في عالم الأمن السيبراني، تتطور التهديدات بشكل مستمر. اكتشف الباحثون في Cisco Talos أداة برمجيات خبيثة جديدة تستخدم نماذج ذكاء اصطناعي متعددة.
اكتشاف برمجيات خبيثة تستخدم أربعة نماذج ذكاء اصطناعي
نظرة مستقبلية: اكتشف الباحثون في Cisco Talos أداة برمجيات خبيثة تعمل على نظام ويندوز تستخدم عدة نماذج لغوية كبيرة للمساعدة في تحديد ما يجب القيام به على جهاز مخترق. يشير هذا الاكتشاف إلى مجموعة متزايدة من البرمجيات الخبيثة المدعومة بالذكاء الاصطناعي التي تتجاوز توليد الشيفرات ودعم التصيد الاحتيالي. كما يوفر هذا الاكتشاف للمدافعين نظرة مبكرة على كيفية بناء المهاجمين لأنظمة التحكم والقيادة الأكثر استقلالية ومرونة.
تفاصيل البرمجيات الخبيثة CLOSEDQUORUM
تتحقق البرمجيات الخبيثة، المعروفة باسم CLOSEDQUORUM، من خدمات DeepSeek وQwen وMistral وGoogle Gemini قبل اختيار الإجراء التالي. يمكنها الاستمرار في العمل إذا كانت إحدى هذه الخدمات غير متاحة لأنها تستطيع الاستعلام عن الخدمات الأخرى. ذكرت Cisco Talos أن الأداة لا تحتوي على مسار مدمج يسمح لمشغل بشري بإصدار الأوامر بمجرد تشغيلها.
قال الباحثون إن CLOSEDQUORUM مصممة لسرقة بيانات تسجيل الدخول والعملات المشفرة. وقد حددوا روابط بين البرمجيات الخبيثة ونشاط المنتديات الإلكترونية المتعلقة بالجرائم الإلكترونية التي تتضمن الاحتيال باستخدام بطاقات الائتمان تعود إلى عام 2025. لم تتمكن Talos من تحديد من أنشأ الأداة أو ما إذا كانت قد استخدمت ضد أهداف حقيقية.
مشروع CAIRN لمراقبة البرمجيات الخبيثة
جاء الاكتشاف من خلال مشروع جديد لـ Cisco Talos يهدف إلى مساعدة الباحثين في مجال الأمن على تتبع البرمجيات الخبيثة التي تعتمد على خدمات الذكاء الاصطناعي. الإطار مفتوح المصدر، المعروف باسم شبكة أبحاث الذكاء الاصطناعي المعرفية، أو CAIRN، يبحث عن الآثار الفنية المرتبطة باستخدام الذكاء الاصطناعي في عينات البرمجيات الخبيثة.
قال رايان فيترمان، باحث الأمن في Cisco Talos الذي قاد تطوير CAIRN، لـ Wired: “الفكرة الأساسية هي أن دمج الذكاء الاصطناعي يترك آثارًا، مثل بصمات الأصابع، خلفه. وهذا يمنحنا إشارة يمكننا استخدامها لتتبع هذه العينات وتصنيفها ورؤية ما يحدث.”
تقوم CAIRN بفحص البيانات الوصفية وغيرها من السمات المرتبطة بدمج الذكاء الاصطناعي، ثم تعطي العينات معرفًا يمكن للباحثين استخدامه لمقارنتها مع برمجيات خبيثة معروفة أخرى. يقوم النظام بتجميع الآثار ذات الخصائص المماثلة، مما يساعد المحللين على تحديد الأنماط في كيفية إضافة المهاجمين لنماذج اللغة الكبيرة إلى البرمجيات الخبيثة وعمليات التحكم والقيادة.
التحول من أداة مساعدة إلى بنية تحتية للهجوم
الفرق الرئيسي مع CLOSEDQUORUM هو استخدام نماذج اللغة الكبيرة كجزء من نظام التحكم نفسه. غالبًا ما تتضمن أمثلة البرمجيات الخبيثة المتعلقة بالذكاء الاصطناعي السابقة استخدام المهاجمين للنماذج لكتابة الشيفرات، وإنشاء محتوى تصيد، أو أتمتة أجزاء من الحملة. بدلاً من ذلك، تستخدم CLOSEDQUORUM ردود النماذج لتوجيه إجراءاتها بعد الوصول إلى نظام مستهدف.
قال مات أولني، المدير الأول للاستخبارات التهديدية في Cisco Talos، إن هذا التحول يظهر انتقال الذكاء الاصطناعي من أداة مساعدة إلى مكون من بنية الهجوم.
قال أولني: “في البداية، كان الجميع يرون الذكاء الاصطناعي كأداة إنتاجية، أليس كذلك؟ الآن ما نراه هو أنه يتم تشغيله بشكل عملي. لذا بالنسبة للمهاجمين، فإنه يسمح لهم بتشغيل المزيد من الحملات، وضرب المزيد من الأماكن، والتعامل مع المزيد من الأجهزة المختلفة، لأن لديهم هذه الصندوق الذكي جدًا في الخلفية الذي يمكنه طرح الأسئلة وتقديم الردود.”
طورت Talos CAIRN بعد أن استعرض فيترمان أمثلة موثقة علنًا للبرمجيات الخبيثة التي تستخدم الذكاء الاصطناعي. كانت إحدى الحالات المبكرة هي LAMEHUG، البرمجيات الخبيثة التي ربطتها CERT-UA في أوكرانيا بحملة تصيد في يوليو 2025. اتصلت البرمجيات الخبيثة بـ Qwen2.5-Coder-32B-Instruct عبر واجهة برمجة التطبيقات Hugging Face للحصول على الأوامر.
قال فيترمان: “في ذلك الوقت، كنت أفكر، ‘واو، هذا مذهل. سيكون هناك ازدهار كبير في البرمجيات الخبيثة المدعومة بالذكاء الاصطناعي، وستتغير الساحة تمامًا.'”
لكن عندما استعرض فيترمان المجال بعد عام تقريبًا، وجد عددًا أقل بكثير من الحالات الموثقة مما كان متوقعًا. حدد حوالي تسعة عائلات برمجيات خبيثة مسماة، بما في ذلك بعض إثباتات المفاهيم البحثية.
منذ ذلك الحين، كشفت CAIRN عن مجموعة أوسع من العينات. قال فيترمان إنه وجد حوالي 20 مثالًا إضافيًا من البرمجيات الخبيثة المدمجة بالذكاء الاصطناعي أثناء تطويره واختبار الإطار. لا تزال الأنشطة إلى حد كبير تجريبية، لكنه أشار إلى أن العينات الإضافية تظهر أن التقارير العامة لم تلتقط النطاق الكامل للبرمجيات الخبيثة المدعومة بالذكاء الاصطناعي قيد التطوير.
قال فيترمان: “لذا بينما أعتقد أن هذا لا يزال تجريبيًا إلى حد كبير بالنسبة للمهاجمين، فإن الساحة أكثر تعقيدًا وتنوعًا مما تم الإبلاغ عنه علنًا.”
المراجع
تظهر هذه الاكتشافات أهمية مراقبة التطورات في مجال البرمجيات الخبيثة المدعومة بالذكاء الاصطناعي، حيث يمكن أن تؤثر بشكل كبير على أمان الأنظمة الإلكترونية.
