شهد الشهر الماضي انتشارًا هائلاً لأطر عمل اختبار الاختراق (pentesting) المدعومة بنماذج اللغة الكبيرة (LLM) وأدوات تنسيقها. ما كان قبل أسابيع قليلة مقتصرًا على ARTEX، وهو نظام مفتوح المصدر لاختبار الاختراق الآلي، أصبح اليوم ساحة مزدحمة تضم أكثر من 50 عائلة من أطر العمل التي تحاول مسح عملاء Cloudflare عالميًا.
الآلاف من عناوين IP تدير هذه الأطر، والعدد في ازدياد يومي. هذا الانتشار غيّر الوضع الراهن في الدفاع السيبراني بشكل كبير، حيث يجد المدافعون صعوبة في مواكبة الهجمات الحجمية ذاتية التوجيه.
قصة ARTEX وتأثيره
كان ARTEX، الذي طوّره Autumn-27، أداة قوية للغاية لدرجة أن منشئه سحبها في 8 أكتوبر، مشيرًا إلى أن «الاستغلال الخبيث لهذه الأداة يتعارض تمامًا مع هدفها الأصلي». ولكن بدلاً من أن يتلاشى، أدى سحب الأداة إلى «تأثير هيدرا»، حيث تسببت إزالة المستودع الأصلي في زيادة هائلة في عدد النسخ المتفرعة (forks) والتعديلات. يوجد الآن أكثر من 12,000 مستودع، ومئات النسخ الفريدة التي تنحدر من المستودع الأصلي، بالإضافة إلى مئات أطر عمل التنسيق الآلية المماثلة التي أُنشئت منذ ذلك التاريخ.
منذ الأول من أكتوبر، زادت طلبات أدوات اختبار الاختراق والاستغلال بالذكاء الاصطناعي بمقدار 30 ضعفًا. لا تقتصر هذه الأدوات على المسح فحسب، بل بدأت في ربط بيانات الاعتماد المسروقة في هجمات أكثر تعقيدًا، مثل الانتقال الجانبي داخل البيئات المستهدفة.
نموذج الأمن الحديث: كيف نحمي أنفسنا؟
مع استمرار انتشار هذه الأطر، تتوقع Cloudflare أن كل مؤسسة يجب أن تكون مستعدة لمواجهة هذا التهديد. لمواجهة أطر عمل اختبار الاختراق المعتمدة على LLM، توصي Cloudflare بتبني ما تسميه «نموذج الأمن الحديث»، الذي يرتكز على ستة أعمدة أساسية:
- تحصين البوابة الأمامية: تطبيق جدران حماية تطبيقات الويب (WAF) مع قواعد متقدمة مثل حدود المعدل.
- محطة أمن في الردهة: اكتشاف الشذوذ في جميع تطبيقات الويب التي يصل إليها العملاء.
- تحديد الزوار المزيفين: تطبيق دفاع البوتات.
- إزالة الباب الخلفي: تطبيق الوصول المقيد بالهوية لجميع تطبيقات الويب عالية المخاطر الخارجية والداخلية.
- فحص التسليمات: فرض مخططات (schemas) صالحة وضوابط أمنية واضحة.
- مراقبة الحي: تطبيق استخبارات التهديدات لاكتساب رؤية حول الهجمات.
وكلاء الذكاء الاصطناعي: تحول في الهجوم السيبراني
تعمل أطر عمل اختبار الاختراق مفتوحة المصدر على تنسيق وكلاء الذكاء الاصطناعي لتنفيذ مراحل سلسلة الهجمات السيبرانية التقليدية (Cyber Kill Chain) على نطاق واسع. تسمح أدوات مثل ARTEX بالاتصال السريع ببروتوكول سياق النموذج (MCP) الحالي وربط أدوات اختبار الاختراق التقليدية المستقلة بطرق مبتكرة. يمكن لهذه الأدوات رسم خرائط للبيئات وتعدادها، من الداخل والخارج.
يمثل الطابع الذاتي بالكامل لهؤلاء الوكلاء تحولًا عقائديًا في القدرات الهجومية السيبرانية. لم تعد المهارات البشرية هي الحد الأقصى، حيث ينفذ الوكيل كل خطوة من حلقات OODA (المراقبة، التوجيه، القرار، الفعل) بشكل مستقل. كما تزيد هذه الأدوات من سرعة الهجمات، إذ يعمل وكلاء متوازيون متعددون نحو هدف واحد، وتوسع نطاق الهجمات، مما يسمح لمشغل واحد باستهداف منظمات متعددة في نفس الوقت.
ملاحظات من شبكة عالمية
وفقًا لملاحظات Cloudflare، شكل ARTEX ونسخه المتفرعة أكثر من 60% من منسقي اختبار الاختراق بالذكاء الاصطناعي المعروفين حتى 12 نوفمبر. وقد لاحظ فريق Cloudforce One في Cloudflare كيف يتم ربط بيانات الاعتماد المكشوفة مع أطر عمل الاستغلال القائمة على LLM لاكتساب اليد العليا على المدافعين. وشملت حوادث متعددة حصول جهة فاعلة في التهديد على وصول مبدئي إلى بيئة hyperscaler والتحول مباشرة إلى بيئة Cloudflare الخاصة بالعميل.
كشفت تحليلات السبب الجذري عن فشل شائع في نظافة بيانات الاعتماد: تم اختراق الرموز الثابتة غير المنتهية الصلاحية التي تعمل داخل مسارات CI/CD، مما منح وصولاً واسعًا عبر البيئات المختلفة للبنية التحتية للمؤسسة. وتزيد أطر عمل LLM بشكل كبير من احتمالية استغلال مفاتيح API الخاصة بالعملاء بشكل جانبي للسيطرة على بيئات مستأجرين أخرى. في إحدى الحالات، لوحظ ARTEX وهو يصل إلى رمز API لحساب مخترق كان يستخدم لـ CI/CD بدون قيود IP أو تحديد معدل، مما أدى إلى إنشاء عدد كبير من Worker scripts جديدة وتنفيذ أكثر من 69 طلبًا في الدقيقة عبر أجزاء مختلفة من البنية التحتية لـ Cloudflare، و 400 طلب تفريغ قاعدة بيانات في ساعة واحدة.
ماذا يعني هذا للمطورين والمصممين؟
بالنسبة للمطورين والمصممين، يعني هذا التحول أن الدفاع السيبراني لم يعد يعتمد فقط على حماية النقاط الفردية، بل على فهم وتوقع الهجمات المنسقة ذاتيًا. يجب التركيز على ممارسات الأمن الحديثة: تحديث جدران الحماية، تطبيق كشف الشذوذ، الدفاع ضد البوتات، فرض الوصول المقيد بالهوية، والتحقق من المخططات والضوابط الأمنية. كما أن مراجعة وتنظيف بيانات الاعتماد، خاصة الرموز غير المنتهية الصلاحية في مسارات CI/CD، أصبح أمرًا حاسمًا أكثر من أي وقت مضى. فالتهديد ليس مجرد أداة جديدة، بل طريقة جديدة تمامًا للهجوم تتطلب استراتيجية دفاعية مطورة.
المصدر: blog.cloudflare.com