كيف استُخدم وكلاء ذكاء اصطناعي في استهداف متاجر إلكترونية بكلفة زهيدة

ما يجعل هذه الحملة مقلقة ليس أن نموذج ذكاء اصطناعي قرر من تلقاء نفسه مهاجمة شركات، بل أن مشغّلاً بشرياً ــ بحسب التحقيق ــ هيّأ وكلاء وأطر عمل قادرة على تنفيذ مراحل متكررة من الهجوم على نطاق واسع: الاستطلاع، ومحاولات الاستغلال، وجمع بيانات الدفع، ثم محاولة إزالة الأدلة. 8

ما الذي رصده الباحثون؟

قالت شركة Gambit Security إن جهةً ذات دافع مالي استخدمت ثلاثة أطر مفتوحة المصدر لوكلاء الذكاء الاصطناعي، هي Strix وCairn وHermes، ضد متاجر إلكترونية مع قدر محدود من الإشراف البشري. ووفق الشركة، بدأ النشاط في يوليو 2026 وكان مستمراً عند نشر البحث. 8

وخلال الفترة بين 10 و15 سبتمبر، أفادت Gambit بإطلاق 105 مشاريع هجوم واختراق 27 شركة على الأقل بدرجات متفاوتة. 8 وذكرت تغطية أخرى أن نطاق الاستهداف ربما وصل إلى 100 منظمة، وأن تكلفة الوصول إلى النماذج بلغت قرابة 8,000 دولار. 7

ووُصفت الجهة المنفذة بأنها «ناطقة بالصينية». وهذا توصيف مبني على مؤشرات لغوية وآثار تشغيلية لاحظها المحققون، ولا يثبت بمفرده هوية المشغّل أو جنسيته أو ارتباطه بحكومة ما.

كيف عملت منظومة الوكلاء؟

ربطت التقارير الحملة بنماذج من DeepSeek وKimi ونسخة أقدم من Claude، تعمل عبر Strix وCairn وHermes. 713 ويبدو أن الأطر أُسندت إليها أدوار مختلفة داخل سير عمل آلي، بدلاً من الاعتماد على أداة واحدة لكل شيء.

وعلى مستوى عام، اتبعت العملية المبلغ عنها المسار الآتي:

1. البحث عن الأهداف وتقييمها: فحص مواقع بيع بالتجزئة بحثاً عن نقاط ضعف قد تكون قابلة للاستغلال.
2. محاولة الوصول وزرع شيفرة جمع البيانات: عند نجاح الوصول، يُزعم أن الحملة وضعت نصوصاً خبيثة في صفحات إتمام الشراء لالتقاط بيانات البطاقات.
3. جمع البيانات المسروقة وتنظيمها: احتفظت بيئة المشغّل، وفق التحقيق، بسجلات بطاقات الدفع وبيانات تشغيلية مرتبطة بالحملة.
4. محاولة التنظيف: كان الهدف تقليل الأدلة على الاختراق، لكن هذه الخطوات أدت، في حالتين على الأقل، إلى محو بيانات تخص الضحايا. 819

تكمن أهمية ذلك في أن الأتمتة قد تخفض الوقت البشري اللازم لتكرار النمط نفسه ضد أهداف كثيرة. وقدّرت Gambit التكلفة الهامشية بعشرات الدولارات لكل شركة، فيما وصفت تقارير فترة الأيام الخمسة إنفاقاً إجمالياً بنحو 8 آلاف دولار. وهذه تقديرات واردة في التحقيق، وليست سعراً ثابتاً أو عاماً لاختراق أي شركة. 78

ما حجم الضرر المعلن؟

لا تزال الصورة العلنية غير مكتملة، لكن Gambit قالت إن أكثر من 600 ألف سجل لبطاقات دفع سُرق، وإن برمجيات كشط بيانات البطاقات زُرعت في عشرات صفحات الدفع. 819

وذكرت فوربس أن المهاجم وصل إلى ما لا يقل عن 30 موقعاً إلكترونياً خلال 10–15 سبتمبر، في حين ظل عدد الاختراقات الناجحة ضمن جميع المؤسسات المستهدفة غير واضح. 7 كما أفادت تغطية أخرى بأن حاملي البطاقات في الولايات المتحدة شكّلوا نسبة كبيرة من السجلات المسروقة. 6

ولا تتوافر، ضمن المواد المنشورة هنا، قائمة كاملة ومستقلة التحقق للشركات المتضررة. ومن المهم عدم الخلط بين قائمة أهداف محتملة، وموقع تم اختراقه، وصفحة دفع زُرعت فيها برمجية كشط، وإفصاح مؤكد عن فقدان بيانات؛ فكل منها مقياس مختلف للأثر.

لماذا اعتُبرت الحملة ذات مصداقية؟

بحسب التغطية الخاصة بتحقيق Gambit، كشف المهاجم بنيته التحتية المستخدمة في الحملة على الإنترنت العام بالخطأ. وأتاح ذلك للباحثين الوصول إلى آثار يُقال إنها شملت إعدادات الوكلاء وبيانات مرتبطة بالعملية. 13

ومكّنت هذه الآثار الباحثين من إعادة بناء أجزاء من الحملة وربطها بمتاجر مخترقة وبرمجيات كشط في صفحات الدفع ومستودعات بيانات بطاقات مسروقة. لذا ينبغي فهم رقم 600 ألف سجل أو أكثر بوصفه حصيلة أبلغ عنها المحققون استناداً إلى البيئة الإجرامية المكشوفة، لا على أنه تأكيد سجلّاً بسجل صادر عن كل تاجر متضرر. 813

ماذا تعني تقارير رفض الإصدارات الأحدث من Claude؟

أفادت التقارير بأن نسخة أقدم من Claude كانت ضمن المنظومة، بينما قيل إن الإصدارات الأحدث رفضت طلبات خبيثة صريحة. 7 ويتسق ذلك مع وظيفة ضوابط السلامة المحسّنة، التي تهدف إلى رفض المساعدة في الأنشطة السيبرانية الضارة.

لكن المواد العلنية لا تتضمن مقارنة تقنية مضبوطة بين الإصدارات المعنية، ولا جميع المطالبات المستخدمة، ولا إعدادات الوكلاء المحيطة بها. لذلك لا يصح الجزم بأن نموذجاً واحداً كان المسؤول عن الحملة، أو أن الرفض في الإصدارات الأحدث يفسر وحده الفارق. العامل الحاسم، وفق المعطيات المتاحة، هو تصميم المشغّل للأدوات والبنية ومسار العمل.

ما الذي ينبغي أن تستخلصه المتاجر الإلكترونية؟

قالت Gambit إن الحملة مستمرة وإن المشغّل يعيد بناء بنيته التحتية. 8 ويقدم بحث الشركة الرواية العامة الرئيسية لنطاق الحملة وأساليبها. وفي المقابل، ترسل مؤسسة Shadowserver تقارير معالجة مخصصة إلى مالكي الشبكات المعتمدين والحكومات وشركاء فرق الاستجابة الوطنية لحوادث أمن الحاسوب (CSIRT)، وهي قناة يمكن أن تساعد في إيصال مؤشرات الاختراق الموثقة إلى جهات قادرة على المعالجة. 18

والخلاصة العملية للمتاجر هي أن صفحات الدفع، والبرمجيات النصية التابعة لأطراف خارجية، وواجهات الإدارة المكشوفة، وإجراءات الاستعادة تحتاج إلى مراقبة مستمرة. كما أن حالات محو البيانات المبلغ عنها تذكّر بأن الاستعداد للحوادث لا يقتصر على اكتشاف الاختراق، بل يشمل القدرة الفعلية على الاستعادة.

وتكتسب مراقبة أي تغييرات غير مصرح بها في مسارات الدفع، والاحتفاظ بنسخ احتياطية معزولة ومجرّبة، أهمية خاصة عندما يستطيع المهاجمون أتمتة الاستطلاع وتكرار المحاولات عبر مواقع كثيرة. فالتحول الأكبر هنا اقتصادي: قد تجعل الوكلاء المهام الهجومية المتكررة أسرع وأقل كلفة، لكنها لا تلغي الحاجة إلى مشغّل وبنية تحتية ومسارات وصول، ولا تلغي فرص الدفاع. والاستجابة الفعالة تبقى تشغيلية: تقليل سطح الهجوم، واكتشاف التغييرات بسرعة، والتحقق من قابلية الاستعادة، وتبادل المؤشرات الموثوقة مع جهات الاستجابة الموثوقة. 818