عُثر عليها بالبحث عن مهاجمين مهملين
في سبتمبر استعادت شركة غامبيت سيكيوريتي خادم تجهيز من حملة إجرامية استهدفت أسواقًا إلكترونية، وسمّت أطر الذكاء الاصطناعي الموجودة عليه: هيرميس وستريكس وكيرن. أخذت شركة الأمن النرويجية الأمريكية نورفورج ذلك دليلًا، ووجّهت ماسحي شودان وسينسيس إلى الإنترنت المفتوح، وبحثت عن تثبيتات كيرن التي لم يضع مشغّلوها كلمة مرور على واجهة الويب.
ووجدت أكثر من عشرين منها تعدّها خبيثة، إضافة إلى عدد من اختبارات الاختراق التي تبدو مشروعة وكانت مكشوفة بالقدر نفسه. والتقرير الصادر في 19 أكتوبر عن باحث التهديدات الرئيسي سنوري فاغرلاند يقدّم نظرة مباشرة على نحو غير معتاد إلى كيفية استخدام الوكلاء المستقلين لاقتحام المواقع التجارية، لأن لوحات المهاجمين أنفسهم تعرض كل خطوة.
وكيرن ليس أداة هجوم بحكم تصميمه. تصفه نورفورج بأنه محرّك لحل المسائل قائم على الحالات: كل مهمة مشروع له نقطة بداية وهدف، ويتنقّل الوكلاء بينهما في دورات من “النوايا” و”الحقائق”، فيضعون كل اكتشاف على لوح مشترك يقرأه بقية العمال. ويمكن للمشغّل البشري إضافة تلميحاته إلى اللوح نفسه. وقال مؤلف كيرن، الذي ينشر باسم le1xia0 على منصة إكس، إن المشروع لم يُبنَ للقرصنة.
ثلاث مجموعات، وواحدة صنّعت العملية
توزّع نورفورج النشاط على ثلاث مجموعات. أكبرها، وتسميها AIA0001 وتعدّها خبيثة بثقة عالية، تعمل بالصينية عبر 14 لوحة وأكثر من 1100 مشروع هجوم. وأهدافها مواقع تجارة إلكترونية في الولايات المتحدة وكندا واليابان وأستراليا، والغاية وصول دائم إلى بنية المتاجر والمدفوعات.
والتكليفات صناعية الطابع. تقول تعليمة نموذجية، مقتبسة في التقرير، للوكلاء إن الأهداف “مواقع تسوّق وتجارة إلكترونية حقيقية مؤكَّدة” في تلك البلدان الأربعة، بحركة بين 200 ألف ومليون ونصف، وقد جرى التحقق منها مسبقًا بأداة بلايرايت من مايكروسوفت لأتمتة المتصفح للتأكد من إمكانية تنفيذ الطلبات فعلًا. والهدف تنفيذ تعليمات برمجية عن بُعد دون مصادقة، والحمولة محدّدة بأنها قشرة رفع ملفات، وليست قشرة ويب منفِّذة للأوامر.
أما المجموعة الثانية، AIA0002، فتعمل بالإنجليزية عبر عشر لوحات وتتجه إلى السرقة أكثر من الوصول: بطاقات ائتمان وعملات مشفّرة، ومشاريع كثيرة بلا تعليمة تقنية سوى “أحضر بطاقات ائتمان”. ومجموعة ثالثة، بلوحة واحدة و59 مشروعًا، لا تصنّفها نورفورج خبيثة إلا بثقة منخفضة.
نحو خمسة دولارات للمهمة ونسبة نجاح 10 بالمئة
في AIA0001، نفّذ كل مهمة عاملٌ اسمه claudecode_deepseek-v4.1-flash، وتقرأه نورفورج على أنه إطار كلود كود يستدعي نموذج V4.1 فلاش من ديب سيك. ولا تملك الشركة أرقامًا للرموز وتشدّد على عدم اليقين، لكنها تقدّر متوسط المهمة بنحو خمسة دولارات شاملةً المشاريع التي تفشل مبكرًا؛ وأطولها، بأكثر من ألف نية وحقيقة، قد يتجاوز مئة دولار.
وعبر المجموعات كلها تضع نورفورج متوسط نسبة النجاح عند نحو عشرة بالمئة. وداخل AIA0001 كان متوسط الزمن من بدء المشروع إلى بلوغ الهدف أقل قليلًا من 23 ساعة، بنحو 140 حقيقة لكل مشروع. وامتدّ أحد المشاريع أكثر من خمسة أيام.
وتحقّق الباحثون بأنفسهم من اختراق مُعلَن، إذ استدعوا عنوان القشرة من مشروع مكتمل ضد مورّد كبير لقطع العدّة. وكان يعمل. ووفق شرح الوكيل نفسه، جمع طريق الدخول بين وصول كتابة غير مصرّح به إلى مخزن جلسات memcached، وفك تسلسل غير آمن لكائنات PHP، وسلسلة أدوات في مكوّنات قديمة من إطار Zend.
اللوحات نفسها هي الخرق
النتيجة الثانية هي ما ينبغي للمدافعين التحرك بشأنه. فاللوحة المفتوحة لا تكشف أن موقعًا يُهاجَم فحسب؛ بل تنشر كل ما تعلّمه الوكلاء في الطريق، ومعه أي بيانات اعتماد لصقها المشغّل البشري. وقد مرّرت نورفورج ماسح الأسرار ترافلهوغ على البيانات فوجدت مئات الأسرار، تحقّقت الأداة من أن 11 بالمئة منها لا يزال صالحًا.
ويبدو أن اللوحات تكشف أيضًا واجهة الإدارة كاملة: بدء المشاريع وإيقافها، وإدخال البيانات، وتوجيه الوكلاء إلى أهداف جديدة. وتقول نورفورج إنها لم تختبر ما إذا كانت هذه الضوابط تعمل دون مصادقة، لأسباب بديهية، لكن المعنى قائم: وكلاء هجوميون مستقلون خلف باب غير موصد.
وسمّت رويترز، التي اطّلعت على التقرير قبل نشره، شركات ديري وشاركنينجا وكمنز بين الضحايا. قالت ديري إنها اتخذت إجراءات تصحيحية ولم ترَ دليلًا على الوصول إلى معلومات حسّاسة؛ وقالت شاركنينجا إن الهجوم أصاب موقع دعم منتجات مستقلًا وجرى احتواؤه؛ وقالت كمنز إنها تحقّق في هجوم محتمل على موقع يديره أحد مورّديها.
وتتعاون نورفورج مع رويترز لتحذير الضحايا، وتطلب من شركات الاستضافة إزالة اللوحات. ونجاح ذلك رهن بالمستضيفين. أما الإشارة الأرخص فهي التي يختم بها التقرير: المشغّلون الوحيدون الذين أمكن تتبّع أدواتهم أصلًا هم من تركوا لوحاتهم مفتوحة.
