الذكاء الاصطناعي جعل الهجوم الفاشل رخيص التكرار، ومركز العمليات يفقد السياق عند كل تسليم

يواصل قادة الأمن الجدل حول ما إذا كان الذكاء الاصطناعي سيُنتج فئة جديدة كلياً من الهجمات السيبرانية. التغيير الأقرب أهدأ: الذكاء الاصطناعي جعل الهجوم الفاشل رخيصاً لإعادة المحاولة. كان المهاجم الذي يفشل في تصعيد الصلاحيات داخل حساب سحابي محدود الصلاحيات يقضي ساعات في الوثائق وتصحيح النصوص البرمجية؛ أما الآن فمع وجود نموذج في الحلقة، تُختبر مسارات جديدة خلال دقائق.

ماذا تُظهر تقارير التهديدات

في أوائل عام 2025، وجد فريق Google لاستخبارات التهديدات (GTIG) أن جهات مدعومة من دول تستخدم الذكاء الاصطناعي التوليدي في أعمال الإنتاجية، وفي أواخر العام نفسه وثّق الفريق برمجيات خبيثة تستشير نموذجاً أثناء التنفيذ، بينما أعلنت Anthropic إيقاف عملية ابتزاز اعتمدت على الذكاء الاصطناعي في كل مرحلة تقريباً. وفي مايو 2026، أفادت GTIG بأن جهات إجرامية سيبرانية وجدت طريقة لتجاوز المصادقة الثنائية في أداة إدارة مفتوحة المصدر وبنَت استغلالات عملية، وقيّمت بثقة عالية أن نموذج ذكاء اصطناعي دعم الاستكشاف والتطوير معاً. هذا تقييم لمساعدة، وليس استخداماً مؤكداً، لكن الاتجاه يبيّن أن الذكاء الاصطناعي يقع داخل سير عمل المهاجمين.

الهجمات تعمل بحلقة، والدفاع يبدأ من الصفر

ترسم الكتب المدرسية دورة حياة الهجوم كخط: الاستطلاع، الوصول، التصعيد، التأثير. أما المهاجم الفعلي فيعمل بحلقة: يراقب، يبني فرضية، يجرّب، يقرأ النتيجة ويعدّل، بينما يضغط الذكاء الاصطناعي الزمن بين الخطوات.

المفترض أن يعمل الدفاع بالحلقة نفسها، لكن الطوابير والتسليمات تقطعه عند كل مفصل: يبقى التنبيه بلا مسؤول، وتعيش صورة الهوية في وحدة تحكم أخرى، ويتحول نقص البيانات التشخيصية إلى بند في الطابور. يمكن الإقرار بتنبيه خلال دقائق ثم إنفاق ساعات في إعادة بنائه؛ تلك الفترة هي تأخير القرار.

خمس وظائف، خمسة تسليمات فاقدة

يوصف العمل عادة بخمس وظائف: استخبارات التهديدات، واصطياد التهديدات، وهندسة الكشف، والتحقيق، والمعالجة. نادراً ما تكون الوظائف نفسها هي المشكلة؛ فكل تسليم يضغط المعرفة في مؤشر أو تنبيه أو تذكرة ويفقد شيئاً.

على التسليم أن يحمل خمسة أشياء: هوية الكيان في مركز القضية، والأدلة ومصدرها، والفرضية الرئيسية ومستوى الثقة، وكفاية البيانات التشخيصية، وملكية القرار. إذا ضاع الأول، حقق فريقان في المستخدم نفسه تحت اسمين مختلفين؛ وإذا ضاع الآخر، بقي توصٍّ صحيح في الطابور بينما يتقدم الاختراق في العمر.

ما يتذكره مركز عمليات يمتلك حالة

الحل المقترح معماري: على مركز العمليات أن يصبح صاحب حالة. تُحفظ الأدلة وسجلات القضايا لسنوات، لكن التعليل المحيط بها والقيود على من يملك سلطة التصرف نادراً ما تنجو من التسليم. الذاكرة التشغيلية المشتركة تمتد على خمسة أنواع من الحالة: البيئة، والأدلة، والقرار، والتحكم، والتعلّم؛ يقرأها نظام SIEM ونظام EDR ومنصة الهوية.

أصعب انضباط هو اعتبار «غير معروف» جواباً مشروعاً. عند غياب بيانات نقطة النهاية، يسجّل نظام ضعيف أن نشاطاً خبيثاً للعمليات لم يُلاحظ؛ أما نظام يمتلك حالة فيسجّل أن نقطة النهاية تعذّر فحصها أصلاً، ويحوّل الفجوة إلى من يملك إدارة الأجهزة. وتشير توصيات NIST المحدثة في SP 800-61r3 إلى الاتجاه نفسه.