وكلاء ذكاء اصطناعي اخترقوا شبكة كاملة في أقل من عشر ساعات بلا ثغرة صفرية

وكلاء ذكاء اصطناعي اخترقوا شبكة كاملة في أقل من عشر ساعات بلا ثغرة صفرية

في 2 سبتمبر 2026 نشرت وحدة Unit 42 التابعة لبالو ألتو نتوركس تفاصيل تحقيق في اختراق شبكة مؤسسية. الرقم الذي جعل التقرير ينتشر: المهاجم بدأ من خدمة ويب متاحة للعموم وانتهى بصلاحية الجذر على البيئة كلها في أقل من عشر ساعات، وهو عمل يستغرق فريقا بشريا أسبوعين تقريبا.

والتفصيل الأهم أن الهجوم لم يستخدم ثغرة صفرية ولا أسلوبا تقنيا نادرا. استخدم أكثر من 50 أسلوبا معروفا ومصنفا في إطار MITRE ATT&CK، أي أساليب موصوفة ومنشورة ويعرفها المدافعون. ما تغير ليس الأسلوب بل السرعة: بدل أن ينفذ المهاجم كل خطوة بيده، وجه وكلاء ذكاء اصطناعي يراقبون ويقيمون وينفذون ويعيدون التخطيط في حلقة واحدة متواصلة بلا انقطاع وبلا نوم.

ما الذي جرى في العشر ساعات

التسلسل كما وصفه التقرير:

1. الدخول. اختراق خدمة ويب متاحة للعموم، ثم فتح نفق إلى داخل الشبكة.
2. الاستطلاع. نشر وكيل آلي يرسم خريطة الخدمات الداخلية المصغرة بلا تدخل بشري.
3. حصاد الأسرار. وكلاء فرعيون يمشطون مستودعات الكود بحثا عن رموز وصول وكلمات مرور خدمات مكتوبة داخل الكود نفسه.
4. التصعيد. استخدام تلك الرموز للدخول إلى نظام إدارة الأسرار، واستخراج بيانات المدير الرئيسية التي تمنح صلاحية الجذر على البيئة كلها.
5. خطوط الإنتاج. اختطاف مسارات البناء والنشر عبر مسارات عمل مخصصة لتسريب مفاتيح الوصول السحابية.
6. النهاية المقلوبة. استخدام تلك المفاتيح لتحويل نقاط الذكاء الاصطناعي لدى الضحية نفسها إلى بنية تحتية يشغلها المهاجم بعد الاختراق.

اقرأ الخطوة الأخيرة مرة ثانية. اشتراك الشركة في خدمات الذكاء الاصطناعي صار أداة بيد من اخترقها، تعمل على حسابها وعلى فاتورتها. هذا نمط جديد يستحق أن يدخل تقييم المخاطر عندك: كل مفتاح واجهة برمجية لنموذج ذكاء اصطناعي هو أصل تشغيلي وبند مصروف في الوقت نفسه.

الرقم الذي يخصك ليس عشر ساعات

عشر ساعات رقم لافت، لكنه من حادثة واحدة. الرقم الذي يفترض أن يغير خططك جاء في تقرير التهديدات العالمي 2026 من كراودسترايك، ويقيس زمن الانتشار الجانبي: المدة بين أول دخول للمهاجم وبدء تحركه نحو أنظمة أخرى داخل الشبكة.

• متوسط زمن الانتشار الجانبي في جرائم الإنترنت نزل إلى 29 دقيقة، بزيادة 65% في السرعة عن العام السابق.
• أسرع حالة مسجلة: 27 ثانية.
• ارتفاع بنسبة 89% في الهجمات المنسوبة إلى خصوم يستخدمون الذكاء الاصطناعي.
• 82% من الاكتشافات في 2025 كانت بلا برمجيات خبيثة، أي أن المهاجم يسجل دخولا ببيانات صحيحة ولا يزرع فيروسا.
• ارتفاع بنسبة 266% في الاختراقات السحابية المتقنة المنسوبة لجهات مرتبطة بدول.

معنى 29 دقيقة عمليا: خطة استجابة تفترض أن أحدهم سيلاحظ التنبيه في الصباح ويجتمع الفريق بعد الظهر هي خطة لزمن انتهى. ونسبة 82% تقول ما هو أقسى: برنامج مكافحة الفيروسات لا يرى الهجوم، لأن الهجوم لا يحمل شيئا ليراه. الاختراق الحديث ليس ملفا خبيثا يدخل، بل حساب صحيح يستخدم بطريقة خاطئة.

لماذا نجح الهجوم: أسرار مكتوبة داخل الكود

الوكلاء لم يكسروا تشفيرا ولم يخترعوا ثغرة. وجدوا كلمات المرور مكتوبة في المكان الذي يفترض ألا توجد فيه: داخل ملفات المشروع. ومن رمز واحد صالح انفتح نظام إدارة الأسرار، ومنه انفتح كل شيء.

وهذي ليست مشكلة الشركات العملاقة وحدها. راجع هذي القائمة على مشاريعك أنت:

• مفاتيح بوابة الدفع أو خدمة الرسائل مكتوبة داخل ملف إعدادات مرفوع مع الكود.
• كلمة مرور قاعدة البيانات داخل سكربت نشر قديم لا أحد يفتحه.
• رموز وصول لموظف أو مطور خارجي غادر قبل سنة، وما زالت صالحة.
• مستودع كان خاصا ثم صار عاما بعد ترحيل أو تغيير حساب.
• نسخة احتياطية من ملف الإعدادات على جهاز أحد الفريق.

الفارق بين الوكيل والمهاجم البشري هنا ليس الذكاء بل الصبر والسعة. الوكيل يقرأ المستودع كله، كل فرع وكل نسخة قديمة في السجل، ولا يمل ولا يفوته ملف، وينتهي في دقائق. أي سر كتبته مرة ثم حذفته لاحقا ما زال موجودا في تاريخ المستودع، وهذا بالضبط ما يبحث فيه.

ما الذي تفعله هذا الأسبوع

خمس خطوات، أولها لا يحتاج ميزانية ولا مورد خارجي:

1. افحص مستودعاتك بحثا عن أسرار. أدوات فحص الأسرار متاحة ومدمجة في منصات إدارة الكود. شغلها على التاريخ الكامل لا على آخر نسخة فقط.
2. اجعل تدوير المفاتيح إجراء دوريا لا طارئا. المفتاح الذي لم يتغير منذ سنتين هو مفتاح مسرب لم تكتشفه بعد. وحين تدور مفتاحا بعد تسريب، دوره في كل مكان استخدم فيه لا في مكان واحد.
3. جهز قائمة إبطال موحدة. توصية Unit 42 المباشرة: أن تكون قادرا على تنفيذ احتواء متزامن يبطل بيانات الدخول وجلسات OAuth ومسارات البناء والنشر والحسابات السحابية دفعة واحدة. أبطل نصفها فقط، وستمنح المهاجم وقتا يعيد به الدخول من النصف الآخر.
4. عامل الذكاء الاصطناعي كبنية تحتية أساسية. جرد لكل نموذج ومفتاح مستخدم، وحدود استهلاك، وأقل صلاحية ممكنة، وسجلات تشخيصية. هذي أيضا توصية صريحة في التقرير، وهي ما يحول الحادثة أعلاه من كارثة صامتة إلى تنبيه مبكر.
5. راجعة ثنائية إلزامية وحماية للفروع. خصوصا على مستودعات البنية التحتية ككود، لأنها الباب الذي يزرع منه المهاجم بابا خلفيا بتعديل سطر واحد. ومعها راقب السلوك لا التوقيع: دفعات طلبات متسارعة وتغيرات حالة سريعة هي بصمة الوكيل الآلي.

وفي السياق السعودي، هذي الخطوات ليست اجتهادا. ضوابط الأمن السيبراني الأساسية من الهيئة الوطنية للأمن السيبراني تتضمن مجالات صريحة لإدارة الهويات والصلاحيات ولأمن إدارة التغيير والتطوير، ومسؤولية حماية البيانات الشخصية قائمة على المنشأة بموجب نظام حماية البيانات الشخصية. الاختراق الذي مصدره مفتاح مكتوب في الكود لا يخفف من المسؤولية شيئا.

نظرة أوريجامي

نقرأ هذي الحادثة على أنها إعلان نهاية لفكرة واحدة: أن الأمن مسألة أدوات تشتريها. المهاجم هنا لم يواجه جدارا ناريا ولم يتجاوز مضادا للفيروسات، لأنه لم يحتج إلى ذلك. دخل بمفتاح صحيح وجده مكتوبا، وتصرف بصلاحيات ممنوحة فعلا. لا توجد أداة تشتريها تحل هذا. ما يحله انضباط في كيفية كتابة الكود وتخزين الأسرار ومنح الصلاحيات وسحبها.

ونضيف ملاحظة نراها كثيرا عند العملاء: أخطر الأسرار ليست في النظام الأساسي، بل في المشاريع الجانبية — سكربت ترحيل بيانات كتب مرة، لوحة تقارير داخلية بناها متعاون، تكامل مؤقت مع مورد بقي سنتين. هذي لا تدخل في مراجعات الأمن لأن أحدا لا يعدها نظاما. المهاجم لا يفرق. حين نراجع بيئات عملائنا نبدأ من هنا تحديدا: أين المفاتيح، ومن يملك صلاحية ماذا، وماذا يحدث لو تسرب مفتاح واحد الليلة. وإن أردت مراجعة من هذي الزاوية، تجدنا في صفحة التواصل.

الخلاصة

لم يتغير أسلوب الهجوم، تغيرت سرعته. أكثر من 50 أسلوبا معروفا نفذت في أقل من عشر ساعات لأن وكلاء آليين نفذوها بلا توقف، ومتوسط زمن الانتشار داخل الشبكة صار 29 دقيقة. الدفاع الذي يعتمد على أن أحدا سينتبه في الوقت المناسب لم يعد كافيا. ابدأ بأبسط سؤال وأصعبه: هل تعرف أين تقع مفاتيحك الآن، ومن يستطيع قراءتها؟

مصادر

• Unit 42 — An AI-Assisted Cyber Attack: Inside a Unit 42 Investigation، بالو ألتو نتوركس، 2 سبتمبر 2026: مدة الاختراق، تسلسل الخطوات، عدد أساليب MITRE ATT&CK، والتوصيات الدفاعية.
• CrowdStrike 2026 Global Threat Report: زمن الانتشار الجانبي 29 دقيقة وأسرع حالة 27 ثانية، وارتفاع 89% في هجمات الخصوم المستخدمين للذكاء الاصطناعي، ونسبة 82% من الاكتشافات بلا برمجيات خبيثة.
• Check Point AI Security Report 2026: انتقال الذكاء الاصطناعي من دور المساعد إلى دور المنفذ داخل الاختراقات الحية.
• الهيئة الوطنية للأمن السيبراني — ضوابط الأمن السيبراني الأساسية، والهيئة السعودية للبيانات والذكاء الاصطناعي — نظام حماية البيانات الشخصية.