هجوم بوكلاء AI حصد بيانات اعتماد خلال أقل من ست ساعات
نشر Google Threat Intelligence Group في 8 سبتمبر 2026 تفاصيل حملة رصدها خلال الربع الثاني من العام: مهاجم سبق أن اخترق موردًا سحابيًا، ثم استخدم إطارًا متعدد الوكلاء للتخطيط والبناء وتنفيذ حصد جماعي لبيانات الاعتماد خلال أقل من ست ساعات. ويقول تقرير GTIG الرسمي إن الحملة اخترقت آلافًا من بيانات اعتماد أطراف ثالثة، وأدارت المسح ومعالجة الأعطال وتدوير عناوين IP مع تقليل التدخل البشري.
الحادثة لا تثبت أن الذكاء الاصطناعي حقق الدخول الأولي أو اختار الهدف من تلقاء نفسه؛ التسلسل المعلن يبدأ ببيئة سحابية مخترقة، ثم تشغيل الوكلاء منها. وتوضح تغطية TechNode Global المنشورة في 9 سبتمبر أن Google لم تسمِّ الضحية أو النماذج المستخدمة، وأن نتائج التقرير الكمية ونسب الجهات المهاجمة تظل تقييمات مبنية على بيانات Google الخاصة ما لم تؤكدها جهات مستقلة.
كيف تكوّنت حملة الساعات الست؟
جاءت نقطة البداية قبل تشغيل إطار الوكلاء: كان المهاجم قد سيطر على مورد سحابي تابع لمؤسسة لم يُكشف اسمها. ومن داخل هذه البيئة، جمع أداة محادثة برمجية تعمل بالذكاء الاصطناعي مع مطالبة وتعليمات للوكلاء وملفات Markdown معدّة مسبقًا لتكون أدلة تشغيل.
تولت المنظومة بعد ذلك التخطيط للحملة وبناء سير العمل وتنفيذه. وشملت مهامها المسح الآلي، وحصد بيانات الاعتماد، وإدارة خط فحص الثغرات، وتشخيص أخطاء التشغيل لحظيًا، وتغيير عناوين IP عند الحاجة؛ أي إن الوكلاء نسّقوا انتقال العمل بين مراحل كانت تتطلب عادة تدخل المشغل أو أدوات منفصلة.
ساعد تشغيل الحملة من البنية السحابية المخترقة على تمرير الحركة عبر عناوين IP مشروعة مرتبطة ببيئة الضحية. ولا يعني ذلك أن العناوين كانت آمنة، بل إن سمعة مزود السحابة أو عنوان المصدر وحدها لم تعد كافية للحكم على الحركة بعد الاستيلاء على المورد.
وتدعم تفاصيل The Hacker News الفصل بين هذه الحملة وأنشطة أخرى وردت في التقرير: المهاجم الموصوف هنا لم يُنسب إلى مجموعة مسماة، بل وُصف فقط بأنه يُشتبه في سعيه إلى مكاسب مالية.
أين تظهر كل مرحلة في السجلات؟
الأثر التشغيلي الأهم هو اتصال المراحل داخل نافذة واحدة قصيرة. دفاعيًا، لا تكفي مراجعة كل حدث منفردًا؛ المطلوب ربط هوية الحمل السحابي بسلوكه الشبكي ووصوله إلى الأسرار ومحاولات استخدام بيانات الاعتماد، مع إبقاء هذه الإشارات بوصفها فرضيات رصد لا مؤشرات اختراق نشرتها Google للحادثة بعينها.
- تثبيت موطئ القدم السحابي: قد يظهر في جلسات أو عمليات أو مفاتيح وصول جديدة تحت هوية صحيحة ظاهريًا، أو في تغيير مفاجئ لدور المورد. يبدأ الاحتواء بتجميد الجلسة والمفاتيح المرتبطة بها، وعزل الحمل مع الحفاظ على سجلات مستوى التحكم.
- المسح الآلي: تتمثل الإشارة المحتملة في اتصالات متقاربة إلى عدد كبير من المضيفين أو الخدمات، أو ارتفاع مفاجئ في طلبات DNS والحركة الصادرة. ينبغي ربطها بهوية المورد وبخطه الزمني بدل حظر كل وجهة على حدة.
- جمع الأسرار واختبارها: يمكن البحث عن قراءة غير معتادة لمخازن الأسرار، ومحاولات مصادقة متتابعة عبر خدمات متعددة، واستخدام رمز واحد من سياقات جديدة. عند اجتماع هذه العلامات، تكون الأولوية لإبطال بيانات الاعتماد المتأثرة وتدويرها قبل اكتمال الإسناد.
- معالجة الفشل وتدوير العناوين: قد يبدو ذلك كسلسلة محاولات متشابهة تستمر بعد الأخطاء مع تغيّر عنوان الخروج أو مسار الاتصال. القاعدة السلوكية التي تتبع الهوية والهدف وتسلسل الأفعال أقدر على التقاط هذا النمط من قائمة حظر لعنوان واحد.
يساعد تطبيق أقل صلاحية للوكلاء والحسابات السحابية على تقليص نطاق الضرر: فالهوية المسروقة ذات الوصول المحدود لا تمنح المهاجم تلقائيًا القدرة على تشغيل مسح واسع أو قراءة كل مخازن الأسرار.
ما المختلف عن الأتمتة الهجومية المعتادة؟
البرامج النصية والمسح الآلي ليسا جديدين. المختلف في الواقعة الموصوفة هو جمع التخطيط واختيار الأدوات والتنفيذ والتكيف مع الأخطاء في سير متعدد الوكلاء يحتفظ بسياق المهمة ويواصلها من دون أن يعيد المشغل البشري ضبط كل انتقال يدويًا.
هذا يقلل فترات الانتظار بين اكتشاف خدمة، وتجربة مسار جديد، ومعالجة فشل، ثم مواصلة الحصاد. لذلك تصبح سرعة انتقال هوية واحدة بين خدمات غير معتادة، ومدة بقاء الجلسة، وتسلسل الأفعال خلال دقائق، مؤشرات أكثر فائدة من انتظار تجميع حصيلة أحداث يوم كامل.
مع ذلك، لا يثبت المثال وجود هجوم مستقل بالكامل من البداية إلى النهاية. فالمشغل وفّر البيئة المخترقة والمطالبة والتعليمات وأدلة التشغيل، كما أن التقرير لم يوثق نشر خطوط ذاتية التشغيل بالكامل ضد أهداف في البرية. كذلك كانت محاولة جهة مرتبطة بالصين بناء إطار آلي لاختبار الاختراق واقعة منفصلة بقيت في مرحلة التطوير، وليست جزءًا من حملة الساعات الست.
ما الذي ينبغي تغييره في الاستجابة؟
ينبغي ضبط زمن التصعيد على احتمال توسع نشاط ما بعد الاختراق خلال وردية واحدة. اجتماع هوية سحابية شاذة مع مسح سريع ووصول غير معتاد إلى الأسرار وتبدّل مسارات الخروج يستدعي مسار احتواء عاجلًا يسمح بعزل الحمل وتعليق الجلسات وإبطال المفاتيح، حتى لو لم تكن هوية الفاعل قد حُسمت بعد.
هذا لا يلغي التحليل البشري، بل ينقل بعض إجراءات الحد من الضرر إلى وقت أبكر. ويمكن استخدام احتواء قابل للعكس أو محدود النطاق عندما تكون كلفة الإيقاف مرتفعة، على أن تظل القرارات الأوسع خاضعة لمراجعة بشرية وسياق العمل.
حدود ما نعرفه عن الحادثة
المتاح علنًا هو رواية مبنية على أعمال استجابة للحوادث لدى Mandiant، وتتبع Google للجهات المهاجمة، ودفاعات منصاتها. لم تُنشر هوية المؤسسة المتضررة، أو مزود السحابة، أو النموذج المستخدم، أو طريقة الدخول الأولي، أو مؤشرات تقنية كاملة تتيح إعادة التحقق من نطاق الحملة.
لذلك يُعامل وصف الفاعل بأنه «يُشتبه في سعيه إلى مكاسب مالية» كتقييم من Google، لا كإسناد مستقل. كما لا يجوز دمج الحملة مع إطار Recon المنفصل، الذي ورد في التقرير نفسه، أو مع أنشطة مجموعات مرتبطة بدول لمجرد ظهورها في الوثيقة ذاتها.
حتى 9 سبتمبر 2026، المؤكد هو أن GTIG نشر في اليوم السابق وصفه لحملة الربع الثاني وأن تغطيات مستقلة نقلت التسلسل وحدود الإفصاح. أما تأكيد الضحية، وهوية المهاجم، وطريقة الاختراق الأولي، والأدلة الفنية الكاملة فما زالت غائبة؛ وهي البيانات اللازمة للتحقق من القصة خارج تقييم Google.
اقرأ أيضًا:
اشترك في نشرتنا الإخبارية
احصل على أحدث أخبار الويب 3 والذكاء الاصطناعي والعملات المشفرة مباشرة في بريدك.