أمر واحد يكشف بيانات اعتماد وكلاء «خدمات أمازون ويب».. والشركة تعتبره سلوكاً موثّقاً وسط خطة إنفاق رأسمالي بـ220 مليار دولار
قال باحثون إن أمراً واحداً مكتوباً بالإنجليزية البسيطة دفع وكيل «بيدروك» (Bedrock) إلى تسليم بيانات اعتماده السحابية النشطة، فيما لم يدخل الإصلاح الأخير حيز التنفيذ إلا بعد تسعة أشهر من أول بلاغ. وفي اليوم نفسه، دافع الرئيس التنفيذي لخدمات أمازون ويب (AWS)، مات جارمان، عن خطة الإنفاق الكامنة خلف المنصة.
Vincent Jiang · 3 min read
أمر واحد.. والحساب بأكمله
قالت زينيتي لابز (Zenity Labs) في 8 أكتوبر إن أمراً واحداً بصياغة إنجليزية مبسطة جعل وكيلاً متاحاً للجمهور يسلّم بيانات اعتماده السحابية النشطة، وقد صدّر الباحثون هذه البيانات وتحققوا من أنها تعمل خارج خدمات أمازون ويب+1.78% — خدمات أمازون ويب, up 1.78 percent today 12. ثم مكّنهم الدور الافتراضي المرتبط بـ«إيجنت كور» (AgentCore)، خدمة أمازون لإدارة الوكلاء، من نسخ الشيفرة المصدرية لكل وكيل عبر حساب واحد ومنطقة واحدة تابعة لخدمات أمازون ويب، ومن قراءة المحادثات الخاصة للمستخدمين، وسحب البيانات السرية، وزرع ذكريات تبقى حتى بعد انتهاء المحادثة 2. وتقول «زينيتي» إنها لم ترَ أي دليل على استغلال الثغرة في هجمات فعلية 3.
كانت «يونيت 42» (Unit 42) قد أبلغت في 18 سبتمبر بأن أداة الصدفة (Shell) المدمجة في «إيجنت كور» تعمل افتراضياً بصلاحيات الجذر (root)، وفي مساحة الذاكرة ذاتها التي تتحول فيها بيانات الاعتماد إلى نص واضح، قائلة: «إنه الوضع الجاهز فور التشغيل» 1. ووصف مدير الأبحاث في «زينيتي»، تمير إيشاي شاربات، عملية الاستيلاء على بيانات الاعتماد بأنها «سهلة بشكل جنوني» خلال مؤتمر «سيكتور» (SecTor) في تورونتو 3.
خدمات أمازون ويب تحيل إلى الوثائق
قال متحدث باسم الشركة إن البحث «يصوّر على نحو غير دقيق سلوكاً متوقعاً وموثّقاً بوصفه ثغرة أمنية»، وإن الوكيل لا يصل إلى موارد حساب آخر إلا إذا منح المطوّر الأذونات على الجانبين 1. وأغلقت خدمات أمازون ويب بلاغ «يونيت 42» المقدَّم في سبتمبر بوصفه معلوماتياً 1.
التقويم هو الجانب الأصعب. أبلغت «زينيتي» عن مسار بيانات الاعتماد في 25 ديسمبر 2025، وعن الدور الافتراضي واسع الصلاحيات في 12 يناير؛ ثم نقلت خدمات أمازون ويب الوكلاء الجدد في 14 فبراير لتعمل حصراً عبر IMDSv2، وأغلقت بلاغ البيانات الوصفية بوصفه معلوماتياً في أبريل، وتركت الدور الافتراضي من دون تغيير في يونيو، ولم تضيّقه إلا في 29 سبتمبر 2. ولم يُصدر للثغرة أي معرّف (CVE) 2.
أغلب المستأجرين لا يعدّلون الإعدادات الافتراضية مطلقاً
بموجب نموذج المسؤولية المشتركة، يبقى إصلاح البيئة المعزولة (Sandbox) على عاتق أمازون، بينما تقع إعادة كتابة الإعدادات الافتراضية على عاتق المستأجر، وفي تقدير محلل «إنفو-تك» (Info-Tech) فريد شانيون فإن أغلبهم لن يفعلوا ذلك مطلقاً 1. أما ما يتبقى من التدقيق فهو قائمة التحقق التي يضعها المستشار جاستن غرايس: ما الهوية التي يحملها الوكيل، وما يستطيع الوصول إليه وتغييره وتذكّره، وما يحدث في حال اختراقه 1.
رهان بقيمة 220 مليار دولار على المنصة نفسها
وفي اليوم نفسه، قال رئيس خدمات أمازون ويب مات جارمان، في حوار مع بودكاست «إيه16زد» (a16z)، إن الشركة تخطط لإنفاق رأسمالي يناهز 220 مليار دولار في عام 2026. وأضاف أن الإيرادات تنمو بنسبة 37%، ولا تتجاوز حصة أي عميل خانة الرقم الواحد، فيما ارتفعت إيرادات «بيدروك» بنسبة 170% على أساس فصلي في بعض الفترات 4.
الإنفاق الرأسمالي الفصلي لأمازون يقترب من خمسة أضعافه في ثلاث سنوات
Data
| الإنفاق الرأسمالي | |
|---|---|
| الربع الثالث 2023 | $11.3B |
| الربع الرابع 2023 | $13.35B |
| الربع الأول 2024 | $13.94B |
| الربع الثاني 2024 | $16.39B |
| الربع الثالث 2024 | $21.28B |
| الربع الرابع 2024 | $26.05B |
| الربع الأول 2025 | $24.26B |
| الربع الثاني 2025 | $31.37B |
| الربع الثالث 2025 | $34.23B |
| الربع الرابع 2025 | $38.47B |
| الربع الأول 2026 | $43.23B |
| الربع الثاني 2026 | $53.08B |
وتُظهر تقارير أمازون المودعة لدى لجنة الأوراق المالية والبورصات الأمريكية (SEC) أن الإنفاق الرأسمالي الموحد بلغ 53.1 مليار دولار في الربع المنتهي في يونيو، أي نحو خمسة أضعاف مستواه في الربع الثالث من عام 2023 5.
المنافسون ينتقلون إلى الإعدادات الافتراضية نفسها
بحسب ما يرويه جارمان، فإن الطلب متعاقد عليه: فقد تجاوز المعدل السنوي (Run Rate) لإيرادات الذكاء الاصطناعي 15 مليار دولار في الربع الأول، وبلغ 25 مليار دولار بحلول مطلع أغسطس، فيما حُجزت الطاقة بالكامل حتى عام 2028، وبيعت طاقة «ترينيوم» (Trainium) بالكامل 46. وفي سبتمبر، أصبح وكلاء «أوبن إيه آي»$1.18T — «أوبن إيه آي», private, latest valuation $1.18T أحدث المستأجرين، إذ يعملون على «إيجنت كور» ضمن الأذونات الحالية لخدمات أمازون ويب لدى العملاء، مع إدراج «سيلزفورس»+0.27% — «سيلزفورس», up 0.27 percent today ضمن العملاء 78.
عالجت «كلاودفلير» (Cloudflare) في الشهر ذاته ثغرة تسريب مماثلة بين المستأجرين، ما يعني أن إخفاق العزل بات نمطاً متكرراً في الصناعة 9. ويصل وكلاء «أوبن إيه آي» إلى مرحلة الإتاحة العامة (General Availability) خلال مؤتمر «ري:إنفنت» (re:Invent) في ديسمبر 8، ما يترك أمام المستأجرين الأسابيع التي تسبق ذلك لتدقيق أدوار التنفيذ. وتنفق أمازون 220 مليار دولار لجعل الوكلاء يعملون باستقلالية، بينما تنص البنود الدقيقة على أن الضرر من نصيب المستأجر 14.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
