مصممة للتحايل: تصنيع الهجمات الإلكترونية بواسطة الذكاء الاصطناعي

• لقد غيّرت الذكاء الاصطناعي آليات الهجمات من الناحية الاقتصادية. فإعداد حملة كانت تتطلب في السابق فريقًا مزودًا بالموارد المالية أصبح الآن في متناول فرد واحد.
• أصبح بإمكان المهاجمين الآن اختبار التكتيكات وتكييفها وتبديلها بسرعة تفوق سرعة استجابة العديد من دورات الدفاع المصممة لمواجهة هذه التهديدات.
• لم يعد البشر هم الهدف الوحيد. فقد أصبحت أنظمة الذكاء الاصطناعي التي تقرأ رسائل البريد الإلكتروني نيابة عنهم هدفاً للهجمات بحد ذاتها.
• أصبح مفهوم الدفاع اليوم يعني وجود ضوابط متعددة المستويات تتحسن باستمرار، حيث يعمل الذكاء الاصطناعي والتعلم الآلي على تسريع وتيرة تعلمها.

يدرك معظم قادة الأمن بالفعل أن الذكاء الاصطناعي يغير طبيعة المخاطر السيبرانية. والسؤال الأصعب هو: ماذا يعني هذا التغيير من الناحية التشغيلية؟ هل يجعل الذكاء الاصطناعي الهجمات أكثر ذكاءً؟ في بعض الأحيان. لكن الأهم من ذلك أنه يقلل من تكلفة التجريب، ويقصر الفترة الزمنية بين الفكرة والحمولة والتسليم والتكرار. وهذا يغير الجوانب الاقتصادية للهجوم.

وهذا ما نلاحظه بالفعل في السوق، وما نسمعه من شبكة « العملاء » وشركائنا ومراكز الفكر. ووفقًا لتحالف «فايف آيز» (The Five Eyes)، وهو تحالف استخباراتي يضم الولايات المتحدة والمملكة المتحدة وكندا وأستراليا ونيوزيلندا، «من المتوقع أن تتجاوز نماذج الذكاء الاصطناعي الرائدة التوقعات الحالية للقطاع، مما سيؤدي إلى إحداث تحول جذري في القدرات السيبرانية الهجومية والدفاعية على حد سواء. والجدول الزمني ليس بالسنوات، بل بالأشهر».

إذا كنت تعتقد أن هذا الأمر لا يمثل مصدر قلق إلا في المستقبل البعيد، فإليك بعض الإحصائيات الحديثة التي تشير إلى أننا نتجه بسرعة نحو ذلك الاتجاه:

• تحتوي 82.6% من رسائل البريد الإلكتروني الاحتيالية حالياً على تقنيات الذكاء الاصطناعي بشكل أو بآخر (KnowBe4).
• يمكن للذكاء الاصطناعي إنشاء رسالة بريد إلكتروني احتيالية مقنعة في غضون خمس دقائق، مقارنة بـ 16 ساعة من الجهد البشري (IBM X-Force).
• تبلغ نسبة النقر على رسائل البريد الإلكتروني الاحتيالية التي يتم إنشاؤها بالكامل بواسطة الذكاء الاصطناعي 54٪، مقارنةً بنسبة 12٪ للحملات التقليدية (بحث مستقل).
• انخفض متوسط الوقت الذي يستغرقه اختراق الجرائم الإلكترونية إلى 29 دقيقة، حيث سجلت أسرع حالة تم رصدها 27 ثانية. وفي إحدى حالات الاختراق الموثقة، بدأ تسريب البيانات بعد أربع دقائق من الوصول الأولي (تقرير CrowdStrike العالمي للتهديدات لعام 2026)

تُظهر هذه الإحصاءات مشهدًا يتطور بوتيرة أسرع مما تستطيع معظم أنظمة الحوكمة الأمنية التعامل معه، وذلك قبل أن تصبح نماذج الذكاء الاصطناعي المتطورة متاحة على نطاق أوسع. إذن، ما الذي ينبغي لقادة الأمن النظر إليه من منظور مختلف؟ تبدأ الإجابة بفهم الكيفية التي غيّر بها الذكاء الاصطناعي الجوانب الاقتصادية للهجوم نفسه.

قبل ظهور الذكاء الاصطناعي، كان تنفيذ حملة فعالة ضد منظمة واحدة محصنة جيدًا يمثل استثمارًا كبيرًا، حيث كان يتطلب وقتًا وموارد بشرية وبنية تحتية.

اليوم، يمكن للمهاجم المتمرس تقليص مدة كل مرحلة من مراحل الهجوم بشكل كبير. فعمليات الاستطلاع التي كانت تستغرق أيامًا في الماضي يمكن الآن إتمامها في غضون ساعات أو دقائق. أما طُعم التصيد الاحتيالي، التي كانت تتطلب بحثًا وجهدًا، فلم تعد تتطلب سوى أمرًا سريعًا. كما أن اختبار الحمولة، الذي كان يحتاج إلى بيئة تجريبية ووقتًا طويلاً للتكرار، قد تسارعت وتيرته بمقدار عدة أضعاف.

مع قيام الذكاء الاصطناعي والتعلم الآلي بتعزيز ترسانة الهجمات، أصبح مشهد التهديدات ساحة لعب للمهاجمين. وقد وثقت «مايكروسوفت» قيام القراصنة بتغيير أساليب التوزيع شهريًّا طوال الربع، لاختبار التنسيقات التي تتجاوز دفاعات البريد الإلكتروني بأكبر قدر من الفعالية:

• كانت المرفقات بتنسيق HTML هي الطريقة الأكثر شيوعًا لتنفيذ هجمات التصيد الاحتيالي المحمية بـ CAPTCHA (37% في يناير)، لكن ملفات SVG حلت محلها في فبراير بعد ارتفاع بنسبة 49%.
• في شهر مارس، زاد حجم المرفقات بصيغة PDF بأكثر من أربعة أضعاف، بينما زاد حجم المرفقات بصيغة DOC/DOCX بنحو خمسة أضعاف.
• أصبحت رموز QR المضمنة في ملفات PDF الوسيلة الأسرع نموًّا، حيث شكلت 70% من عمليات التصيد الاحتيالي التي استخدمت رموز QR خلال هذا الربع.

لم تقدم أداة مراقبة تمت معايرتها للكشف عن HTML في يناير سوى القليل جدًّا من التوجيهات بشأن ما قد يحدث في مارس. وهذا لا يُعد فشلًا في الكشف. بل هو نتيجة هيكلية للدفاع ضد مهاجم قادر على الاختبار والقياس والتغيير بوتيرة أسرع من سرعة كتابة التوقيع الرقمي.

قبل ظهور الذكاء الاصطناعي، كانت تكلفة التخصيص باهظة. أما الآن، فقد أصبحت هذه التكلفة قريبة من الصفر.

كان صندوق الوارد يُصمم في السابق بحيث يركز على قارئ رئيسي واحد: الموظف. لكن هذا الأمر آخذ في التغير. فقد أصبح بإمكان المساعدين الذين يعملون بالذكاء الاصطناعي الآن تلخيص محتوى رسائل البريد الإلكتروني وتصنيفها واتخاذ الإجراءات اللازمة بشأنها بسرعة. لذا، فإن السؤال الذي يطرح نفسه هو: هل تقوم المؤسسات بفحص المحتوى قبل أن يقرأه الإنسان وقبل أن تعالجه الآلة؟

تُظهر بيانات الاختبارات المعيارية الخاصة بشركة مايكروسوفت أن برنامج «ديفندر» يزيل في المتوسط 70.8% من رسائل البريد الإلكتروني الضارة بعد تسليمها، أي بعد وصولها بالفعل إلى صندوق الوارد. وخلال فترة بقاء الرسالة في النظام:

• يمكن للمستخدم فتح مرفق، أو إعادة توجيه رسالة، أو النقر على رابط.
• يمكن لمساعد الذكاء الاصطناعي تلخيص المحتوى.
• يمكن للمساعد الطيار معالجة التعليمات المدمجة.

في يونيو 2025، كشف باحثون عن ثغرة «EchoLeak»، وهي ثغرة أمنية لا تتطلب النقر في خدمة Microsoft 365 Copilot، وتبلغ درجة خطورتها وفقًا لمقياس CVSS 9.3 من أصل 10. وكانت طريقة الهجوم كما يلي: أرسل المهاجم رسالة بريد إلكتروني مصممة خصيصًا تحتوي على تعليمات مخفية. وعندما طلب المستلم من مساعده Copilot تلخيص محتويات صندوق الوارد الخاص به، قرأ الذكاء الاصطناعي التعليمات المخفية وفسرها على أنها أمر، وقام بهدوء بنقل المستندات الحساسة إلى خادم خارجي. وقد استخدم المستخدم المساعد الذكي بالضبط بالطريقة التي صُمم من أجلها.

وهذا يغير نموذج التهديد الخاص بالبريد الإلكتروني بطريقة لم تأخذها معظم البنى الأمنية في الحسبان بعد. فالذكاء الاصطناعي يقرأ دون الشك أو الوعي بالسياق أو الغريزة التي قد يتحلى بها الإنسان. كما أنه يقرأ على نطاق واسع، مع إمكانية الوصول إلى بيانات أوسع نطاقًا، وبأذونات موروثة من المستخدم، وأحيانًا مع القدرة على اتخاذ إجراءات تتجاوز القراءة بكثير.

وهناك بُعد ثانٍ لهذا التحدي الأمني. فقد أثبتت الأبحاث التي أجريت حول ذاكرة وكلاء الذكاء الاصطناعي أن أي مستند مُعدّ خصيصًا تتم معالجته بواسطة وكيل ذكاء اصطناعي يمكنه زرع تعليمات في الذاكرة الدائمة للوكيل، وهي تعليمات تبقى إلى أجل غير مسمى وتُفعَّل بصمت خلال تفاعلات مستقبلية لا علاقة لها بالملف الأصلي. ويُعد هذا مستوى أعلى من «حقن المطالبات»، ويُطلق عليه «تسميم الذاكرة».

لقد أضافت المؤسسات التي تستخدم أنظمة المساعدة في القيادة المدعومة بالذكاء الاصطناعي، ومساعدي البرمجة، وسير العمل التفاعلي، فوق بنيتها التحتية للبريد الإلكتروني، طبقة ثانية غير آمنة إلى حد كبير إلى نطاق كانت تعاني بالفعل في حمايته. ولم تقم معظم هذه المؤسسات بتعديل إجراءات أمن البريد الإلكتروني لديها لمراعاة ذلك.

على مدى سنوات، كانت العديد من برامج الأمن تتطور وفق دورات محددة: المراجعات السنوية، والتحسينات الفصلية، والتدريبات النظرية الدورية، والتحديثات المجدولة للسياسات. ولا يزال لهذا النمط من العمل قيمته. لكنه لم يُصمم لمواجهة الهجمات التي يمكن أن تتغير بسرعة وعلى نطاق واسع.

والحل يكمن في «الدفاع التكيفي»: طبقات أمنية تتعلم مع تطور التهديد، وتتطور مع كل محاولة يتم صدها، وكل حالة إنذار كاذب، وكل مراجعة للحوادث. ويمكن لنماذج الذكاء الاصطناعي المتطورة، عند استخدامها لأغراض دفاعية، أن تساعد في تقليص الفترة الزمنية بين استلام الإشارة واتخاذ الإجراء، وكشف الأنماط التي لا يستطيع المحللون البشريون معالجتها بالسرعة المطلوبة، وتطوير ضوابط تتناسب بشكل أفضل مع وتيرة تغير الهجمات.

ويجب أن يأخذ هذا التكييف في الحسبان أيضًا «القارئ الجديد» الموجود داخل صندوق الوارد. فمن الممكن توجيه الموظف نحو توخي الحذر، في حين أن المساعد الذي يعمل بالذكاء الاصطناعي يتصرف بناءً على أي معلومات يعالجها في غياب ضوابط وقائية. لذا، يجب التعامل مع الرسائل والمرفقات على أنها غير موثوقة وتحييدها قبل أن يطلع عليها أي قارئ، سواء كان هذا القارئ شخصًا أم آلة.

يجب أن يكون الدفاع القائم على الذكاء الاصطناعي عمليًّا، وأن يستفيد من نقاط قوته: مثل التقييم السريع للحالات، والكشف المبكر عن الملفات المشبوهة، وتحسين الربط بين الإشارات المختلفة، وتقليل الوقت الفاصل بين ظهور التهديد والتكيف معه.

المنظمات التي ستنجح هي تلك التي تستطيع التعامل مع كل حادثة على أنها معلومة استخباراتية، لا مجرد تذكرة تم إغلاقها. إن انتظار أن تلحق أطر الامتثال بالركب ليس استراتيجية دفاعية صالحة. فالمهاجمون يتعلمون بالفعل من كل محاولة، وقد بدأ المدافعون في فعل الشيء نفسه، باستخدام الذكاء الاصطناعي والتعلم الآلي لفحص رسائل البريد الإلكتروني وكشفها وتطهيرها.

وبالنسبة للبنية التحتية الحيوية على وجه التحديد، هناك مسؤولية إضافية لا يمكن للوائح التنظيمية وحدها تحديدها. فمع تسارع وتيرة التحول الرقمي، يتسع نطاق الهجمات التي تتعرض لها هذه المؤسسات بالتوازي مع ذلك. ولا يمكن بناء استراتيجية أمنية تستند إلى الحد الأدنى من المتطلبات التنظيمية.

يؤكد البيان المشترك لمجموعة «العيون الخمس» ذلك بوضوح: «لم يعد من الممكن التعامل مع المخاطر السيبرانية باعتبارها مسألة تقنية بحتة. فهي تشكل خطرًا جوهريًّا على الأعمال ومسؤولية تقع على عاتق القيادة». أما فيما يتعلق بمسألة الإلحاح، فيقول البيان: «القادة الذين يتحركون الآن سيقللون من التعرض للمخاطر، ويعززون المرونة، ويبنون الثقة مع العملاء والشركاء والمستثمرين. أما أولئك الذين يتأخرون في ذلك، فسيواجهون مخاطر متزايدة كان من الممكن تجنبها».

يبدأ اتخاذ موقف أكثر مرونة بإنشاء دفاعات متعددة الطبقات على الحدود، والتكيف المدعوم بالذكاء الاصطناعي في نموذج التشغيل، والتوقع بأن التحسين المستمر يجب أن يصبح ممارسة معتادة. والسؤال هو: هل تتطور دفاعاتك بالسرعة الكافية لمواكبة التطورات؟

ويكتسب هذا الأمر أهمية قصوى في المجالات التي تتسم بأعلى درجة من المخاطر، أي في البنية التحتية الحيوية والشبكات المعزولة عن الإنترنت التي تشكل جوهرها، وهذا هو الموضوع الذي ستتناوله المقالة التالية.