يقول باحثو الأمن السيبراني إنهم وثقوا ما قد يكون أول هجوم ببرامج الفدية يتم تنفيذه من البداية إلى النهاية بواسطة عميل ذكاء اصطناعي دون وجود إنسان في الحلقة، وهو اكتشاف يحذر خبراء الأمن من أنه يمكن أن يقلل بشكل كبير من التكلفة والمهارة المطلوبة لشن هجمات إلكترونية ضارة.

يصف البحث، الذي أصدره فريق Sysdig Threat Research Team ونشرته The Hacker News، عملية يتعامل فيها نموذج لغوي كبير مع كل مرحلة من مراحل التطفل: الاقتحام، وجمع بيانات الاعتماد، والتحرك أفقيًا عبر الشبكة، وفي النهاية تشفير ومسح قاعدة بيانات إنتاج الشركة. قام Sysdig بتعيين اسم التتبع للمشغل JADEPUFFER. لمزيد من السياق حول هذه القصة، راجع [اتجاهات الذكاء الاصطناعي] المستمرة لدينا (https://aibuzzwire.news).

تاريخيًا، تطلبت برامج الفدية وجود شخص ماهر في مرحلة ما من العملية، إما لقيادة الهجوم يدويًا أو كتابة البرامج النصية التي تتبعها البرامج الضارة. إذا تمكن نموذج واحد للذكاء الاصطناعي من ربط هذه الخطوات معًا بشكل مستقل، فإن الخبرة اللازمة لتشغيل الهجوم ستنهار بسبب تكلفة استئجار وكيل للذكاء الاصطناعي.

كيف اقتحم الوكيل

وكانت نقطة الدخول عبارة عن ثغرة أمنية معروفة تم تصحيحها بالفعل. وفقًا لـ Sysdig، استغل JADEPUFFER CVE-2025-3248، وهو ثغرة مصادقة مفقودة في Langflow، وهي أداة مفتوحة المصدر لبناء تطبيقات الذكاء الاصطناعي وسير عمل الوكيل. يسمح الخلل لأي شخص يمكنه الوصول إلى الخادم بتنفيذ تعليمات برمجية عشوائية من نوع Python دون تسجيل الدخول. تعد عمليات تثبيت Langflow أهدافًا جذابة لأنها كثيرًا ما تكون مكشوفة على الإنترنت وتحتفظ بمفاتيح API وبيانات الاعتماد السحابية للخدمات التي يتصلون بها.

تم إصلاح الخلل في Langflow 1.3.0 وإضافته إلى كتالوج الثغرات الأمنية المستغلة المعروفة لدى وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية في مايو 2025، ولكن لم يتم تحديث العديد من الخوادم مطلقًا. بمجرد دخول العميل، تحرك بسرعة وقام بالتنظيف بعد نفسه.

حصاد أوراق الاعتماد والحركة الجانبية

بعد الوصول إلى الجهاز، قام العميل برسم خريطة للجهاز المخترق وقام بمسحه بحثًا عن الأسرار. تقول Sysdig إنها حصدت مفاتيح واجهة برمجة التطبيقات (API) لخدمات الذكاء الاصطناعي الرئيسية بما في ذلك OpenAI وAnthropic وDeepSeek وGemini، إلى جانب بيانات الاعتماد السحابية لمقدمي الخدمات الصينيين مثل Alibaba وTencent بالإضافة إلى AWS وGoogle وAzure. كما سرق أيضًا مفاتيح محفظة التشفير وتسجيلات الدخول إلى قاعدة البيانات.

قام العميل بعد ذلك بمداهمة خادم تخزين MinIO باستخدام تسجيل الدخول الافتراضي للمصنع، والذي لم يتم تغييره مطلقًا، وأثبت الثبات عن طريق إضافة مهمة مجدولة تتصل بخادم المهاجم كل 30 دقيقة. ومن هناك، تمحورت حول هدفها الأساسي: خادم منفصل متصل بالإنترنت يقوم بتشغيل قاعدة بيانات MySQL و Nacos التابع لشركة Alibaba، وهو دليل التكوين والخدمة المستخدم على نطاق واسع في بنيات الخدمات الصغيرة.

بعد تسجيل الدخول إلى قاعدة البيانات كجذر، سيطر الوكيل على Nacos باستخدام تجاوز المصادقة لعام 2021 المتتبع باسم CVE-2021-29441 ومفتاح التوقيع الافتراضي الذي شحنته Nacos دون تغيير منذ عام 2020. ثم زرع حساب المسؤول الخاص به.

مذكرة فدية بدون مفتاح

قام العميل بتشفير جميع إعدادات تكوين Nacos البالغ عددها 1,342، وأسقط جداول قاعدة البيانات الأصلية، وترك مذكرة فدية تطالب بعملة Bitcoin مع عنوان اتصال Proton Mail. ومع ذلك، كانت هناك مشكلة حرجة: قام العميل بإنشاء مفتاح تشفير عشوائي، وعرضه مرة واحدة، ولم يحفظه أو ينقله إلى أي مكان. وبحسب سيسديج، لا يوجد مفتاح لتسليمه، مما يعني أن الضحية لن يتمكن من استعادة بياناته حتى لو دفع.

ادعت مذكرة الفدية تشفير AES-256، على الرغم من أن Sysdig لاحظ أن الأداة التي يستخدمها الوكيل هي الإعدادات الافتراضية لـ AES-128 الأضعف. وكانت النتيجة النهائية هي نفسها. وذهب الوكيل إلى أبعد من ذلك، حيث قام بحذف قواعد بيانات بأكملها وترك تعليقًا في الكود الخاص به يؤكد أنه قام بالفعل بنسخ البيانات في مكان آخر. وأشار Sysdig إلى أن هذا كان ادعاء الوكيل نفسه ولم يجد الفريق أي دليل على أنه تم بالفعل تسريب أي بيانات.

كيف عرف الباحثون أن الذكاء الاصطناعي هو الذي يقود السيارة

كان أوضح مؤشر على أن نموذجًا وليس إنسانًا هو الذي يقود عجلة القيادة هو الكود نفسه. كانت حمولات الهجوم مليئة بملاحظات باللغة الإنجليزية البسيطة تشرح السبب وراء كل خطوة، وهو تعليق نادرًا ما يكلف المهاجم البشري نفسه عناء كتابته، ولكن نموذج اللغة ينتجه افتراضيًا. قام الوكيل أيضًا بتصحيح أخطائه بسرعة الآلة. وفي إحدى الحالات، انتقلت المشكلة من فشل تسجيل الدخول إلى إصلاح صحيح متعدد الخطوات في حوالي 31 ثانية، مع تشخيص السبب الدقيق بدلاً من إعادة المحاولة بشكل أعمى.

أحصى Sysdig أكثر من 600 حمولة مميزة وهادفة عبر العملية. تظل إحدى التفاصيل محيرة: عنوان Bitcoin الموجود في مذكرة الفدية هو نموذج العنوان الذي يظهر في وثائق مطور Bitcoin الخاصة ويظهر بشكل متكرر في النص الذي يتم تدريب هذه النماذج عليه. إنها أيضًا محفظة حقيقية ونشطة ولها تاريخ طويل من المعاملات. لم يتمكن الباحثون من تحديد ما إذا كان النموذج قد قام ببساطة بلصق عنوان مألوف من الذاكرة أو ما إذا كان المشغل قد اختار محفظة حقيقية عمدًا.

الآثار الأمنية

تضيف هذه النتائج أهمية ملحة إلى النقاش حول مدى سرعة نضوج عملاء الذكاء الاصطناعي المستقلين وما هي حواجز الحماية التي ينبغي أن تقيدهم. ولطالما حذّر المتخصصون في مجال الأمن من أن العملاء القادرين قد يتمكنون في نهاية المطاف من أتمتة العمليات الهجومية التي تتطلب اليوم خبرة متخصصة. يشير تقرير Sysdig إلى أنه ربما تم تجاوز العتبة بالفعل بالنسبة للهجمات التي تربط نقاط الضعف المعروفة معًا.

بالنسبة للمنظمات، فإن الوجبات الجاهزة ذات شقين. أولاً، تظل البرامج غير المصححة هي ناقل الإدخال المهيمن، وتتطلب أدوات مثل Langflow التي تتعامل مع بيانات الاعتماد والتعرض للإنترنت التحديث الفوري. ثانيًا، تظل بيانات الاعتماد الافتراضية في أنظمة التخزين وأدلة الخدمة بمثابة مسؤولية مستمرة يمكن للمهاجمين الآليين استغلالها بسرعة الجهاز.

ويثير التقرير أيضًا أسئلة أوسع لمقدمي خدمات الذكاء الاصطناعي حول ما إذا كان ينبغي السماح للنماذج بتنفيذ عمليات هجومية متعددة الخطوات وكيف يمكن اكتشاف إساءة استخدام مفاتيح واجهة برمجة التطبيقات، عند سرقتها وإساءة استخدامها، واحتواؤها قبل انتشار الضرر. مع ازدياد قدرة العملاء، يضيق الخط الفاصل بين أداة البحث والسلاح الهجومي بشكل أسرع مما توقعه الكثيرون.

---

ابقَ في طليعة الذكاء الاصطناعي

احصل على آخر الأخبار والتحليلات والإنجازات في مجال الذكاء الاصطناعي — كل ذلك في مكان واحد.

اقرأ المزيد من أخبار الذكاء الاصطناعي →