#

النقاط الرئيسية

• استخدمت FakeGit العديد من مستودعات GitHub لنشر برمجيات خبيثة عبر مسارات عمل تطوير تبدو موثوقة.

• تهم هذه الحملة فرق البرمجيات المغربية التي تثبّت أدوات الذكاء الاصطناعي أو الوكلاء أو الأدوات الشبيهة بـ MCP.

• يجب أن يشمل التحقق المستودعات والحِزم والإصدارات وعدد النجوم والمشرفين قبل أي تثبيت.

• ينبغي أن تتضمن الحوكمة فحوصات الشراء ومراجعة اللغة وضوابط الأمن.

• قد تحتاج الفرق المرتبطة بالمغرب إلى نظافة أقوى لسلسلة التوريد لأن تكديس الأدوات المختلطة يرفع المخاطر.

ما الذي يقوله التقرير

أفاد موقع BleepingComputer في 21 يوليو 2026 بأن حملة FakeGit استخدمت 7,600 مستودع GitHub خبيث لنشر برمجيات SmartLoader وStealC الخبيثة. ويذكر التقرير أن المستودعات جمعت أكثر من 14 مليون عملية تنزيل. كما يذكر أن أكثر من 800 مستودع تظاهر بأنها مهارات ذكاء اصطناعي أو خوادم MCP.

ووصف الباحثون هذه التقنية بأنها agentbaiting. وهذا يعني أن الحملة استهدفت وكلاء الذكاء الاصطناعي والمطورين عبر أدوات بدت مفيدة وشرعية. وبالنسبة للقراء المغاربة، فالدرس بسيط. يمكن نسخ إشارات الثقة، وقد يؤثر ذلك في أي فريق يثبت الشيفرة بسرعة.

لماذا يهم هذا المغرب

تعمل فرق البرمجيات المغربية غالبًا مع تكديسات مختلطة. فقد تجمع بين حِزم مفتوحة المصدر وأدوات داخلية وخدمات سحابية ومساعدين بالذكاء الاصطناعي. هذا المزيج قد يسرّع التسليم، لكنه يخلق أيضًا مزيدًا من الأماكن التي يمكن أن تختبئ فيها الشيفرة الخبيثة.

ويصبح هذا مهمًا بشكل خاص عندما تعتمد الفرق أدوات الوكلاء أو أدوات المطورين. فالمستودع الذي يبدو كأداة مساعدة للبرمجة أو الأتمتة قد يكون غير آمن رغم ذلك. وينبغي للفرق المغربية أن تتعامل مع كل عملية تثبيت بوصفها قرارًا في سلسلة التوريد، لا مجرد سهولة تقنية.

لا يذكر التقرير حوادث خاصة بالمغرب. ومع ذلك، فإن النمط ذو صلة بالشركات المغربية والشركات الناشئة وفرق القطاع العام. فأي مجموعة تعتمد على GitHub أو مديري الحِزم أو فهارس أدوات الذكاء الاصطناعي قد تواجه مخاطر مماثلة إذا كان التحقق ضعيفًا.

حالات استخدام عملية في المغرب

بالنسبة لفرق البرمجيات المغربية، فإن أول حالة استخدام هي التطوير الداخلي. قد يرغب المهندسون في إعداد أسرع لمساعدي الذكاء الاصطناعي أو أدوات المساعدة على البرمجة أو أدوات الأتمتة. قبل تثبيت أي شيء، ينبغي للفرق التحقق من سجل المستودع وملاحظات الإصدار وهوية المشرف وروابط الحزمة.

حالة استخدام ثانية هي الشراء. إذا كانت مؤسسة مغربية تشتري أدوات المطورين أو توافق عليها، فيجب أن تتم مراجعة الأمن قبل الاعتماد. وينبغي أن تشمل هذه المراجعة المستودع المصدر وعملية الإصدار وأي سلسلة تبعية. إذا لم يستطع المورّد شرح ذلك بوضوح، فقد لا تكون الأداة جاهزة للإنتاج.

حالة استخدام ثالثة هي التدريب. قد تحتاج الفرق في المغرب إلى جلسات أمنية قصيرة للمطورين والمحللين. وينبغي أن تشرح هذه الجلسات كيف يمكن للمستودعات المزيفة أن تنتحل مهارات الذكاء الاصطناعي أو خوادم MCP أو صيغًا شائعة أخرى. كما ينبغي أن توضح كيفية التوقف قبل النقر على التثبيت.

ما الذي يجب التحقق منه قبل التثبيت

يمكن لقائمة تحقق عملية أن تقلل المخاطر. ينبغي للفرق المغربية التحقق من اسم المستودع وملف المشرف وسجل الإصدارات. كما ينبغي لها مقارنة اسم الحزمة بوصف المشروع والبحث عن علامات على هوية بصرية منسوخة.

قد تساعد النجوم والتنزيلات، لكنها ليست كافية. يوضح التقرير أن المستودعات الخبيثة يمكنها مع ذلك جمع أعداد كبيرة من التنزيلات. وبالنسبة للقراء المغاربة، فهذا يعني أن الشعبية وحدها لا ينبغي أن تحل محل المراجعة.

ينبغي للفرق أيضًا فحص فهرس أدوات الذكاء الاصطناعي أو إدخال السوق، إذا وُجد. إذا ادّعى أداة ما أنها مهارة ذكاء اصطناعي أو خادم MCP أو مساعد للمطورين، فيجب على الفريق التأكد من مصدرها. وينبغي أن يسألوا ما إذا كانت الأداة ما تزال مدعومة، وما إذا كان لديها سجل تغييرات واضح، وما إذا كانت تطابق حالة الاستخدام المتوقعة.

المخاطر والحوكمة

الخطر الرئيسي هو اختراق سلسلة التوريد. يمكن لمستودع خبيث أن يدخل إلى سير العمل عبر خطوة تثبيت تبدو موثوقة. وبمجرد دخوله، قد يكشف عن بيانات اعتماد أو شيفرة أو بيانات داخلية.

ينبغي للمؤسسات المغربية أيضًا التفكير في اختلاط اللغات. فقد تكون الوثائق باللغة الإنجليزية، بينما تتم الموافقات الداخلية بالفرنسية أو العربية. وهذا قد يخلق فجوات إذا لم تُكتب إرشادات الأمن بوضوح لجميع المستخدمين. وقد تساعد قائمة تحقق قصيرة ثنائية أو ثلاثية اللغة، بحسب المؤسسة.

وتهم البنية التحتية أيضًا. فقد لا تمتلك الفرق الصغيرة موظفي أمن مخصصين أو أدوات فحص متقدمة. وفي هذه الحالة تصبح الضوابط البسيطة أكثر أهمية. وتشمل المراجعة اليدوية، وتقييد حقوق التثبيت، والموافقة على التبعيات الجديدة.

كما تهم الخصوصية والامتثال. فإذا كانت الأداة تتعامل مع بيانات العملاء أو الشيفرة المصدرية أو المستندات الداخلية، فيجب أن تعرف المؤسسة إلى أين تذهب تلك البيانات. وقد يرغب صناع القرار المغاربة وقادة الشركات في قواعد داخلية أوضح لأدوات الذكاء الاصطناعي، خاصة عندما لا تكون سلسلة الأدوات مفهومة بالكامل.

ينبغي أن تغطي ضوابط الأمن السيبراني حماية الأجهزة الطرفية وفحص التبعيات وإدارة الوصول. ويجب على الفرق الحد من الأشخاص الذين يمكنهم إضافة مستودعات أو حِزم جديدة. كما ينبغي لها مراجعة الرموز وبيانات الاعتماد بعد أي تثبيت مشبوه.

ما الذي ينبغي أن تفعله الفرق المغربية بعد ذلك

ابدأوا بسياسة بسيطة. حدّدوا من يمكنه الموافقة على المستودعات والحِزم وأدوات الذكاء الاصطناعي الجديدة. واجعلوا السياسة قصيرة بما يكفي ليستخدمها المطورون فعليًا.

ثم ابنوا عادة للتحقق. قبل التثبيت، تحقّقوا من المصدر والمشرف ومسار الإصدارات وقائمة التبعيات. إذا بدا أي شيء منسوخًا أو متعجلًا أو غير واضح، فتوقفوا وراجعوا.

بعد ذلك، وائموا بين الشراء والأمن. لا ينبغي أن تنتقل الأداة من العرض التجريبي إلى الإنتاج من دون مراجعة أساسية. وبالنسبة للمؤسسات المغربية، ينبغي أن تشمل هذه المراجعة معالجة البيانات وحقوق الوصول ودعم اللغات المستخدمة داخليًا.

وأخيرًا، درّبوا الفرق على التمهل. تُظهر FakeGit أن الجهات الخبيثة يمكنها استخدام منصات مألوفة وملصقات مألوفة. قد لا تحتاج فرق البرمجيات المغربية إلى قواعد جديدة ومعقدة. ما تحتاجه هو فحوصات متسقة، ومسؤولية واضحة، وثقافة تعتبر كل تثبيت قرارًا أمنيًا.

الخلاصة

تذكّر حملة FakeGit بأن ثقة المطورين يمكن استغلالها على نطاق واسع. وبالنسبة للمغرب، فاستجابة عملية ليست الذعر، بل التحقق الأفضل، والحوكمة الأفضل، والانضباط الأفضل حول أدوات الذكاء الاصطناعي وأدوات المطورين.