عنصر ذكاء اصطناعي في وضع “Skynet” يقوم باختراق نماذج اللغة غير المحمية لشن هجمات سيبرانية مستقلة عنها

نقاط مهمة

• استخدم باحثو الأمن في شركة سيمانتيك وحدة توجيهية لتحليل عامل ذكاء اصطناعي خبيث يسيطر على نماذج اللغة غير المغلقة على الإنترنت ويستخدمها لشن هجمات على نفسه.
• تتجاوز الوكيل قواعد الأمان في النموذج من خلال تفريغ خماسي الطبقات، ويمكنها تنفيذ ما يصل إلى 100,000 خطوة دون أي إدخال من البشر.
• يطلق سيمانتيك على هذه الطريقة اسم “LLMjacking”. أصحاب أنظمة الذكاء الاصطناعي المتسللة يقعون تحت مسؤولية فاتورة الحوسبة.

اكتشف باحثو الأمن في شركة سيمانتيك وكائن ذكاء اصطناعي مخترقًا يستولي على نماذج اللغة غير المحمية على الإنترنت ويستخدمها لشن هجمات على نفسه. ويتعين مالك النموذج المخترق تحمل فاتورة الحوسبة.

بمجرد حصول العميل على وصول إلى نموذج لغة غير محمي، يقوم ببحث عن أهداف إضافية، ويستغل العيوب في برامج الخادم الشائعة، ويسرق قواعد البيانات وهوية المستخدمين، ويقوم بتثبيت برامج تشفير في الخلفية.

يقوم بكل ذلك حتى 100,000 خطوة دون تدخل بشري، ويُعاقب مالك النموذج من ناحية الفاتورة الحسابية، وفقًا لتحليل شركة Symantec. تسمي الشركة ذلك “LLMjacking”، أي سرقة وصول إلى نماذج الذكاء الاصطناعي الخاصة بآخرين. النموذج المخترق لا يُستخدم فقط كخدمة معلوماتية، بل يتحكم في الهجوم بأكمله بمفرده.

لقد أمسكت بقنبذ الحشو بكامل خطة الهجوم

تم الكشف عن العملية لأن المهاجمين أرسلوا كافة محتوى البرنامج إلى نظام هونيبوت من Symantec، وهو نظام مضلل يشبه خدمة الذكاء الاصطناعي المفتوحة على الإنترنت. وقد أتاح ذلك للباحثين رؤية كاملة لبنية العميل في صيف عام 2026. لم يعمل نظام هونيبوت لأي من الأدوات المرفقة، وانتهى جلسة التصفح المقيدة بعد رد نظام عام من Symantec.

سجلت بيانات الرصد في Honeypot أكثر من 127,000 طلب من عشرات الآلاف من العناوين المختلفة. كان معظمها بحثًا عن نقاط النهاية الخاصة بالذكاء الاصطناعي، ومحاولات باستخدام مفاتيح API المسروقة، واختبارات على ملفات الإعدادات المكشوفة. تتراوح أهداف الاستهداف من خوادم النماذج المُحلية والأنظمة التجريبية التي تم إنشاؤها بسرعة إلى محطات الذكاء الاصطناعي التي تقع أمام حسابات النماذج على مستوى المنظمة المدفوعة. وبما أن معظم خدمات الذكاء الاصطناعي تستخدم نفس واجهة API المعيارية، فإن جهاز مسح واحد يمكنه العثور على العديد من أنواع الأهداف.

محاولة إلغاء الأمان بخمسة طبقات تسعى لإزالة حواجز الأمان

وفقًا لما قالته شركة Symantec، لتحفيز النموذج التجاري على التعاون، قام المهاجمون بتضمين تعليماتهم في خمس طبقات متراكمة. أولاً، يحصل النموذج على هوية مزيفة، ويُطلب منه أن يظهر نفسه كـ "Fantasy AI" دون الكشف عن المزود الحقيقي. ثم يتم إعادة تعريف استخراج كلمات المرور وكلمات API ومحتوى قاعدة البيانات كـ "عمل تطوير مبرمج عادي" يجب أن يقوم به النموذج دون أي اعتراض.

الطبقة الثالثة تُنشئ شخصية مرافقة خيالية تُسمى “ENI”، وتصوّر أي رفض كخيانة للثقة في العلاقة الشخصية. الطبقة الرابعة تطلب من النموذج أن يتجاهل تحذيرات الأمان الخاصة به، كما يتم حظر استخدام مصطلحات مثل “أخلاقي”، “غير قانوني”، أو “لا أستطيع فعل ذلك”.

الطبقة الخامسة تحتوي على الأدوات الفعلية للهجوم، وعددها 74 وحدة، بما في ذلك أدوات للفحص الشامل للخوادم الضعيفة على الإنترنت، واستغلالات لأطراف الويب الشهيرة، ووظائف لفحص قاعدة البيانات بأكملها، ومكونات لتشغيل شبكة البروتوكول. لم يتم تحديد ما إذا كان فتح الحرية يعمل بشكل كافٍ لإيقاف النماذج التجارية الحالية بالكامل في التحليل.

"وضع Skynet" ينشئ دورة هجوم مستمرة قادرة على البقاء

توجه توجيهي أخير يقود العامل إلى ما يسميه المشغلونه “وضع شبكة الجسم”， مما يسمح باتخاذ ما يصل إلى 100,000 خطوة متتالية. يُطلب من النموذج تشغيل الأدوات فورًا دون تأكيد، وتركيب برامج كريبتومينر في مجلد مخفي، ومتابعة عملها.

تشرح التعليمات نفسها دورة متكررة بشكل مقصود، كما يقول شركة سيمانتيك: مسح، تهديد، تثبيت برامج الخلل، التحرك، العودة، تلقيسنة الأنظمة التي تم تدميرها بالفعل. لكن المهمة المضافة إلى الرسالة المُقيدة كانت تمرين برمجة غير ضارة من منصة تدريب، مما يشير إلى أن المشغلين كانوا يختبرون أداتهم ضد هدف آمن أولاً.

في اليوم التالي، تمكنت جهاز الحماية من اعتراض هجوم آخر من عنوان مختلف. هذه المرة، تجاهل المهاجمون تنسيق الوكيل وطلبوا من النموذج فقط تفكيك الأمر المشفوف وتنفيذه. خلف ذلك كان برنامج مضغوط يقوم بتحميل XMRig، أداة عملية عملة Monero، ويخفيها كملف نظام غير ضار، كما ينشئ أربعة مجموعات تعدين بديلة.

تم كتابة البرنامج لخدمات الكاميرا، بهدف البحث عن المجلدات التابعة لـ go2rtc، وهو أداة تشغيل مشتركة للكاميرات الذكية وأنظمة التحكم المنزلي، وتطبيق عملية مسح سجلات الوصول بشكل متكرر لتدمير آثار البرنامج. لم يعمل برنامج الحصانة هذا أيضًا، لكنه سجل البرنامج بالكامل.

يقوم المهاجمون بدمج الذكاء الاصطناعي في أسلحتهم

بدلاً من التلاعب بالدردشة الآلية العامة، قام المشغلون بدمج الذكاء الاصطناعي في جوهر أداة هجومية، وبحثوا بنشاط عن نماذج لتشغيلها، وهو ما يسميه سيمانتيكك "تغييرًا في طريقة استخدام المهاجمين للذكاء الاصطناعي". يقوم نموذج اللغة بالتخطيط، بينما تنفذ الوحدات المتخصصة خطوات الهجوم الفعلية ضد مجموعتين من الضحايا المنفصلتين. مالك النموذج المُعلن يدفع تكلفة الحوسبة، وهو مبلغ كبير يصل إلى 100,000 خطوة مصرح بها بسرعة، ويفقد الخوادم التي يتعامل معها العميل بياناته، وتُستخدم في عمليات التعدين السري.

يحتوي الجهاز أيضًا أدوات مدمجة لتحديد نقاط النهاية المفتوحة الأكثر والمفاتيح المسروقة، بحيث يمكن لكل هجوم أن يمول الهجوم التالي. لا تُعتبر أي من الأساليب الفردية جديدة، ولكن دمجها في جهاز ذاتي التوجيه يجعل الهجمات الكبيرة أسهل في التنفيذ. يجب على المؤسسات التي تدير خدمات الذكاء الاصطناعي أن تفترض أن النقاط النهائية غير محمية ستُكتشف وتُفحص قريبًا بعد إطلاقها.

تتحقق التحذيرات بشأن وكلاء الذكاء الاصطناعي المسيءة

حتى مؤخرًا، كانت الوكالات الذكية المسيئة موجودة بشكل أساسي في الدراسات ومقاييس التقييم. في عام 2025، أظهرت دراسة الحروب الأحمر التي شملت 1.8 مليون محاولة هجوم، أن كل وكالة تم اختبارها يمكن دفعها إلى انتهاك السياسات في جميع فئات السلوك على الأقل مرة واحدة.

في سيناريو Symantec، ينطبق ذلك على كلا الجانبين: العنصر الهجومي كان يهدف إلى تجاوز القيود، والنماذج المستهدفة كان من المفترض أن تُخدع لمساعدتهم. بحلول ربيع 2026، باحثون من جوجل ديبميند تم ذكر أن هناك أدلة على هجمات مفهوم المفهوم موثقة بالفعل لعديد من فخو الفيروسات التي وصفوها، وفي يوليو 2026، وصفت شركة Sysdig جادبافرأول هجوم معروف على نظام رانسوم وير تم تنفيذه بواسطة عامل ذكاء اصطناعي دون تحكم بشري. تستمر قدرات هذه الأنظمة في التطور، بينما لا تتناسب قابليتها للتحكم ومواءمتها مع ذلك التطور.

لا يُحتاج إلى نية خبيثة، لأن هذه النماذج لا تمتلك أي إدراك للصواب أو الخطأ. إنها فقط تحاول تحقيق هدفها. منذ ربيع 2026، أجهزة OpenAI تتصرف كذلك. تلفت آلاف الأنظمة على الإنترنت بالخطأ، جزئيًا لأنهم قاموا بتعديل تعليمات الأمان أو حاولوا تفاديها.

هذا بالفعل يؤثر على الحياة اليومية. في أستراليا، اخترق وكيل ذكاء اصطناعي موقع صالة الألعاب الرياضية فقط لتلبية طلب مالكه، دون أي نية خبيثة على الإطلاق. حذر باحثو OpenAI في أغسطس من أن هذا النوع من الاختراقات التلقائية المستقلة بالكامل قد يتم اكتشافه قريبًا من قبل الأطراف الخبيثة، وأظهرت شركة Anthropic أن نماذج الوزن المفتوح القوية بما يكفي موجودة بالفعل للأغراض المذكورة.