«شکاف مهارتی در امنیت سایبری از بین رفت»؛ پیامد جدید هوش مصنوعی

تصور کنید یک هکر آماتور با انگیزه‌ای شخصی، حالا ابزارهایی در اختیار دارد که پیش از این فقط در اختیار سازمان‌های اطلاعاتی کشورهای بزرگ بود. این دیگر یک سناریوی تخیلی نیست، بلکه واقعیت جدیدی است که امنیت دیجیتال ما را تهدید می‌کند. این هشدار صریح تیم پژوهشی Unit 42 از شرکت Palo Alto Networks است؛ تیمی که دریافت هکرهایی با مهارت پایین که دارای کینه‌ای شخصی هستند، اکنون می‌توانند از همان تسلیحات دیجیتالی استفاده کنند که پیش‌تر منحصراً در اختیار آژانس‌های اطلاعاتی تحت حمایت دولت‌ها بود.

به نقل از این تیم، هوش مصنوعی یک چرخش نسلی دائمی در نحوه طبقه‌بندی تهدیدات سایبری ایجاد کرده است. سال‌ها بود که صنعت بین «اسکریپت‌کیدی‌ها» (Script Kiddies) — آماتورهایی که از ابزارهای پیش‌نویس و آماده استفاده می‌کنند — و بازیگران پیچیده دولتی تفاوت قائل بود؛ اما اکنون این مرز در حال فروپاشی است. همان‌طور که در تحلیل قبلی ما درباره‌ی اتوماسیون گردش‌کارهای پیچیده API توسط عامل‌های هوش مصنوعی اشاره کردیم، اکنون می‌بینیم که همین قابلیت‌های عامل‌محور (Agentic) — شبیه به دستیاری که نه تنها دستور می‌گیرد، بلکه خودش تصمیم می‌گیرد چه ابزاری را در چه زمانی به کار ببرد — در تمام زنجیره حمله (Attack Chain) به کار گرفته می‌شوند.

در یک جلسه توجیهی در روز چهارشنبه، Unit 42 جزئیاتی از یافته‌های سرویس Frontier AI Defense را منتشر کرد. این سرویس که در آوریل ۲۰۲۴ راه‌اندازی شد، با ترکیب هوش تهدید (Threat Intelligence)، تله‌متری تهدیدات و مدل‌های پیشرو هوش مصنوعی، به سازمان‌ها کمک می‌کند تا با مسائل امنیتی که به دلیل ظهور هوش مصنوعی زاینده فوریت یافته‌اند، مقابله کنند.

سرعت ویرانگر نفوذ

بر اساس مستندات و داده‌های داخلی Unit 42، نتایج آزمایش‌های آن‌ها تکان‌دهنده است. آن‌ها کشف کردند که هوش مصنوعی می‌تواند برای شناسایی و بهره‌برداری از نقاط ضعف، ارتقای سطح دسترسی (Privilege Escalation) و سرقت داده‌ها، همگی در بازه زمانی کمتر از ۱۰ ساعت استفاده شود. در حالت عادی، یک تیم انسانی متخصص در زمینه تست نفوذ (Penetration Testing) برای به سرانجام رساندن همین عملیات به حدود دو هفته زمان نیاز دارد.

این تیم تنها در سه هفته آزمایش داخلی، حجم کاری معادل یک تا دو سال تست نفوذ سنتی را شبیه‌سازی و تکمیل کرد. این فرآیند با استفاده از مدل‌های تست نفوذ مبتنی بر هوش مصنوعی، ده‌ها نقطه ضعف را در محیط‌های مختلف مشتریان شناسایی کرد. این سرعت خیره‌کننده به مهاجمان اجازه می‌دهد بسیار سریع‌تر از آن چیزی حرکت کنند که چرخه‌های دفاعی اکثر شرکت‌ها بتوانند به آن واکنش نشان دهند. این اتوماسیون سریع، مشابه مواردی است که آژانس‌های امنیتی آمریکا درباره اتوماسیون حملات به کنترلرهای صنعتی زیمنس توسط هوش مصنوعی هشدار داده بودند و نشان می‌دهد که زیرساخت‌های حیاتی نیز در معرض ریسک مشابهی هستند.

ظهور بدافزارهای عامل‌محور

هوش مصنوعی دیگر فقط برای کمک به هکرها در نوشتن ایمیل‌های فیشینگ متقاعدکننده‌تر یا ترجمه کدها نیست؛ بلکه به یک «ضریب قدرت» (Force Multiplier) تبدیل شده است که نحوه عملکرد امنیت سایبری را تغییر می‌دهد. پیش از این، بازیگران تهدید از مدل‌های زبانی بزرگ (LLM) به صورت تکه‌تکه و مجزا استفاده می‌کردند؛ برای مثال، یا برای بهبود کمپین‌های فیشینگ، یا ترجمه زبان‌ها و یا کمک در مذاکرات مربوط به باج‌افزارها. اما اکنون، هوش مصنوعی در تمام مراحل فرآیند حمله به طور یکپارچه به کار گرفته می‌شود.

Unit 42 به بدافزار JadePuffer اشاره کرد که به باور آن‌ها یک حمله باج‌افزاری کاملاً عامل‌محور است. برخلاف بدافزارهای سنتی، JadePuffer تمام مراحل حمله — از ورود اولیه به سیستم تا رمزگذاری نهایی داده‌ها — را به‌طور خودکار و مستقل مدیریت می‌کند. این امر نیاز به یک اپراتور انسانی برای اجرای دستی هر مرحله از نفوذ را کاملاً از بین می‌برد.

بازیگران جدید میدان نبرد

از نظر تاریخی، حملات سایبری به دو دسته اصلی تقسیم می‌شدند: حملاتی که با اهداف مالی هدایت می‌شدند و حملاتی که توسط بازیگران تهدید دولتی برای کسب اطلاعات، نظارت یا تخریب انجام می‌شد. دسته‌های کوچک‌تر شامل «هکتیویست‌ها» بودند که به دلایل اجتماعی یا سیاسی فعالیت می‌کردند.

شرود دگریپو، معاون اطلاعات تهدید در Unit 42، اشاره می‌کند که گروه‌های دارای انگیزه‌های اجتماعی اکنون به دلیل هوش مصنوعی، «با همان ابزارها و پیچیدگی‌هایی تجهیز شده‌اند که پیش‌تر مخصوص گروه‌های تحت حمایت دولت‌ها بود». این تغییر، سه گروه را به شدت خطرناک کرده است:

• کارمندان سابق ناراضی: افرادی که کینه‌ای از کارفرمای سابق یا کسب‌وکارهایی دارند که با آن‌ها تعامل داشته‌اند اما آنچه وعده داده شده بود را دریافت نکرده‌اند، اکنون توانایی‌های لازم برای اجرای فعالیت‌های مخرب را در اختیار دارند.
• هکتیویست‌ها: گروه‌هایی مانند Anonymous می‌توانند شاهد یک رنسانس یا بازگشت قدرتمند باشند. هوش مصنوعی افراد را به گونه‌ای توانمند می‌کند که هرگز پیش از این نبوده‌اند و بازگشت هکتیویسم قدیمی را «کاملاً ممکن» می‌سازد.
• عوامل کم‌مهارت: افرادی که می‌دانند چگونه از یک ابزار استفاده کنند، اما درک عمیقی از زبان‌های برنامه‌نویسی برای تغییر تسلیحات دیجیتال ندارند، اکنون می‌توانند از هوش مصنوعی برای انجام تحلیل‌ها، مهندسی معکوس یا توسعه ابزارهای اختصاصی برای خود استفاده کنند.

دگریپو تأکید کرد که این چشم‌انداز به طور مداوم گسترش خواهد یافت و بازیگران کم‌مهارتی را وارد میدان می‌کند که اکنون «قابلیت‌هایی به‌طور نمایی بزرگ‌تر و بهتر از آنچه پیش از این دیده‌ایم» دارند.

شکاف زیرساختی و دشواری ردیابی

این تحول، یک مشکل عظیم در زمینه دیده‌رسانی (Visibility) برای تیم‌های مرکز عملیات امنیت (SOC) ایجاد کرده است. نظارت‌های سنتی بر یک مسیر خطی متمرکز بود: «کاربر $ \rightarrow $ دستگاه $ \rightarrow $ برنامه $ \rightarrow $ شبکه».

همان‌طور که کارشناسان صنعت اشاره کرده‌اند، لایه جدید بسیار پیچیده‌تر است: «عامل‌های هوش مصنوعی $ \rightarrow $ ابزارها $ \rightarrow $ APIها $ \rightarrow $ برنامه‌ها $ \rightarrow $ داده‌ها». چالش دیگر تنها محافظت از مدل هوش مصنوعی نیست، بلکه نظارت بر هر اقدامی است که یک عامل خودگردان (Autonomous Agent) می‌تواند در داخل یک سیستم انجام دهد.

علاوه بر این، انتساب حملات (Attribution) بسیار دشوارتر شده است. دسترسی آزاد به ابزارهای هوش مصنوعی باعث می‌شود شناسایی اینکه چه کسی مسئول حملات است و منشأ آن‌ها کجاست، برای مدافعان چالش‌برانگیزتر شود. هوش مصنوعی میدان نبرد را برای گروه‌هایی باز کرده است که پیش از این دغدغه اصلی سازمان‌ها نبودند.

استراتژی‌های دفاعی برای مدیران

سام روبین، معاون ارشد مشاوره و اطلاعات تهدید در Unit 42، استدلال می‌کند که زمانی یک «تعادل نسبی بین امنیت و نفوذ به اطلاعات ما» وجود داشت، اما اکنون «هوش مصنوعی در حال شکستن آن تعادل است». از آنجایی که اجرای دستیِ کشف نقاط ضعف و توسعه بدافزار در حال منسوخ شدن است، مجرمان «زمان و انرژی خود را باز می‌یابند تا مؤثرتر عمل کنند».

به همین دلیل، Unit 42 پیشنهاد می‌کند که امنیت سایبری اکنون باید به یک گفتگوی در سطح هیئت مدیره تبدیل شود. آن‌ها چهار تغییر فوری را توصیه می‌کنند:

• پیاده‌سازی معماری اعتماد صفر (Zero-Trust): پذیرش مدل اعتماد صفر برای دسترسی و شناسایی با ذهنیتی مبتنی بر «نیاز به دسترسی» برای حساب‌های کاربری. این کار ریسک جابه‌جایی جانبی (Lateral Movement) مجرمان یا دسترسی آن‌ها به منابع حساس شرکتی را کاهش می‌دهد.
• آموزش و توانمندسازی کارکنان: عبور از تمرینات سالانه برای شناسایی فیشینگ و کلاهبرداری‌ها. سازمان‌ها باید در بهبود آگاهی کارکنان سرمایه‌گذاری کنند، زیرا عامل انسانی همچنان ضعیف‌ترین حلقه در زنجیره دفاع است.
• نظارت و تنظیم «هوش مصنوعی سایه» (Shadow AI): نظارت بر استفاده‌های غیرمجاز و تایید نشده از هوش مصنوعی توسط کارکنان. هوش مصنوعی سایه می‌تواند به عنوان یک نقطه ورود به شبکه و وسیله‌ای برای به اشتراک‌گذاری اطلاعات حساس بدون اجازه عمل کند و منجر به مشکلات انطباق (Compliance) شود.
• همکاری با متخصصان هوش مصنوعی و امنیت سایبری: از آنجایی که راهکارهای موجود ممکن است در برابر تهدیدات پیش‌رو محافظت نکنند، سازمان‌ها باید در پلتفرم‌های تخصصی سرمایه‌گذاری کنند یا با متخصصان باتجربه مشارکت نمایند.

این یک دوره تحول‌آفرین است که سازمان‌ها صرفاً باید از آن جان سالم به در ببرند. دگریپو افزود که «هیچ‌یک از ما برای آنچه به‌طور مداوم در حال تکامل است، آماده نیستیم». مدیران امنیت (CISO) اکنون باید یک استراتژی جامع هوش مصنوعی عامل‌محور از بالا تا پایین سازمان تدوین کنند و آماده باشند تا با تکامل روزانه ابزارها، خود را تطبیق دهند.

در آینده باید منتظر ظهور «عامل‌های دفاعی» باشیم که می‌توانند در لحظه به حملات پاسخ دهند یا نقاط ضعف را وصله (Patch) کنند؛ چرا که نبرد از دفاع انسان‌محور به جنگ «هوش مصنوعی در برابر هوش مصنوعی» تغییر مسیر می‌دهد.

گام بعدی شما

• بررسی دسترسی‌های API در سازمان خود و محدود کردن آن‌ها به حداقل نیاز.
• شناسایی ابزارهای هوش مصنوعی غیررسمی (Shadow AI) که توسط تیم‌ها استفاده می‌شود.
• به‌روزرسانی پروتکل‌های شناسایی نفوذ برای شناسایی رفتارهای غیرخطی عامل‌های هوش مصنوعی.