مع انتشار أدوات الذكاء الاصطناعي وتصبح متأصلة بعمق في تطوير البرمجيات في جميع أنحاء العالم، يُظهر بحث جديد أجرته شركة Crowdstrike للأمن السيبراني كيف يستهدف المهاجمون بنشاط سلسلة أدوات الذكاء الاصطناعي لسرقة بيانات اعتماد الوصول، والحصول على وصول أعمق إلى البيئة المستهدفة، واستخراج البيانات الحساسة، وحتى تدمير الملفات والأنظمة المستهدفة – كل ذلك مع إيجاد طرق جديدة لتغطية مساراتهم.
اكتشف الباحثون دودة في البرية أثناء التحقيق في هجمات سلسلة توريد برامج الذكاء الاصطناعي. يقول آدم مايرز، نائب الرئيس الأول لأعمال مكافحة الخصوم في CrowdStrike، إن الشركة لم تنسب النشاط بعد إلى جهة فاعلة محددة، لكنه يتناسب مع تطورات أكبر في كيفية استهداف المهاجمين مثل TeamPCP (الذي تتعقبه Crowdstrike باسم “Altered Spider”) والمجموعات الكورية الشمالية لسلسلة توريد برمجيات الذكاء الاصطناعي.
يقول مايرز لمجلة WIRED: “هذه إحدى الحملات التي رأيناها تظهر أن هذه فئة هجومية ناشئة”. “نظرًا لأن وكلاء ترميز الذكاء الاصطناعي أصبحوا معيار التطوير، فإن تهديدات سلسلة التوريد تتطور لاستغلال علاقات الثقة تلك. ولأول مرة، نختبر مدى تأثير الذكاء الاصطناعي وسلسلة أدوات الذكاء الاصطناعي في النظام البيئي التكنولوجي الأوسع.”
تعمل الدودة CrowdStrike التي تم تحديدها على مراحل. أولا يقوم بالاستطلاع لتقييم البيئة المستهدفة. ثم يبحث بعد ذلك عن رموز الوصول والبيانات الحساسة الأخرى، مثل مفاتيح التشفير وبيانات اعتماد الوصول إلى الخادم التي يمكنه تسليمها إلى المهاجمين. ومع حصول البرمجيات الخبيثة على الامتيازات، فإنها تقوم بتفكيك نفسها بشكل أكبر وتستمر في الاستيلاء على بيانات الاعتماد، وخاصة الرموز المميزة “npm” التي تتيح الوصول إلى خوادم إدارة حزم البرامج الرئيسية وقدرات التطوير الأخرى مثل طلبات السحب.
كلما تعمقت البرامج الضارة في النظام، زادت إمكانية الاستيلاء على البيانات الحساسة. عند هذه النقطة، يمكن للبرامج الضارة أيضًا نشر قدرتها التدميرية، أو ما يسميه مايرز “مفتاح الموت”، لتدمير الملفات أو منع الوصول المشروع إلى البنية التحتية المخترقة.
ومع ذلك، فإن النتيجة الرئيسية هي أن الكثير من النشاط الخبيث للدودة يحدث في نقاط عمياء، لأن الكثير من سلوكها يحاكي الإجراءات المشروعة. يقول مايرز: “إنها مثل إبرة في كومة قش، إلا أنها إبرة في كومة إبر”. “يبدو هذا إلى حد كبير مثل الكثير من مؤسسات الأتمتة التي تستخدمها لبناء التعليمات البرمجية، لذلك من الصعب جدًا اكتشافها.”
ويضيف مايرز أيضًا أنه في خطوط تطوير برامج الذكاء الاصطناعي هذه، من الصعب جمع نقاط البيانات التي تستخدمها الماسحات الضوئية الأمنية وأدوات التحليل تقليديًا للكشف عن الأنشطة المشبوهة المحتملة.
يقول مايرز: “هناك الكثير من التداخل في القياس عن بعد لأن أنظمة تشفير الذكاء الاصطناعي المشروعة تعمل بنفس الطريقة التي تعمل بها هذه الدودة، لذلك يصبح من الصعب جدًا التمييز من القياس عن بعد المتوفر لديك ما هو شرعي وما هو غير شرعي”.
وللاختباء على مرأى من الجميع بشكل أكثر خبثًا، قام مؤلفو الدودة بتضمين تأخيرات زمنية حيث سيتم تنفيذ قدرات مختلفة لساعات أو حتى أيام بعد وضع الأساس، مما يجعل من الصعب على المدافعين تحديد سبب ونتيجة لأحداث معينة تؤدي إلى نتائج معينة.
يقول مايرز إن Crowdstrike كان يعمل على استراتيجيات لربط المزيد من النقاط، لكنه يؤكد أنه مع الانفجار الكبير في تطوير برمجيات الذكاء الاصطناعي، هناك حاجة ملحة لجميع اللاعبين للتعاون في الحلول الهيكلية.
يقول مايرز: “إنها مساحة كشف محدودة لأن قدرًا كبيرًا فقط من هذا النشاط هو الذي سينتج فعليًا أي نوع من إشارات القياس عن بعد لننظر إليها، لذا يصبح من الصعب للغاية تحديد ما هو السلوك المشروع وما هو السلوك غير المشروع”.
