هوش مصنوعی خودمختار چندعاملی هزاران اعتبارنامه را در شش ساعت هک کرد؛ یافته‌های گزارش گوگل

سرنوشت این نفوذ درست در لحظه‌ای رقم خورد که عامل تهدید یک چارچوب چندعاملی خودمختار را در یک محیط ابریِ در معرض خطر مستقر کرد و تصمیمات عملیاتی چندمرحله‌ای را به هوش مصنوعی سپرد. این عامل‌های هوش مصنوعی با عملکردی کاملاً بدون نظارت انسان، یک کارزار گسترده جمع‌آوری اعتبارنامه را برنامه‌ریزی، ایجاد و اجرا کردند که در کمتر از ۶ ساعت، هزاران اعتبارنامه شخص ثالث را به خطر انداخت. این تغییر رویه از حملات انسان‌محور به اتوماسیون با سرعت ماشین، یافته مرکزی گزارش ردیاب تهدیدات هوش مصنوعی در سه‌ماهه سوم ۲۰۲۶ است که روز سه‌شنبه توسط گروه اطلاعات تهدید گوگل (GTIG) منتشر شد.[1][2]

بر اساس داده‌های تله‌متری واکنش به حادثه از Mandiant، این مهاجم با انگیزه مالی، چارچوب خودمختار را با استفاده از یک چت‌بات کدنویسی هوش مصنوعی، یک پرامپت هسته و مجموعه‌ای از دستورالعمل‌های عامل مونتاژ کرد. با استفاده از پلی‌بوک‌های از پیش پیکربندی‌شده مارک‌داون — به‌ویژه فایل‌هایی با نام‌های AGENTS.md و KNOWLEDGE.md — عامل‌های هوش مصنوعی به‌طور خودمختار خط لوله اسکن آسیب‌پذیری را مدیریت کرده و اعتبارنامه‌ها را در مقیاس وسیع جمع‌آوری کردند. این سیستم قادر بود بدون نیاز به مداخله اپراتور، خطاها را در زمان واقعی عیب‌یابی کرده و منطق چرخش IP را اجرا کند.[2][3]

برای فرار از شناسایی، ترافیک حمله مستقیماً از طریق زیرساخت ابریِ در معرض خطرِ خود قربانی هدایت می‌شد و به فعالیت‌های مخرب اجازه می‌داد از طریق آدرس‌های IP مشروع عبور کنند. این رویکرد، تأخیر ناشی از حضور انسان در حلقه را که معمولاً حملات سایبری را کند می‌کند، به‌شدت کاهش داد. پژوهشگران GTIG در این گزارش خاطرنشان کردند: «طی سه‌ماهه گذشته، عوامل تهدید از تعاملات ساده مبتنی بر پرامپت با مدل‌های زبانی بزرگ فراتر رفته‌اند تا قابلیت‌های هوش مصنوعی را در مراحل مختلف چرخه حیات یک حمله ادغام کنند.»[1][2][3]

سرعت این چارچوب خودمختار چالش مهمی برای تیم‌های امنیت سازمانی محسوب می‌شود، زیرا یک پنجره اجرایی ۶ ساعته اغلب سریع‌تر از آن است که چرخه‌های استاندارد واکنش به حادثه بتوانند آغاز شوند. جان هالتکوئیست (John Hultquist)، تحلیلگر ارشد در گروه اطلاعات تهدید گوگل، تأکید کرد که اکنون فرض کاری بر این است که هر عامل تهدیدی از هوش مصنوعی در ظرفیتی استفاده می‌کند. هالتکوئیست گفت: «مجرمانی مانند کسانی که یک کارزار بهره‌کشی گسترده را تنها در ۶ ساعت انجام دادند، به سمت حملاتی گرایش پیدا خواهند کرد که سریع‌تر از توانایی ما برای واکنش نشان دادن هستند.»[2][3]

فراتر از جمع‌آوری اعتبارنامه، گزارش GTIG به تفصیل توضیح می‌دهد که چگونه عوامل تهدید به‌طور فزاینده‌ای خود زنجیره تأمین هوش مصنوعی را هدف قرار می‌دهند. یک گروه مجرمانه که با نام UNC6780 یا TeamPCP ردیابی می‌شود، نفوذهای گسترده‌ای را در مخازن متن‌باز اصلی از جمله PyPI، npm و Docker Hub انجام داده است. پس از مسموم کردن دروازه LiteLLM در مارس ۲۰۲۶، این گروه شروع به انتشار فورک‌های تروجان‌دار از سرورهای پروتکل زمینه مدل (MCP) کرد و کدهای مخرب را به مخازن GitHub که دستیاران کدنویسی هوش مصنوعی مرتباً آن‌ها را کلون می‌کنند، تزریق کرد.[1][2]

عملیات‌های TeamPCP یک بدافزار سرقت اعتبارنامه به نام DUSTMAKER را مستقر می‌کنند که فایل‌هایی را در دایرکتوری‌های پنهان پروژه مانند .claude و .cursor رها کرده و بدافزار را به عنوان فایل‌های درهم‌ریخته و عادی توسعه‌دهندگان پنهان می‌کند. در برخی موارد، لودرهای بدافزار حامل تزریق‌های پرامپتی بودند که شامل درخواست‌های افراطی درباره سلاح‌های بیولوژیکی و هسته‌ای می‌شد. این متن به‌طور خاص برای این طراحی شده بود که اسکنرهای امنیتی مدل‌های زبانی بزرگ را تحریک کند تا فایل را رد کنند و در نتیجه باعث شود اسکنر از جاوا اسکریپت مخربی که در زیر پرامپت پنهان شده بود، چشم‌پوشی کند.[1][2]

دارایی‌های اختصاصی هوش مصنوعی نیز به اهدافی با ارزش بالا برای اخاذی تبدیل شده‌اند. در طول سه‌ماهه دوم ۲۰۲۶، Mandiant چندین مورد سرقت داده را بررسی کرد که در آن‌ها مهاجمان مدل‌های اختصاصی، کد منبع و پرامپت‌ها را از شرکت‌های فناوری، مراقبت‌های بهداشتی و رسانه‌ای در سراسر آمریکای شمالی و اروپا استخراج کردند. در یک مورد قابل‌توجه، یک سازمان مراقبت‌های بهداشتی هم داده‌های تحقیقات دارویی و هم یک مدل هوش مصنوعی اختصاصی را به یک گروه تهدید باخت که تهدید کرده بود در صورت عدم پرداخت باج، این مالکیت معنوی را منتشر خواهد کرد.[1][2]

بازیگران مرتبط با دولت‌ها نیز به طور مشابه در حال آزمایش قابلیت‌های هوش مصنوعی عامل‌محور هستند. GTIG یک گروه جاسوسی سایبری مرتبط با چین را مشاهده کرد که تلاش می‌کرد از مدل Gemini گوگل برای طراحی یک چارچوب تست نفوذ پویا و خودکار استفاده کند. هدف این گروه ساخت معماری‌ای بود که قادر به مشاهده وضعیت یک هدف، استدلال از طریق اقدامات و اجرای وظایف در محیط‌های غیرقابل‌پیش‌بینی باشد. اگرچه گوگل دارایی‌های مرتبط با این تلاش را قبل از استقرار کامل غیرفعال کرد، اما این تلاش نشان‌دهنده علاقه فزاینده دشمنان به اتوماسیون تهاجمی هوش مصنوعی است.[1][2][3]

در حادثه‌ای دیگر، پژوهشگران یک سرور فرمان و کنترل در معرض دید را کشف کردند که میزبان یک چارچوب خودکار شناسایی و مدیریت اعتبارنامه به نام Recon بود. این سرور حاوی فایل‌های پیکربندی، دستورالعمل‌های عامل هوش مصنوعی و آرتیفکت‌هایی بود که بیش از ۲۳,۸۰۰ راز جمع‌آوری‌شده، از جمله کلیدهای API را در زمان واقعی مدیریت می‌کرد. گروه دیگری مرتبط با چین به نام UNC6508 مشاهده شد که مدل‌های با وزن باز را در داخل محیط‌های ابریِ در معرض خطر مستقر می‌کرد تا فعالیت‌های پرامپت‌نویسی خود را از نظارت APIهای تجاری پنهان نگه دارد.[2][3]

برای مدافعان، گذار از سرقت‌کننده‌های اطلاعات منفعل به جمع‌آوری تهاجمی عامل‌محور به این معناست که روش‌های تشخیص سنتی و ایستا در حال از دست دادن اثربخشی خود هستند. از آنجا که عامل‌های هوش مصنوعی می‌توانند به صورت پویا تاکتیک‌های خود را تغییر داده و با سرعت ماشین عمل کنند، تیم‌های امنیتی مجبورند تشخیص رفتاری، کنترل‌های هویتی قوی و حاکمیت سخت‌گیرانه بر هویت‌های غیرانسانی مانند حساب‌های خدماتی و کلیدهای API را در اولویت قرار دهند.[1][3]