ما الذي يمكن لوكلاء البرمجة بالذكاء الاصطناعي الوصول إليه على جهازك؟

الإجابة المختصرة

يعمل وكيل البرمجة بالذكاء الاصطناعي، مثل Claude Code أو OpenAI Codex أو Cursor، على جهازك بحساب المستخدم الخاص بك. وكل ما يستطيع هذا الحساب قراءته أو تشغيله أو الوصول إليه عبر الشبكة يقع، من حيث المبدأ، في متناول الوكيل. أما ما يوقفه فعليًا فهو مزيج من طلبات الموافقة، وبيئة معزولة (sandbox) اختيارية أو مفعّلة افتراضيًا، والإعدادات التي اخترتها أنت أو اختارها مستودعك.

هذه الضوابط حقيقية وتتحسّن بسرعة، لكنها تختلف من أداة إلى أخرى، وبعضها معطّل أو مخفّف افتراضيًا، وكل المورّدين يصفونها بأنها حواجز حماية لا حدود صارمة. لذلك من المفيد أن تعرف ما الذي يقع على الجانب الآخر منها.

ما الذي يقع في المتناول

على حاسوب مطوّر نموذجي، تستطيع عملية تعمل بصلاحياتك عادةً الوصول إلى:

• بيانات الاعتماد المخزّنة على القرص. مفاتيح SSH في ~/.ssh، وبيانات اعتماد السحابة مثل ~/.aws/credentials، ورموز السجلات في ~/.npmrc، وحالة تسجيل الدخول في أدوات سطر الأوامر الخاصة بـ GitHub ومزوّدي السحابة وقواعد البيانات، وملفات .env في كل مشروع نسخته إلى جهازك.
• المشاريع الأخرى. الشيفرة المصدرية والملاحظات والإعدادات خارج المستودع الذي بدأ فيه الوكيل.
• الشبكة. أي نطاق يستطيع جهازك الوصول إليه، بما في ذلك مواقع اللصق وخدمات مشاركة الملفات وأي webhooks عشوائية.
• أدوات ذات آثار جانبية. git push ومديرو الحزم وأدوات سطر الأوامر السحابية وعملاء قواعد البيانات وkubectl، وكثيرًا ما تكون مسجّلة الدخول مسبقًا.
• أماكن تبقى آثارها. ملفات تهيئة الصدفة (shell)، وعناصر بدء التشغيل، وخطافات git، وملفات الإعداد والتعليمات الخاصة بالوكيل نفسه، وهي التي تحدّد ما يُسمح للجلسة التالية بفعله.

لا يتطلب أيٌّ من هذا وكيلًا خبيثًا. فالمسارات المعتادة عادية تمامًا: أمر يفعل أكثر مما قُصد منه، أو تثبيت اعتمادية يشغّل سكربتًا، أو تعليمات مخفية في صفحة ويب أو issue أو ملف README يقرؤها الوكيل وينفّذها (حقن الأوامر أو prompt injection). وتحذّر الشركات الثلاث من حقن الأوامر في وثائق الأمان الخاصة بها.

كيف تقيّده Claude Code وCodex وCursor

يلخّص هذا الجدول ما ذكرته وثائق كل أداة في 10 نوفمبر 2026. تتغيّر الإعدادات الافتراضية بين الإصدارات، فتحقّق من إصدارك وإعداداتك.

هناك تفصيلان يفاجئان الناس. الأول أن البيئات المعزولة تقيّد في الغالب الكتابة والشبكة لا القراءة: ففي البيئة المعزولة لـ Claude Code وفي الإعداد الافتراضي لـ Cursor، يظل بإمكان الأمر قراءة ملفات مثل ~/.ssh ما لم تمنع ذلك صراحةً. والثاني أن الإعداد الافتراضي الذي يبدو الأكثر أمانًا ليس دائمًا ما تعمل به فعلًا، لأن زميلًا في الفريق أو اسمًا مستعارًا في الصدفة أو سكربت CI قد يشغّل الوكيل والموافقات معطّلة.

أين تتوقف هذه القيود

• الأوامر الموافَق عليها تعمل بكامل صلاحياتك. تشير صفحة الأمان في Claude Code إلى أن أمر Bash توافق عليه يظل قادرًا على الكتابة في أي مكان يستطيعه حساب المستخدم الخاص بك. والموافقة على npm install تعني الموافقة على كل سكربت تثبيت يجلبه.
• المراجِعون التلقائيون نماذج أيضًا. تقلّل الأوضاع التلقائية من إرهاق طلبات الموافقة، لكن المصنِّف قد يخطئ، والمورّدون يصفون هذه الأوضاع بأنها تبذل أفضل جهد ممكن (best-effort).
• الخطافات (hooks) ليست حدًّا أمنيًا. توثّق Claude Code وCursor أن الخطافات تسمح بالمرور افتراضيًا عند انتهاء المهلة أو حدوث خطأ (fail open)، وتوصي Claude Code بنظام الصلاحيات، لا بالخطافات، لقواعد السماح أو المنع الصارمة.
• المستودعات تحمل إعداداتها معها. إعدادات المشروع وتعريفات خوادم MCP والخطافات وملفات التعليمات تصل مع git clone. وتنتظر الأدوات بشكل متزايد أن تمنح المجلد ثقتك قبل تطبيقها، لكن ليست كل الإعدادات محكومة بالطريقة نفسها. ويستعرض دليل الصلاحيات ما يستطيع المستودع تغييره.
• لا أحد ينظر بعد ذلك. طلبات الموافقة تحمي لحظة الموافقة فقط. ومن دون سجل لما فعلته الجلسة فعلًا، تبدو قراءة بيانات اعتماد يتبعها رفعٌ إلى الخارج كأي عصر مزدحم آخر.

كيف تقلّص ما يمكن للوكيل الوصول إليه

1. فعّل البيئة المعزولة حيث تكون اختيارية، وامنع قراءة مسارات بيانات الاعتماد (يدعم Claude Code الإعداد filesystem.denyRead ومنع القراءة خارج مجلد العمل؛ ولدى Cursor إعداد لقصر القراءة على مساحة العمل).
2. أبقِ الوصول إلى الشبكة مغلقًا افتراضيًا واسمح فقط بالنطاقات التي تحتاجها المهمة.
3. لا تستخدم أوضاع تجاوز كل شيء إلا داخل حاوية أو جهاز افتراضي يمكن التخلص منه دون تحميل أي بيانات اعتماد شخصية فيه، كما يوصي المورّدون أنفسهم.
4. استخدم بيانات اعتماد قصيرة العمر وضيقة النطاق على أجهزة التطوير، حتى تقل قيمة أي رمز مسرَّب.
5. راجع إعدادات الوكيل كما تراجع الشيفرة. ملفات الإعدادات وخوادم MCP وملفات التعليمات في أي pull request تستحق الاهتمام نفسه الذي تستحقه اعتمادية جديدة.
6. احتفظ بسجل للجلسات، حتى تتمكن لاحقًا من الإجابة عن سؤال “ما الذي لمسه الوكيل؟”. ويقارن دليل المراقبة بين الخيارات المتاحة.

أين يأتي دور vetkit

ينظر vetkit إلى هذه المسألة من جانبين. فحوص مخاطر شيفرة الذكاء الاصطناعي في تدقيق المستودع ترصد إعدادات الوكلاء المُودَعة في المستودع والتي توسّع نطاق الوصول: الموافقات المعطّلة، والإعدادات التي توافق مسبقًا على أوامر صدفة أو شبكة عشوائية، والخطافات التي تنزّل السكربتات وتشغّلها، وخوادم MCP غير المثبّتة الإصدار أو التي تُجلب عن بُعد، وبيانات الاعتماد في إعدادات MCP، والنصوص المخفية في ملفات تعليمات الوكلاء.

أما Agent Watch، وهو تطبيق سطح مكتب لأجهزة الفريق، فيسجّل ما يفعله وكلاء البرمجة بالذكاء الاصطناعي فعلًا أثناء الجلسة: قراءة بيانات الاعتماد، ووجهات الشبكة الجديدة، والأوامر المدمّرة، والكتابة خارج المشروع، والتغييرات على إعداداتهم الخاصة. وهو يراقب ويبلّغ؛ لا يمنع الإجراءات، ويرفع التنبيهات وملخصات الجلسات لا محتويات الملفات أو الأوامر النصية (prompts). راجع وثائق Agent Watch لمعرفة مدى توفّره ونموذج الخصوصية.

المصادر

قرأنا المعلومات المتعلقة بكل أداة من وثائقها الخاصة في 10 نوفمبر 2026. واعتبر صفحات كل مورّد هي المرجع النهائي:

• Claude Code: الأمان، الصلاحيات والبيئة المعزولة
• OpenAI Codex: موافقات الوكيل والأمان
• Cursor: أمان الوكيل وأوضاع التشغيل

أسماء المنتجات علامات تجارية مملوكة لأصحابها. vetkit غير تابع لهم ولا يحظى بتأييدهم أو رعايتهم. هل لاحظت معلومة قديمة؟ راسلنا على contact@vetkit.dev وسنصحّحها.