تیم Cisco Talos ابزار پژوهشی جدیدی به نام CAIRN (Cognitive Artifact Intelligence Research Network) را معرفی کرده است. این ابزار بر شناسایی، طبقه‌بندی و ردیابی بدافزارهای مدرنی تمرکز دارد که از سیستم‌های هوش مصنوعی (AI) در زنجیره حمله خود استفاده می‌کنند یا مستقیماً این سیستم‌ها را هدف قرار می‌دهند.
رویکرد شکار مبتنی بر متادیتا (Metadata-First Hunting)
ایده اصلی CAIRN بر این است که مهاجمان هنگام توسعه بدافزارهای مبتنی بر AI، ناخودآگاه ردپاهایی یا «آثار شناختی» (Cognitive Artifacts) بر جای می‌گذارند. این آثار شامل موارد زیر است:
- الگوهای پرامپت (Prompt Templates)
- نقاط انتهایی ارائه‌دهندگان سرویس (Provider Endpoints)
- کلیدهای API (API Keys)
- عبارات مربوط به Jailbreak و تکنیک‌های دور زدن فیلترها
برخلاف روش‌های سنتی، CAIRN برای شناسایی این تهدیدات نیازی به دانلود یا اجرای فایل باینری (Binary) ندارد و تماماً بر اساس تحلیل متادیتا عمل می‌کند. این رویکرد باعث افزایش سرعت و مقیاس‌پذیری در شناسایی خانواده‌های بدافزاری جدید می‌شود.
ساختار عملیاتی و تحلیل در CAIRN
این ابزار از چهار استراتژی تحلیل مجزا برای بررسی نمونه‌ها استفاده می‌کند:
- فیلترهای اکتساب (Acquisition Filters): استفاده از ۲۴ فیلتر مختلف برای جستجو در متادیتا، رفتارهای Sandbox و برچسب‌های آنتی‌ویروس جهت یافتن نمونه‌های مشکوک.
- گراف روابط (Relationship Graphs): ایجاد یک لایه Explorer برای ترسیم ارتباط بین نمونه‌های بدافزار، زیرساخت‌های مشترک و بازیگران تهدید (Threat Actors).
- قوانین YARA سه لایه: استفاده از قوانین YARA برای تطبیق متادیتا در سه سطح: آثار (T1)، رفتارها (T2) و خانواده‌های تایید شده (T3).
- کلاسترینگ معنایی (Semantic Clustering): استفاده از مدل‌های Embedding برای شناسایی نمونه‌هایی که از نظر معنایی مشابه هستند، حتی اگر هیچ رشته متنی (String) مشترکی با هم نداشته باشند.
یافته‌های اولیه و چشم‌انداز
تحلیل‌های اولیه Talos بر روی نمونه‌هایی که از جولای ۲۰۲۵ (مانند LAMEHUG و CERT-UA) شناسایی شده‌اند، نشان می‌دهد که مهاجمان به طور فزاینده‌ای از مدل‌های زبانی بزرگ (LLM) در ابزارهای عملیاتی خود استفاده می‌کنند. CAIRN با هدف کمک به جامعه امنیت سایبری برای مقابله با این تغییر پارادایم در حملات، به صورت متن‌باز (Open-source) ارائه شده است تا فیلترها و قوانین شناسایی آن توسط متخصصان ارتقا یابد.
