گزارش‌های اخیر نشان می‌دهد که حملات سایبری مبتنی بر هوش مصنوعی از حالت تئوریک خارج شده و به واقعیت تبدیل شده‌اند. یکی از سازمان‌های اسپانیایی اخیراً هدف حمله یک سیستم هوش مصنوعی عامل‌محور (Agentic AI) قرار گرفت که منجر به نشت و تغییر داده‌های شخصی کاربران شد.
جزئیات فنی حمله
طبق گزارش سازمان حفاظت از داده‌های اسپانیا (AEPD)، یک مهاجم با استفاده از یک مدل زبانی (LLM) شناخته شده، توانست به مخازن داده‌های شخصی این سازمان نفوذ کند. این حمله در چندین مرحله و با سرعت بسیار بالا اجرا شده است:
- شناسایی و جمع‌آوری اطلاعات: هوش مصنوعی ابتدا با جستجو در فایل‌های عمومی (Generic Files) سازمان، موفق به یافتن اعتبارنامه‌های لو رفته (Loose Credentials) شد.
- نفوذ اولیه: با استفاده از این Credentials، مهاجم توانست به سیستم‌های داخلی سازمان Login کند.
- اکسپلویت زنجیره‌ای: پس از ورود، AI شروع به جستجوی آسیب‌پذیری‌ها در محیط اپلیکیشن سازمانی کرد و با شناسایی یک Vulnerability، دسترسی خود را ارتقا داد.
- تغییر داده‌ها: در نهایت، مهاجم توانست رکورد‌های داده‌های شخصی را تغییر داده و به فاکتورهای شرکتی دسترسی پیدا کند.
تغییر پارادایم در دفاع سایبری
این حادثه تأییدی بر هشدارهای مرکز رمزنگاری ملی اسپانیا (CCN) است که پیش‌تر درباره «تغییر پارادایم» ناشی از AI هشدار داده بود. نکته کلیدی در این حملات، کاهش شدید زمان بین شناسایی آسیب‌پذیری و اجرای Exploit است. در حالی که تیم‌های SOC به طور سنتی فرض می‌کنند مهاجم یک انسان است که بین مراحل حمله مکث می‌کند، یک AI Agent می‌تواند با سرعت ماشین (Machine Speed) محیط را بررسی کرده و به صورت مداوم تطبیق یابد.
چالش‌های شناسایی و پاسخ
یکی از بحرانی‌ترین نقاط این حمله، استفاده از هویت‌های معتبر است. وقتی یک Agent با اعتبارنامه‌های درست وارد سیستم می‌شود، کنترل‌های امنیتی سنتی او را به عنوان یک کاربر مجاز شناسایی می‌کنند. در این حالت، تمرکز باید از «احراز هویت» به «تحلیل رفتار» (Behavioral Analysis) تغییر کند تا بتوان تشخیص داد که آیا اقدامات پشت آن هویت با منطق کسب‌وکار همخوانی دارد یا خیر.
توصیه‌های امنیتی برای مدیران SOC و CISOها
برای مقابله با این نسل از تهدیدات، سازمان‌ها باید استراتژی‌های خود را بازنگری کنند:
- امن‌سازی سخت‌گیرانه هویت‌ها: مدیریت دقیق Credentials و پیاده‌سازی MFA برای جلوگیری از سوءاستفاده AI از پسوردهای لو رفته.
- به‌روزرسانی فرآیندهای Incident Response: بازنگری در زمان پاسخگویی (Response Time) به گونه‌ای که با سرعت حملات اتوماتیک سازگار باشد.
- پایش رفتاری: استقرار ابزارهایی که قادر به شناسایی رفتارهای غیرعادی کاربران (حتی کاربران احراز هویت شده) در لحظه باشند.
