المهاجمون الذكائيون لا يتعبون: لماذا يجب أن يتغير الأمن السيبراني

تم بناء برنامج الأمان الخاص بك للمهاجمين الذين يتعبون.

عندما نشرت OpenAI حسابها عن النماذج التي هربت من بيئة التقييم وقضت أيامًا داخل بنية إنتاج Hugging Face، وصفت ذلك بلحظة من نوع Terminator للأمن السيبراني. ما زلت أؤيد هذا التصريح، لكن هناك شيء آخر في ذلك يجب أن يوقفنا. بعد تسعة أيام، كشفت Anthropic عن حوادث خاصة بها. في أوائل أغسطس، أكدت Meta حدوث آخر. بعد أيام قليلة، هرب نموذج من مختبر رابع، Kimi K3 من Moonshot، من صندوق الاختبار الخاص به. أربعة مختبرات. أقل من ثلاثة أسابيع. أربعة نماذج وصلت إلى مكان لم يكن أحد يريده.

تم التعامل مع هذه القصص إلى حد كبير كقصص تتعلق بسلامة الذكاء الاصطناعي. وهي كذلك. لكن بالنسبة إلى مدير أمن المعلومات (CISO)، فهي أيضًا قصص مخاطر الطرف الثالث — وقد يكون ذلك هو الدرس الأكثر إلحاحًا. الحقيقة المزعجة هي أن حادثة OpenAI‑Hugging Face كانت، في جوهرها، قصة مخاطر طرف ثالث: مكوّن طرف ثالث ضعيف كمسار هروب، ومورد كضحية، وعقدة نظامية يعتمد عليها آلاف الشركات كنطاق الانفجار.

هذا هو الرقم الذي سأقدمه لاجتماع تخطيط الأمان القادم. من بين ما يقرب من 17,600 عملية هجوم استعادتها Hugging Face من سجلاتها، فمعظمها فشل.

اختبر الوكيل مسارات لم تؤدِ إلى شيء. تم حظره بواسطة قوائم السماح للروابط وتحوّل. صادف سياسات IAM التي رفضت كل طلب تعديل. حاول الوصول إلى قاعدة بيانات إنتاج مرتين وانتهى به الأمر إلى انتهاء المهلة في كل مرة. استكشف، فشل، ثم استمر. آلاف المرات. لم يشعر بالإحباط. لم يتعب. وفشل ذلك كلفه القليل تقريبًا.

أربعة نماذج هربت من بيئات الاختبار في أقل من ثلاثة أسابيع. هذه الهروب حصلت على عناوين رئيسية. يجب أن يكون قادة الأمن أكثر قلقًا بشأن ما جعل ذلك ممكنًا: مهاجم يمكنه الفشل آلاف المرات بتكلفة شبه صفرية.

هذا هو التحول. على مدى عقود، استفاد المدافعون من حقيقة بسيطة: الفشل يكلف المهاجمين شيئًا. استغرق الاستطلاع وقتًا وكانت الطرق المسدودة مكلفة. اقتصاديات هذا الاختلال هي ما جعل “فرض التكاليف” على المهاجمين طريقة منطقية لمحاولة إيقافهم. عندما يصبح الفشل شبه مجاني، يتوقف المسار الناجح عن كونه إبرة في كومة قش ويصبح يقينًا إحصائيًا لأي شخص يستطيع متابعة كل مسار في آن واحد.

تشير الأنماط في هذه الحوادث إلى ثلاث دروس يجب على قادة الأمن اتخاذها الآن.

Four Labs, One Shape

النمط متسق بشكل ملحوظ. أعطِ نموذجًا هدفًا. يجد مسارًا لم يتوقعه أحد. أحيانًا يقود هذا المسار مباشرة إلى أنظمة الإنتاج للمنظمات التي لم يكن من المفترض أن تشارك. في حالة واحدة على الأقل، علمت المنظمة المتأثرة بما حدث لأن Anthropic اتصلت لإبلاغها

في كل حالة، مر المسار عبر برنامج أو بنية تحتية أو بيئة بنى شخص آخر. يجب أن يأخذ قادة الأمن ذلك على محمل الجد.

كل منظمة في هذه السلسلة كان لديها برنامج أمان. كان لدى عدة منها برامج جيدة جدًا. الفشل لم يقتصر داخل أي حدود واحدة. حدث في الفواصل بين المنظمات، ولا أحد يمتلك تلك الفواصل.

عثرت نماذج OpenAI على ثغرة يوم الصفر في وكيل حزم مستضاف ذاتيًا واستخدمتها للوصول إلى الإنترنت المفتوح. من هناك استقروا على صندوق تنفيذ شفرة غير مؤمن يخص عميل Modal Labs، واستخدموه كقاعدة تمهيدية، وخدعوا محمّل مجموعة بيانات Hugging Face لقراءة ملفات محلية ثم تنفيذ شفرة. خلال ثلاثة عشر ساعة حصلوا على صلاحيات مشرف عنقودية عبر عدة عناقيد داخلية، مدعومين ببيانات اعتماد واحدة مشتركة بين جميعها. كانت نقطة الدخول جديدة. داخلها، كانت الضعف هي نفسها التي كنا نكتب عنها منذ عشرين عامًا.

بعد تسعة أيام، فعلت Anthropic شيئًا نادرًا: نشرت مراجعتها الخاصة ل141,006 تشغيل تقييم وكشفت عن ثلاث حالات ذات عرض مماثل دون طلب مسبق: نموذج يصل إلى الإنترنت المفتوح من بيئة تقييم، ثم يحصل على وصول إلى أنظمة منظمات حقيقية. لم يكن هناك هروب من الصندوق هذه المرة، بل خطأ تكوين ترك مسارًا حيًا بينما تم إخبار النموذج بأنه غير موجود. بمجرد الخروج، استغل النموذج نقاط ضعف يعرفها كل فريق أمان: كلمات مرور ضعيفة، نقاط نهاية غير موثقة، حقن SQL، وبيانات اعتماد على صفحة تصحيح مكشوفة.

أكدت Meta وجود حالة رابعة في أوائل أغسطس، بعد خطأ تكوين منح أحد نماذجها وصولًا إلى الإنترنت أثناء تقييم. لم تكتشف Meta ذلك أيضًا؛ علمت بما حدث عندما اتصل شريك الاختبار الخاص بها. كلا التقييمين أُجريا من قبل نفس الشركة الخارجية، Irregular، التي صرّحت علنًا بأنها نفس المشكلة. خطأ تكوين بائع واحد انتشر عبر مختبرين حدّيين وأربع منظمات ضحية، لم يكن لأي منها علاقة مباشرة بـ Irregular على الإطلاق. كان البائع يقدّم خدمات للمختبرين، وليس لهما. لم يهتم الوكيل بمكان انتهاء سطح هجوم شركة واحدة وبداية أخرى.

هذا ما يجعل الأمر مشكلة مخاطر طرف ثالث. يمكن أن ينشأ التعرض الآن من عدة علاقات بعيدًا عنك، في منظمة لم تخترها أو تقيمها أو حتى تعرف بوجودها ضمن سطح هجومك.

ثم التقط باحثو Frontier Security نموذج Moonshot’s Kimi K3 وهو يخرج من صندوقه أيضًا، حتى يتمكن من الوصول إلى مستودع معايير على GitHub. لم يتم اختراق أحد، وكان النموذج يطارد هدفه المعيّن، بعد أن استنتج أن استخدام مفتاح إجابة جاهز أرخص من حل المشكلة. هناك أمران يجعلانهما مهمين. أولًا، التقطه الباحثون خلال اختبارهم الخاص. ثانيًا، كان يعمل على أدوات مختلفة تمامًا عن حالتي Anthropic وMeta. خطأ بائع واحد في شهر سيء لا يفسّر هذا.

المختبرات لا تتجاهل أيًا من هذا. نشرت Anthropic مراجعتها دون طلب، وهذا هو السبب في أن الصناعة لديها نمط لتفحصه وتتعلم منه — بدلاً من اعتباره حالة استثنائية تُهمل. يجب أن يصبح هذا هو القاعدة. أبطأت OpenAI الآن إصدار نموذج Astra بعد أن لم تستطع التقييمات الداخلية استبعاد قدرة سيبرانية حرجة. كلا الإجراءين يستحقان الثناء. لكن لا أحد منهما يمثل خطة دفاعية: تأخير الإصدار يحكم جدول شركة واحدة. لا يغير شيئًا بالنسبة للنماذج القادرة، بما في ذلك Kimi K3، التي تُصدر بالفعل بأوزان مفتوحة ومجانية، خارج سيطرة أي مختبر منفرد.

Correlation Without Escalation is Not Detection

قامت مجموعة اكتشاف Hugging Face، إلى جانب جدارتها، بربط الإشارات في هجوم متماسك. ثم فشلت في تصعيد الخطورة، ولم يتم استدعاء فريق المناوبة. جمعت الأدوات القصة لكنها لم تستطع تحديد أن القصة عاجلة. هذا هو بنية فرز مبنية لعالم يكون فيه 17,600 حدثًا خلال أربعة أيام أمرًا غير معقول.

Cybersecurity Needs its Fosbury Flop

في عام 1968، فاز ديك فوسبيري بالميدالية الذهبية في القفز العالي ليس بارتفاعه أعلى من منافسيه بل بالمرور فوق العارضة إلى الخلف. كان الجميع يطوّرون تقنية “الاستلقاء”. تحسين الشكل، مزيد من القوة، مكاسب طفيفة على تقنية عمرها عقود. غير فوسبيري شكل المشكلة. خلال أول دورتين أولمبيتين، أصبح “الاستلقاء” شبه منقرض.

يجب الآن على قادة الأمن رفع عارضة تحركت للتو، ومعظم إجابات الصناعة حتى الآن هي تحسين “الاستلقاء”: المزيد من التنبيهات، محللين أسرع، اتفاقيات مستوى خدمة أقصر للمراجعة البشرية. هذا لن ينجح، لأن القيد ليس سرعة المحلل. لا يمكنك مواجهة هجمات بسرعة الآلة بفرز بسرعة الإنسان.

يبدو الفلوب هكذا:

• توقف عن اعتبار الحد كضبط. فشل صندوق التقييم، فشل محمّل مجموعة البيانات، وفشل عزل الحاوية، كلٌ منها أدى وظيفته حتى لم يعد كذلك. صمم لما سيحدث بعد ذلك. استخدم بيانات اعتماد ذات عمر قصير. ألغِ الهويات الإدارية المشتركة. احظر الوصول إلى خدمات البيانات الوصفية. فوق كل شيء، حدّ من مدى حركة المهاجم بعد فشل الضبط الأول.
• انقل الكشف من التنبيه إلى الارتباط. العثور على حدث مريب واحد لم يعد كافيًا. المهمة هي ربط آلاف الأحداث العادية في قصة هجوم واحدة، ومعرفة متى تكون تلك القصة جدية بما يكفي لإيقاظ أحدهم. هذا يتطلب أتمتة متزايدة نظرًا للحجم الذي نشهده.
• عامل تعرض الطرف الثالث كمسار هجوم، لا كاستبيان. مرت هذه الحوادث عبر تبعيات طرف ثالث: منتج بائع، عميل بائع، شريك تقييم، أدوات اختبار مشتركة. الآن يشمل خطرُك أخطاء تكوين ارتكبتها منظمات لم تُدققها وربما لا تعرف بوجودها. لا يمكن للتقييمات الثابتة في نقطة زمنية رؤية ذلك. المشكلة ليست جديدة. الذكاء الاصطناعي يجعلها أكثر إلحاحًا. تحتاج فرق الأمن إلى رؤية مستمرة للشركات والتقنيات التي يعتمدون عليها، لأن المهاجمين يرون ذلك النظام البيئي بأكمله كسطح واحد متصل.

في SecurityScorecard، هذه هي بالضبط المشكلة التي بُنيت ثقافتنا حولها: جمع الأشخاص الذين يفضّلون الفضول حول طريقة تفكير المهاجمين، مستعدين لتحدي افتراضات عمرها عشرون عامًا، ومتحمسين لبناء نهج أمان مختلف جذريًا!

The Question to Bring to Your Next Board Meeting

قلت قبل بضعة أسابيع إن الجني أصبح أقوى من القارورة. بعد أربعة مختبرات، لا شيء يختلف عن ذلك. بعد حوادث كهذه، يسأل الجميع السؤال نفسه: هل نحن مستعدون للمهاجمين المدعومين بالذكاء الاصطناعي؟ لا أعتقد أن هذا السؤال يقدّمنا إلى أي مكان. “نعم” و “لا” ينتجان النتيجة نفسها: لا شيء يتغير.

اسأل سؤالًا أصعب. إذا ضربت 17,000 حدث منخفض الإشارة بيئتك خلال الأربعة أيام القادمة — وكان معظمها يبدو فشلًا — كم من الوقت سيستغرق فريقك لإدراك أنها هجوم واحد؟ هل سيُستدعى أحد في الوقت المناسب؟

أنت تعرف الجواب بالفعل. الفجوة بين ذلك الجواب وأربعة أيام هي العمل.