت Oracle Autonomous AI Database وChroma وDynamo. وتنقل Zero Day Initiative تفاصيل الثغرات إلى الشركات المصنعة لإصلاحها.
- Author: GlobalFeed Editor
- Tags: Pwn2Own, الأمن السيبراني, أمن الذكاء الاصطناعي, وكلاء البرمجة, x-thezdi, dil-ar, elle

في مسابقة **Pwn2Own Ireland 2026** التي نظمتها **Zero Day Initiative (ZDI)** في مدينة كورك الأيرلندية بين 6 و8 أكتوبر 2026، نجح باحثون أمنيون في اختراق عدد من منتجات الذكاء الاصطناعي مباشرة على المسرح، ومنها **OpenAI Codex** و**LiteLLM**. وبحسب ما أعلنته ZDI، كشف اليوم الأول وحده عن 32 ثغرة فريدة من نوع اليوم الصفري، أي ثغرات لم تكن الجهة المصنعة على علم بها بعد.

Pwn2Own مسابقة أمنية تنظمها ZDI التابعة لشركة Trend Micro. ويعرض المتسابقون هجماتهم خلال وقت محدد على منتجات محدثة بالكامل ومثبتة بإعداداتها الافتراضية، ويحصل الناجحون على جوائز ونقاط في سباق لقب Master of Pwn. وبموجب قواعد المسابقة، يسلّم الفائزون إلى ZDI شيفرة استغلال عاملة وتقريرا تقنيا مفصلا، ثم تبلغ ZDI الشركات المتأثرة بالثغرات حتى تتمكن من إعداد التحديثات اللازمة لسدها.

## اختراق OpenAI Codex في فئة وكلاء البرمجة

Codex وكيل برمجة بالذكاء الاصطناعي طورته OpenAI للمطورين، ويستطيع كتابة الشيفرة وتنفيذ الأوامر. وضمت فئة وكلاء البرمجة بالذكاء الاصطناعي في المسابقة هدفين هما Claude Code من Anthropic وOpenAI Codex. وتشترط القواعد أن يستخدم الهجوم الصالح موردا يتحكم فيه المتسابق، مثل صفحة ويب أو مستودع شيفرة أو ملف وسائط، لاستغلال ثغرة في الوكيل نفسه وتنفيذ شيفرة خارج حدود البيئة المعزولة (sandbox) والصلاحيات المسموح بها. ويعمل الوكيلان على Windows 11 بإعداداتهما الافتراضية مع تفعيل العزل. وتقع محاولات خداع النموذج وأوضاع التشغيل التي تعطّل طلبات الإذن خارج نطاق المسابقة.

وبحسب نتائج اليوم الأول التي نشرتها ZDI، اخترق فريق Ikotas Labs أداة OpenAI Codex باستخدام ثغرة واحدة من نوع حقن الوسائط (argument injection). ولم يتضمن جدول المسابقة المنشور أي محاولة مسجلة ضد Claude Code.

## LiteLLM وأهداف أخرى في البنية التحتية للذكاء الاصطناعي

LiteLLM طبقة وسيطة مفتوحة المصدر تتيح للتطبيقات الوصول إلى نماذج عدد كبير من مزودي الذكاء الاصطناعي عبر واجهة واحدة. واستهدفها فريقان في اليوم الأول؛ إذ جمع باحث من Xint بين ثغرة في التحقق من المدخلات وثغرة حقن شيفرة للحصول على صدفة عكسية (reverse shell) على الخادم. واستخدم فريق Out of Bounds سلسلة من أربع ثغرات، وبحسب ZDI كانت اثنتان منها معروفتين من قبل.

وفي الفئة نفسها، اختُرقت Oracle Autonomous AI Database عدة مرات على مدى الأيام الثلاثة، واعتمدت أول محاولة ناجحة على سلسلة من خمس ثغرات. ولم تكتمل بعض المحاولات ضد Chroma، وهي قاعدة بيانات متجهية مفتوحة المصدر، بسبب انتهاء الوقت، بينما نجحت محاولتان في اليوم الثاني. كما اختُرق هدف يحمل اسم Dynamo في اليوم الثاني. وبحسب القواعد، تنطلق الهجمات في هذه الفئة من حاسوب المتسابق عبر الشبكة، ويجب أن تتجاوز نظام المصادقة في الهدف. وسجلت ZDI عددا من المحاولات على أنها تصادم (collision)، أي أن بعض الثغرات المستخدمة كانت قد أُبلغت من قبل إلى الشركة المصنعة أو إلى ZDI.

## الصورة العامة للمسابقة وطريقة سد الثغرات

إلى جانب منتجات الذكاء الاصطناعي، استهدفت المسابقة هاتفي Samsung Galaxy S26 وGoogle Pixel 10، وأجهزة منزلية ذكية، وطابعات، وجهازا صحيا. وبحسب منشور ZDI عن اليوم الثالث، فاز فريق Ikotas Labs، صاحب اختراق Codex، بلقب Master of Pwn.

ووفق سياسة الإفصاح لدى ZDI، تُمنح الشركة المصنعة بعد ردها مهلة أربعة أشهر (120 يوما) لمعالجة الثغرة. وإذا انتهت المهلة دون إصلاح ولم تقدم الشركة تفسيرا معقولا، تنشر ZDI تنبيها أمنيا بمعلومات محدودة.

لا تتضمن منشورات ZDI عن النتائج التفاصيل التقنية للثغرات، ولا تذكر إصدار Codex الذي استُهدف أو سيناريو الهجوم المستخدم. كما لم يذكر منشور اليوم الثالث العدد الإجمالي للثغرات في المسابقة كلها. ويُنصح الفرق التي تستخدم هذه المنتجات بمتابعة التحديثات الأمنية التي تصدرها الشركات وتثبيتها. ولصورة أشمل، تابعوا أيضا تقييمات الباحثين المستقلين.

المصادر: [ZDI: نتائج اليوم الأول من Pwn2Own Ireland 2026](https://www.zerodayinitiative.com/blog/2026/10/6/pwn2own-ireland-2026-day-one-results?ref=globalfeed.ai)، و[ZDI: نتائج اليوم الثاني](https://www.zerodayinitiative.com/blog/2026/10/7/pwn2own-ireland-2026-day-two-results?ref=globalfeed.ai)، و[ZDI: نتائج اليوم الثالث ولقب Master of Pwn](https://www.zerodayinitiative.com/blog/2026/10/8/pwn2own-ireland-2026-day-three-results-amp-master-of-pwn?ref=globalfeed.ai)، و[ZDI: قواعد Pwn2Own Ireland 2026](https://www.zerodayinitiative.com/Pwn2OwnIreland2026Rules.html?ref=globalfeed.ai)، و[ZDI: سياسة الإفصاح](https://www.zerodayinitiative.com/advisories/disclosure%5Fpolicy/?ref=globalfeed.ai).