امتدادات المتصفح في المؤسسات هي سطح الهجوم الذي لا يُديره أحد

تستطيع معظم برامج الأمن المؤسسي أن تحدد بالضبط أي أجهزة كمبيوتر محمولة مسجلة في إدارة الأجهزة، وأي تطبيقات SaaS تمتلك تسجيل دخول موحد، وأي منافذ USB مُقفلة. اسأل فريق الأمن نفسه عن عدد امتدادات المتصفح المثبتة في الشركة، وما يستطيع كل منها قراءته، والجواب عادة هرز من الكتفين. هذه الثغرة أصبحت الآن من أكبر أسطح الهجوم غير المُدارة في مكتب عادي.

وجد تقرير LayerX لأمن امتدادات المتصفح في المؤسسات 2026 أن 99% من مستخدمي المؤسسات لديهم امتداد واحد على الأقل مثبت، وأن ما يقارب الربع لديهم أكثر من عشرة. تعمل الامتدادات بأذونات واسعة بالتصميم — قراءة محتوى الصفحة، واعتراض طلبات الشبكة، وحقن نصوص برمجية — لأن هذا ما يجعل مدير كلمات المرور أو مدقق القواعد أداة مفيدة. نفس هذه الأذونات تجعل امتداداً مُخترَقاً أو ضاراً قوياً تقريباً كبرمجية خبيثة موجودة فعلاً داخل شبكتك.

مثال ملموس على كيفية حدوث ذلك

في أبريل 2026، حدد باحثو Socket مجموعة منسقة من 108 امتداد كروم ضار تتشارك بنية تحتية للقيادة والتحكم، مثبتة إجمالاً حوالي 20 ألف مرة عبر متجر Chrome Web Store الرسمي. من بينها، جمع 54 امتداداً بيانات هوية حساب جوجل عبر إساءة استخدام تدفقات OAuth، واحتوى 45 منها على وظائف خلفية. ما جعل المجموعة صعبة الاكتشاف لم يكن ثغرة غريبة — بل استخدام الامتدادات لقدرات كروم المشروعة بالكامل: أذونات المضيف، والنصوص البرمجية للمحتوى، وواجهة declarativeNetRequest المخصصة لأدوات حجب الإعلانات والخصوصية.

لماذا حجم المشكلة مُتنازَع عليه

تقول بيانات جوجل نفسها إن أقل من 1% من عمليات تثبيت متجر Chrome Web Store في عام 2024 شملت برمجيات خبيثة — رقم تستخدمه الشركة للدفاع عن فعالية عملية المراجعة. قدّر باحثون أكاديميون من ستانفورد وCISPA، الذين درسوا النظام ذاته من الخارج، أن 280 مليون شخص ثبّتوا امتداد كروم مصاباً ببرمجية خبيثة خلال فترة ثلاث سنوات. يمكن أن يكون كلا الرقمين صحيحاً في الوقت نفسه.

امتدادات الذكاء الاصطناعي خطر جديد وأسرع نمواً

أحدث تطور هو امتدادات متصفح الذكاء الاصطناعي — ملخصات، ومساعدات كتابة، وأدوات شبيهة بالوكلاء تقرأ محتوى الصفحة لتغذية نموذج. وجد تقرير LayerX أن هذه الامتدادات أكثر عرضة بنسبة 60% لاحتواء ثغرة CVE معروفة مقارنة بمجمل الامتدادات. السبب بنيوي: يحتاج امتداد الذكاء الاصطناعي عادة إلى وصول قراءة أوسع لمحتوى الصفحة مقارنة بامتداد الأداة التقليدية.

كيف تبدو حوكمة الامتدادات الفعلية

المؤسسات التي تتعامل مع هذا بشكل جيد لا تحاول حظر الامتدادات كلياً. بل تعتمد مجموعة ضوابط عملية: الحفاظ على قائمة سماح مُطبَّقة عبر إدارة متصفح المؤسسة؛ إلزام أي امتداد يطلب الوصول إلى جميع المواقع بخطوة موافقة محددة؛ رصد الامتدادات التي تُغيّر أذوناتها المطلوبة بعد التثبيت؛ ومعاملة امتدادات الذكاء الاصطناعي كفئة مراجعة مستقلة بقيود افتراضية أكثر صرامة.

لا يتطلب أي من ذلك أدوات غريبة. الثغرة تنظيمية، لا تقنية: بنت معظم فرق تكنولوجيا المعلومات حوكمة ناضجة للأجهزة وSaaS منذ سنوات ولم تمتد هذا الانضباط نفسه إلى ما يستخدمه كل موظف عشرات المرات يومياً.