ثمانية سيناريوهات، وثمانية أهداف تحقّقت
شغّلت بوز آلِن هاميلتون نموذجين متقدّمين للذكاء الاصطناعي ضدّ شبكة تحكّم صناعي معزولة بُنيت لمحاكاة مصنع، وأفادت بأن النموذجين حقّقا كل هدف حدّدته.
في أحد السيناريوهات انتقل النموذجان من اختراق عند المحيط الخارجي إلى التصرّف داخل شبكة التحكّم الصناعي في ما يزيد قليلاً على 16 دقيقة. وفي سيناريو آخر حدّد نموذج موقع ذراع آلية، واستنتج مناطق حمايتها وحدود حركتها، وحرّكها خلال دقائق. وتقول بوز آلِن إن النموذجين لم يكن لديهما شيفرة مصدرية ولا وثائق هندسية ولا إرشاد متخصّص في التقنية التشغيلية.
ولا تسمّي الشركة الاستشارية النموذجين، بل تصفهما فقط بأنهما إصداران حديثان من مزوّدين بارزين. وهذا قيد حقيقي على ما تقوله النتيجة: لا يستطيع القارئ مقارنتها ببطاقة السلامة التي ينشرها أي مزوّد، ولا معرفة ما إذا كانت حماية بعينها ستغيّر النتيجة.
ما الذي فعله النموذجان فعلاً
رتّب المختبر العمل بالترتيب نفسه الذي يتبعه متسلّل بشري. فقد تعرّف النموذجان على معدّات مجهولة، وطابقا بيانات الأصول والبرامج الثابتة مع ثغرات معروفة، وبَنيا مسارات هجوم، وغيّرا — حيث وافق إنسان — حالة معدّات مادية.
الاختبار على مُرحِّل أمان هو أوضح مثال. لاحظ النموذجان أن المُرحِّل يبحث مراراً عن شريك اتصال لا يستجيب، وحدّدا طريقة لانتحال صفة ذلك الطرف الغائب. ولا شيء غريب في ذلك؛ فهي الملاحظة التي يصل إليها مهندس صبور، لكنها هنا جاءت بسرعة ومن دون وثائق.
وفي اختبار على نظام سكادا فشلت المحاولة الأولى لأن النموذجين استهدفا نسخة خاطئة من واجهة المشغّل. ثم تحقّقا من الجلسات النشطة، وعدّلا الحمولة، ووجدا اتصالات حيّة ومصادَقاً عليها مسبقاً بـ 14 جهازاً على الشبكة التشغيلية.
الدفاعات التي صمدت والتي لم تصمد
أنفع ما في التقرير هو الإخفاقات. فقد رفض متحكّم أمر إيقاف. ولم يبدأ عن بُعد محرّك ضُبط على التحكّم المحلي. وأبطأت الجدران النارية وتقسيم الشبكة وحماية الأجهزة الطرفية خطوات أخرى أو منعتها.
لكن خلاصة بوز آلِن أن أي إجراء حماية بمفرده لم يوقف النموذجين باطّراد عن بلوغ هدفهما. نجح الدفاع المتعمّق ككل وأخفق كضوابط منفردة، وهو الاستنتاج المعتاد في الأمن المادي، وغير المريح حين لا يتعب المهاجم.
قال كايل ميلر، نائب الرئيس للأمن السيبراني للبنى التحتية في بوز آلِن: “بعض مؤسسات التقنية التشغيلية مستعدّة، لكن كثيراً منها ليس كذلك”. ورأى أن الوكلاء قادرون على العمل بسرعة ومثابرة ودقّة على مستوى الهندسة قد تسبق المؤسسات المدافِعة.
التحفّظات التي تهمّ
وافق مشغّلون بشر على كل استغلال وكل إجراء يمكن أن يُحدث أثراً مادياً، فلم تكن هذه تجربة ذاتية التشغيل. وكانت البيئة مختبراً لا مصنعاً عاملاً، وتشير بوز آلِن إلى أن العواقب في منشأة حقيقية ستتوقّف على بنيتها ومعدّاتها وإجراءات حمايتها وعلى ما ناله المهاجم من وصول.
وهذه التحفّظات تقطع في الاتجاهين. فبوابات الموافقة تعني أن النموذجين لم يُختبرا على ما إذا كانا سيتجاوزان حدّاً من تلقاء نفسيهما. وتعني أيضاً أن الدقائق الستّ عشرة تقيس القدرة لا ضبط النفس.
ما ينبغي متابعته
الرقم العملي هنا هو نافذة الاكتشاف. فإذا أمكن لفاعل كفء أن يكون داخل شبكة تحكّم في ربع ساعة، فإن المراقبة التي تفترض أياماً من الاستطلاع مصمّمة على مقاس خاطئ.
وتجدر متابعة ما إذا كان مالكو المنشآت سينشرون توقيتاتهم الخاصة بدل الاتكاء على مختبر شركة استشارية، وما إذا كان مزوّدو النماذج سيبدأون الإبلاغ عن القدرة في التقنية التشغيلية مثلما يبلّغون اليوم عن القدرة الهجومية السيبرانية. وإلى أن يحدث ذلك، تعمل كل مؤسسة تدير مصنعاً انطلاقاً من نماذج بلا أسماء اختارها غيرها.
