تطور نظام IntelligentFILE

في المقالة الأولى من هذه السلسلة، قدمتُ مفهوم «IntelligentFILE» — وهو أي ملف يحتوي على ذكاء مدمج قادر على تحفيز إجراء لاحق عند معالجته أو فتحه أو إرساله. وقد أوضحتُ أن الملف قد تطور من مجرد حاوية سلبية إلى مشارك نشط، وأن طبيعته قد تغيرت بشكل جذري، وأن معظم بنى الأمن المؤسسية لم تواكب هذا التطور. في هذا المنشور، أود أن أتعمق أكثر في آلية هذا التطور. لأن فهم كيفية قيام الذكاء الاصطناعي بتحويل الملف هو الشرط الأساسي لفهم سبب فشل استراتيجيات الأمن القديمة — وما تتطلبه الاستجابة الحديثة فعليًّا.

الخلاصة: لم يقتصر دور الذكاء الاصطناعي على زيادة عدد الملفات فحسب، بل جعلها أكثر قدرةً وإقناعًا ومراوغةً وتأثيرًا. فقد خفض تكلفة إنشاء محتوى متطور ومراعي للسياق ومقنع من الناحية الهيكلية إلى ما يقارب الصفر. وبذلك، زود كلًا من المؤسسات والأطراف المعادية بنفس مجموعة الأدوات — دون وجود وسيلة موثوقة للتمييز بين من يستخدمها.

عندما يناقش معظم قادة الأمن تهديد ملفات الذكاء الاصطناعي، يلجأون إلى الإحصاءات الكمية. فمن المتوقع أن يتضاعف حجم الفضاء العالمي للبيانات أكثر من الضعف بين عامي 2022 و2026. كما أن أكثر من أربع الخدمات من أصل خمس الخدمات مالية (81٪) تُفيد الآن بتبني الذكاء الاصطناعي بدرجة ما. كما يتم تسجيل 500,000 ملف ضار يوميًا بواسطة منصات استخبارات التهديدات. هذه الأرقام حقيقية وذات أهمية؛ لكنها تصف حجم المشكلة، لا طبيعتها.

التغيير الأعمق هو تغيير نوعي. فقد غيّرت الذكاء الاصطناعي ما يمكن للملف أن يفعله، وليس مجرد عدد الملفات الموجودة.

قبل ظهور الذكاء الاصطناعي، كان إنشاء حمولات البرامج الضارة المتطورة واختبارها ونشرها يتطلب خبرة تقنية عالية. وكانت المهارة البشرية هي العائق. ولذلك كان حجم هذه البرامج محدودًا بطبيعة الحال. أما بعد ظهور الذكاء الاصطناعي، فقد انهار هذا العائق. تنتج نماذج اللغة الكبيرة مستندات تصيد احتيالي مقنعة لا يمكن تمييزها عن الاتصالات المشروعة. يولد الذكاء الاصطناعي هياكل ملفات فريدة لكل هدف — وهو ما يسميه باحثو الأمن «المحتوى متعدد الأشكال» — مما يجعل الكشف القائم على التوقيعات غير كافٍ من الناحية الهيكلية. وقد انخفضت تكلفة إنشاء مستند ضار أو مزيف إلى ما يقارب الصفر. والأهم من ذلك، أدوات المستخدمة أدوات نفسها المستخدمة للأغراض المشروعة.

يمكن فهم تطور «IntelligentFILE» بشكل أفضل من خلال أربعة تحولات متميزة في القدرات أحدثتها الذكاء الاصطناعي — ولكل منها تداعيات أمنية مباشرة أدوات القديمة لمعالجتها.

1. البناء متعدد الأشكال على نطاق واسع

كانت البرامج الضارة التقليدية تتمتع ببنية ثابتة، بحيث يمكن، بمجرد تحديدها، تصنيفها واكتشافها باستخدام التوقيعات. أما البرامج الضارة التي يُنتجها الذكاء الاصطناعي، فلا تتمتع بأي بنية ثابتة. فقد تكون كل نسخة فريدة من حيث البنية، ومصممة خصيصًا لتناسب سياق الهدف، ومهندسة للتحايل على أدوات الكشف المحددة أدوات سبق أدوات اختبارها. وهذا ليس مجرد تحسن هامشي في القدرة على التحايل، بل هو القضاء على الافتراض الأساسي الذي يقوم عليه الكشف القائم على التوقيعات.

2. المعقولية السياقية على مستوى المحتوى

قبل ظهور الذكاء الاصطناعي التوليدي، كان إعداد مستند تصيد إلكتروني مقنع يتطلب جهدًا بشريًّا كبيرًا — من حيث البحث، والصياغة، والتنسيق، ودقة السياق. ومع ذلك، غالبًا ما كان المحللون المدربون قادرين على اكتشاف هذه المستندات باعتبارها مشبوهة. اليوم، تنتج نماذج اللغة الكبيرة (LLMs) مستندات تصيد احتيالي، وفواتير مزورة، وتعليمات تحويل مالي ملفقة، وملفات «اعرف عميلك» (KYC) مزيفة لا يمكن تمييزها سياقياً عن نظيراتها الشرعية. وأكثر من 82% من رسائل البريد الإلكتروني التصيدية المكتشفة تحتوي الآن على محتوى تم إنشاؤه بواسطة الذكاء الاصطناعي. وقد تم تصنيع طبقة الهندسة الاجتماعية وجعلها خالية من العوائق بشكل أساسي.

3. غموض المصدر

عندما يتم إنشاء ملف بواسطة الذكاء الاصطناعي، تصبح إشارات المنشأ التقليدية غير موثوقة. يمكن تزوير البيانات الوصفية. ولا يمكن نسب التأليف إلى إنسان. وقد يكون المحتوى الذي يبدو أنه من مصدر داخلي ناشئًا في الواقع عن بنية تحتية لنماذج اللغة الكبيرة (LLM) تابعة لطرف ثالث خارج نطاق الأمان الخاص بالمؤسسة. وبالنسبة الخدمات المالية الخدمات حيث يمكن أن تحدد أصالة المستند صحة المعاملة، أو شرعية عملية التسجيل، أو دقة نموذج المخاطر — فإن غموض مصدر الملف ليس مجرد إزعاج. بل هو ثغرة هيكلية.

4. التسمم بـ«RAG»: عندما يصبح الملف ذاكرة مؤسسية

التطور الرابع، وربما الأكثر أهمية، يخص المؤسسات التي اعتمدت أنظمة «التوليد المعزز بالاسترجاع» (RAG) — والتي ستشمل، بحلول عام 2026، غالبية المؤسسات المالية. في بنية RAG، يصبح كل ملف يتم استيعابه مصدرًا موثوقًا لنموذج الذكاء الاصطناعي الذي يقرأه. وعندما يطرح المحلل سؤالاً على النظام، يتلقى إجابة مستمدة من الوثائق التي تم فهرستها. ولا يقتصر الخطر على الملف الفردي غير المُعقَّم أو المصمم بخبث أو الذي تخللته هلوسات الذكاء الاصطناعي الذي يدخل إلى تلك المجموعة المفهرسة فحسب، بل إنه يُلوث قاعدة المعرفة المؤسسية — وسيقوم الذكاء الاصطناعي بتقديم تلك الحقيقة الملوثة في كل استعلام لاحق، على نطاق واسع، بسلطة نظام داخلي موثوق به.

هذه هي مسؤولية RAG. فالبنك الذي يستخدم ماسحًا ضوئيًّا أحادي المحرك لا يفصله سوى ملف واحد مزيف أو ملف تم تشويشه بواسطة الذكاء الاصطناعي عن إتلاف قاعدة معارفه الداخلية بالكامل. وبمجرد استيعاب ملف ضار، سيقوم الذكاء الاصطناعي بتقديم هذا المحتوى على أنه «الحقيقة المؤسسية» لكل موظف يطلبه. ونطاق التأثير ليس الملف نفسه، بل كل ما يمسه هذا الملف.

يتمثل أحد الجوانب الحاسمة في تطور IntelligentFILE في توسيع نطاق التعرض للهجمات ليتجاوز صندوق البريد الإلكتروني الوارد — الذي كان يمثل تاريخياً المحور الرئيسي لبنية أمن الملفات. واليوم، أصبحت كل نقطة استلام للملفات تشكل ناقلاً للتهديدات.

• Cloud والتخزينCloud : يُعد كل ملف يتم إضافته إلى SharePoint أو OneDrive أو S3 أو أي منصة تعاونية حدثًا للاستيعاب. وتتعرض الملفات المخزنة لنفس المخاطر التي تتعرض لها الملفات قيد النقل — وغالبًا ما يتم فحصها بشكل أقل دقة.

• API وسير العمل الآلي: تعمل مسارات نقل الملفات الآلية بين الأنظمة — مثل منصات الامتثال، وبحيرات البيانات، ومدخلات نماذج الذكاء الاصطناعي — بسرعة تصل إلى الميلي ثانية. ولا يمكن لعمليات الفحص التقليدية في بيئة الاختبار أن تضاهي هذه السرعة دون أن تتحول إلى عنق زجاجة.

• نماذج الويب والبوابات الموجهة للعملاء: يمثل كل تحميل لبيانات «اعرف عميلك» (KYC)، وطلب قرض، ومطالبة تأمينية، ونموذج تسجيل مستثمر، نقطة لاستقبال الملفات. وتُعد البوابات الموجهة للعملاء بيئات تتسم بكميات كبيرة من البيانات ومستوى عالٍ من الثقة، مع ما يترتب على ذلك من تعرض لمخاطر عالية.

• ملفات سلسلة التوريد وملفات الأطراف الثالثة: أصبحت هجمات سلسلة التوريد التي يتم إنشاؤها بواسطة الذكاء الاصطناعي مدمجة الآن داخل ملفات موثوقة وتبدو شرعية، مصدرها موردون وشركاء معروفون. المصدر موثوق به، أما المحتوى فقد لا يكون كذلك. أدوات القديمة أي آلية للتمييز بينهما.

• الوسائط القابلة للإزالة والنقل المادي: بالنسبة للبيئات الخاضعة للتنظيم والبيئات المعزولة عن الشبكة — لا سيما في الخدمات المالية، والجهات الحكومية، والبنية التحتية الحيوية — تظل الوسائط المادية قناة رئيسية لاستقبال الملفات، كما أنها تمثل نقطة ضعف أمنية غالبًا ما يُهمل الاستثمار فيها.

لطالما كان الكشف هو النهج الأمني السائد في التعامل مع تهديدات الملفات: فحص الملف، ومقارنته بالتوقيعات المعروفة، ثم إما وضع علامة عليه أو السماح بمروره. وكان هذا النموذج ملائماً لعالم كانت فيه التهديدات ذات هياكل ثابتة، وسرعة إنتاج محدودة بفعل العنصر البشري، وتوقيعات سلوكية يمكن التعرف عليها. لكن هذا العالم لم يعد موجوداً.

«يعتمد الكشف على افتراض أنك قادر على التمييز بين الملف الآمن والملف الخطير. وقد أثبتت الذكاء الاصطناعي خطأ هذا الافتراض. فالاستجابة الذكية لا تكمن في تحسين عملية الكشف، بل في التخلص من الحاجة إلى الوثوق بالملف أصلاً.»

في عصر IntelligentFILE، فإن الفجوة بين ما أدوات الكشف تحديده بشكل موثوق وما تستطيع التهديدات التي تولدها الذكاء الاصطناعي إنتاجه هي فجوة هيكلية وليست تدريجية. أدوات نسبة الكشف أدوات المحرك الواحد أقل من 50% في مواجهة التهديدات التي يولدها الذكاء الاصطناعي في لحظة ظهورها. وتتأخر قواعد بيانات التوقيعات عن التهديد بمقدار 24 إلى 72 ساعة — وهي مدة طويلة جدًا في بيئة يتم فيها إنشاء حمولات متعددة الأشكال لكل هدف ولكل حملة. كما أن مشكلة «النظرة الأولى» تعني أنه في اللحظة التي يتم فيها اكتشاف بنية تهديد جديدة يولدها الذكاء الاصطناعي، أدوات القديمة غير قادرة على رصدها حتى يتم تحديث التوقيعات — وهي نافذة يستغلها المهاجمون بنشاط.

وإذا لم يعد الكشف كافياً، فما الذي يحل محله؟ الجواب هو تغيير في النهج — من نموذج يسأل «هل هذا الملف ضار؟» إلى نموذج يسأل «هل يمكنني إزالة المخاطر المرتبطة بهذا الملف تماماً قبل دخوله إلى البيئة؟»

هذا هو المنطق الذي تعتمد عليه تقنية Deep CDR™، التي لا تسعى إلى الكشف عن المحتوى الضار، بل تقوم بدلاً من ذلك بتفكيك الملف، وإزالة جميع العناصر النشطة بغض النظر عما إذا كانت تبدو مهددة أم لا، ثم إعادة بناء نسخة نظيفة من الناحية الهيكلية للاستخدام. وهو نهج قائم على مبدأ «عدم الثقة» يُطبق على مستوى الملف: لا يُعتبر أي ملف موثوقًا به، ويتم تطهير كل ملف، كما يُرفع عبء الإثبات عن أداة الفحص تمامًا.

نقطة التحول لعام 2026: انخفضتتكلفة إنشاء مستند ضار إلى ما يقارب الصفر. وبلغت تكلفة أي خرق أمني 4.4 مليون دولارفي الخدمات المالية. ولم يسبق أن كان هذا التفاوت أكبر مما هو عليه الآن — ونموذج الأمان الذي يفترض أن الكشف عن التهديدات يمكنه سد هذه الفجوة قد صُمم لعصر مختلف. ويتطلب IntelligentFILE استجابة مختلفة.

مع تزايد قدرات نماذج الذكاء الاصطناعي وتحوّل سير العمل القائم على العوامل الفاعلة إلى القاعدة السائدة، سيستمر «الملف» في اكتساب قدرات جديدة — ومخاطر جديدة. لكن نقطة التحول قد حدثت بالفعل. فقد تجاوز «الملف» بالفعل العتبة التي تفصل بين كونه كائنًا سلبيًّا وكونه عاملًا مؤثرًا. والبنية اللازمة لإدارته عند هذا المستوى من القدرات متوفرة اليوم. والسؤال المطروح هو: هل ستقوم الشركات بنشرها قبل أن تصبح تكلفة عدم القيام بذلك أمرًا لا مفر منه؟

في المقالة التالية من هذه السلسلة، سنتناول الجانب العملي: ما الذي يعنيه تطور تقنية IntelligentFILE بالنسبة لمركز عمليات الأمن — أي الفرق المسؤولة عن كشف التهديدات التي يولدها هذا المشهد الجديد للملفات يوميًا، وتصنيفها، والاستجابة لها.

تعد مخاطر الملفات من المخاطر المالية. OPSWAT بيانات العملاء وأنظمة المعاملات والامتثال للوائح التنظيمية من خلال نظام متعدد الطبقات لمنع التهديدات التي تستهدف البيانات.

تعرف على المزيد حول كيفية حماية مؤسستك باستخدام حلول OPSWAT حلول للمؤسسات المالية.