تقرير TrendAI: الذكاء الاصطناعي يتحول إلى «عضو في فريق» الهجمات الإلكترونية الحكومية

يوثق التقرير، الذي نُشر في 29 يوليو 2026، أن مجموعات مرتبطة بالصين وروسيا وكوريا الشمالية وإيران استخدمت وكلاء الذكاء الاصطناعي لتنفيذ عمليات استطلاع وتحرك جانبي داخل الشبكات دون توجيه بشري مباشر في بعض المراحل، إلى جانب تسريع استغلال الثغرات والتأثير في أنظمة تشغيل تقنية المعلومات والعمليات (OT) ذات الصلة بالبنية التحتية المادية . ويغطي التقرير نشاطاً رُصد بين يناير ويونيو 2026 واستهدف مؤسسات في أستراليا ونيوزيلندا والولايات المتحدة وأوكرانيا ومناطق أخرى .

وقال روبرت مَكأردل، مدير أبحاث الجرائم الإلكترونية في TrendAI، إن الذكاء الاصطناعي أصبح «زميلاً في الفريق مدمجاً داخل العملية نفسها»، وليس مجرد أداة جانبية .

وكلاء الذكاء الاصطناعي يتولون الاستطلاع والتحرك داخل الشبكات

في إحدى الحالات التي وثقها التقرير، نشرت مجموعة مرتبطة بالصين وكيلاً للذكاء الاصطناعي أجرى بصورة مستقلة عمليات استطلاع وتحرك جانبي داخل شبكة مستهدفة، من دون تعليمات بشرية مباشرة خلال تلك المراحل .

ويمثل ذلك تحولاً مهماً في طبيعة الهجمات: فالذكاء الاصطناعي لم يعد يكتفي بمساعدة المشغّلين البشريين، بل بدأ يشارك بصورة مستقلة في سلاسل الهجوم . وحذّر مَكأردل من أن فرق الدفاع ينبغي أن تفترض الآن أن الطرف الآخر في عملية الاختراق قد لا يكون شخصاً يكتب الأوامر، بل نظاماً ينفذ خطة .

«البرمجة الحدسية» لتطوير البرمجيات الخبيثة

استخدمت جهات مرتبطة بالصين الذكاء الاصطناعي التوليدي لبناء برمجيات خبيثة وتحسينها تكرارياً عبر محادثات وأوامر باللغة الطبيعية. وتطلق TrendAI على هذا الأسلوب اسم «البرمجة الحدسية» (Vibe Coding).

في هذا السيناريو، يتعامل المهاجم مع نموذج الذكاء الاصطناعي كما لو كان شريكاً في التطوير، فيطلب منه إنشاء شيفرات الاستغلال وتعديلها وتحسينها عبر جولات متتالية من الحوار. والنتيجة هي تسريع دورة تطوير البرمجيات الخبيثة مقارنة بالأساليب التقليدية .

استغلال سريع للثغرات يضيّق هامش الدفاع

وثق التقرير حالات جرى فيها تسليح ثغرات أمنية خلال فترة أقصر بكثير من دورات التصحيح المعتادة:

• بدأت مجموعة Pawn Storm المرتبطة بروسيا عام 2026 باستغلال ثغرة «يوم صفري» في برنامج Office، مستهدفة جهات حكومية ودفاعية ومنظمات تقدم مساعدات مرتبطة بالحرب في أوكرانيا .
• رصدت مجموعة Earth Vetala المرتبطة بإيران عمليات بحث عن ثغرة في منتجات Ivanti خلال أيام من الكشف العلني عنها .

توضح هذه الحالات ما تسميه TrendAI «تقلص نوافذ الدفاع»؛ إذ باتت الثغرات المعروفة وثغرات اليوم الصفري تتحول إلى أدوات هجومية خلال أيام من الإعلان عنها، ما يضغط الوقت المتاح أمام المؤسسات لتثبيت التحديثات . ولذلك تصبح الجهات التي تعتمد على دورات تصحيح شهرية أو فصلية أكثر عرضة للاختراق قبل وصول الإصلاحات أو تطبيقها .

العبث بأنظمة تشغيل مادية في العالم الحقيقي

لم تقتصر العمليات المرتبطة بإيران على الأهداف الرقمية. فقد نفذ مهاجمون مرتبطون بها هجمات مباشرة على أنظمة تشغيل تقنية (OT) مكشوفة على الإنترنت في الولايات المتحدة، وعبثوا بأنظمة قياس خزانات الوقود، وهي معدات قد تترتب على تعطلها أو التلاعب بها آثار تتعلق بالسلامة في العالم الحقيقي .

وتشير هذه الواقعة إلى أن مجموعات التهديد المستمر المتقدم المدعومة بالذكاء الاصطناعي يمكن أن تتجاوز سرقة البيانات أو تعطيل الخدمات الرقمية لتطال أنظمة تتحكم في عمليات مادية.

تسميم سلسلة التوريد المرتبطة بكوريا الشمالية

أدخلت مجموعات مرتبطة بجمهورية كوريا الديمقراطية الشعبية أدوات ذكاء اصطناعي تجارية في عملياتها، كما سمّمت حزمة برمجية واسعة الاستخدام بهدف اختراق مطورين لاحقين عبر سلسلة توريد البرمجيات .

ويمنح هذا الأسلوب المهاجمين فرصة للوصول إلى عدد كبير من الأهداف من خلال تبعية برمجية واحدة مخترقة، بدلاً من مهاجمة كل هدف على حدة.

مراقبة بلا برمجيات خبيثة عبر مزادات الإعلانات

يسلط التقرير أيضاً الضوء على تقنية تُعرف باسم ADINT، أو «استخبارات الإعلانات». وتستفيد هذه الطريقة من مزادات الإعلانات الرقمية الفورية لجمع بيانات عن الموقع والجهاز واستخدامها لأغراض المراقبة .

ولأنها لا تتطلب تثبيت برمجية خبيثة على جهاز الضحية، فقد تكون شديدة الصعوبة في الاكتشاف مقارنة بوسائل التجسس التقليدية .

ماذا يعني ذلك لفرق الأمن السيبراني؟

تخلص نتائج تقرير TrendAI إلى أن الذكاء الاصطناعي لم يعد إضافة اختيارية إلى الهجمات الإلكترونية، بل أصبح محركاً لها. وعلى فرق الأمن أن تستعد لاحتمال عمل الخصوم بسرعة الآلة، وتنفيذ مراحل من الهجوم بصورة مستقلة، واستغلال الثغرات قبل أن تتمكن دورات التصحيح التقليدية من سدها.

وبعبارة أخرى، لم يعد نموذج «المهاجم البشري وحده» كافياً لوصف التهديد. فالمؤسسات تحتاج إلى مراقبة سلوك الأنظمة والعمليات، وتسريع إدارة التصحيحات، والاستعداد لهجمات يمكن أن تتقدم من الاستطلاع إلى التوسع داخل الشبكة بوتيرة تتجاوز قدرة الفرق البشرية على المتابعة اليدوية.