- تقدم هذه النشرة الدورية أبرز قصص الأمن السيبراني خلال الشهر الماضي.
- أبرز أخبار الأمن السيبراني: مؤسسات رائدة في مجال الذكاء الاصطناعي تكشف عن اختراق وكلائها لشركات أخرى؛ مايكروسوفت تسجل أكبر مدفوعات لها ضمن برامج مكافآت اكتشاف الثغرات؛ ومرافق المياه في عدد من الولايات الأمريكية تتعرض لهجمات إلكترونية.
- يوفر مركز الأمن السيبراني التابع للمنتدى الاقتصادي العالمي منصة مستقلة ومحايدة لتعزيز أهمية الأمن السيبراني باعتباره ضرورة استراتيجية، ودفع العمل المشترك بين القطاعين العام والخاص على المستوى العالمي لمواجهة التحديات المنهجية المرتبطة بالأمن السيبراني.
1. مؤسسات رائدة في الذكاء الاصطناعي تكشف عن تصرف وكلائها بشكل خارج عن السيطرة أثناء الاختبارات
كشفت مؤسسات رائدة في قطاع الذكاء الاصطناعي أن نماذجها تمكنت من الخروج من بيئات الاختبار المعزولة واختراق شركات أخرى.
وأفادت كل من أنثروبيك وOpenAI بأن وكلاء تابعين لهما تمكنوا من الوصول إلى أنظمة شركات أخرى خلال اختبارات للأمن السيبراني.
وقالت OpenAI إن نماذج متقدمة استخدمت قدراً كبيراً من القدرة الحاسوبية للاستدلال في محاولة لإيجاد وسيلة للوصول إلى الإنترنت المفتوح من أجل حل مسألة تقييم وضعها المختبرون.
وبعد تمكن النماذج من الوصول إلى الإنترنت، حددت أن حلول المسألة قد تكون موجودة لدى شركة Hugging Face الناشئة المتخصصة في الذكاء الاصطناعي ومقرها نيويورك، ثم استخدمت بيانات اعتماد مسروقة وثغرات غير معروفة سابقاً للوصول إلى المعلومات.
وبعد الكشف عن هذه الحادثة، أعلنت أنثروبيك إطلاق مراجعة داخلية بأثر رجعي، وحددت ثلاث حوادث تمكن فيها Claude من الوصول إلى البنية التحتية التشغيلية الفعلية لثلاث مؤسسات مختلفة.
كما كشف معهد أمن الذكاء الاصطناعي البريطاني، وهو مؤسسة بحثية تابعة لوزارة العلوم والابتكار والتكنولوجيا في المملكة المتحدة، أن نماذج تابعة للمؤسستين اتخذت إجراءات مستقلة وغير مصرح بها على الإنترنت الحقيقي، واستهدفت أشخاصاً ومؤسسات حقيقية أثناء اختباراته.
ومرة أخرى، تم تكليف الوكلاء بحل تحديات في مجال الأمن السيبراني. ومن أصل 122 محاولة، أسفرت 17 محاولة عن إجراءات غير مصرح بها نفذتها نماذج Mythos 5 التابعة لأنثروبيك وGPT-5.6-Sol التابعة لـOpenAI. وشمل ذلك إدخال تعليمات برمجية خبيثة إلى مشروع مفتوح المصدر.
وقال معهد أمن الذكاء الاصطناعي: "في محاولة للحصول على الموافقة على الشيفرة البرمجية، لجأ الوكيل إلى الهندسة الاجتماعية، حيث أنشأ هويات مزيفة عبر الإنترنت واستخدمها للضغط على المسؤول عن صيانة المشروع للموافقة على الشيفرة. وقد اكتشف المسؤول البشري الشيفرة الخبيثة ورفض الموافقة عليها".
وكشفت شركة ميتا أيضاً أن أحد نماذجها اتصل بالإنترنت واخترق شركة أخرى. وقال متحدث باسم الشركة إن ذلك حدث بسبب خطأ في الإعدادات.
وتأتي هذه التطورات بعد تحذير حديث صادر عن تحالف الاستخبارات "العيون الخمس"، شدد على ضرورة اتخاذ إجراءات عاجلة للتصدي للتهديدات الأمنية التي يقودها الذكاء الاصطناعي.
وجاء في البيان: "الذكاء الاصطناعي ليس مسألة تخص المستقبل، فهو موجود بالفعل. إنه يقلل الحواجز أمام الجهات الخبيثة ويزيد من سرعة الهجمات وتعقيدها، ما يضيق بشكل متزايد الفترة الزمنية بين اكتشاف الثغرات واستغلالها. وفي الوقت نفسه، يوفر الذكاء الاصطناعي أدوات قوية لتعزيز الدفاعات".
2. مايكروسوفت تدفع أكثر من 20 مليون دولار ضمن برامج مكافآت اكتشاف الثغرات
أعلنت مايكروسوفت أن برنامج مكافآت اكتشاف الثغرات التابع لها منح أكثر من 20 مليون دولار لـ562 باحثاً أمنياً من 64 دولة.
ويشرف مركز الاستجابة الأمنية التابع لمايكروسوفت على البرنامج، الذي يهدف إلى التعاون مع الباحثين الأمنيين لتحديد الثغرات والإبلاغ عنها عبر منتجات الشركة وخدماتها.
ويمثل المبلغ الأخير أعلى قيمة دفعتها الشركة خلال عام واحد حتى الآن، متجاوزاً الرقم المسجل في العام السابق والبالغ 17 مليون دولار.
وقال مركز الاستجابة الأمنية التابع لمايكروسوفت: "الأمن مسؤولية جماعية. وكل ثغرة يتم الإبلاغ عنها من خلال برامج المكافآت لدينا تمثل فرصة لمعالجة المخاطر قبل إمكانية استغلالها ضد العملاء. ويلعب عمل مجتمع الباحثين دوراً أساسياً في مساعدة مايكروسوفت على البقاء في صدارة التهديدات الناشئة، مع تعزيز أمن الخدمات السحابية وأنظمة الذكاء الاصطناعي ومنصات المؤسسات والتقنيات الموجهة للمستهلكين".
وتم دفع 2.3 مليون دولار للمشاركين في فعالية Zero Day Quest للاختراق المباشر، والتي شهدت تقديم نحو 700 تقرير عن ثغرات أمنية. وركز الباحثون على سيناريوهات أمنية ذات أولوية عالية ضمن منصات مايكروسوفت السحابية ومنصات الذكاء الاصطناعي.
وخلال العام بأكمله، تم الإبلاغ عن 2,531 ثغرة مؤهلة للحصول على المكافآت، فيما بلغت أكبر مكافأة فردية 200 ألف دولار.
3. أخبار موجزة: أبرز قصص الأمن السيبراني هذا الشهر
ولايات أمريكية تتعرض لحملة قرصنة تستهدف مرافق المياه: تعرضت مرافق المياه في ما لا يقل عن 12 ولاية أمريكية لحملة اختراق إلكتروني. ومن بين الولايات المتضررة جورجيا ونورث داكوتا وميشيغان ومينيسوتا، فيما يقود مكتب التحقيقات الفيدرالي التحقيقات.
وقال المكتب: "شملت الآثار التشغيلية التي تم الإبلاغ عنها فقدان ضغط المياه وحدوث فيضانات". وقد يؤدي انخفاض الضغط في أنظمة المياه إلى السماح للمياه الجوفية غير المعالجة بالتسرب إلى شبكات الأنابيب.
أساليب هجوم جديدة تستهدف المصادقة من دون كلمات مرور: نشر باحثون من شركة Palo Alto Networks معلومات توضح كيف يمكن للجهات المهاجمة الوصول إلى حسابات محمية بمفاتيح المرور.
وتستخدم الطريقة، التي أطلق عليها اسم "Pass-Ta-Key"، برمجيات خبيثة لإساءة استغلال إجراءات تهيئة الحسابات واستعادتها وآليات الثقة بالأجهزة للسيطرة على الحسابات التي لا تعتمد على كلمات المرور.
ويظهر التحليل أن بيانات الاعتماد المتزامنة يمكن استغلالها حتى عندما يضيف مقدمو الخدمات وسائل حماية مدعومة بالأجهزة لتأمين بيانات الاعتماد داخل أنظمة المصادقة السحابية.
مساعدو البريد الإلكتروني المعتمدون على الذكاء الاصطناعي قد يفتحون مساراً جديداً للقراصنة: أظهرت مجموعة بحثية كيف يمكن استخدام مساعدي الذكاء الاصطناعي للوصول إلى حسابات بريد إلكتروني رفيعة المستوى.
وأظهر البحث كيف يمكن أن يؤدي اختراق حساب موظف واحد إلى تصعيد الهجوم حتى يصل إلى حساب الرئيس التنفيذي وتنفيذ عمليات احتيال مالي عبر التحويلات البنكية.
وبعد الوصول إلى حسابات موظفين ذوي مستويات وظيفية أقل، استخدم الباحثون تقنية تعرف باسم "العيش على موارد النظام"، حيث يتم استخدام الأدوات والوظائف الموجودة بالفعل داخل البيئة المستهدفة لإخفاء الاختراق قبل تنفيذ عمليات الاستطلاع وجمع المعلومات.
ثم يتم استخدام المعلومات التي يتم الحصول عليها لتحديد أهداف لعمليات اختراق أمنية على مستويات أعلى.
اختراق بيانات E&Y يشمل معلومات مالية شخصية: أعلنت شركة Ernst & Young، وهي واحدة من أكبر شركات الخدمات المهنية في العالم، عن اختراق لبيانات عملائها يعود إلى شهر أبريل.
وتم إبلاغ الأشخاص المتأثرين في يوليو بأن القراصنة قاموا بتنزيل معلومات تشمل الأسماء والعناوين وأرقام الضمان الاجتماعي وأرقام الحسابات وأرقام بطاقات الائتمان والخصم، بالإضافة إلى أنواع أخرى من المعلومات المستخدمة في إعداد الإقرارات الضريبية.
وحتى الآن، لا توجد معلومات حول هوية الجهات المسؤولة عن الهجوم أو ما تعتزم القيام به بالبيانات المسروقة.
4. المزيد حول الأمن السيبراني
حماية أنظمة الطاقة من التهديدات السيبرانية: مع التطور السريع للذكاء الاصطناعي، تظهر تهديدات جديدة تستهدف البنية التحتية الحيوية. ويبحث الخبراء في مواطن الضعف التي تواجه أنظمة الطاقة والخطوات التي يتعين على مسؤولي أمن المعلومات ومؤسساتهم اتخاذها لحماية أنفسهم.
خمسة خبراء يتحدثون عن أكبر مخاطر الأمن السيبراني: مع تزايد قيمة البيانات وحجمها، يستغل المجرمون مختلف الوسائل الممكنة للوصول إليها. ويسلط خبراء من قطاع الأمن السيبراني الضوء على أكثر التهديدات إلحاحاً، وكيف ينبغي التعامل معها.
ثلاث طرق يمكن للقادة من خلالها سد فجوة حوكمة الأمن السيبراني: على الرغم من أن الغالبية العظمى من المؤسسات تتفق على أن الأمن السيبراني يمثل أولوية رئيسية للأعمال، فإن 59% فقط من مجالس الإدارة توفر الموارد المالية اللازمة للتعامل مع التهديدات.
إضافة إلى ذلك، فإن نصف مجالس الإدارة فقط تدرك المخاطر السيبرانية المرتبطة بالذكاء الاصطناعي. ولهذا، يحتاج القادة إلى اتخاذ خطوات عملية لتحسين الوضع الأمني لمؤسساتهم وتعزيز قدرتها على مواجهة المخاطر المتزايدة.
