هوش مصنوعی؛ نیروی کمکی جدید هکرها

پژوهشگران امنیت سایبری از شناسایی سه عملیات سایبری علیه سازمان‌ها خبر داده‌اند که در آن‌ها هوش مصنوعی نقش مهمی در شناسایی اهداف، توسعه ابزارهای حمله و خودکارسازی مراحل نفوذ داشته است.

بر اساس گزارشی از TrendAI که در The Hacker News منتشر شده، یکی از این عملیات‌ها از ابزار CyberStrikeAI استفاده می‌کرد؛ سامانه‌ای متن‌باز که قابلیت تقسیم وظایف میان ۴۴ عامل هوش مصنوعی را دارد و می‌تواند بخش‌های مختلف یک عملیات تهاجمی را در قالب یک فرایند هماهنگ اجرا کند.

در این عملیات، دست‌کم ۱۹ سازمان شناسایی‌شده در معرض فعالیت‌های ارزیابی و اعتبارسنجی اهداف قرار گرفتند که حداقل ۱۶ مورد از آن‌ها در ژاپن بودند. پژوهشگران همچنین شواهدی از هدف‌گیری سازمان‌هایی در تایوان و هنگ‌کنگ گزارش کرده‌اند.

این رویداد نشان می‌دهد که استفاده مهاجمان از هوش مصنوعی دیگر صرفاً به تولید متن‌های فریبنده یا نوشتن اسکریپت محدود نیست؛ بلکه می‌تواند به هماهنگ‌سازی بخش‌های مختلف عملیات سایبری نیز گسترش پیدا کند.

CyberStrikeAI چگونه حملات را خودکار می‌کند؟

CyberStrikeAI یک ابزار متن‌باز در حوزه امنیت تهاجمی است که در این گزارش، استفاده از آن در یک عملیات مخرب توصیف شده است.

بر اساس یافته‌های پژوهشگران، این سامانه وظایف مختلف را میان ۴۴ عامل تقسیم می‌کند تا بخش‌های گوناگون عملیات را مدیریت کنند. این فرایند می‌تواند مراحلی مانند شناسایی اهداف، بررسی آسیب‌پذیری‌ها، اعتبارسنجی نقاط ضعف، تلاش برای بهره‌برداری، مدیریت ارتباط با زیرساخت مهاجم، حفظ دسترسی و تهیه گزارش را در بر بگیرد.

یکی از قابلیت‌های قابل‌توجه در این عملیات، تولید فرم‌ها و صفحات ورود جعلی به زبان ژاپنی بود. چنین قابلیتی می‌تواند به مهاجمان کمک کند محتوای فریبنده را با زبان و شرایط مخاطبان هدف تطبیق دهند.

نکته مهم این است که تقسیم وظایف میان چندین عامل هوش مصنوعی، به‌خودی‌خود به معنی استقلال کامل سامانه از انسان نیست. میزان خودکار بودن عملیات به ابزارها، دسترسی‌ها، تنظیمات و نحوه هدایت سامانه بستگی دارد.

بااین‌حال، استفاده از چنین ساختاری می‌تواند حجم کار قابل انجام در یک بازه زمانی کوتاه را افزایش دهد و اجرای عملیات تکراری را برای مهاجمان ساده‌تر کند.

سه عملیات سایبری با سه سطح متفاوت از نقش هوش مصنوعی

گزارش TrendAI تنها به CyberStrikeAI محدود نمی‌شود. پژوهشگران سه محیط و عملیات متفاوت را بررسی کرده‌اند که در هرکدام، هوش مصنوعی به شکل متفاوتی مورد استفاده قرار گرفته است.

۱. خودکارسازی عملیات با ۴۴ عامل هوش مصنوعی

در مورد نخست، CyberStrikeAI برای هماهنگ‌سازی مراحل مختلف حمله استفاده شده است. فعالیت‌ها از شناسایی و ارزیابی اهداف تا تلاش برای بهره‌برداری و تولید گزارش‌های ساختاریافته را شامل می‌شدند.

وجود گزارش‌هایی با قالب مشابه و مستندات شواهد برای اهداف مختلف، نشان می‌داد که فعالیت‌ها به شکل یک فرایند تکرارپذیر اجرا شده‌اند، نه صرفاً مجموعه‌ای از یادداشت‌های پراکنده یک اپراتور.

۲. حمله هدایت‌شده توسط انسان با کمک مدل زبانی

در مورد دوم، نقش اصلی همچنان بر عهده اپراتور انسانی بود؛ اما یک مدل زبانی بزرگ (LLM) برای سرعت بخشیدن به برنامه‌ریزی و توسعه ابزارها به کار گرفته شده بود.

یکی از نفوذهای بررسی‌شده، یک سرور سامانه اطلاعات جغرافیایی (GIS) را هدف قرار داده بود که با اطلاعات ورود پیش‌فرض در معرض دسترسی قرار داشت.

در نتیجه این نفوذ، اطلاعات ثبتی زمین، سوابق تجاری، اطلاعات ورود ویندوز و داده‌های ایمیل به سرقت رفتند. این عملیات در ماه‌های اوت و سپتامبر ۲۰۲۶ و طی یک بازه ۲۴ روزه جریان داشت.

این نمونه یادآوری می‌کند که حتی استفاده محدود از هوش مصنوعی در کنار ضعف‌های امنیتی معمول، مانند باقی ماندن رمز عبور پیش‌فرض، می‌تواند به یک حادثه جدی منجر شود.

۳. استفاده از هوش مصنوعی برای توسعه ابزارهای حمله

در مورد سوم، نقش هوش مصنوعی عمدتاً به توسعه ابزارها و اسکریپت‌های مورد استفاده مهاجم محدود بوده است.

این عملیات دستگاه‌های لبه شبکه از جمله محصولات Cisco، Citrix، F5 و Yamaha را هدف قرار می‌داد و از آسیب‌پذیری‌های شناخته‌شده، قابلیت‌های مدیریتی یا اطلاعات ورود موجود در فایل‌های پیکربندی بهره می‌گرفت.

پژوهشگران تخمین زده‌اند که اپراتور این فعالیت دست‌کم شش کارزار را از ژانویه تا اکتبر ۲۰۲۶ اجرا کرده و در میان اهداف خود، دستگاه‌های VPN در معرض اینترنت و سرورهای WebLogic را نیز قرار داده است.

در حال حاضر شواهد کافی برای نسبت دادن هر سه عملیات به یک اپراتور واحد وجود ندارد.

چرا این تحول برای سازمان‌ها مهم است؟

یکی از تغییرات مهم در امنیت سایبری، کاهش هزینه و زمان لازم برای اجرای عملیات تهاجمی است.

در گذشته، انجام بخش‌های مختلف یک حمله به نیروی انسانی متخصص، ابزارهای متعدد و هماهنگی قابل‌توجه نیاز داشت. اکنون مدل‌های هوش مصنوعی و سامانه‌های چندعاملی می‌توانند برخی از این وظایف را سریع‌تر انجام دهند یا به شکل هماهنگ در کنار اپراتور انسانی پیش ببرند.

پیامدهای احتمالی این تحول عبارت‌اند از:

• افزایش سرعت شناسایی اهداف: بررسی تعداد بیشتری از سامانه‌ها در بازه زمانی کوتاه‌تر.
• خودکارسازی فعالیت‌های تکراری: کاهش نیاز به دخالت دستی در برخی مراحل عملیات.
• فریب هدفمندتر: تولید صفحات و فرم‌های جعلی متناسب با زبان و شرایط مخاطب.
• توسعه سریع‌تر ابزارها: استفاده از مدل‌های زبانی برای کمک به نوشتن و اصلاح اسکریپت‌ها.
• گسترش دامنه حملات: امکان بررسی هم‌زمان تعداد بیشتری از اهداف و سرویس‌های در معرض اینترنت.

بااین‌حال، نباید تصور کرد که هوش مصنوعی به‌تنهایی تمام موانع فنی حملات سایبری را برطرف کرده است. مهاجمان همچنان به دسترسی، زیرساخت، اطلاعات معتبر و وجود نقاط ضعف قابل بهره‌برداری نیاز دارند.

همان‌طور که یافته‌های این گزارش نشان می‌دهد، بسیاری از نقاط ورود همچنان ضعف‌های شناخته‌شده‌ای مانند تنظیمات ناامن، اطلاعات ورود پیش‌فرض و سرویس‌های در معرض اینترنت هستند.

چگونه در برابر حملات خودکار و مبتنی بر هوش مصنوعی دفاع کنیم؟

با افزایش خودکارسازی حملات، سازمان‌ها باید به‌جای تمرکز صرف بر شناسایی ابزارهای خاص، بر کاهش سطح حمله و تقویت کنترل‌های امنیتی تمرکز کنند.

۱. اطلاعات ورود پیش‌فرض را حذف کنید

تمام دستگاه‌های شبکه، سامانه‌های مدیریتی، سرورهای GIS و سرویس‌های سازمانی باید از نظر حساب‌های پیش‌فرض و رمزهای عبور ضعیف بررسی شوند.

برای حساب‌های مدیریتی، رمزهای منحصربه‌فرد، احراز هویت چندمرحله‌ای و محدودیت دسترسی بر اساس نیاز عملیاتی را در نظر بگیرید.

۲. سرویس‌های در معرض اینترنت را بازبینی کنید

فهرستی از سرویس‌های عمومی سازمان تهیه کنید و مشخص کنید کدام پورت‌ها، رابط‌های مدیریتی و سامانه‌های راه دور واقعاً باید از اینترنت قابل دسترسی باشند.

دسترسی به رابط‌های مدیریتی VPN، تجهیزات شبکه و سرویس‌های داخلی را در صورت امکان به شبکه مدیریتی یا مبدأهای مجاز محدود کنید.

۳. آسیب‌پذیری‌ها را سریع‌تر اصلاح کنید

دستگاه‌های VPN، تجهیزات لبه شبکه، سرورهای برنامه و کتابخانه‌های نرم‌افزاری باید به‌صورت منظم از نظر آسیب‌پذیری بررسی شوند.

در اولویت‌بندی اصلاحیه‌ها، تنها به امتیاز CVSS اکتفا نکنید؛ وجود بهره‌برداری فعال، اهمیت دارایی، دسترسی از اینترنت و امکان اجرای کد یا سرقت اطلاعات را نیز در نظر بگیرید.

۴. پایش رفتاری را تقویت کنید

در کنار بررسی امضاهای شناخته‌شده بدافزارها، رفتار سرویس‌ها و کاربران را نیز زیر نظر بگیرید.

افزایش ناگهانی درخواست‌ها، تلاش‌های غیرعادی برای ورود، اجرای فرایندهای نامتعارف توسط سرویس وب، ارتباطات خروجی مشکوک و دسترسی غیرمنتظره به اطلاعات حساس می‌توانند نشانه‌هایی برای بررسی بیشتر باشند.

۵. برای حملات سریع، فرایند پاسخ آماده داشته باشید

هنگامی که مهاجم می‌تواند چندین مرحله را خودکار کند، تأخیر در تشخیص و واکنش ممکن است پیامد حادثه را افزایش دهد.

سازمان‌ها باید مشخص کنند چه کسی مسئول بررسی هشدارهاست، چگونه دسترسی مشکوک محدود می‌شود، چه زمانی یک میزبان باید از شبکه جدا شود و چگونه شواهد برای تحلیل بعدی حفظ خواهند شد.

همچنین، استفاده از هوش مصنوعی در عملیات دفاعی می‌تواند به تحلیل هشدارها و اولویت‌بندی رخدادها کمک کند؛ اما تصمیم‌های حساس همچنان به نظارت، اعتبارسنجی و کنترل دسترسی مناسب نیاز دارند.

جمع‌بندی

گزارش جدید TrendAI نشان می‌دهد که هوش مصنوعی در عملیات سایبری مخرب می‌تواند نقش‌های متفاوتی داشته باشد؛ از کمک به یک اپراتور انسانی در توسعه ابزارها تا هماهنگ‌سازی وظایف میان ده‌ها عامل تخصصی.

در نمونه CyberStrikeAI، استفاده از ۴۴ عامل برای خودکارسازی مراحل مختلف عملیات، نشانه‌ای از افزایش مقیاس و تکرارپذیری فعالیت‌های تهاجمی است. دو نمونه دیگر نیز نشان می‌دهند که حتی زمانی که انسان کنترل اصلی را در دست دارد، هوش مصنوعی می‌تواند سرعت برنامه‌ریزی و توسعه ابزارها را افزایش دهد.

با وجود این تغییرات، اصول پایه امنیت همچنان اهمیت دارند: حذف رمزهای پیش‌فرض، اصلاح آسیب‌پذیری‌ها، محدودسازی سرویس‌های در معرض اینترنت، پایش رفتار و آمادگی برای پاسخ به رخداد.

تهدید جدید لزوماً به معنای ضعف جدید نیست؛ گاهی مهاجمان همان درهای قدیمی را با سرعت و مقیاس بسیار بیشتری امتحان می‌کنند.

منبع

The Hacker News — CyberStrikeAI Uses 44 AI Agents to Automate Hacking Operations Against Japan Targets

https://thehackernews.com/2026/10/cyberstrikeai-uses-44-ai-agents-to.html

این مقاله بر اساس گزارش منتشرشده توسط The Hacker News و یافته‌های منتسب به پژوهشگران TrendAI بازنویسی شده است.