سكريبت بريد إلكتروني مولّد بالذكاء الاصطناعي يكشف 95 364 عنوانًا لعملاء Bee Cheng Hiang

في أبريل 2026، استخدم أحد موظفي شركة Bee Cheng Hiang السنغافورية للوجبات الخفيفة أداة ذكاء اصطناعي لتوليد سكريبت بايثون يرسل حملة تسويقية عبر SendGrid. طلب المستخدم من الذكاء الاصطناعي حلًا لإرسال بريد جماعي يستخرج العناوين من قائمة داخلية، لكنه لم يحدد ضرورة إخفاء عناوين المستلمين.

الكود المولّد وضع كل دفعة من عناوين البريد في حقل "إلى" (To) العادي بدلًا من النسخة المخفية (BCC). وبالتالي، كان بإمكان كل مستلم في الدفعة رؤية القائمة الكاملة لعناوين باقي المستلمين.

نطاق الانتهاك

عند تشغيل السكريبت، تم إرسال الرسالة التسويقية إلى 95 364 عنوان بريد إلكتروني مميز. البيانات المكشوفة اقتصرت على عناوين البريد فقط؛ لم تُسرب أي كلمات مرور أو تفاصيل دفع أو محتوى الرسالة.

فحص الموظف سجلات النشاط أثناء الاختبار لكنه لم يفتح بريدًا تجريبيًا للتحقق من قائمة المستلمين الفعلية. لذا لم يُلاحظ الخطأ حتى بدأت عملية الإرسال الجماعي.

رد الفعل التنظيمي

صنفت لجنة حماية البيانات الشخصية في سنغافورة (PDPC) الحادث كأول خرق للبيانات مرتبط بالذكاء الاصطناعي يُبلغ عنها للسلطة. أكدت اللجنة أن الخرق ناتج عن خطأ بشري في تطوير ونشر السكريبت، وليس عن عطل في أداة الذكاء الاصطناعي نفسها.

وأشارت الـ PDPC إلى أن البيانات المكشوفة لم تُعالج أو تُنتج بواسطة نظام ذكاء اصطناعي، مما يعزز أن الخرق نتج من طريقة استعمال الكود المساعد بالذكاء الاصطناعي وليس من مخاطر التكنولوجيا نفسها.

إجراءات Bee Cheng Hiang التصحيحية

• إيقاف توزيع البريد الجماعي فورًا
• تصحيح السكريبت لتفعيل BCC لجميع دفعات المستلمين
• إبلاغ جميع العملاء المتأثرين عبر بريد مخصص وبيان عام
• تطبيق سياسة تحقق مزدوجة تتطلب موافقة موظفين اثنين على أي اتصال جماعي قبل الإرسال

لم تجد الـ PDPC دليلًا على أن العناوين المسربة استُخدمت في حملات تصيد أو رسائل غير مرغوب فيها. بدلاً من فرض غرامة مالية، قبلت اللجنة تعهدًا طوعيًا من Bee Cheng Hiang لتعزيز ممارسات حماية البيانات.

في قرارها، أوصت الجهة التنظيمية المؤسسات بإجراء تقييمات تأثير حماية البيانات عند توظيف أدوات مدعومة بالذكاء الاصطناعي، وصياغة سياسات واضحة لاستخدام الذكاء الاصطناعي، وإجراء اختبارات تفحص المخرجات الفعلية—not مجرد السجلات—قبل تشغيل أي شفرة.

تُظهر هذه الواقعة أن الاعتماد على أدوات الذكاء الاصطناعي لتوليد الشيفرة البرمجية لا يضمن تلقائيًا سلامة العملية النهائية، إذ إن الأخطاء المنطقية التي قد تُدرج في الكود لا تُكتشف إلا من خلال فحص عملي للنتيجة الفعلية. عند استعمال سكريبت يُنشئ قوائم المستلمين في حقل "إلى" بدلاً من "نسخة مخفية (BCC)"، فإن النتيجة هي كشف عناوين البريد للمتلقين جميعًا، وهو ما يُعد انتهاكاً واضحاً لمبادئ الخصوصية المتعارف عليها في بيئات البريد الإلكتروني. لذا، فإن الفحص النظري للسجلات أو مراجعة الكود لا يكفي؛ يجب إجراء اختبار تجريبي يُظهر سلوك الرسائل قبل الإطلاق الكامل، مع توثيق كل خطوة لضمان عدم حدوث تسريب غير مقصود.

من منظور الحد من المخاطر، تُبرز الحادثة حدوداً جوهرية في سياسات المراجعة الداخلية للمؤسسات التي تُدمج الذكاء الاصطناعي في عملياتها. إن الاعتماد على موافقة فرد واحد أو على فحص غير مستقل لا يُعطي ضمانًا كافيًا، خاصةً عندما تكون الأدوات المُستعملة قادرة على توليد شيفرات معقدة بسرعة. لذلك، يُستحسن إرساء آلية تحقق مزدوجة تشمل مراجعة أقران مستقلة واختبار تشغيل محدود على مجموعة عينة من المستلمين، ما يتيح اكتشاف الأخطاء الوظيفية قبل انتشارها على نطاق واسع.

تُظهر الفحوصات التي أجرتها لجنة حماية البيانات الشخصية (PDPC) أن الخطأ كان بشريًا وليس نتيجة خلل في أداة الذكاء الاصطناعي نفسها، ما يسلط الضوء على ضرورة توثيق عمليات الاستخدام وتحديد المسؤوليات بوضوح. إن عدم وجود سجل واضح لتوثيق الاختبارات الفعلية للرسائل المرسلة يُصعّب عملية التدقيق اللاحق، وبالتالي يُنصح بتطبيق نظام تسجيل مفصل يُظهر كل مرحلة من مراحل تطوير واختبار الكود، بما في ذلك نتائج الاختبار الفعلية على بيئة محاكاة قبل الانتقال إلى البيئة الحية.

من الناحية العملية، يمكن للمنظمات أن تستفيد من هذه التجربة عبر تعزيز سياسات الحماية التقنية والإنسانية على حد سواء. على صعيد التقنية، يُنصح بتطبيق إعدادات البريد الإلكتروني الافتراضية التي تُجبر على استخدام حقل "نسخة مخفية (BCC)" عند إرسال رسائل جماعية، مع تمكين قيود برمجية تمنع تعديل هذا السلوك دون موافقة إدارية. وعلى الصعيد البشري، يجب تدريب الموظفين على فهم المخاطر المرتبطة بالاعتماد الكلي على الذكاء الاصطناعي وتوعيةهم بأهمية مراجعة النتائج العملية قبل النشر.

تُظهر التوصيات التنظيمية أن تقييمات تأثير حماية البيانات (DPIA) يجب أن تُجرى مسبقًا عند إدخال أي أداة مدعومة بالذكاء الاصطناعي في عمليات معالجة البيانات الشخصية. هذه التقييمات لا تقتصر على تحليل المخاطر النظرية، بل تشمل اختبارًا عمليًا للسيناريوهات المحتملة وتحديد إجراءات التخفيف الملائمة. من الضروري أن تُدمج هذه التقييمات في دورة حياة تطوير البرمجيات، بحيث تُصبح جزءًا لا يتجزأ من عملية التخطيط والتنفيذ والمتابعة.

أخيرًا، يُشير هذا الحادث إلى أن تبني التكنولوجيا الحديثة لا يُعفي المؤسسات من الالتزام بمبادئ الحماية الأساسية. إن الفشل في تطبيق إجراءات تحقق ملموسة قد يفضي إلى تسريبات قد تُستغل لاحقًا في هجمات تصيد أو رسائل غير مرغوب فيها، حتى وإن لم تُستغل مباشرةً في هذه الحالة. لذلك، فإن تعزيز ثقافة الأمان السيبراني داخل المؤسسات، وتطبيق سياسات واضحة لاستخدام الذكاء الاصطناعي، وإجراء اختبارات دورية على المخرجات الفعلية، يُعدّان من الخطوات الحاسمة لمنع تكرار مثل هذه الانتهاكات في المستقبل.

للمنظمات العربية، يبرز هذا الحادث الحاجة إلى خطوات تحقق ملموسة عندما يُنتج الذكاء الاصطناعي كودًا عمليًا. الاعتماد فقط على مراجعة السجلات قد يغفل عيوبًا وظيفية تظهر فقط في المخرجات الفعلية. تنفيذ مراجعة أقران، واختبار آلي لرؤوس البريد، وإلزامية استخدام BCC يمكن أن يمنع تسريب بيانات شخصية مشابه.