پredict: خسارت‌های سایبری تا سال ۲۰۲۶ به ۱۰.۵ تریلیون دلار می‌رسد

تصور کنید بدافزاری را که هر بار اجرا می‌شود، کد خود را تغییر می‌دهد تا هیچ آنتی‌ویروسی نتواند آن را شناسایی کند. این کابوس اکنون با کمک هوش مصنوعی به واقعیت تبدیل شده و هزینه‌های جهانی را به سمت رقمی تکان‌دهنده می‌برد.

طبق پیش‌بینی‌ها، هزینه خسارات سایبری جهانی تا سال ۲۰۲۶ به ۱۰.۵ تریلیون دلار خواهد رسید. این رقم خیره‌کننده در حالی به دست آمده که هوش مصنوعی در حال تبدیل شدن از یک ابزار مفید به سلاحی است که هم توسط متخصصان امنیتی و هم oleh مهاجمان تحت حمایت دولت‌ها به کار گرفته می‌شود. AI اکنون در همه جا حضور دارد؛ قادر است تصاویر را شناسایی کند، زبان را بفهمد و با یادگیری الگوها از مجموعه داده‌های عظیم، به صورت خودکار کدنویسی کند.

برای سال‌ها، امنیت سایبری بر تکیه به تحلیلگران انسانی برای شناسایی الگوها در گزارش‌های سیستم (Logs) استوار بود. اما با توجه به اینکه تقریباً هر ۳۹ ثانیه یک حمله سایبری رخ می‌دهد، حجم داده‌ها از ظرفیت پردازش انسانی پیشی گرفته است. به نقل از گزارش ۴ ژوئیه ۲۰۲۶ در dev.to، صنعت امنیت در سراسر جهان با خلأ عظیم ۳.۵ میلیون پست شغلی خالی در حوزه امنیت سایبری روبروست. این خلاء مهارتی باعث شده است که دفاع تقویت‌شده با AI دیگر یک انتخاب نباشد، بلکه به یک ضرورت تبدیل شود.

دفاع‌کنندگان از شبکه‌ها اکنون برای حفظ قابلیت رؤیت و سرعت پاسخگویی، از یک پشتهٔ دفاعی سه‌لایه استفاده می‌کنند:

• تحلیل رفتاری (Behavioral Analytics): مدل‌های هوش مصنوعی یاد می‌گیرند که وضعیت «نرمال» برای یک کاربر یا شبکه خاص چگونه است و این امر به آن‌ها اجازه می‌دهد تا ناهنجاری‌ها را تقریباً در لحظه علامت‌گذاری کنند.
• سیستم‌های مدیریت رویداد امنیتی (SIEM): هوش مصنوعی به غربال کردن حجم عظیمی از داده‌های لاگ کمک می‌کند، تعداد مثبت‌های کاذب (False Positives) را کاهش می‌دهد و تهدیدات واقعی را که در غیر این صورت در میان نویزها دفن می‌شدند، بیرون می‌کشد.
• سامانه‌های ارکستراسیون و پاسخ خودکار (SOAR): این سیستم‌ها می‌توانند به طور خودکار به حملات پاسخ دهند؛ برای مثال، یک IP مخرب را مسدود کنند یا یک دستگاه آلوده را ایزوله نمایند، بدون اینکه منتظر بمانند تا یک انسان روی دکمه‌ای کلیک کند.

فراتر از این لایه‌ها، پژوهشگران امنیتی و تست‌کننده‌های نفوذ برای اسکن خودکار نقاط ضعف و تحلیل کد منبع (Source Code Analysis) به AI تکیه می‌کنند. آن‌ها همچنین از آن برای «تیم قرمز» (Red Teaming) استفاده می‌کنند که شامل شبیه‌سازی حملات دنیای واقعی برای یافتن شکاف‌ها پیش از آن است که یک بازیگر مخرب آن‌ها را پیدا کند. با این حال، پیچیدگی‌های زیرساختی همچنان پابرجاست؛ چنان‌که برخی حفره‌های امنیتی در زنجیره تأمین AI می‌توانند حتی دسترسی‌های سطح بالایی مانند OpenAI را در مدت کوتاهی به خطر بیندازند.

اما در جبهه مقابل، مهاجمان از همین هوشمندی برای دور زدن دفاعات سنتی استفاده می‌کنند. هوش مصنوعی یک تکنولوژی «دو منظوره» است؛ هر چیزی که برای دفاع ساخته شود، می‌تواند برای حمله بازسازی شود. خطرناک‌ترین خروجی این روند، «بدافزارهای چندریختی» (Polymorphic Malware) است؛ کدهایی مخرب که هر بار اجرا می‌شوند، ساختار خود را بازنویسی می‌کنند. این ویژگی باعث می‌شود آن‌ها برای آنتی‌ویروس‌های مبتنی بر امضا (Signature-based) که به دنبال الگوهای استاتیک و خاص می‌گردند، عملاً نامرئی باشند.

مهندسی اجتماعی نیز تکامل یافته است. توصیه‌های قدیمی مبنی بر «بررسی غلط‌های املایی» در ایمیل‌های فیشینگ دیگر کاربرد ندارد. ابزارهای AI و نسخه‌های مخرب مدل‌های زبانی اکنون می‌توانند پروفایل لینکدین یا شبکه‌های اجتماعی هدف را استخراج (Scrape) کنند تا ایمیل‌های «فیشینگ هدفمند» (Spear-phishing) کاملاً شخصی‌سازی شده‌ای بنویسند که از نظر دستوری هیچ نقصی ندارند.

جعل عمیق (Deepfake) و جعل هویت مدیران ارشد، تغییر بزرگ دیگری در این حوزه است. این روش شامل استفاده از صدا یا ویدئوی جعلی از یک مدیر شرکت برای تایید انتقال‌های مالیFraudulent است. در یک مورد مستند، یک شرکت چندملیتی حدود ۲۵ میلیون دلار را از طریق این متد خاص کلاهبرداری AI از دست داد.

در همین حال، ابزارهای تست نفوذ (Penetration Testing) با کاهش حجم کارهای دستی و تکراری، در حال تغییر هستند. سه ابزار پیشرو در این تحول عبارتند از:

۱. PentestGPT: دستیاری مبتنی بر LLM که کاربران را گام‌به‌گام در متدولوژی تست نفوذ راهنمایی می‌کند و پیشنهاد می‌دهد که در هر مرحله، کدام تکنیک خاص را روی هدف امتحان کنند.
۲. Burp AI: قابلیتی در Burp Suite که درخواست‌های HTTP را تحلیل کرده و نقاط ضعف احتمالی را به زبان ساده و قابل فهم توضیح می‌دهد.
۳. XBOW: پلتفرمی خودمختارتر که قادر است به تنهایی نقاط ضعف را بیابد، آن‌ها را اکسپلویت کند و در نهایت گزارش نهایی را به طور مستقل تولید نماید.

با وجود این اتوماسیون، تایید انسانی همچنان غیرقابل مذاکره است. اعتماد کورکورانه به یک کد مخرب (Payload) یا گزارشی که توسط AI تولید شده، اشتباهی است که منتظر وقوع است. یک گردش‌کار استاندارد AI-assisted باید توالی سختگیرانه زیر را طی کند:

• شناسایی (Recon): جمع‌آوری اطلاعات هدف با ابزارهایی مثل Shodan، Censys و OSINT تقویت‌شده با هوش مصنوعی.
• تحلیل AI: یک مدل زبانی بزرگ داده‌های جمع‌آوری شده را بررسی می‌کند تا نقاط ضعف احتمالی را علامت‌گذاری کند.
• پیشنهاد اکسپلویت: ابزارهایی مثل PentestGPT ایده‌های حمله را پیشنهاد می‌دهند، اما این ایده‌ها هرگز بدون بررسی اجرا نمی‌شوند.
• تایید انسانی: یک متخصص تست نفوذ واقعی، همه موارد را پیش از آنکه گزارش به دست مشتری برسد، بازبینی و تایید می‌کند.

ادغام AI مزایای واضحی در سرعت و مقیاس ارائه می‌دهد. تحلیل هزاران لاگ در لحظه برای AI trivial (بسیار ساده) است اما برای انسان طاقت‌فرسا. تشخیص الگو می‌تواند تهدیدات «روز صفر» (Zero-day) را حتی بدون داشتن امضای شناخته شده شناسایی کند. هشدارهای آگاه از متن (Context-aware) باعث می‌شود تحلیلگران در میان نویزها غرق نشوند و حتی تیم‌های کوچک امنیتی بتوانند زیرساخت‌های مقیاس بزرگ را مانیتور کنند.

با این حال، چندین محدودیت جدی وجود دارد که نمی‌توان آن‌ها را نادیده گرفت:

• مشکل جعبه سیاه (The Black Box Problem): اغلب غیرممکن است که دقیقاً توضیح دهیم چرا یک مدل AI تصمیم خاصی گرفته است. این موضوع زمانی که تصمیم مدل باید به عنوان مدرک در دادگاه پذیرفته شود، یک چالش بزرگ است.
• منفی‌های کاذب (False Negatives): یک مدل که بد آموزش دیده باشد، می‌تواند به سادگی یک تهدید واقعی را نادیده بگیرد و حس امنیت کاذبی ایجاد کند.
• ورودی زباله، خروجی زباله (Garbage In, Garbage Out): هوش مصنوعی تنها به اندازه داده‌هایی که روی آن‌ها آموزش دیده، کارآمد است؛ داده‌های سوگیرانه یا ناقص منجر به امنیت معیوب می‌شوند.

از نظر قانونی، تکنولوژی سریع حرکت می‌کند اما قانون کندتر است. این شکاف باعث ایجاد «مشکلات انتساب» (Attribution Problems) می‌شود؛ جایی که اثبات اینکه چه کسی واقعاً یک حمله AI-محور را اجرا کرده، تقریباً غیرممکن است. همچنین سوالاتی درباره صلاحیت قضایی فرامرزی وجود دارد؛ به ویژه اینکه وقتی مهاجم و قربانی در کشورهای مختلف هستند، قوانین کدام کشور اعمال می‌شود.

برای پیمودن این مسیر، چارچوب‌هایی مثل EU AI Act (قانون هوش مصنوعی اتحادیه اروپا) و NIST AI Risk Management Framework در حال معرفی بازرسی‌های سختگیرانه برای سیستم‌های AI پرریسک و اجباری کردن واترمارک (Watermarking) برای محتوای Deepfake هستند. این قوانین تلاش می‌کنند تعریف کنند چه کسی اجازه دارد در دنیای دیجیتال چه کاری انجام دهد و جریمه‌های متخلفان را تعیین کنند.

در هسته خود، قانون سایبری برای محافظت از داده‌های حساس کاربر و حریم خصوصی، جلوگیری از جرایمی مانند دسترسی غیرمجاز، محافظت از مالکیت معنوی (کپی‌رایت محتوای دیجیتال) و مشروعیت بخشیدن به تجارت الکترونیک برای اجرایی کردن تراکنش‌های آنلاین وجود دارد.

اخلاقیات دستورالعمل‌هایی هستند که باید رفتار یک متخصص را حتی زمانی که قانون ساکت است، هدایت کنند. اخلاق امنیتی بر سه رکن اصلی استوار است:

• یکپارچگی (Integrity): هرگز تغییرات مضر در سیستم مشتری ایجاد نکند و هرگز از یک نقطه ضعف برای سود شخصی بهره‌برداری نکند.
• حریم خصوصی (Privacy): اطمینان از اینکه داده‌های حساس، کد منبع یا اعتبارنامه‌های (Credentials) کشف شده در حین تست، هرگز فاش نشوند.
• پاسخگویی (Accountability): باقی ماندن دقیق در محدوده توافق‌شده (Scope) و ارائه گزارش‌های صادقانه و کامل.

مهارت فنی یک فرد را به «هکر» تبدیل می‌کند، اما اخلاقیات و رعایت قوانین است که او را به یک «متخصص امنیت» تبدیل می‌نماید. متخصصان اکنون باید به یک توافق‌نامه سختگیرانه «قواعد درگیری» (Rules of Engagement یا ROE) پایبند باشند. این سند قانونی معمولاً موارد زیر را پوشش می‌دهد:

• تعریف دقیق آنچه تست‌کننده مجاز است یا نیست انجام دهد.
• پنجره زمانی تعریف شده برای تست (که اغلب برای ساعات کم‌ترافیک برنامه‌ریزی می‌شود).
• ابزارها و تکنیک‌های مجاز (مثلاً تصریح اینکه آیا اکسپلویتی خودکار AI یا مهندسی اجتماعی مجاز است یا خیر).
• یک مخاطب اضطراری در صورتی که سیستمی در میان تست دچار خرابی شود.

«محدوده» یا Scope، مرز دقیق را رسم می‌کند و مشخص می‌کند کدام دامنه‌ها، IPها یا اپلیکیشن‌ها در محدوده تست هستند و کدام موارد — مانند درگاه‌های پرداخت شخص ثالث — دقیقاً خارج از محدوده و ممنوعه هستند. نادیده گرفتن مرحله ROE می‌تواند یک تست قانونی را به یک جرم واقعی تبدیل کند.

با ساده‌تر شدن هک‌های فنی توسط AI، ارزش یک «متخصص امنیت» از مهارت فنی خام به سمت اخلاقیات و انضباط تغییر می‌کند. قانون طلایی روشن است: «اشتباه AI» یک دفاع قانونی معتبر نیست؛ کاربر انسانی تمام مسئولیت‌ها را بر دوش می‌کشد.

این بدان معنای این است که باید استانداردی بالاتر از آنچه قانون صریحاً می‌طلبد، رعایت کرد:

• نگه داشتن مستندات دقیق و لاگ‌های دستورات (Command Logs).
• حفظ زنجیره توثیقی (Chain of Custody) مناسب برای داده‌های حساس.
• پاکسازی امن داده‌های جمع‌آوری شده طبق سیاست توافق شده پس از پایان پروژه.
• پیروی از چارچوب‌های تثبیت شده مانند OWASP و NIST.
• تست ابزارها یا اکسپلویت‌های جدید در یک آزمایشگاه ایزوله پیش از آنکه هرگز با محیط عملیاتی (Production) تماس پیدا کنند.

تمرین «افشای مسئولانه» (Responsible Disclosure) نیز حیاتی است؛ یعنی گزارش نقاط ضعف به فروشندگان به صورت خصوصی، معمولاً با یک پنجره ۹۰ روزه برای وصله کردن (Patch)، به جای انتشار عمومی آن‌ها. ایجاد اختلال عمدی در سیستم زنده مشتری برای «ثابت کردن یک نکته» کاملاً غیراخلاقی تلقی می‌شود.

سازمان‌ها به طور فزاینده‌ای به دنبال متخصصانی هستند که گواهینامه‌های امنیت AI دارند. این تقاضا به ویژه در ۶ صنعت پیشرو که اکنون اولویت بالایی برای استخدام متخصصان دارای گواهینامه امنیت هوش مصنوعی قائل هستند، به شدت در حال افزایش است. تقاضا در شرکت‌های فناوری نرم‌افزاری که باید از مدل‌های AI و داده‌های حساس خود در برابر این تهدیدات متخاصم جدید محافظت کنند، در حال افزایش است.

آینده به سمت «هوش مصنوعی عامل‌محور» (Agentic AI) پیش می‌رود؛ سیستم‌هایی که قادرند کل تست‌های نفوذ یا عملیات شکار تهدید را با کمترین ورودی انسانی اجرا کنند. با این حال، از آنجایی که ابزارهای حمله با همان سرعت تکامل می‌یابند، مزیت رقابتی نه در داشتن بهترین مدل، بلکه در داشتن بهترین نظارت انسانی خواهد بود.

هوش مصنوعی اکنون یک تکنولوژی واقعاً دو منظوره است؛ یک تکثیرکننده نیرو (Force Multiplier) برای هر دو جبهه دفاع و حمله. در حالی که ابزارهایی مانند PentestGPT، Burp AI و XBOW کار را سریع‌تر می‌کنند، تصمیم نهایی باید انسانی باقی بماند. زیرا وقتی AI اشتباه می‌کند، AI پیامدهای آن را تحمل نمی‌کند، بلکه شخصی که از آن استفاده کرده است، پاسخگو است.

گام بعدی شما

• اگر مدیر فناوری هستید، استراتژی دفاعی خود را از «تشخیص الگو» به «تحلیل رفتاری» مبتنی بر AI تغییر دهید.
• متخصصان امنیت را به استفاده از ابزارهایی مثل PentestGPT برای سرعت بخشیدن به Recon تشویق کنید، اما لایه تایید انسانی را حذف نکنید.
• توافق‌نامه‌های ROE خود را به‌روز کنید تا صراحتاً استفاده از ابزارهای AI را در تست‌های نفوذ تعریف کنند.

اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است؛ برای درک اینکه چه تراشه‌هایی این حملات را ممکن می‌کنند، به تحلیل ما درباره تراشه‌های Blackwell مراجعه کنید.