DeepSeek Harness في مواجهة بوابة LLM مسروقة: استدعاءات الأدوات تُنفَّذ على جهاز المتصل

TLP:CLEAR. مصرَّح بنشره للعموم. رُصد عبر شبكة مستشعرات الشَّرَك لدى Kinryū Labs. المؤشرات الواردة أدناه منزوعة الفاعلية.

متابعة: إساءة استخدام DeepSeek Harness: وكيل مستقل يكشف مضيف مشغِّله، 2026-09-27.

الملخص التنفيذي

• 11نتيجة أداة أعادها مضيفو المتصلين أنفسهم
• 60طلب بوابة من عميل إطار الوكيل
• 2عنوانان يتشاركان مفتاح البوابة المسروق
• 31.2 ساعةمن أول فحص حياة إلى آخر مُوجَّه

في 21 سبتمبر 2026 وجَّه عميل إطارَ وكيل نحو إحدى بوابات LLM الشَّرَكية لدينا، وأعاد إليها نتائج أدوات: إحدى عشرة نتيجة عبر ثلاثة عناوين، خمس من 103.85.74[.]25، وخمس من 203.175.15[.]28، وواحدة من 188.239.18[.]109 قبل ثلاثة أيام. هذا هو شكل إطار ينفِّذ استدعاءات الأدوات الصادرة عن نقطة نهايته على مضيف المتصل نفسه.

أعاد هذان العنوانان في هونغ كونغ تقديم sk-0af475b8…، وهو مفتاح افتراضي أُنشئ على بوابتنا في اليوم السابق عبر مسار المفاتيح الإداري في LiteLLM باستخدام مفتاح رئيسي افتراضي من المورِّد هو sk-1234. كلاهما يقع في AS152320 GOALNOW، وقدَّم أحدهما كذلك sk-1234 نفسه. وفي 21 سبتمبر عادا حاملَين وكيل المستخدم deepseek-harness/0.1.5-rc.2، إطار الوكلاء في نسخة المعاينة التطويرية من DeepSeek، الذي تقرأ محوِّلات النماذج فيه عنوان URL أساسيًا قابلًا للضبط، وشغَّلا بوابتنا بوصفها خلفية نموذج. نُرجع أحداث اليومين إلى مشغِّل واحد بثقة منخفضة، لأن ذلك يستند فقط إلى ظهور العنوانين نفسيهما في اليومين وإلى إعادة تقديم المفتاح.

العمل اليدوي المباشر على لوحة المفاتيح غير مرجَّح: 78 حدثًا بين 20 سبتمبر 04:25:44 و21 سبتمبر 11:34:45 بالتوقيت العالمي المنسق تتضمن 106 ثوانٍ من النشاط، ووصل مُوجَّه من 1999 حرفًا خلال 0.01 ثانية، أي أسرع بكثير من عشرة أحرف في الثانية التي يبلغها كاتب على لوحة المفاتيح. نقرأ هذا على الأرجح على أنه حلقة وكيل آلية بأوقات بدء يختارها إنسان، وإن كان الحكم على الإيقاع مختلطًا.

الفحوص السابقة على الأدوار الوكيلية

بين الساعة 10:49 و11:20 بالتوقيت العالمي المنسق أجرى 103.85.74[.]25 ثلاث جولات من الفحوص على بوابتنا قبل أي دور وكيلي، بدأت حين أعاد فحص مسار الحياة وعدَّد النماذج المتاحة مرتين في 14 ثانية. وفي الساعة 11:00 بالتوقيت العالمي المنسق أرسل ثلاثة فحوص متطابقة برمز واحد، Reply with exactly: OK، مقابل ثلاثة أسماء نماذج مستضافة مختلفة. وفي الساعة 11:20 بالتوقيت العالمي المنسق أجرى بطارية قدرات قصيرة بالإنجليزية: ping، ثم Compute 17*23+19. Reply with ONLY the number.، ثم سؤال عدّ الأحرف في كلمة strawberry، ثم Reverse the string 'litellm'.، ثم عاصمة بوركينا فاسو، وكلٌّ منها يطلب إجابة مجردة. واختيار litellm لاختبار عكس السلسلة يدل على أن المتصل كان يعرف أي منتج يخاطب.

ومن الساعة 11:26 بالتوقيت العالمي المنسق يتغير وكيل المستخدم وتتوقف المُوجَّهات عن كونها أسئلة. تحمل الأدوار تذكيرات نظام لسقالة المهارات؛ ويبدأ طلب في الساعة 11:34 بالتوقيت العالمي المنسق بعبارة [system-reminder] A skill is a reusable set of task-specific….

يعمل المشغِّل بلغتين ويبدِّل بينهما مع تبديل العميل. جرى تحقق 20 سبتمبر عبر python-requests/2.28.1 بالصينية المبسطة، 1+2+3等于几?只回答数字، ثم 中国的首都是哪座城市?只回答城市名، ثم 用Python读取文件data.txt并打印内容,给出完整代码، بينما بطارية الإطار في 21 سبتمبر بالإنجليزية.

نتائج الأدوات المعادة

إطار من هذا النوع ينفِّذ استدعاءات الأدوات التي تعيدها نقطة نهايته على جهاز المشغِّل نفسه. سرق المشغِّل نقطة نهاية استدلال ثم وصلها بإطار ينفِّذ استدعاءات أدوات تلك النقطة محليًا، فصار بإمكان نقطة نهاية معادية أن تتحكم في ما يشغِّله مثل هذا الوكيل. أما لحساب من كان يعمل الإطار، وما الذي فعله كل استدعاء على مضيف المتصل، فغير معروف، وكذلك لا يُعرف ما إذا كان الإطار يعمل مع تعطيل موافقات الأدوات أم بوجود مشغِّل يؤكد كل استدعاء.

كنا قد وثَّقنا العنوان الثالث في جولات سابقة لاستنزافه البوابة نفسها بمفتاح نائب، وهو يقع في شبكة مختلفة عن زوج AS152320. ومن ثم يظهر سلوك تنفيذ الأدوات على جانب العميل خارج هذا التجمع، لذا نتعقبه بوصفه فئة لا بوصفه بصمة فاعل بعينه.

مرحلة الاختبار ومرحلة الاستخدام

لأدوات المشغِّل مرحلة اختبار ومرحلة استخدام، ووحدها مرحلة الاستخدام تحتاج إلى وكيل. استخدم العنوانان نفساهما عميل HTTP المكتوب بنص برمجي وبطارية صينية ثابتة في 20 سبتمبر، وإطار وكيل بسقالة مهارات في 21 سبتمبر. نقل هذا التغيير نقطة النهاية من شيء يجري التحقق منه إلى شيء موصول بسلسلة أدوات عاملة.

جاءت الفحوص الرخيصة قبل أي دور وكيلي.

تجمع الاستهلاك

استهلك الاستدلالَ عنوانان في نطاقَي /24 ضمن نظام مستقل واحد، يتناوبان خلال دقائق في اليومين. لا يحوي نطاق /24 المحيط بـ 103.85.74[.]25 أي مصدر نشط آخر بين 15 و22 سبتمبر 2026، إذ صدرت الأحداث الـ220 كلها عن ذلك العنوان الواحد. نقرأ التناوب عبر بادئتين على أنه تقسيم متعمَّد.

المفاتيح المقدَّمة إلى بوابتنا

إلى جانب sk-1234، قدَّم أحد المتصلين رمز حامل جسمه بادئة مفتاح خاص PKCS#8 بترميز base64، وهو sk-MIIJQQIB…. وتقديم مفتاح خاص بوصفه مفتاح واجهة برمجية يتسق مع إعادة تقديم بيانات اعتماد من قائمة مجمَّعة دون فحص للنوع، ما يرجِّح حصادًا بالجملة في مرحلة سابقة بدلًا من إدارة مفاتيح دقيقة لكل هدف. أما النظام الذي يخص ذلك المفتاح، ومن أين أُخذ، فلم يُحسم.

استهلكت طلبات الإطار استدلالًا على مفتاح لم يدفع المشغِّل ثمنه، وهو اختطاف موارد (T1496)؛ والمفتاح نفسه كان رمز وصول تطبيق مسروقًا (T1528)، وقدَّم أحد العناوين المفتاح الرئيسي الافتراضي من المورِّد ذاته، وهو ما يندرج تحت الحسابات الافتراضية (T1078.001).

القراءات المنافسة التي اختبرناها

جدول: المصدران نفساهما قدَّما كلا المؤشرين، ولم يقدِّم أي مصدر ثالث أيًّا منهما محاور تجميع على قيمة المفتاح المُنشأ وعلى وكيل مستخدم الإطار، بين 15 و22 سبتمبر 2026. يعدّ الصفّان أشياء مختلفة: مرات تقديم المفتاح، والطلبات الحاملة لوكيل المستخدم.

المؤشر	الأحداث	النافذة	المصادر	نطاقات /24	المؤسسات
تقديم sk-0af475b8…	57	16 دقيقة، 20 سبتمبر	2	2	1 (AS152320)
deepseek-harness/0.1.5-rc.2	60	11 دقيقة، 21 سبتمبر	2	2	1 (AS152320)

أجرينا ذلك المحور لحسم ما إذا كانت جلسات الإطار تعود إلى المشغِّل الذي أنشأ المفتاح أم إلى مشترٍ لاحق، وهو لا يحسم تلك المسألة. فمجموعة مصادر مستخلصة من مرات تقديم المفتاح المُنشأ لا يمكن أن تتضمن طلب الإنشاء نفسه. تستبعد تطابق مجموعتي المصادر وجود مستخدم إطار من طرف ثالث يستهلك مفتاحًا أُعيد بيعه، ولا تقول شيئًا عمّن أنشأ sk-0af475b8…، لذا نسجل القراءة على أنها غير حاسمة.

تبقى قراءتان منافستان مفتوحتين. وجود شخص على لوحة المفاتيح غير مرجَّح بحسب حساب الجلسة أعلاه، مع 29 دفقة عبر تلك الـ31.2 ساعة، ووسيط فجوة داخل الدفقة يبلغ 3.2 ثانية، و26 من 38 فجوة قابلة للقياس أسرع مما تسمح به عشرة أحرف في الثانية، لكن الحكم على الإيقاع مختلط، لذا نبقيه غير حاسم. ولا شيء في الأدلة يُظهر أن الجلسة انتهت بخطأ؛ فآخر طلب من 103.85.74[.]25 كان في الساعة 11:34:45 بالتوقيت العالمي المنسق.

كذلك يبقى غير حاسم ما إذا كان وكيل المستخدم منتحَلًا. فالمشروع الذي يسميه حقيقي، ومحوِّلات النماذج فيه تقبل عنوان URL أساسيًا قابلًا للضبط؛ والأدوار المرصودة تحمل سقالة مهارات وتعيد نتائج الأدوات داخل المحادثة، وهو ما يطابق إطار مكوّنات إضافية، ولم يقدِّم تلك السلسلة سوى مصدرين بين 15 و22 سبتمبر 2026.

هل يوجِّه التجمع الإطار إلى أماكن أخرى

لا نعرف ما إذا كان التجمع نفسه يوجِّه الإطار نحو نقاط نهاية استدلال مسروقة أخرى، ولا ما فعله هذان العنوانان قبل 15 سبتمبر.

ما ينبغي عمله

تستدعي هذه الدورة الكاملة تغييرًا من مجموعتين: من يشغِّلون أطر الوكلاء ومن يشغِّلون بوابات LiteLLM. إن كنت تشغِّل إطار وكيل، فثبِّت عنوانه الأساسي على نقاط نهاية نماذج تتحكم بها واشترط موافقة بشرية لتنفيذ الأدوات، لأن استدعاء أداة تعيده نقطة نهاية معادية أو مسروقة يُنفَّذ على جهازك. وينطبق التعرض نفسه على أي مطوِّر يوجِّه إطارًا نحو مُرحِّل رخيص متوافق مع OpenAI لم يبنِه بنفسه. وإن كنت تشغِّل LiteLLM، فدوِّر sk-1234 وأطلق تنبيهًا حين يُقدَّم مفتاح افتراضي من شبكة غير التي أنشأته.

الأحكام الرئيسية

الخط الزمني

• 2026-09-20 04:25 UTC103.85.74[.]25 يفحص مسار حياة البوابة
• 2026-09-20 12:22 UTC203.175.15[.]28 يقدّم المفتاح الافتراضي المُنشأ sk-0af475b8… على ‎/v1/chat/completions
• 2026-09-20 12:34 UTC103.85.74[.]25 يقدّم المفتاح نفسه ويشغّل ثلاثة مُوجَّهات تحقق بالصينية المبسطة عبر python-requests/2.28.1
• 2026-09-21 10:49 UTC103.85.74[.]25 يعود، ويعيد فحص الحياة ويعدّد النماذج مرتين في أربع عشرة ثانية
• 2026-09-21 11:00 UTCثلاثة فحوص متطابقة بصيغة 'Reply with exactly: OK' مقابل ثلاثة أسماء نماذج مستضافة
• 2026-09-21 11:20 UTCبطارية قدرات بالإنجليزية: حساب، وعدّ أحرف، وعكس سلسلة 'litellm'، وجغرافيا
• 2026-09-21 11:26 UTCالعميل ينتقل إلى deepseek-harness/0.1.5-rc.2؛ وتبدأ الأدوار الوكيلية
• 2026-09-21 11:34 UTCطلب يحمل سقالة مهارات الوكيل
• 2026-09-21 11:37 UTCآخر طلب إطار من 203.175.15[.]28؛ وكانت إحدى عشرة نتيجة أداة قد أُعيدت عبر ثلاثة عناوين

الجلسة، بالترتيب

12:34:13  1+2+3等于几?只回答数字
12:34:43  中国的首都是哪座城市?只回答城市名
12:34:56  用Python读取文件data.txt并打印内容,给出完整代码
11:00:31  Reply with exactly: OK
11:20:35  ping
11:20:42  Compute 17*23+19. Reply with ONLY the number.
11:20:48  How many times does the letter 'r' appear in the word 'strawberry'? Reply with ONLY the number.
11:20:52  Reverse the string 'litellm'. Reply with ONLY the reversed result.
11:20:55  What is the capital of Burkina Faso? Reply with ONLY the city name.
11:26:26  deepseek-harness/0.1.5-rc.2 (+https://github.com/deepseek-ai/deepseek-harness)
11:34:45  [system-reminder] A skill is a reusable set of task-specific…

أساليب العمل

الجانب	ما رصدناه	ما يقوله ذلك للمدافع
الأدوات	استخدم العنوانان نفساهما python-requests/2.28.1 مع بطارية مُوجَّهات صينية ثابتة في 20 سبتمبر، وإطار وكيل بسقالة مهارات في 21 سبتمبر.	رُقِّيت نقطة النهاية من شيء يجري التحقق منه إلى شيء موصول بسلسلة أدوات عاملة؛ ولأدوات المشغِّل مرحلة اختبار ومرحلة استخدام، ووحدها الثانية تحتاج إلى وكيل.
التسلسل	فحص حياة، ثم تعداد النماذج مرتين في أربع عشرة ثانية، ثم ثلاثة فحوص متطابقة برمز واحد عبر ثلاثة أسماء نماذج، ثم بطارية قدرات قصيرة، ثم أدوار وكيلية.	تأتي الفحوص الرخيصة قبل أي دور وكيلي: ينفق العميل على التحقق قبل أن يسند وكيلًا إلى نقطة النهاية.
الأمن التشغيلي	وُجِّه إطار وكيل ينفِّذ استدعاءات الأدوات محليًا نحو نقطة نهاية كان المشغِّل قد سرقها قبل أيام، وأعاد نتائج أدوات من مضيفه هو إلى تلك النقطة.	يعامل المشغِّل البنية التحتية المستولى عليها على أنها موثوقة، وهو ما يقلب المخاطرة: من يتحكم في نقطة النهاية المسروقة يمكنه الوصول إلى الجهاز الذي يشغِّل الوكيل.
البنية التحتية	عنوانان في نطاقَي /24 مختلفين ضمن AS152320 يتناوبان خلال دقائق في اليومين، وعنوان ثالث في شبكة مختلفة أعاد النوع نفسه من نتائج الأدوات قبل ثلاثة أيام.	تجمع الاستهلاك صغير ومقسَّم عمدًا عبر بادئات، في حين أن سلوك تنفيذ الأدوات على جانب العميل ليس حكرًا على هذا المشغِّل، لذا ينبغي تعقبه بوصفه فئة لا بوصفه بصمة فاعل بعينه.
الأخطاء	قُدِّم عند البوابة رمز حامل جسمه بادئة مفتاح خاص PKCS#8 بترميز base64، إلى جانب المفتاح الافتراضي من المورِّد.	تُعاد بيانات الاعتماد من قائمة مجمَّعة دون فحص للنوع، ما يرجِّح حصادًا بالجملة في مرحلة سابقة بدلًا من إدارة مفاتيح دقيقة لكل هدف.

كيف اختبرنا ذلك

التفسير	الاختبار	النتيجة	الحكم
جلسات الإطار تعود إلى المشغِّل نفسه الذي أنشأ المفتاح، لا إلى مشترٍ لاحق	محاور تجميع على قيمة المفتاح المُنشأ وعلى وكيل مستخدم الإطار، مع مقارنة مجموعات المصادر والأنظمة المستقلة والنوافذ الزمنية	مجموعتان منفصلتان تعدّان أشياء مختلفة. مجموعة المفتاح: 57 حدثًا تقدّم sk-0af475b8… خلال 16 دقيقة في 20 سبتمبر، من مصدرين في نطاقَي /24، ومؤسسة واحدة (AS152320). مجموعة وكيل المستخدم: 60 حدثًا تحمل deepseek-harness/0.1.5-rc.2 خلال 11 دقيقة في 21 سبتمبر، من المصدرين نفسيهما. لم يقدِّم أي مصدر ثالث أيًّا من المؤشرين بين 15 و22 سبتمبر 2026. ومجموعة مصادر مستخلصة من مرات تقديم المفتاح المُنشأ لا يمكن أن تتضمن طلب الإنشاء، لذا فإن تطابق مجموعتي المصادر يستبعد مستخدم إطار من طرف ثالث يستهلك مفتاحًا أُعيد بيعه، لكنه لا يقول شيئًا عمّن أنشأ sk-0af475b8….	غير حاسم
شخص على لوحة المفاتيح كان يقود هذه الجلسات	حساب إيقاع الجلسة على 103.85.74[.]25	حكم مختلط: 78 حدثًا في 31.2 ساعة مع 106 ثوانٍ من النشاط، ووسيط فجوة داخل الدفقة 3229 مللي ثانية، و26 من 38 فجوة قابلة للقياس أسرع مما تسمح به عشرة أحرف في الثانية، ومُوجَّه من 1999 حرفًا وصل في 0.01 ثانية	غير حاسم
وكيل المستخدم deepseek-harness منتحَل اختير ليبدو أداة مطوِّر مشروعة	التحقق من وجود المشروع المشار إليه ومن أن السلوك المرصود يطابق تصميمه الموثَّق، والتحقق من عدد المصادر التي تقدّم تلك السلسلة	المشروع حقيقي ومحوِّلات النماذج فيه تقبل عنوان URL أساسيًا قابلًا للضبط؛ والأدوار المرصودة تحمل سقالة مهارات وتعيد نتائج الأدوات داخل المحادثة، وهو ما يطابق إطار مكوّنات إضافية لا ماسحًا عبر HTTP؛ ولم يقدِّم تلك السلسلة سوى مصدرين بين 15 و22 سبتمبر 2026	غير حاسم
انتهت الجلسة لأن نقطة النهاية فشلت أو انتهت مهلتها	البحث عن خطأ أو فجوة في نهاية الجلسة	تمتد الجلسة من 103.85.74[.]25 حتى 11:34:45 بالتوقيت العالمي المنسق ولا شيء في الأدلة يُظهر انتهاءها بخطأ؛ والغياب ليس دليلًا	غير حاسم

بالأرقام

مقيسة آليًا من قياسات المستشعرات والإثراء، لا مقدَّرة.

• الإيقاع. 78 أمرًا في 31.2 ساعة عبر 29 دفقة: 106 ثوانٍ نشاط، و31.1 ساعة خمول. وسيط الفجوة داخل الدفقة 3229 مللي ثانية (الحد الأدنى 0 مللي ثانية، والحد الأقصى 4924 مللي ثانية عبر 49 فجوة). الحكم مختلط: لا تستوفي الجلسة معيار النص البرمجي ولا المعيار التفاعلي، لذا تُعرض كما هي بدل إقحامها في أحدهما.
• مجموعة الأدوات (ja4h). ge11nn060000_7f7bfeb0a491_000000000000_000000000000: مصدران في نطاقَي /24 عبر مزوَّدَي استضافة على مدى يوم واحد: أدوات مشتركة واسعة الانتشار.
• مجموعة الأدوات (ja4h). po11nn080000_3d0e84a9a84f_000000000000_000000000000: 4 مصادر في 4 نطاقات /24 عبر 3 مزوِّدي استضافة على مدى 4 أيام: أدوات مشتركة واسعة الانتشار.
• البنية التحتية. يحوي نطاق /24 مصدرًا نشطًا واحدًا: لا مؤشر على تجمع مشترك.
• علاقات VirusTotal. يقع العنوان مع GOALNOW NETWORK TECHNOLOGY CO., LIMITED في هونغ كونغ. ويصنّف 1 من 89 محركًا العنوان نفسه خبيثًا أو مشبوهًا. وقد حلّ العنوان اسم مضيف واحدًا في السجلات المعادة؛ وأحدثها xxhcj[.]cn بتاريخ 2019-03-27.

مؤشرات الاختراق

مؤشرات الشبكة الثلاثة أدناه منزوعة الفاعلية؛ والمسارات معطاة كما رُصدت؛ وصف رقم النظام المستقل مُترك كما هو.

الشبكة

المؤشر	السياق
103.85.74[.]25	AS152320 GOALNOW (هونغ كونغ)؛ قدَّم المفتاح المُنشأ وشغَّل عميل deepseek-harness
203.175.15[.]28	AS152320 GOALNOW (هونغ كونغ)؛ العنوان الثاني للتجمع نفسه، بالمفتاح نفسه ووكيل مستخدم الإطار نفسه
188.239.18[.]109	عنوان منفصل أعاد النوع نفسه من نتائج الأدوات في 18 سبتمبر بسلالة مفتاح مختلفة
AS152320	GOALNOW NETWORK TECHNOLOGY CO. (هونغ كونغ)؛ يقع فيه عنوانا الاستهلاك كلاهما

آثار المضيف

المؤشر	السياق
sk-0af475b8…	مفتاح افتراضي أُنشئ على بوابة المستشعر عبر مسار المفاتيح الإداري في LiteLLM وأعاد تقديمه عنوانا AS152320 كلاهما
deepseek-harness/0.1.5-rc.2 (+https://github.com/deepseek-ai/deepseek-harness)	وكيل مستخدم إطار الوكيل الذي يقود البوابة؛ مصدران بين 15 و22 سبتمبر 2026، كلاهما في AS152320
sk-MIIJQQIB…	رمز حامل قُدِّم عند البوابة جسمه بادئة مفتاح خاص PKCS#8 بترميز base64، بما يتسق مع إعادة تقديم قائمة بيانات اعتماد محصودة

الرصد

Sigma

وكيل مستخدم لإطار وكيل موجَّه نحو نقطة نهاية LLM غير مدرجة في قائمة السماح (مرشَّح).

title: Agent harness user agent toward a non-allowlisted LLM endpoint
status: experimental
logsource:
  category: proxy
detection:
  selection_ua:
    c-useragent|contains:
      - 'deepseek-harness/'
  selection_path:
    cs-uri-stem|contains:
      - '/v1/chat/completions'
      - '/v1/models'
  filter_allowlisted:
    cs-host|contains:
      - 'api.deepseek.com'
      - 'api.openai.com'
  condition: selection_ua and selection_path and not filter_allowlisted
falsepositives:
  - Developers legitimately evaluating self-hosted or third-party model endpoints
  - Internal model gateways not present in the allowlist
level: medium

منطق الرصد

• مفتاح LiteLLM افتراضي مُقدَّم من شبكة غير التي أنشأته (شبكي، مرشَّح). اربط POST /key/generate (أو أي مسار إداري لإنشاء المفاتيح) بما يليه من مرات تقديم قيمة المفتاح المعادة على /v1/chat/completions. وأطلق تنبيهًا حين يقع عنوان المصدر المُنشئ وعنوان المصدر المستهلك في نظامين مستقلين مختلفين، أو حين يظهر العنوان المستهلك خلال ساعة من الإنشاء من شبكة لا سجل سابق لها مقابل البوابة. يتطلب ذلك أن تسجل البوابة معرّف المفتاح أو بصمة له مع كل طلب.
• بطارية التحقق من أصالة النموذج مقابل نقطة نهاية استدلال (سلوكي، مرشَّح). على نقطة نهاية استدلال متاحة عبر الإنترنت، ارصد جلسة تُصدر عدة مُوجَّهات تطلب إجابات برمز واحد خلال أقل من دقيقة، وفحوصًا متطابقة بصيغة ‘Reply with exactly: X’، وحسابًا بسيطًا، وعدّ أحرف في كلمة، وعكس سلسلة، وسؤال جغرافيا بكلمة واحدة، قبل أي طلب جوهري. هذا متصل يتحقق من أن نقطة النهاية نموذج حقيقي، وعلى بوابة إنتاجية ليس ذلك حركة مستخدم طبيعية.
• إطار وكيل ينفِّذ استدعاءات أدوات من عنوان أساسي غير مثبَّت (مضيف، مرشَّح). على مضيفات التطوير والبناء، أطلق تنبيهًا حين تُشغَّل عملية إطار وكيل (deepseek-harness أو dsh أو ما يعادلهما) بمتغير بيئة لعنوان URL أساسي للنموذج يشير إلى خارج قائمة السماح المعتمدة، وحين تُولِّد تلك العملية أدوات صدفة أو قراءة ملفات خلال ثوانٍ من طلب HTTPS صادر إلى ذلك العنوان الأساسي.

المعالجة

• دوِّر أي مفتاح رئيسي لـ LiteLLM يكون أو يشبه المفتاح الافتراضي من المورِّد sk-1234، وألغِ المفاتيح الافتراضية التي أُنشئت أثناء سريانه.
• قصِر مسارات LiteLLM الإدارية (/key/generate، /key/list، /config/yaml، /user/list) على شبكة داخلية أو مستوى إدارة مصادَق عليه، ولا تضعها أبدًا على المُنصِت نفسه الذي يخدم /v1/chat/completions.
• ثبِّت عناوين URL الأساسية لأطر الوكلاء على قائمة سماح بنقاط نهاية تتحكم بها، واشترط الموافقة على تنفيذ الأدوات بدل الاعتماد على الملفات التعريفية الافتراضية.
• سجِّل معرّف المفتاح وشبكة المصدر مع كل طلب استدلال حتى يصير اكتشاف مفتاح مُستخدَم من شبكة غير شبكة مُنشئه ممكنًا.
• عامِل استجابات النماذج على أنها مدخلات غير موثوقة: فاستدعاء أداة يصل من نقطة نهاية هو تعليمة ممن يتحكم بتلك النقطة.

ربط MITRE ATT&CK

التكتيك	التقنية	ما رُصد
التهرب من الدفاعات	T1078.001 Valid Accounts: Default Accounts	قُدِّم المفتاح الرئيسي الافتراضي من المورِّد لـ LiteLLM، sk-1234، عند البوابة من العنوان نفسه الذي استخدم لاحقًا المفتاح الافتراضي المُنشأ.
الوصول إلى بيانات الاعتماد	T1528 Steal Application Access Token	أُعيد تقديم المفتاح الافتراضي sk-0af475b8… المُنشأ عبر المسار الإداري من عنوانين في النظام المستقل نفسه.
الأثر	T1496 Resource Hijacking	استهلك ستون طلب بوابة تحمل وكيل مستخدم إطار الوكيل، خلال إحدى عشرة دقيقة في 21 سبتمبر، استدلالًا عبر مفتاح لم يدفع المشغِّل ثمنه.
التنفيذ	T1059 Command and Scripting Interpreter	أعاد المضيف المتصل نتائج أدوات إلى نقطة النهاية إحدى عشرة مرة عبر ثلاثة عناوين، وهو نمط إطار ينفِّذ استدعاءات أدوات نقطة نهايته محليًا.

المراجع

• DeepSeek Harness (deepseek-ai/deepseek-harness)، إطار وكلاء، معاينة تطويرية
• المعاينة التطويرية لـ DeepSeek Harness: كل شيء مكوّن إضافي
• بنية DeepSeek Harness: الملفات التعريفية والمكوّنات الإضافية وسياسة الموافقة

المنهجية وملاحظات المحلل

الرصد هو ثلاثة عناوين مقابل إحدى بواباتنا بين 18 و21 سبتمبر 2026. والمُوجَّهات مقتبسة كما أُرسلت، مع اختصار الطويل منها؛ ولحساب من كان يعمل الإطار، وما الذي فعله كل استدعاء على مضيف المتصل، غير معروف. ويستند الربط بإنشاء المفتاح في 20 سبتمبر إلى سجلاتنا الخاصة بقيمة المفتاح، لا إلى أي تأكيد خارجي.

ما زال مفتوحًا:

• لحساب من كان يعمل الإطار.
• ما إذا كان الإطار يعمل مع تعطيل موافقات الأدوات أم بوجود مشغِّل يؤكد كل استدعاء.
• ما النظام الذي يخص رمز الحامل PKCS#8 بترميز base64 ومن أين حُصد.

للأسئلة أو التصويبات: contact@kinryu.sh.