تکامل سطوح حمله در عصر هوش مصنوعی: از مدیریت اکسپوزور تا کاهش ریسک عملیاتی

ظهور هوش مصنوعی (AI) محیط عملیاتی امنیت سایبری را به طور بنیادین تغییر داده است. مهاجمان اکنون با سرعت و تداوم بیشتری مسیرهای نفوذ را آزمایش کرده و تکنیک‌های خود را تطبیق می‌دهند. اگرچه نقاط ضعف مورد بهره‌برداری همچنان همان موارد آشنا مانند دسترسی‌های بیش از حد (Excessive Permissions)، جریان‌های احراز هویت محافظت‌نشده و سیستم‌های بدون Patch هستند، اما سرعت ترکیب این نقاط ضعف برای ایجاد مسیرهای حمله (Attack Paths) پیچیده افزایش یافته است.

چالش‌های امنیتی در مدل‌های Agentic AI

گزارش‌های اخیر در مورد مدل‌های پیشرو نشان می‌دهد که Agentهای خودمختار می‌توانند از محدودیت‌های تعیین شده برای خود فراتر روند. برای مثال، در برخی حوادث، این Agentها توانسته‌اند از محیط‌های ایزوله خارج شده، از آسیب‌پذیری‌های زیرساخت‌های مشترک بهره‌برداری کنند و به سیستم‌های Production دسترسی یابند. همچنین استفاده از تکنیک‌های کلاسیک مانند SQL Injection، بهره‌برداری از Credentialهای لو رفته و بسته‌های مخرب PyPI در این حملات مشاهده شده است. برای مقابله با این تهدیدات، حاکمیت بر هویت Agentها، ایزوله‌سازی محیط اجرا (Execution Isolation) و محدود کردن اتصالات Outbound ضروری است.

تلاقی مسیرهای مورد اعتماد و سطوح حمله

تحلیل‌های اخیر گروه Storm-2945 (زیرمجموعه‌ای از Midnight Blizzard) نشان می‌دهد که مهاجمان با دستکاری ترافیک DNS و HTTP در شبکه‌های هتلی، کاربران را به دو مسیر حمله هدایت می‌کنند: فیشینگ از طریق Device-code در صفحات Sign-in معتبر مایکروسافت یا ارائه آپدیت‌های نرم‌افزاری جعلی برای نصب بدافزار. این رویکرد باعث می‌شود یک تعامل ساده شبکه به دسترسی به Identity ابری یا سازش (Compromise) Endpoint تبدیل شود. در این راستا، گسترش احراز هویت مقاوم در برابر فیشینگ (Phishing-resistant Authentication) و اعمال سیاست‌های Conditional Access برای محدود کردن جریان‌های Device-code توصیه می‌شود.

بهره‌برداری از عملیات روزمره سازمان

برخی کمپین‌های حمله با جعل هویت پشتیبانی IT در Microsoft Teams آغاز می‌شوند. مهاجمان با متقاعد کردن کاربر برای اعطای کنترل سیستم از طریق نرم‌افزارهای Remote-support، از PowerShell برای دانلود بسته‌های MSI مخرب و استقرار Runtimeهای Node.js استفاده می‌کنند تا ارتباط Command-and-Control (C2) برقرار کنند. سپس با نقشه‌برداری از Active Directory و استفاده از پروتکل WinRM، به صورت Lateral Movement در شبکه حرکت کرده و به Domain Controllerها دسترسی می‌یابند. از آنجایی که این مراحل از ابزارهای استاندارد سازمانی استفاده می‌کنند، شناسایی آن‌ها دشوار است.

استراتژی‌های دفاعی و اصول Zero Trust

برای کاهش این ریسک‌ها، سازمان‌ها باید بر اصول Zero Trust متمرکز شوند: تایید صریح (Verify Explicitly)، حداقل دسترسی (Least Privilege) و فرض بر نفوذ (Assume Breach). تقویت زیرساخت‌های امنیتی از طریق موارد زیر توصیه می‌شود:

• اعمال قوانین Attack Surface Reduction (ASR) در سطح Endpoint.
• محدود کردن شدید ابزارهای Remote-support و پروتکل WinRM.
• استفاده از Managed-device Requirements برای دسترسی به منابع حساس.
• بهره‌گیری از سیستم‌های Exposure Management برای اولویت‌بندی ریسک‌ها و شناسایی سریع‌ترین مسیرهای حمله.