في حادثة Binance الأمنية هذه، ما يشغلني أكثر ليس المبلغ، بل نقطة الدخول

بحسب الرواية الأولية الرسمية: اختُرق حاسوب أحد مهندسي DevOps، وتمكن المهاجم من الوصول إلى حاوية الخدمات وإرسال معاملة سحب غير مصرّح بها. ثم اكتُشفت نقاط اختراق أخرى، لكن لم يُعثر حتى الآن على ما يشير إلى تسرّب المفاتيح الخاصة بالمحافظ

إذا أسقطنا ذلك على أنفسنا، فالجميع الآن يجعلون وكلاء الذكاء الاصطناعي يشغّلون نصوصًا برمجية ويستدعون واجهات API على الحواسيب

وضعت لنفسي 3 قواعد:
1. لا أمنح المفتاح الذي يستخدمه الوكيل إلا أقل قدر من الصلاحيات. لقد ربطت للتو الوكيل بمفتاح للنشر في الساحة؛ يمكنه النشر فقط، ولا يمكنه الوصول إلى الأصول أو التداول
2. لا أفعّل صلاحية السحب لمفاتيح API الخاصة بمنصات التداول، وأربطها بعناوين IP إن أمكن
3. لا أثبّت عشوائيًا إضافات أو مهارات على الحاسوب الذي يشغّل الوكيل؛ أراجع الشيفرة المصدرية قبل التثبيت

إذا اختُرق الحاسوب، فكل الصلاحيات التي يملكها الوكيل تصبح بيد المهاجم

#AIAgent #الأمان