الخلاصة
- كشف باحث أمني أن وكلاء ذكاء اصطناعي اخترقوا أكثر من 100 شركة انطلاقاً من 25 سبتمبر
- استُخدمت منصة Cairn مفتوحة المصدر، وبلغت كلفة الحملة نحو 5 آلاف دولار أو 50 دولاراً لكل اختراق
- الحادثة تظهر أن وكلاء الذكاء الاصطناعي خفّضوا كلفة الهجمات السيبرانية الواسعة إلى متناول فرد واحد
خبر:
خفّض وكلاء الذكاء الاصطناعي كلفة الاختراق الواسع إلى نحو 50 دولاراً للموقع، بعدما استخدم مخترق يتحدث الصينية منصة Cairn مفتوحة المصدر لاقتحام مواقع أكثر من 100 شركة منها ديري وشاركنينجا وكمنز. بدأت الحملة في 25 سبتمبر، وحاولت وكلاؤها أكثر من 1,200 موقع، بكلفة إجمالية تقارب 5 آلاف دولار بالرموز الحاسوبية.
تفصيل:
- المنصة: Cairn منصة مفتوحة المصدر لحل المسائل بالوكلاء؛ يحدد المشغّل هدفاً بتعليمات لم تتجاوز 100 حرف صيني، فتعمل عدة وكلاء خطوة بخطوة وتنشر نتائجها على لوحة مشتركة يقرأها الجميع، مع إمكان إضافة المشغّل تلميحات. ويقول مؤلفها، الذي ينشر باسم le1xia0، إنها لم تُصمَّم لهجمات الاختراق.
- الأدوات: نفّذت المهام عبر عامل باسم claudecode_deepseek-v4.1-flash، ما قد يعني تشغيل Claude Code من أنثروبيك على نموذج DeepSeek V4.1 Flash منخفض الكلفة، بحسب شركة نورفورج التي رصدت الحملة عبر لوحات تحكم تركها المشغّلون مكشوفة على الإنترنت فوجدتها بأدوات المسح الشبكي.
- النطاق: رصدت نورفورج أكثر من 20 لوحة تحكم يُرجَّح أنها خبيثة في ثلاث مجموعات: صينية عالية الخطورة تضم 14 لوحة وأكثر من 1,100 مشروع هجوم، وإنجليزية من 10 لوحات تستهدف بطاقات الائتمان والعملات المشفرة، ولوحة واحدة تضم 59 مشروعاً، فيما استهدفت المتاجر متاجر إلكترونية أميركية وكندية ويابانية وأسترالية.
- النتائج: استغرق الاختراق الناجح نحو 23 ساعة وسطياً، وبلغ متوسط نسبة النجاح نحو 10%، فيما تحقق Trufflehog من صحة 11% من مئات بيانات الاعتماد والمفاتيح البرمجية المكشوفة؛ وتُقدَّر الكلفة بنحو 5 دولارات لكل مهمة بحسب نورفورج، أو نحو 50 دولاراً لكل اختراق ناجح بحسب تقدير فاغرلاند.
- الأسلوب: سعى العنقود الصيني إلى وصول دائم لأنظمة المتاجر والدفع لاستخدامه لاحقاً؛ وحين عجزت الوكلاء عن ثغرة في تطبيق شركة كبيرة، وجدت لوحة تحكم مرتبطة واستغلت خللاً دقيقاً في معالجة البيانات لتشغيل أوامر على الخادم، بعد ساعات من المحاولة والخطأ، وزرعت في حالة مؤكدة غلافاً برمجياً للرفع.
- الشركات: قالت ديري إنها اتخذت خطوات معالجة ولم تجد دليلاً على الوصول إلى معلومات حساسة، وأفادت شاركنينجا بأن الهجوم أصاب موقع دعم مستقلاً واحتُوي، وقالت كمنز إنها تحقق في اختراق محتمل لموقع يديره مورّد خارجي، فيما تعذّر تحديد حجم البيانات المسحوبة إن وُجدت.
- حوادث سابقة: وثّقت جامبيت سكيوريتي في سبتمبر حملة بالوكلاء اخترقت 25 شركة وسرقت 600 ألف سجل بطاقة ائتمان على الأقل، وفي أغسطس رصدت مبتزين ناطقين بالروسية يستخدمون أداة Cursor لاختراق سبع منظمات، كما أبلغت تايوان والهند عن اختراقات لأنظمة حية ساعدت فيها الوكلاء.
ماذا بعد؟
تعمل نورفورج مع رويترز على تنبيه الضحايا وتطلب من شركات الاستضافة إزالة لوحات التحكم المكشوفة، ويبقى حجم البيانات المسروقة فعلياً غير محدد حتى الآن.
