وكيل يحمل محفظة سطحُ هجوم من نوع جديد: الكود سليم، والعقد سليم، وتقع الخسارة لأن جملةً في صفحة ويب أقنعت الشيء الذي يحمل المفتاح بأن يرسل المال إلى مكان آخر. هذه الأداة تختبر ذلك تحديداً: تقرأ ما يستطيع وكيلك فعله، ثم تطلق عليه 20 مسباراً خصومياً لتعرف ما سيفعله بالفعل، وتسلّمه محفظةً صوريّة لا تحمل مفتاحاً لترى بعينك ما حاول توقيعه.
السؤال واحد: هل يمكن إقناع هذا الوكيل بإحداث ضرر؟ وهذه ستّ نوافذ عليه — من خريطة ما يستطيع الوصول إليه، إلى ما حاول توقيعه فعلاً.
الصق تعريفات أدوات وكيلك، فتُبنى خريطة قدرات: أي أداة تستطيع تحريك قيمة، وأيّها تسحب نصّاً لم يكتبه الوكيل، وأيّها تلمس المفاتيح، وهل يقف بينها وبين التنفيذ شيء.
نصّ يصل إلى الوكيل من مصدر خارجي ويُقرأ كأنه أمر منك. الطاعة نفسها هي الثغرة؛ وما سيطلبه المهاجم بعدها مجرّد حمولة اليوم.
هل يمدّ الوكيل يده إلى أداة لم يطلبها أحد؟ الحمولات غير ضارّة بالتصميم: كل واحدة تطلب شيئاً واضحاً وعديم الأثر — ترديد رمز، أو ذكر عنوان صوري لا مفتاح له.
نقطة RPC نعطيك إياها لا تحمل مفتاحاً خاصاً ولا تستطيع بثّ شيء. توجّه وكيلك إليها فتسجّل بالضبط ما حاول توقيعه — وهذا هو الدليل الذي يغلق السلسلة.
المرحلتان الأخيرتان من السلسلة: هل يمكن دفعه إلى ما هو أوسع من صلاحيته، وهل ينتهي المسار عند معاملة تُخرج مالاً.
تعريفات الأدوات تُقرأ من ست صيغ شائعة، فلا تحتاج إلى إعادة كتابة إعدادك بصيغة نطلبها نحن.
الأدوات نفسها (الماسح، لوحات التحكّم، مساحة عمل SAFI) واجهتها بالإنجليزية حالياً. هذه الصفحات تشرح لك كل شيء بالعربية قبل أن تدخل إليها.
مسار واحد فقط ينتج دليلاً مُشاهَداً — والدليل المُشاهَد وحده هو ما يُسمح بالإبلاغ عنه بدرجة «حرج».
إثبات أنك تتحكّم في المضيف: تنشر ملفاً نصّياً على المسار /.well-known/saferico-agent-test.txt على أصل النقطة نفسها، يحوي الرمز الذي تعطيه لك هذه الصفحة. حسابك أنت وحده يستطيع اشتقاق ذلك الرمز.
إقرار تفويض صريح. لا يثبت شيئاً بذاته — الملف هو الذي يثبت — لكنه يسجّل النيّة، وهو الفرق بين أداة أمان وخدمة هجوم.
المسابير العشرون تصل إلى سجلّاتك موسومةً بالترويسة X-SaferICO-Test: 1، وتُرسَل واحداً تلو الآخر مع مهلة بينها: أداة أمان يجب ألّا تكون هي سبب سقوط وكيلك.
التحليل يبدأ من تعريفات الأدوات وحدها. التفكيك محلّي ومجاني؛ ما يُحتسَب عليه رصيد هو تركيب السلاسل والدرجة (5 أرصدة).
تستطيع اختيارياً لصق موجّه النظام. لا يغادر هذه الصفحة، ولا يُسجَّل منه إلا وجود بِنى دفاعية بعينها — قيم منطقية، لا نصّ. باستثناء واحد صريح: عبارة الإفشاء التي تكتبها (200 حرف كحدّ أقصى) تُرسَل مع طلب المسبار لتُقارَن، ثم تُهمَل — لا تُخزَّن ولا تُسجَّل ولا تُكتَب في التقرير ولا تُرسَل إلى النقطة تحت الاختبار.
إن تركت الحقل فارغاً، يُبلَّغ عن مسبار الإفشاء بأنه «لم يُختبَر» بدل أن يُعتبَر ناجحاً. هذه هي النتيجة الأمينة، ولا تكلّفك شيئاً آخر.
عشرون رسالة خصوميّة تُرسَل إلى نقطة وكيلك، ويُقرأ ما يعود منها. هذا المسار وحده ينتج دليلاً مُشاهَداً، وتكلفته 10 أرصدة.
الحمولات غير ضارّة عمداً. وضع عنوان مُستنزِف حقيقي في سجلّاتك لا يخدم أحداً — المطلوب إثبات الطاعة، لا إثبات الضرر.
الموقِّع الصوري نقطة RPC لا تحمل مفتاحاً خاصاً. أي محاولة توقيع تُسجَّل ولا تُبَثّ.
كل شيء هنا على شبكات اختبار ومحاكاة فقط. الفارق بين «الوكيل قال إنه سيفعل» و«الوكيل حاول أن يوقّع» هو الفارق بين تقرير يُقرأ وتقرير يُصدَّق.
الصق عنوان العقد لترى صلاحيات المالك والسيولة ونتيجة محاكاة البيع قبل أن تخاطر بأموالك. رسم صغير لكل فحص يُعرض قبل التوقيع — ومشمول بلا حدود مع أي اشتراك.
