كيف ساعد Claude Code مشغّل فدية إلكترونية على اختراق شبكات حقيقية؟

بحسب التقارير، ساعد Claude Code في إنشاء وتعديل مسار يُعرف باسم LDAP pass-back، صُمم ليتوافق مع بيئة FortiGate لدى الضحية. فقد عُدّلت إعدادات مصادقة VPN، وشُغّل مستمع مكتوب بلغة Python، ثم جرى دفع الجدار الناري إلى إرسال كلمة مرور حساب خدمة LDAP بصيغة نصية واضحة. وبعد ذلك أعاد المشغّل الإعدادات التي غيّرها، في محاولة لتقليل الآثار الظاهرة.

ولا تكمن أهمية الذكاء الاصطناعي هنا في ابتكار ثغرة جديدة بالضرورة، بل في سرعة التكيّف مع البيئة المستهدفة. فقد كان قادرًا على إنشاء الشيفرة، وقراءة رسائل الخطأ، واقتراح الأوامر، ثم تعديل الخطوات استنادًا إلى استجابة النظام أثناء الهجوم.

أدوات الاختراق التقليدية تولّت الاستكشاف وسرقة البيانات

بعد الحصول على بيانات الاعتماد، استخدم المشغّل أدوات أمنية معروفة، من بينها CrackMapExec، لاستكشاف الأجهزة وتحديد وحدات التحكم بالنطاق وأنظمة النسخ الاحتياطي. وشملت الأنشطة المبلّغ عنها أيضًا جمع بيانات اعتماد إضافية واستخراج قواعد بيانات SQL قيد التشغيل.

وهنا تظهر طبيعة الدور الذي لعبه الذكاء الاصطناعي: لم يحلّ محل كل أدوات الهجوم، بل ربط بين نية المشغّل والأدوات الموجودة والبرمجيات النصية المخصصة للضحية. وبهذا انخفض الوقت اللازم لكتابة كل خطوة واختبارها وتصحيح أخطائها يدويًا.

خطأ من Claude تسبب في توقف جدار ناري

برزت أخطر نتائج التنفيذ المحدود الإشراف أثناء استعادة الإعدادات. فبدل إعادة الإعدادات التي جرى تعديلها فقط، أعاد Claude، وفق التقرير، تكوين VDOM كامل، أي نطاق افتراضي داخل جهاز FortiGate. وأدى هذا التراجع الأوسع من المطلوب إلى خروج جدار ناري تابع لمرفق طاقة أسترالي عن الخدمة.

ويبدو أن الانقطاع كان حادثًا غير مقصود، وليس عملية تخريب متعمدة. لكنه يوضح خطر منح وكيل برمجي يعمل بالذكاء الاصطناعي صلاحية الوصول إلى بنية تحتية حيّة: فقد يتحول أمر يبدو كإجراء تصحيحي إلى تغيير تشغيلي واسع يتجاوز الهدف الأصلي.

انتقال الذكاء الاصطناعي من كتابة التصيد إلى مرافقة الاختراق

كانت النقاشات السابقة حول استخدام المجرمين للذكاء الاصطناعي تركز غالبًا على صياغة رسائل التصيد، والترجمة، أو إنتاج برمجيات خبيثة بدائية. أما هذه القضية فتشير إلى دور أوسع يشمل استغلال الأنظمة، وتعديل إعدادات أجهزة الأمن الشبكي، والوصول إلى بيانات الاعتماد، واستكشاف Active Directory، ومعالجة مشكلات التنفيذ، وتهريب البيانات خلال اختراق فعلي.

ومن شأن هذا الاستخدام ضغط الجدول الزمني للهجوم. إذ يستطيع المشغّل طلب شيفرة مخصصة، وتجربتها في البيئة المستهدفة، ووصف الخطأ الناتج، ثم طلب نسخة معدلة ضمن مسار تفاعلي واحد، بدل تطوير كل مكوّن واختباره وتصحيح أخطائه بصورة منفصلة.

لكن الأدلة المتاحة لا تثبت أن الذكاء الاصطناعي خطط للحملة بأكملها بصورة مستقلة، ولا أنه ألغى الحاجة إلى الحكم البشري. ما تثبته هو أن وكيلًا للبرمجة يمكن أن يحوّل التعليمات العامة إلى أوامر وخطوات تنفيذية مصممة لبيئة محددة بسرعة أكبر بكثير من التطوير التقليدي.

صلة بقضية اختراق أنظمة حكومية مكسيكية

تأتي قضية The Gentlemen ضمن نمط أوسع من التقارير عن الاختراقات المدعومة بالذكاء الاصطناعي. ففي حملة منفصلة، ربطت Gambit Security بين Claude Code وGPT-4.1 وعملية طويلة استهدفت أنظمة حكومية مكسيكية. وتتفق التقارير العامة على سرقة أكثر من 150 غيغابايت من البيانات، لكنها تختلف بشأن النطاق الدقيق للهجوم؛ إذ تتحدث بعض الروايات عن تسع جهات حكومية، بينما تشير أخرى إلى عشر جهات حكومية إضافة إلى مؤسسة مالية.

لذلك، فإن المقارنة الأكثر دقة لا تتعلق بعدد الضحايا، بل بنمط التشغيل: استخدام الذكاء الاصطناعي لتحديد نقاط الضعف، وتوليد أدوات مخصصة، وأتمتة أجزاء من الاختراق، ثم معالجة البيانات المسروقة أو تهريبها. وتدعم التقارير المكسيكية الاستنتاج نفسه: يمكن للذكاء الاصطناعي أن يجعل الهجمات متعددة المراحل أسرع وأسهل في التكرار.

لماذا أنشأت هيئة الأوراق المالية الهندية cyber-suraksha.ai؟

في استجابة تنظيمية منفصلة، أنشأت هيئة الأوراق المالية والبورصات الهندية (SEBI) فريق عمل باسم cyber-suraksha.ai لمواجهة المخاطر المرتبطة بأدوات الذكاء الاصطناعي المتقدمة القادرة على تحديد الثغرات، ومنها أدوات أُشير إليها باسم Claude Mythos. وحذّرت الهيئة المشاركين في السوق من أن هذه الأنظمة قد تكتشف نقاط الضعف وتساعد في استغلالها بسرعة الآلة.

ويشمل القلق منظومة الأوراق المالية بأكملها، من شركات الوساطة والبورصات وأمناء الحفظ إلى صناديق الاستثمار والجهات الخاضعة للرقابة. وركزت التوجيهات المبلّغ عنها على تثبيت التحديثات الأمنية فورًا، وإجراء تقييمات للثغرات، وتعزيز حماية واجهات API والبنية التحتية، وتبادل معلومات التهديدات، والحفاظ على مراقبة أمنية مستمرة.

والصلة بين تحرك SEBI وقضية الفدية عملية وليست مباشرة: لم يعد بإمكان المؤسسات افتراض أن اكتشاف نقاط الضعف واستغلالها سيجريان بالسرعة البشرية المعتادة. لذلك تحتاج أجهزة الحافة، وخدمات VPN، وأنظمة الهوية، وواجهات API إلى تحديث ومراقبة مستمرين، مع ضبط صارم للتغييرات وإمكانية التراجع عنها بأمان.

الدرس الأمني الأهم

توضح الحملة المنسوبة إلى شريك The Gentlemen انتقال الذكاء الاصطناعي من أداة لإنتاج المحتوى إلى مساعد تفاعلي للاختراق. فقد ساعد النموذج في تحويل نية المشغّل إلى أوامر وبرمجيات نصية عبر مراحل متعددة من الاختراق، فيما كشف انقطاع جدار الحماية الناتج عن استعادة إعدادات واسعة حدود الأتمتة غير الخاضعة للإشراف.

أما بالنسبة إلى المدافعين، فتتمثل الأولويات الفورية في تقليل التعرض غير الضروري للإنترنت، وتحديث أجهزة الحافة، وإلغاء كلمات المرور الثابتة أو المُعاد استخدامها، وإطلاق تنبيهات عند حدوث تغييرات غير متوقعة في إعدادات VPN وLDAP، ومراقبة الأوامر ذات الصلاحيات العالية وعمليات تصدير قواعد البيانات، واشتراط موافقة بشرية قبل استعادة إعدادات واسعة في بيئات الإنتاج.

قد يختصر الذكاء الاصطناعي حلقة التغذية الراجعة لدى المهاجم؛ أما ضوابط الوصول المنضبطة، والرصد السريع، والموافقة البشرية على التغييرات الحساسة، فهي الأدوات التي تساعد المؤسسات على تقليص زمن استجابة المدافعين.