نقش فزاینده هوش مصنوعی در کمپین‌های سایبری اخیر ژاپن

موج جدیدی از نشت داده‌ها (Data leaks) در سیستم‌های وب ژاپن در پاییز ۲۰۲۶، نگرانی‌ها درباره نقش فزاینده هوش مصنوعی (AI) در حملات سایبری را افزایش داده است. دفتر امنیت سایبری ملی ژاپن ضمن اعلام وضعیت اضطراری در فضای مجازی، به کسب‌وکارها هشدار داد که با تغییر ماهیت حملات روبرو هستند.

تحقیقات نشان می‌دهد که مهاجمان از سه زیرساخت مجزا با سطوح مختلفی از استفاده از هوش مصنوعی استفاده کرده‌اند که جزئیات آن‌ها به شرح زیر است:

سناریوهای شناسایی شده

• سناریوی اول: حملات خودکار (Case A): استفاده از ابزار متن‌باز CyberStrikeAI که یک سیستم مبتنی بر Agent برای تست نفوذ (Penetration-testing) است. این ابزار با استفاده از ۴۴ عامل (Agent) مختلف، مراحل شناسایی (Reconnaissance)، اکسپلویت (Exploitation)، کنترل و فرماندهی (C2)، ماندگاری (Persistence) و استخراج داده (Exfiltration) را به صورت خودکار انجام می‌داد. این ابزار توانایی تولید صفحات ورود (Login pages) جعلی و بومی‌سازی شده برای قربانیان ژاپنی را داشت.
• سناریوی دوم: ترکیب عامل انسانی و هوش مصنوعی (Case B): در این حالت، یک اپراتور انسانی از مدل‌های زبانی بزرگ (LLM) برای برنامه‌ریزی و ساخت ابزار استفاده کرده است. این مهاجم با استفاده از تکنیک‌های مهندسی پرامپت، محدودیت‌های امنیتی مدل‌های هوش مصنوعی را دور زده تا بتواند سرویس‌های GPU و زیرساخت‌های هوش مصنوعی را هدف قرار دهد. در یکی از موارد، کنترل کامل یک شرکت از طریق FTP، پایگاه داده، دسترسی‌های ادمین، وب‌شل (Web shell) و SSH به دست آمد.
• سناریوی سوم: استفاده محدود از هوش مصنوعی (Case C): یک اپراتور با تجربه، کمپین‌های متعددی را علیه سیستم‌های WebLogic و نقاط ورود VPN اجرا کرده است. شواهد در اسکریپت‌های به‌کار رفته (مانند استفاده از ایموجی‌ها و ساختار خاص دستورات) نشان‌دهنده استفاده از ابزارهای نوشته شده توسط هوش مصنوعی است. این حملات تجهیزاتی نظیر Cisco SD-WAN، Citrix NetScaler و F5 BIG-IP را نیز هدف قرار داده بودند.

تحلیل فنی و یافته‌ها

هوش مصنوعی باعث افزایش مقیاس (Scale)، سرعت و بومی‌سازی (Localization) حملات شده است، اما ماهیت آسیب‌پذیری‌های مورد سوءاستفاده را تغییر نداده است. نکته قابل توجه این است که هوش مصنوعی گاهی در گزارش‌های خود دچار خطا شده و موفقیت حملات را بیش از حد واقعی نشان داده یا شناسه‌های آسیب‌پذیری (Vulnerability IDs) ساختگی تولید کرده است. همچنین، هیچ مورد استفاده از یک زیرو دِی (Zero-day) پیدا شده توسط هوش مصنوعی در این حملات گزارش نشده است.

توصیه‌های امنیتی برای مدیران SOC و CISO

برای مقابله با این تهدیدات، اقدامات زیر توصیه می‌شود:

• بررسی و به‌روزرسانی سیستم‌های قدیمی (Legacy systems) و ایزوله‌سازی آن‌ها.
• حذف اعتبارنامه‌های پیش‌فرض (Default credentials) و ایمن‌سازی رابط‌های مدیریتی.
• امن‌سازی پیکربندی‌های VPN و تجهیزات لبه (Edge devices) برای جلوگیری از استفاده مجدد از اعتبارنامه‌ها.
• مانیتورینگ دقیق سرویس‌های داخلی هوش مصنوعی و GPU برای شناسایی دسترسی‌های غیرمجاز.
• آماده‌سازی برای سوءاستفاده از LLMها از طریق درخواست‌های فریبنده.
• اولویت‌بندی وصله‌گذاری (Patching) سریع با توجه به کاهش فاصله زمانی بین انتشار آسیب‌پذیری و اکسپلویت آن.