كشف باحثون في الأمن السيبراني عن مئات الخوادم التي تستضيف أداة تدعى "أرتكس" (ARTEX) لاختبار الاختراق المدعومة بالذكاء الاصطناعي، وكانت واجهات التحكم الخاصة بها متاحة عبر الإنترنت دون اشتراط المصادقة في عدد من الحالات.
وأثار الاكتشاف مخاوف بشأن تأمين الأدوات المستخدمة في اختبار الأنظمة والشبكات، خصوصا مع توثيق استخدام المنصة في عمليات اختراق استهدفت مؤسسات حقيقية.
وتكمن أهمية القضية في طبيعة الأداة التي تعتمد على وكلاء الذكاء الاصطناعي لتنفيذ مراحل متعددة من اختبار الاختراق، تشمل جمع المعلومات عن الأنظمة، والبحث عن الثغرات، واختبار إمكانية استغلالها، وقد تتحول هذه القدرات إلى وسيلة لتنفيذ أنشطة هجومية عندما تقع في أيدي جهات غير مخولة، أو عندما تترك الخوادم التي تشغلها دون حماية مناسبة.
تُعد "أرتكس" منصة لاختبار الاختراق تعتمد على نماذج الذكاء الاصطناعي ووكلائه لتنظيم عمليات الفحص الأمني وتنفيذها، وتهدف إلى مساعدة الباحثين وفرق الأمن السيبراني على تقييم الأنظمة التي يمتلكونها أو لديهم تصريح باختبارها.
ووفقا لتحليل نشره فريق "تشيك بوينت للأبحاث" (Check Point Research) في 5 نوفمبر/تشرين الثاني الحالي، تجمع المنصة بين قدرات التخطيط وتشغيل الأدوات الأمنية وتحليل النتائج، من خلال مجموعة من الوكلاء الذين يتولون مهام مختلفة ضمن عملية الاختبار.
وتبدأ العملية بتحديد الهدف، ثم تقسيم المهمة إلى خطوات تشمل استطلاع الأنظمة وجمع المعلومات عن الخدمات والتطبيقات المتاحة، قبل البحث عن نقاط الضعف واختبار إمكانية استغلالها. وتتيح المنصة بعد ذلك تسجيل النتائج وتنظيمها، بما يساعد الباحثين على تقييم مستوى الحماية.
وتختلف هذه الآلية عن أدوات الفحص التقليدية التي تنفذ أوامر محددة مسبقا، إذ يستطيع الوكلاء تنظيم خطوات مترابطة وتعديل مسار العمل وفقا للنتائج التي تظهر أثناء التنفيذ. ومع ذلك، لا يعني ذلك أن الأداة تستطيع اكتشاف جميع الثغرات أو استغلالها بنجاح دون تدخل بشري، إذ تعتمد النتائج على طبيعة النظام المستهدف وإعدادات الاختبار والأدوات المستخدمة.
أظهرت التحقيقات الأمنية وجود اختلاف في أعداد الخوادم التي رصدتها الشركات، نتيجة اختلاف نطاق البحث وتوقيت الرصد وطريقة احتساب عمليات النشر المتكررة.
وقالت "سينسيس" (Censys) إنها رصدت، حتى 4 نوفمبر/تشرين الثاني الحالي، نحو 1465 خادما يستضيف واجهات أرتكس المتاحة عبر الإنترنت، وأوضحت أن قرابة 650 خادما تقع ضمن مجموعتين من بيئات الاستضافة المتشابهة في الإعدادات، ما يجعل عدد عمليات النشر المتميزة ظاهريا أقرب إلى 815.
كما رصدت الشركة 155 خادما يستضيف أدوات أخرى مرتبطة بالأنشطة الهجومية، بما فيها أدوات للاستطلاع والتحكم والاتصال عن بعد. ولا يعني ذلك أن جميع هذه الخوادم كانت مستخدمة في هجمات، لكنه يشير إلى وجود بيئات تجمع بين أدوات متعددة يمكن توظيفها في عمليات أمنية أو هجومية.
وفي تحقيق منفصل، أفاد فريق الأبحاث التابع لشركة تشيك بوينت (Check Point Research) برصد 2557 نظاما استضاف لوحات أرتكس حاليا أو سابقا، بينها 1608 أنظمة كانت نشطة ومتاحة للجمهور وقت البحث.
ووجد الباحثون أيضا 10 خوادم كشفت عن قواعد بيانات المنصة، ما أتاح الاطلاع على معلومات تشغيلية تتعلق بالمهام والنماذج المستخدمة والأوامر الموجهة إلى الوكلاء. وتوضح هذه النتائج أن المشكلة لا تقتصر على ظهور واجهات التحكم، بل تشمل احتمال كشف بيانات داخلية مرتبطة بتشغيل الأداة.
ارتبط اسم أرتكس بعدد من العمليات التي استهدفت مؤسسات حقيقية، ففي تقرير نشرته شركة كراود سترايك (CrowdStrike) في أكتوبر/تشرين الأول الماضي، وثقت استخدام الأداة ضمن حملة استهدفت مؤسسات مالية في كوريا الجنوبية.
وأظهرت التحقيقات استخدام المهاجمين أدوات ذكاء اصطناعي لتنظيم عمليات الاستطلاع والاختبار الأمني، إلى جانب أدوات أخرى استُخدمت خلال مراحل الهجوم. كما كشفت سجلات التشغيل عن تفاصيل تتعلق بالبنية التقنية وأساليب تنفيذ المهام.
وفي حادثة أخرى، أشارت تقارير أمنية إلى استخدام أرتكس في هجمات مرتبطة بمجموعة "ستورم-0940" (Storm-0940)، التي ربطتها مايكروسوفت بجهات تهديد صينية، واستهدفت العمليات بيئات تقنية وسحابية مرتبطة بعملاء شركة كونكت وايز (ConnectWise) مع استخدام بيانات اعتماد للوصول إلى موارد وخدمات تابعة لمؤسسات أخرى.
وتوضح هذه الحوادث أن الأداة يمكن توظيفها ضمن عمليات هجومية، لكنها لا تثبت أن جميع الخوادم المكشوفة استُخدمت بالطريقة نفسها، أو أن كل من شغل المنصة كان يمارس نشاطا غير مشروع.
يتمثل الخطر الأساسي في إتاحة لوحات التحكم الإدارية دون مصادقة مناسبة، إذ قد يسمح ذلك لأشخاص غير مخولين بالوصول إلى وظائف المنصة، وفقا للصلاحيات والإعدادات الموجودة على كل خادم.
كما يمكن أن يؤدي كشف قواعد البيانات إلى الاطلاع على معلومات عن الأهداف التي خضعت للاختبار، والمهام المنفذة، والأوامر المستخدمة، ونتائج الفحص. وقد تساعد هذه المعلومات جهات أخرى على فهم العمليات السابقة أو الاستفادة من البيانات المتاحة في أنشطة لاحقة.
وتزداد المخاطر عندما تحتوي الخوادم على أدوات أمنية إضافية أو بيانات اعتماد وملفات إعدادات حساسة. فبدلا من أن تقتصر المشكلة على الوصول إلى لوحة تحكم، قد يمتد أثرها إلى موارد أخرى مرتبطة بالبنية التحتية نفسها.
تتطلب معالجة هذه المخاطر تطبيق إجراءات أساسية لحماية الأنظمة التي تشغل أدوات اختبار الاختراق، وفي مقدمتها منع الوصول المباشر إلى لوحات التحكم من الإنترنت، وحصر استخدامها داخل الشبكات الموثوقة أو عبر اتصالات آمنة.
كما ينبغي تفعيل المصادقة متعددة العوامل، ومراجعة صلاحيات المستخدمين، وتحديث البرامج، وإغلاق الخدمات غير الضرورية، والتأكد من عدم إتاحة قواعد البيانات وواجهات البرمجة للعامة.
وتحتاج المؤسسات أيضا إلى مراقبة سجلات الدخول والأنشطة غير المعتادة، وتحديد نطاق الأنظمة التي يسمح لوكلاء الذكاء الاصطناعي باختبارها، مع وضع ضوابط تمنع تنفيذ عمليات خارج الأهداف المصرح بها.
