في عالم يتزايد فيه الاعتماد على الذكاء الاصطناعي، تظهر أساليب جديدة للهجمات السيبرانية، منها السكن الوهمي الذي يستغل الثقة في الروابط.

استخدام السكن الوهمي للدوائر الخيالية في التصيد والبرمجيات الخبيثة

تستمر النماذج اللغوية الكبيرة في ابتكار عناوين ويب غير موجودة. بدأ المهاجمون في شراء تلك النطاقات الوهمية قبل أن يتمكن أي شخص آخر من ذلك، ثم استضافة صفحات تصيد عليها لجذب الحركة التي تشير إليها أدوات الذكاء الاصطناعي.

تسمي وحدة 42 في Palo Alto Networks هذه الحيلة السكن الوهمي، وتظهر أبحاثها الجديدة أنها تحدث بالفعل في العالم الحقيقي.

تكمن أهمية ذلك في الثقة. يعامل المطورون والمساعدون الذكيون بشكل متزايد الروابط التي يقدمها النموذج على أنها حقيقية. عندما يخترع نموذج نطاقًا غير موجود بعد، يرث أول من يسجله كل تلك الثقة المفقودة، دون الحاجة إلى بريد تصيد أو إعلان ضار.

لقياس المشكلة، سألت وحدة 42 نموذجين ذكاء اصطناعي 685,339 سؤالًا حول 913 علامة تجارية معروفة عبر التكنولوجيا والمالية والرعاية الصحية والحكومة والمقامرة وغيرها من القطاعات.

أنتجت النماذج 2.1 مليون رابط. وقد حذرت معلومات التهديد بالفعل من 13,229 منها على أنها ضارة تمامًا، مما يعني أن الذكاء الاصطناعي كان يقدم عناوين معروفة بأنها سيئة. كان حوالي 250,000 من النطاقات المخترعة بلا مالك بعد، وكل منها هدف جاهز لمن يسجله أولاً.

كيف يعمل السكن الوهمي

تعمل الهجمة لأن النطاق الجديد ليس له سمعة. تحتاج قوائم الحظر ومصادر التهديد ودرجات السمعة إلى موقع ليقوم بسلوك سيء لفترة من الوقت قبل أن تقوم بالإشارة إليه.

لا يحتوي النطاق الوهمي المسجل حديثًا على مثل هذا السجل، لذا ليس لدى تلك الفلاتر ما تشير إليه. بحلول الوقت الذي تلحق فيه، يكون الضحية قد تم توجيهه بالفعل إلى الموقع بواسطة أداة يثق بها.

تجعل تفاصيلان الأمر أسوأ. لم تكن النطاقات الوهمية موجودة في بيانات التدريب: تم شحن كلا النموذجين قبل أن توجد المواقع الضارة الحقيقية، لذا تأتي العناوين من أنماط اللغة الخاصة بالنماذج، وليس من الذاكرة. وتلك الأنماط متسقة.

غالبًا ما يخترع نماذج مختلفة نفس النطاق الوهمي لنفس السؤال، مما يجعل الهدف التالي للمهاجم سهل التخمين. أدى رفع إعداد “الإبداع” للنموذج فقط إلى إنتاج المزيد من النطاقات المخترعة. كما قال باحثو وحدة 42، “تستغل هذه الطريقة خاصية هيكلية من معماريات LLM التي تظل غير قابلة للتصحيح بشكل جوهري.”

حالتان تم ملاحظتهما

تظهر حالتان الدورة الكاملة. في 8 مارس 2026، توقعت وحدة 42 أن النماذج الذكية ستخترع نطاقًا يشبه سوق البريد الوطني عبر الإنترنت. أنتج كلا النموذجين ذلك في كل إعداد حراري، مما يشير بقوة إلى أنهم اعتبروا الموقع الوهمي كحقيقة.

بعد ثلاثة وعشرين يومًا، في 31 مارس، قام مهاجم بتسجيل ذلك النطاق بالضبط وأطلق مجموعة تصيد تُدعى إمبراطورية مونتانا. نسخت المجموعة المتجر الحقيقي في الوقت الحقيقي. وسرقت أرقام بطاقات الائتمان وتفاصيل التحويلات البنكية وبيانات الهوية الوطنية.

يسمح بوت تلغرام للمشغل بالموافقة يدويًا على رموز المرور لمرة واحدة من الضحايا. الدليل: أظهرت ملفات المشروع المتبقية وسجلات الجلسات أن الجاني قد بنى المجموعة بمساعدة مساعد برمجي ذكي. وصل المهاجم والمدافع إلى نفس النطاق الوهمي بنفس الطريقة، من خلال سؤال الذكاء الاصطناعي.

في الحالة الثانية، حذرت وحدة 42 من نطاق البريد الوطني الخيالي قبل 51 يومًا من تسجيله من قبل مهاجم. ثم غلفه بمقلد دقيق للعلامة التجارية، وأضاف تقييمًا مزيفًا بواقع 4.8 نجوم وادعاء بوجود أكثر من مليوني مستخدم، واستخدمه لدفع تطبيق أندرويد ضار.

تضمنت نطاقات أخرى تم اكتشافها تقليد بنك إماراتي كبير كان المهاجم قد استغله بالفعل لمدة تقارب العام، وبنك أوروبي، ومواقع مراهنات رياضية تستهدف المستخدمين في بنغلاديش.

حيلة قديمة مع هدف جديد

يعتبر السكن الوهمي النسخة النطاقية من السكن العشوائي، حيث يسجل المهاجمون أسماء حزم البرمجيات الوهمية التي تخترعها أدوات البرمجة الذكية. هذا ليس فرضية.

وجدت دراسة كبيرة في USENIX أن النماذج التي تولد الشيفرات تقترح بانتظام أسماء حزم غير موجودة، وحملة PhantomRaven حولت هذا السلوك بالضبط إلى برمجيات خبيثة مخفية في 126 حزمة npm مع أكثر من 86,000 تثبيت.

تشير إلى تحول أكبر: أصبح مخرجات النماذج مدخلات. يتصرف المطورون والوكلاء وفرق الأمان بناءً على الروابط والأسماء التي تولدها الذكاء الاصطناعي قبل أن يتم التحقق منها، ويستمر الذكاء الاصطناعي في تقليص الوقت المتاح للمدافعين للتفاعل.

كما يحدث في عالم حيث أصبح التصيد الاحتيالي الذي يقلد العلامات التجارية خدمة مدفوعة، مع مجموعات مثل Lucid وLighthouse التي تقيم 17,500 نطاق وهمي ضد 316 علامة تجارية في 74 دولة.

ماذا تفعل

نظرًا لأن النماذج تخترع بشكل متسق، يمكن لفرق الأمان رسم خريطة للنطاقات الوهمية التي من المحتمل أن تنتجها نموذج ومراقبة أي شخص يسجلها، غالبًا مع أسابيع من التحذير. بالنسبة للجميع، فإن الخطوات العملية بسيطة:

• لا تثق في رابط لمجرد أن الذكاء الاصطناعي قدمه. تأكد من أن النطاق هو النطاق الرسمي الحقيقي قبل أن تكتب كلمة مرور أو تلصقها في الشيفرة.
• احرص على عدم السماح لوكلاء الذكاء الاصطناعي بفتح أو تنزيل من الروابط التي تولدها النماذج تلقائيًا دون تحقق. ليس لدى الوكيل غريزة للتردد كما قد يفعل الشخص.
• اعتبر أي شيء يكتبه نموذج مسودة غير موثوقة، وليس سلطة.

تظل هذه النافذة مفتوحة، وتكافئ من يتحرك أولاً. السؤال الحقيقي، كما تطرحه وحدة 42، هو ببساطة ما إذا كان المدافعون أو المهاجمون سيصلون إلى هذه النطاقات أولاً.

مع استمرار تطور تقنيات الذكاء الاصطناعي، يجب على الأفراد وفرق الأمان أن يكونوا أكثر حذرًا وأن يتخذوا خطوات استباقية لحماية أنفسهم من التهديدات المحتملة.