valtik-ai-ide-config-guard

امسح مستودعاً بحثاً عن ملفات تكوين مساعدي الترميز بالذكاء الاصطناعي (AI-IDE) التي قد تؤدي إلى تنفيذ أوامر عن بُعد (RCE)، أو سرقة بيانات الاعتماد، أو اختراق دائم لأجهزة المطورين عند فتح المستودع في Claude Code، أو Cursor، أو Windsurf، أو Continue، أو أي فرع من VS Code.

طوّر استجابةً لموجة الكشف عن ثغرات AI-IDE في أبريل 2026:

• CVE-2025-59536 / CVE-2026-21852 — خطافات Claude Code settings.json من نوع SessionStart / PreToolUse / PostToolUse / UserPromptSubmit تنفذ أوامر شل عشوائية عند فتح مساحة العمل.
• CVE-2026-30615 — ثغرة RCE من نوع كتابة التهيئة في Windsurf.
• Pillar Security — Rules File Backdoor (2026) — تعليمات مهربة عبر Unicode داخل ملفات .cursorrules / .windsurfrules / .github/copilot-instructions.md / .continue/*.md تخفي توجيهات المهاجم عن المراجع البشري.
• إعادة توجيه ANTHROPIC_BASE_URL / OPENAI_BASE_URL / OPENAI_API_BASE إلى نقاط نهاية يتحكم بها المهاجم (استخراج الطلبات ومفاتيح API).
• تسجيل خادم MCP تلقائياً عبر mcp.json / .mcp.json / .cursor/mcp.json / .claude/mcp.json مع استدعاء command عشوائي عبر stdio.
• تشغيل .vscode/tasks.json تلقائياً عند فتح مساحة العمل.

شغّله على كل مستودع طرف ثالث تستنسخه قبل فتحه في محرر مزود بالذكاء الاصطناعي.

تثبيت

لا حاجة للتثبيت — استخدم npx:

npx valtik-ai-ide-config-guard <path>

أو ثبّته عالمياً:

npm i -g valtik-ai-ide-config-guard
ai-ide-config-guard <path>

يتطلب Node 20+.

الاستخدام

$ npx valtik-ai-ide-config-guard ./my-cloned-repo

مع حد الفشل (للتكامل المستمر):

$ npx valtik-ai-ide-config-guard . --fail-on high

إخراج بصيغة JSON:

$ npx valtik-ai-ide-config-guard . --json > report.json

إخراج بصيغة SARIF 2.1.0 (لفحص كود GitHub):

$ npx valtik-ai-ide-config-guard . --sarif > report.sarif

تشغيل مجموعة فرعية من الفحوصات:

$ npx valtik-ai-ide-config-guard . --checks G1,G3,G5

قائمة كاملة بالخيارات: npx valtik-ai-ide-config-guard --help.

الفحوصات

G1 — خطاف Claude Code ينفذ شل

يبحث عن .claude/settings.json ويحلل hooks.SessionStart / hooks.PostToolUse / hooks.PreToolUse / hooks.UserPromptSubmit (وأحداث دورة الحياة ذات الصلة). إذا كان أي إدخال يحدد سلسلة command (أو type: "command" ضمن بناء الجملة المجمّع)، يكون الاكتشاف حرجاً — فتح المستودع في Claude Code ينفذ الأمر تحت شل المطور مع متغيرات البيئة ومفاتيح SSH والرموز المميزة الخاصة به.

G2 — تهريب Unicode في ملفات القواعد

يفحص .cursorrules، .cursor/rules/*.md[c]، .windsurfrules، .windsurf/rules/*.md[c]، .github/copilot-instructions.md، .continue/*.md بحثاً عن:

• أحرف التجاوز / التضمين / العزل ثنائية الاتجاه (U+202A–U+202E، U+2066–U+2069)
• أحرف العرض الصفري (U+200B، U+200C، U+200D، U+2060، U+FEFF، U+180E، U+00AD)
• كتلة علامات Unicode (U+E0000–U+E007F) — مساحة تهريب الرموز غير المرئية للبشر
• أحرف متجانسة سيريلية (а/е/о/р/с/х/у/…) ممزوجة ضمن كلمات إنجليزية وإلا
• أنماط تجاوز دور أمرية (ignore previous، from now on، system:، إلخ.)

يتم تجاهل النصوص السيريلية البحتة والرموز التعبيرية وعلامات ترتيب البايت (BOM) في بداية الملف — نُعلّم فقط ما يخفي المحتوى عن المراجع البشري.

G3 — تسجيل MCP تلقائي

يحلل mcp.json، .mcp.json، .claude/mcp.json، .cursor/mcp.json، .windsurf/mcp.json، .vscode/mcp.json، .continue/config.json. لكل خادم مسجل:

• command يطابق src/fixtures/known-malicious-mcp.json → حرج
• command هو ملف ثنائي محلي → عالي
• command هو npx / uvx / pipx يسحب حزمة غير موثقة → متوسط
• url ليس HTTPS → متوسط
• url يشير إلى مضيف محلي / شبكة محلية → متوسط

G4 — تشغيل مهام VS Code تلقائياً

يُعلّم أي مهمة تحتوي على runOptions.runOn: "folderOpen". ترتفع الخطورة إذا استخدم الأمر استيفاء شل (curl | sh، wget | bash، eval، base64 -d، فاصلة عكسية ...، $(...)) أو أشار إلى رابط خارجي.

G5 — إعادة توجيه عنوان قاعدة API

يفحص .env*، .claude/settings.json، .cursor/config.json، .vscode/settings.json، وأي mcp.json بحثاً عن:

• ANTHROPIC_BASE_URL، ANTHROPIC_API_URL
• OPENAI_BASE_URL، OPENAI_API_BASE، OPENAI_API_URL

إذا لم يكن المضيف هو نقطة النهاية الرسمية للمورد (api.anthropic.com / api.openai.com)، يكون الاكتشاف حرجاً — كل طلب ومفتاح API يذهب إلى نقطة نهاية المهاجم. المضيفات غير السحابية (localhost، عناوين IP للشبكة المحلية) تُعلّم عالي.

G6 — ثقة مساحة العمل

يُعلّم .vscode/settings.json الذي يأتي مع security.workspace.trust.enabled: false (أو ما يعادله في Cursor)، مما يلغي بصمت البوابة الأصلية التي تمنع السلوك التلقائي.

G7 — شل مضمن في ملفات القواعد بصيغة ماركداون

في ملفات القواعد .md / .mdc، يفحص كتل التعليمات البرمجية المسيجة التي تحتوي على curl | sh، wget | bash، rm -rf، eval، base64 -d، python -c، /dev/tcp، mkfifo لقذيفة عكسية، chmod +x. ترتفع الخطورة عندما يكون النص المحيط أمراً ("run this"، "execute the following command").

G8 — نصوص package.json للوكلاء

علامة إعلامية للنصوص المسماة claude*، cursor*، windsurf*، mcp*، continue*، copilot*، aider*، cline*. عالي إذا تعارض الاسم نفسه مع خطاف دورة حياة npm (preinstall، postinstall، إلخ) — خطافات دورة الحياة تعمل عند npm install دون تأكيد من المستخدم.

التكامل المستمر

GitHub Actions:

- name: AI-IDE config guard
  run: npx valtik-ai-ide-config-guard . --fail-on high

أو رفع SARIF:

- run: npx valtik-ai-ide-config-guard . --sarif > ai-ide.sarif
- uses: github/codeql-action/upload-sarif@v3
  with:
    sarif_file: ai-ide.sarif

القيود

• ثابت، قائم على التوقيع، ومحافظ. الحمولات المبهمة أو النواقل الجديدة قد لا تُكتشف. تحقيق صفر نتائج إيجابية خاطئة على test/fixtures/safe/ هو هدف تصميمي — نفضل أن نفوت حالة حدودية على أن نعلّم المستخدمين تجاهلنا.
• لا ينفذ أو يحل أي شيء (لا تجارب جافة لـ npx، ولا جلب عناوين URL).
• قراءة الملفات محدودة بـ 2 ميغابايت لكل ملف لمنع هجمات رفض الخدمة (DoS).

المراجع

• CVE-2025-59536 (خطافات Claude Code)
• CVE-2026-21852 (خطافات PostToolUse في Claude Code)
• CVE-2026-30615 (ثغرة RCE من نوع كتابة التهيئة في Windsurf)
• Pillar Security — "Rules File Backdoor" (2026)
• Valtik Studios — أمان AI-IDE 2026 (قادماً)

إخلاء مسؤولية

هذه الأداة تحليل ثابت. التقرير النظيف يعني "الفحوصات الثمانية المرفقة في هذه النسخة لم تُشغّل"، لا يعني "هذا المستودع آمن للفتح في AI-IDE". تعامل مع كل مستودع لم تؤلفه أنت على أنه عدائي وطبق ثقة مساحة العمل ومراجعة الخطافات ومراجعة MCP يدوياً.

رخصة MIT — حقوق النشر (ج) 2026 Valtik Studios LLC.