يستغل قراصنة مدعومون من حكومات أدوات متقدمة للغاية لتسريع هجماتهم السيبرانية. ويستخدم جهات تهديد مرتبطة بإيران وكوريا الشمالية والصين وروسيا نماذج ذكاء اصطناعي مثل Gemini من Google لدعم عملياتها. ووفقًا لتقرير جديد من مجموعة استخبارات التهديدات التابعة لـ Google (GTIG)، استخدمت هذه الجهات الذكاء الاصطناعي لإنشاء حملات تصيد احتيالي متطورة وتطوير برمجيات خبيثة.
ووفقًا لأحدث تقرير ربع سنوي لتتبع تهديدات الذكاء الاصطناعي، يتجه المهاجمون المدعومون من الحكومات بشكل متزايد إلى الذكاء الاصطناعي لدعم عملياتهم السيبرانية. وأظهر تحليل GTIG للنشاط خلال الربع الأخير من عام 2025 أن الذكاء الاصطناعي أصبح يُستخدم في عدة مراحل من دورة الهجوم، بدءًا من الاستطلاع والهندسة الاجتماعية وصولًا إلى تطوير البرمجيات الخبيثة.
وقال باحثو GTIG في تقريرهم: "بالنسبة لجهات التهديد المدعومة من الحكومات، أصبحت نماذج اللغة الكبيرة أدوات أساسية للبحث التقني وتحديد الأهداف وإنشاء رسائل تصيد احتيالي دقيقة بسرعة."
قطاع الدفاع يتعرض لعمليات استطلاع من قراصنة مدعومين من حكومات
يُعتقد أن مجموعة APT42 الإيرانية استخدمت Gemini لدعم عمليات الاستطلاع وتنفيذ حملات هندسة اجتماعية تستهدف جهات محددة. واستخدمت المجموعة الذكاء الاصطناعي لإنشاء عناوين بريد إلكتروني تبدو حقيقية ومرتبطة بمؤسسات معينة، إلى جانب البحث عن أهدافها لتطوير أسباب مقنعة للتواصل معها.
ولجعل تفاعلها مع الضحايا أكثر إقناعًا، طورت APT42 شخصيات وسيناريوهات واقعية مصممة خصيصًا لكل عملية. كما استخدمت الذكاء الاصطناعي لترجمة الرسائل وإنتاج لغة طبيعية تبدو وكأنها مكتوبة من متحدث أصلي، مما ساعدها على تجنب مؤشرات التصيد التقليدية مثل الأخطاء النحوية والصياغات غير الطبيعية.
كما لجأت UNC2970، وهي جهة تهديد مدعومة من الحكومة الكورية الشمالية ومعروفة باستهداف قطاع الدفاع وانتحال صفة مسؤولي توظيف في الشركات، إلى Gemini للبحث عن الأهداف المهمة وإنشاء ملفات تعريف عنها. وشملت عمليات الاستطلاع جمع معلومات حول شركات الأمن السيبراني والدفاع الكبرى، وتحديد الوظائف التقنية المحددة، والبحث عن نطاقات الرواتب.
وأشار GTIG إلى أن "هذا النشاط يطمس الخط الفاصل بين البحث المهني المعتاد والاستطلاع الخبيث، حيث تجمع الجهة المهاجمة المكونات اللازمة لإنشاء شخصيات تصيد مصممة بدقة وذات مصداقية عالية."
تصاعد هجمات استخراج نماذج الذكاء الاصطناعي
أعلنت Google DeepMind وGTIG أيضًا عن ارتفاع محاولات استخراج نماذج الذكاء الاصطناعي، والتي تُعرف عادةً باسم "هجمات التقطير" (Distillation Attacks). وتتجاوز هذه الهجمات إساءة استخدام عمليات الذكاء الاصطناعي، وتركز بدلًا من ذلك على الحصول على الملكية الفكرية الخاصة بالنماذج.
واستخدم أكثر من 100 ألف طلب في محاولة واضحة لدراسة الطريقة التي يتعامل بها Gemini مع الاستدلال وإعادة إنتاجها. وشملت الطلبات مجموعة واسعة من الأسئلة والمهام، مع تركيز كبير على لغات غير الإنجليزية، مما يشير إلى أن الحملة سعت إلى تقليد قدرات النموذج على الاستدلال عبر سياقات لغوية مختلفة.
ولم يجد GTIG أدلة على وجود هجمات مباشرة ضد نماذج الذكاء الاصطناعي المتقدمة من جانب مجموعات التهديدات المستمرة المتقدمة (APT). ومع ذلك، اكتشف الفريق وأوقف العديد من محاولات استخراج النماذج حول العالم، نفذتها مؤسسات من القطاع الخاص وباحثون بهدف تقليد منطق النماذج المملوكة.
وسمح الاكتشاف في الوقت الفعلي لـ Google بالاستجابة لهذه الهجمات فورًا، حيث وضعت أنظمتها الأمنية إجراءات حماية للحفاظ على مسارات الاستدلال الداخلية للنماذج.
ظهور برمجيات خبيثة مدعومة بالذكاء الاصطناعي كتهديد جديد
حدد GTIG عائلة من البرمجيات الخبيثة تُعرف باسم HONESTCUE، وتعتمد على واجهة Gemini API لتوفير بعض وظائفها. ولجعل اكتشاف البرمجية أكثر صعوبة، تستخدم عدة طبقات من التمويه يمكنها تجاوز أساليب الكشف التقليدية المعتمدة على الشبكات والتحليل الثابت.
وتستخدم HONESTCUE واجهة Gemini API كجزء من عملية التنزيل والتنفيذ، حيث ترسل طلبات إلى النموذج وتتلقى أكواد مصدر بلغة C# في المقابل. وتعمل الحمولة في المرحلة الثانية دون إنشاء ملفات، حيث تقوم بترجمة وتشغيل الأكواد مباشرة في الذاكرة لتجنب ترك آثار على الجهاز.
كما اكتشف GTIG أداة تصيد احتيالي تُعرف باسم COINBAIT، ويبدو أنها طُورت بشكل أسرع بمساعدة أدوات البرمجة المدعومة بالذكاء الاصطناعي. وصُممت الأداة لسرقة بيانات اعتماد المستخدمين، حيث تحاكي منصة شهيرة لتداول العملات الرقمية، وتم تطويرها باستخدام منصة Lovable AI المدعومة بالذكاء الاصطناعي.
مهاجمو ClickFix يتجهون إلى منصات المحادثة بالذكاء الاصطناعي
رصدت Google حملة جديدة للهندسة الاجتماعية في ديسمبر 2025، استخدم فيها جهات التهديد ميزات المشاركة العامة على منصات الذكاء الاصطناعي التوليدي مثل Gemini وChatGPT وCopilot وDeepSeek وGrok. وصُمم المحتوى المشترك ليبدو شرعيًا، بينما كان يوجه المستخدمين إلى برمجية ATOMIC الخبيثة التي تستهدف أجهزة macOS.
واستخدم المهاجمون نماذج الذكاء الاصطناعي لإنشاء أدلة مقنعة لتنفيذ مهام الكمبيوتر اليومية، مع إخفاء نصوص أوامر ضارة تبدو وكأنها حلول شرعية. ثم شاركوا روابط إلى المحادثات التي تم إنشاؤها بالذكاء الاصطناعي، مستفيدين من النطاقات الموثوقة لإيصال المرحلة الأولى من هجماتهم.
مفاتيح API المسروقة تغذي السوق السوداء
لا يزال الطلب على أدوات وخدمات الذكاء الاصطناعي قويًا في المنتديات السرية الناطقة بالإنجليزية والروسية، وفقًا لـ GTIG. وبدلًا من بناء نماذج الذكاء الاصطناعي الخاصة بهم، يتجه المهاجمون المدعومون من الحكومات ومجرمو الإنترنت إلى المنصات التجارية القائمة، وغالبًا ما يصلون إليها باستخدام بيانات اعتماد مسروقة.
تم الترويج لـ Xanthorox باعتباره مجموعة أدوات متخصصة في الذكاء الاصطناعي قادرة على إنشاء برمجيات خبيثة وحملات تصيد احتيالي بشكل مستقل. لكن GTIG اكتشف أن الأداة لم تكن تعتمد على نموذج مخصص تم بناؤه من الصفر، بل كانت تعتمد على عدة خدمات تجارية للذكاء الاصطناعي، بما في ذلك Gemini، والتي تم الوصول إليها باستخدام مفاتيح API مسروقة.
Google تتخذ إجراءات
استجابةً لذلك، عطلت Google الحسابات والأصول المرتبطة بجهات التهديد المشاركة في هذه العمليات. كما استخدمت الشركة المعلومات التي جمعتها من هذه الحوادث لتحسين أنظمة التصنيف ونماذج الذكاء الاصطناعي الخاصة بها، مما يساعدها على التعرف على الطلبات المرتبطة بهجمات مشابهة ورفضها مستقبلًا.
وقال التقرير: "نحن ملتزمون بتطوير الذكاء الاصطناعي بجرأة ومسؤولية، وهو ما يعني اتخاذ خطوات استباقية لتعطيل الأنشطة الخبيثة من خلال تعطيل المشاريع والحسابات المرتبطة بالجهات السيئة، مع الاستمرار في تحسين نماذجنا لجعلها أقل عرضة لسوء الاستخدام."
وعلى الرغم من هذه التطورات، أشار GTIG إلى أن مجموعات APT وفاعلي عمليات المعلومات لم يثبتوا حتى الآن امتلاكهم لقدرات اختراق نوعية يمكن أن تغير مشهد التهديدات الحالي بشكل جذري.
وتوضح النتائج كيف يعيد الذكاء الاصطناعي تشكيل مجال الأمن السيبراني، حيث يتجه المهاجمون والمدافعون بشكل متزايد إلى استخدام قدراته لتعزيز جهودهم.
كما يسلط التقرير الضوء على حاجة فرق أمن المؤسسات إلى تعزيز دفاعاتها ضد عمليات الاستطلاع والهندسة الاجتماعية المدعومة بالذكاء الاصطناعي، خاصة في منطقة آسيا والمحيط الهادئ، حيث تواصل مجموعات التهديدات المدعومة من الصين وكوريا الشمالية نشاطها.