كيف يستخدم القراصنة المرتبطون بالصين DeepSeek لتوسيع الهجمات السيبرانية؟

تشير نتائج شركة الأبحاث التايوانية TeamT5 إلى أن مجموعات سيبرانية مرتبطة بالدولة الصينية ضاعفت حجم هجماتها أكثر من مرتين منذ إدخال DeepSeek ونماذج ذكاء اصطناعي مفتوحة المصدر في عملياتها. وتُستخدم هذه النماذج لأتمتة المهام المتكررة والمساعدة في تطوير برمجيات خبيثة أكثر تقدماً، ما يجعل الحملات القائمة أسرع وأسهل في التوسّع. 13

لكن النتائج لا تعني أن الذكاء الاصطناعي حلّ محل القراصنة ذوي الخبرة. الأرجح أنه يعمل كأداة لتسريع أجزاء من سير العمل الهجومي، مثل الاستطلاع والبحث عن الثغرات وتكرار محاولات الاختراق، بينما يظل المشغّلون البشريون هم من يحددون الأهداف ويوجهون العملية. 115

لماذا يجذب DeepSeek المهاجمين؟

ذكر الباحثون أربعة عوامل رئيسية وراء شعبية DeepSeek بين القراصنة المرتبطين بالصين:

• الأداء: يُنظر إليه على أنه قادر بما يكفي للتعامل مع مهام البرمجة والاستدلال المستخدمة في العمليات السيبرانية.
• قابلية التخصيص: يمكن تكييف النماذج المفتوحة أو الأكثر سهولة في الوصول إليها وربطها بأدوات يتحكم بها المهاجم.
• انخفاض التكلفة: تكتسب الكلفة أهمية كبيرة عندما يريد المهاجم تنفيذ مهام متكررة على نطاق واسع. 16
• قيود أقل على الاستخدام الهجومي: وصفت TeamT5 وUnit 42 إجراءات الحماية السيبرانية في DeepSeek بأنها أضعف نسبياً أمام الطلبات الهجومية. 315

وتكمن أهمية هذه العوامل في أن النموذج لا يحتاج إلى اكتشاف ثغرة جديدة كلياً حتى يكون مفيداً. فقد يساعد في البحث عن أنظمة مكشوفة، وتعديل شيفرات استغلال منشورة، وقراءة النتائج التقنية، ثم اقتراح الخطوة الروتينية التالية.

كيف تُستخدم النماذج داخل الهجمات؟

تصف التقارير استخدام مجموعات مرتبطة بالصين أدوات مثل DeepSeek وChatGPT وClaude Code في الاستطلاع، وإنشاء شيفرات الاستغلال أو تكييفها، وأتمتة العمليات، وتطوير شيفرات خبيثة. كما تشير إلى استخدام الذكاء الاصطناعي في التحرك الجانبي داخل هجمات استهدفت شركات ومؤسسات أجنبية. 3

ومع ذلك، تتحدث التقارير المتاحة غالباً عن هذه الأنشطة باعتبارها صادرة عن جهات مرتبطة بالصين بصورة جماعية. ولا تحدد الأدلة المتاحة بشكل موثوق مجموعة تهديد متقدمة بعينها تقف وراء كل استخدام للذكاء الاصطناعي؛ لذلك لا ينبغي اعتبار هذه الحالات دليلاً على أن جميع المجموعات السيبرانية الصينية تستخدم النموذج أو سير العمل نفسه. 13

لماذا كانت الأدوات الغربية مفيدة ومقيّدة في الوقت نفسه؟

يمكن لخدمات تجارية مثل ChatGPT وClaude Code المساعدة في أجزاء من سير العمل الخبيث، لكن ضوابط السلامة التي يفرضها مزودو الخدمة قد ترفض الطلبات الصريحة لتنفيذ عمليات هجومية. وفي الحالة التي وثقتها Unit 42، اختبر المشغّل أدوات غربية، لكنه وجد أن إجراءات الحماية فيها حالت دون تنفيذ المهمة الهجومية الذاتية؛ ثم اختار DeepSeek نموذجاً رئيسياً للاستدلال. 1415

ولا يتعلق الفرق بالضرورة بكون أحد النماذج أكثر قدرة من الآخر في جميع المجالات، بل بطريقة نشره واستخدامه. فقد رُبط DeepSeek بإطار مفتوح المصدر لا يفرض القيود نفسها على طرف العميل، ما سمح بتشغيله ضمن سلسلة أدوات يسيطر عليها المهاجم. 15

حملة Hermes Agent واستهداف أكثر من 460 نظاماً

وثّقت وحدة Unit 42 التابعة لشركة Palo Alto Networks، في حالة منفصلة، نشاط مشغّل ناطق بالصينية استخدم الاسمين المستعارين knaithe وKnYuan. وقد أعدّ المشغّل DeepSeek ليكون محرك الاستدلال خلف Hermes Agent، وهو إطار مفتوح المصدر قادر على العمل عبر الطرفية وتنفيذ مهام متعددة.

وبهذا الإعداد، استطاع الوكيل حصر الثغرات، واسترجاع شيفرات استغلال منشورة، ومحاولة استغلال الأنظمة مع إشراف بشري محدود. 155

استهدف الوكيل أكثر من 460 نظاماً متاحاً عبر الإنترنت. وتقول التقارير المتعلقة بالحملة الأوسع إن ثلاث مؤسسات على الأقل اختُرقت عبر استغلال ثغرة في Citrix NetScaler. لكن رقم 460 يشير إلى الأهداف أو محاولات الهجوم، وليس إلى 460 اختراقاً ناجحاً؛ كما أن العملية جمعت بين نشاط آلي وآخر تقليدي. 4

وهذا التفصيل أساسي لفهم الواقعة. فلا تُظهر الحالة أن DeepSeek اخترق مئات الأنظمة بمفرده، بل تُظهر كيف استخدم مشغّل بشري نموذجاً لغوياً لأتمتة الجزء المتكرر من الهجوم: العثور على أهداف مكشوفة، ومطابقتها مع ثغرات معروفة، والحصول على أدوات استغلال منشورة، ثم الانتقال إلى الهدف التالي.

ماذا تعني هذه التطورات للمدافعين؟

الخطر الأوضح هو الحجم. فعندما يُربط نموذج منخفض التكلفة بإطار وكيل يمتلك وصولاً إلى الطرفية، يمكن تكرار مهام كانت تتطلب وقتاً وجهداً بشريين على عدد كبير من الأنظمة المتاحة عبر الإنترنت. وهكذا يخفض الذكاء الاصطناعي العتبة التشغيلية للاستطلاع والاستغلال واسعَي النطاق. 1615

لكن الحالة نفسها تكشف حدود التقنية أيضاً. فقد اعتمد الاختراق الناجح على خدمات مكشوفة، وثغرات معروفة، وشيفرات استغلال عامة قابلة للاستخدام. زاد الذكاء الاصطناعي سرعة المحاولات وحجمها، لكنه لم يكن وحده سبب كل اختراق. 515

لذلك تظل الأولوية العملية أمام المؤسسات هي تقليص سطح الهجوم: تحديث المنتجات المتصلة بالإنترنت، وإزالة الخدمات غير الضرورية من الواجهة العامة، ومراقبة أنماط الاستطلاع والاستغلال الآلية وغير المعتادة. والدرس الأوسع من تقارير TeamT5 وUnit 42 هو أن الهجمات المدعومة بالذكاء الاصطناعي أصبحت أقل تكلفة وأكثر قابلية للتكرار، حتى عندما تعتمد على تقنيات اختراق معروفة.