ما الذي وجدته Gambit Security داخل عملية Aurora
نشر باحثو استخبارات التهديدات في Gambit Security تقريرًا مفصلاً عن عملية برنامج الفدية Aurora، وتشير النتائج إلى تحول ملحوظ في كيفية عمل فرق برامج الفدية. وفقًا للتقرير، حصل الفريق على ما يقرب من ستة أسابيع من سجلات الجلسات التي تظهر مشغلًا بشريًا يقود Cursor، وهو وكيل برمجة شهير بالذكاء الاصطناعي، من خلال نشاط عملي داخل أنظمة مخترقة. تغطي السجلات المذكورة نشاطًا عبر عشر شبكات ضحايا منفصلة، مما يمنح الباحثين نافذة مفصلة بشكل غير عادي على كيفية تطور حملات برامج الفدية باستخدام وكيل البرمجة بالذكاء الاصطناعي في الممارسة العملية وليس فقط نظريًا.
ما يجعل هذا التقرير مهمًا ليس فقط الحجم، فالشبكات العشر تمثل حجم عينة ذا مغزى لحملة موثقة واحدة، بل مستوى الرؤية في سير عمل المشغل. بدلاً من تجميع الأدلة الجنائية بعد وقوع الحدث، تمكن باحثو Gambit Security من مراجعة سجلات جلسة بجلسة تلتقط كيفية تفاعل المشغل مع أداة الذكاء الاصطناعي على مدى فترة ممتدة. هذا النوع من البيانات الطولية نادر في أبحاث برامج الفدية ويمنح المدافعين صورة أوضح لكيفية دمج هذه الأدوات في الاختراقات الحقيقية.
كيف سارع وكيل البرمجة بالذكاء الاصطناعي في Cursor سلسلة هجوم برنامج الفدية Aurora
صُمم Cursor كأداة إنتاجية للمطورين الشرعيين للبرمجيات، حيث يساعدهم على كتابة وتصحيح وتحسين الكود بشكل أسرع من خلال العمل كمساعد برمجة مدفوع بالذكاء الاصطناعي. تُظهر حالة Aurora إعادة استخدام تلك القدرة نفسها من قبل مشغل برنامج فدية لتسريع المهام داخل بيئات الضحايا. بدلاً من كتابة كل سكربت يدويًا أو استكشاف كل عقبة تقنية باليد، يبدو أن المشغل استخدم وكيل الذكاء الاصطناعي كمضاعف للقوة، تاركًا له التعامل مع العمل المتكرر أو التقني الصعب بينما يوجه الإنسان الاستراتيجية العامة.
يتوافق هذا النمط مع اتجاه أوسع يحذّر منه باحثو الأمن: أدوات البرمجة بالذكاء الاصطناعي تخفض الحاجز التقني لتنفيذ اختراقات متطورة. لا يحتاج المشغل إلى أن يكون خبيرًا في كتابة السكربتات أو تطوير البرامج الضارة إذا كان وكيل الذكاء الاصطناعي يمكنه توليد وتعديل واستكشاف الكود عند الطلب. تشير سجلات Aurora إلى أن هذا لم يكن تجربة لمرة واحدة. ستة أسابيع من الاستخدام المستمر عبر عشر شبكات تشير إلى سير عمل صقله المشغل واعتمد عليه مرارًا، وليس حداثة جربها مرة واحدة ثم تخلى عنها.
برامج الفدية بمساعدة الذكاء الاصطناعي مقابل المستقلة تمامًا: أين يقع هذا
من الجدير أن نكون دقيقين بشأن ما تمثله حالة Aurora فعليًا. هذه ليست مثالًا على هجوم برنامج فدية يدير نفسه بنفسه. كان المشغل البشري واضحًا في مقعد القيادة، مستخدمًا وكيل الذكاء الاصطناعي كأداة للتحرك بشكل أسرع وتجاوز العقبات التقنية، على غرار ما قد يفعله مطور بالاعتماد على مساعد لتسريع مهام البرمجة. وهذا يضع Aurora بثبات في فئة المساعدة بالذكاء الاصطناعي وليس الفئة المستقلة تمامًا.
هذا التمييز مهم لأن الباحثين وثقوا أيضًا حالات أبعد على هذا الطيف. أبلغت Sysdig عن ما وصفته بأنه أول هجوم برنامج فدية مستقل تمامًا بالذكاء الاصطناعي، حيث نفذ وكيل ذكاء اصطناعي اختراقًا مع توجيه بشري ضئيل أو معدوم في الوقت الفعلي. كما وثق باحثو Sysdig حملة تسمى JADEPUFFER، حيث وجه نموذج لغوي كبير معظم الهجوم ضد أنظمة الرعاية الصحية، ثم تتبعوا لاحقًا نفس الجهة المهددة وهي تبني أدوات برمجيات فدية جديدة تستهدف نماذج الذكاء الاصطناعي نفسها. عند النظر إليها معًا، ترسم Aurora وهذه الحالات المستقلة طيفًا: في أحد الطرفين، مشغلون بشريون يستخدمون الذكاء الاصطناعي كمسرع، وفي الطرف الآخر، وكلاء ذكاء اصطناعي يعملون باستقلالية متزايدة. تُظهر Aurora أنه حتى الطرف المدعوم من هذا الطيف ينتج بالفعل حملات حقيقية متعددة الضحايا.
ماذا يعني هذا بالنسبة لك
بالنسبة لمعظم المؤسسات، الخطر المباشر ليس أن وكيل ذكاء اصطناعي سيصيب شبكتها ببرنامج فدية بمفرده بين عشية وضحاها. إنه أن المهاجمين الذين لديهم بالفعل مستوى معين من الوصول أو المهارة التقنية يمكنهم الآن التحرك بشكل أسرع وضرب المزيد من الأهداف في نفس الفترة الزمنية. هذا يغير الحسابات حول مدى سرعة تقدم الاختراق من نقطة الدخول الأولية إلى اختراق الشبكة بالكامل، مما يزيد الضغط على الاكتشاف المبكر بدلاً من الاعتماد فقط على إيقاف الاختراق الأولي.
تبرز بعض الأولويات الدفاعية من هذه الحالة. تبقى النظافة القوية لكلمات المرور أساسية، لأن أدوات الذكاء الاصطناعي لا تخلق وصولًا جديدًا بمفردها، فهي لا تزال بحاجة إلى بيانات اعتماد صالحة أو موطئ قدم موجود داخل الشبكة للعمل. يحد تقسيم الشبكة من مدى تحرك المشغل، سواء بمساعدة الذكاء الاصطناعي أم لا، بمجرد دخوله، مما يحتوي الضرر على جزء أصغر من البيئة. كما أن مراقبة استخدام الأدوات غير المعتاد، بما في ذلك وكلاء البرمجة بالذكاء الاصطناعي الذين يعملون في سياقات لا ينبغي أن يكونوا فيها، يمنح فرق الأمن فرصة لالتقاط النشاط المدعوم بالذكاء الاصطناعي قبل أن يتصاعد إلى حدث برنامج فدية كامل.
النقاط الرئيسية
- يستخدم مشغلو برامج الفدية بنشاط وكلاء البرمجة بالذكاء الاصطناعي مثل Cursor لتسريع الاختراقات الحقيقية، وليس فقط للتجربة بها.
- حملة Aurora، الموثقة عبر عشر شبكات ضحايا على مدى ستة أسابيع، تمثل مساعدة ذكاء اصطناعي موجهة بشريًا وليس استقلالية كاملة.
- نظافة بيانات الاعتماد وتقسيم الشبكة ومراقبة نشاط أدوات الذكاء الاصطناعي غير المتوقع هي خطوات عملية يمكن للمؤسسات اتخاذها الآن.
- فهم مكان الحملة على الطيف من المساعدة بالذكاء الاصطناعي إلى الاستقلالية الكاملة يساعد فرق الأمن على معايرة الدفاعات الطبقية الصحيحة بدلاً من الاعتماد على أي أداة واحدة.
