محققان امنیتی در SOCRadar اخیراً هفت سرور آسیب‌پذیر مرتبط با وابستگان (Affiliates) گروه‌های باج‌افزاری (Ransomware) INC و The Gentlemen را کشف کرده‌اند. این سرورها حاوی لاگ‌های جلسات هوش مصنوعی (AI session logs)، اطلاعات هویتی سرقت شده و ۴۶ نسخه از ابزارهای رمزگذاری (Encryptor builds) بودند.
طبق گزارش منتشر شده، واحد تحقیقات تهدید SOCRadar (STRU) توانست ۸۲۵۷ پیام هوش مصنوعی را در ۱۳۳ جلسه OpenCode بازیابی کند. همچنین ۴۶ نسخه سفارشی از رمزگذار (Encryptor) مربوط به گروه INC که برای ۶ قربانی آماده شده بود، در این سرورها یافت شد. داده‌های کشف شده نشان‌دهنده هزینه‌کرد بیش از ۲۳,۹۲۰ دلار برای استفاده از APIهای هوش مصنوعی و بهره‌گیری از مدل‌های تجاری مانند Claude Opus 4.6 و Kimi K3 توسط عاملان تهدید است.
کنترل انسانی بر نفوذهای مبتنی بر هوش مصنوعی
عاملان تهدید از رابط کدنویسی هوش مصنوعی OpenCode در کنار پایگاه‌های دانش (Knowledge bases) برای برنامه‌ریزی مراحل شناسایی (Reconnaissance)، تولید دستورات (Commands)، تحلیل اطلاعات سرقت شده و تدوین گزارش‌ها استفاده می‌کردند. لاگ‌های جلسات نشان می‌دهد که قبل از هر مرحله، تایید انسانی الزامی بوده است؛ به طوری که یکی از دستورات از هوش مصنوعی می‌خواست «هر اقدام را با من هماهنگ کن»، که نشان‌دهنده حفظ کنترل کامل توسط اپراتورها بر فرآیند حمله است.
زمانی که مدل‌های تجاری درخواست‌های مخرب را رد می‌کردند، اپراتورها با استفاده از تکنیک‌های مهندسی پرامپت (Prompt Engineering)، درخواست‌های خود را در قالب‌های «درخواست ارزیابی تیم قرمز مجاز» (Authorized Red Team Assessment Request) بازنویسی می‌کردند تا محدودیت‌های امنیتی مدل را دور بزنند.
آسیب‌پذیری‌های مورد سوءاستفاده و ابزارهای سفارشی
بر اساس تحلیل‌ها، این گروه‌ها سیستم‌های متصل به اینترنت (Internet-facing) و زیرساخت‌های دسترسی از راه دور (Remote-access) را هدف قرار می‌دادند. سرورهای افشا شده حاوی ابزارهایی مانند یک سرور MCP با برچسب WormGPT، فریم‌ورک سفارشی Phantom برای هماهنگی فعالیت‌های حمله، و ابزارهای فرماندهی و کنترل (C2) بودند که برای غیرفعال کردن محصولات امنیتی طراحی شده‌اند.
در میان سازمان‌های شناسایی شده، ۱۶.۱٪ مربوط به بخش‌های صنعتی و تولیدی و ۱۴.۵٪ مربوط به بخش‌های مراقبت‌های بهداشتی و داروسازی بودند. اگرچه گزارش تأیید نمی‌کند که تمام حملات برنامه‌ریزی شده انجام شده باشد، اما شواهدی از اجرای رمزگذاری در حداقل یک مورد از طریق کنسول SimpleHelp مشاهده شده است. استراتژی باج‌گیری این گروه‌ها بر پایه سرقت داده‌های مالی و تجاری و تهدید به تماس با مشتریان، شرکا و نهادهای نظارتی استوار است.
