قراصنة مرتبطون بكوريا الشمالية يبنون بيئة ذكاء اصطناعي خاصة، لكن أتمتة الهجمات لم تُثبت بعد
رصد باحثون برامج لنماذج لغوية محلية وأدوات للبحث في الوثائق والتطوير بالذكاء الاصطناعي داخل بنية مرتبطة بمجموعة Kimsuky. قد تساعد المنظومة على تحليل الملفات المسروقة وتحسين التصيد من دون خدمات سحابية، لكنها لا تثبت تنفيذ هجمات ذاتية.
لم تعد أدوات الذكاء الاصطناعي لدى بعض القراصنة تقتصر على صياغة رسالة تصيد أفضل. فقد عثرت شركة أمن سيبراني كورية جنوبية على دلائل تشير إلى أن بنية مرتبطة بمجموعة Kimsuky تضم بيئة محلية لتشغيل نماذج لغوية والبحث في الوثائق، وهو ما يسمح نظرياً بتحليل الملفات الحساسة من دون إرسالها إلى خدمة سحابية خارجية.
الخلاصة في 30 ثانية
- ماذا حدث؟ رصدت Genians آثار تشغيل ثلاثة برامج لنماذج محلية، وبيئة للبحث في الوثائق، وأدوات لتطوير الوكلاء والبرمجة بمساعدة الذكاء الاصطناعي.
- لماذا يهم؟ قد تساعد هذه المنظومة على فرز البيانات المسروقة وإعداد طعوم تصيد أكثر إقناعاً وتجربة أتمتة بعض المهام مع إبقاء المعلومات داخل خوادم المهاجمين.
- ما الذي لم يُثبت؟ لم يُتحقق من النتائج بصورة مستقلة، ولم يعرض التقرير هجوماً سيبرانياً كاملاً نفذه نموذج ذاتياً من البداية إلى النهاية.
الحقيقة الأهم
شملت الآثار ثلاثة برامج لتشغيل النماذج محلياً، هي Ollama وGPT4All وMsty، إلى جانب نظام يسترجع المعلومات من مجموعة وثائق محددة.
ما الذي وجدته الشركة داخل البنية المرتبطة بالحملة؟
يقول تقرير مركز Genians الأمني المنشور في 10 أغسطس إن الباحثين تابعوا سجلات البنية التحتية لأشهر. ولم تقتصر وظيفتها الظاهرة على الاتصال بالبرمجيات الخبيثة، بل استُخدمت أيضاً للاختبار والتطوير وإدارة البيانات المسروقة وتجربة أدوات ذكاء اصطناعي.
وجد المحللون آثار Ollama وGPT4All وMsty، وهي برامج تسمح بتشغيل نماذج لغوية كبيرة على جهاز أو خادم محلي. كما رصدوا قاعدة بيانات مرتبطة بميزة البحث في الوثائق داخل GPT4All، وأطر عمل لتطوير الوكلاء، وبرنامجاً لتحويل الكلام إلى نص، وآثاراً متعددة لأداة Cursor المساعدة في كتابة الشفرة.
لا تعني هذه القائمة أن كل الأدوات جُمعت في نظام واحد مكتمل. لكنها تكشف اتجاهاً عملياً: الانتقال من استخدام نموذج عام لكتابة نص قصير إلى بناء مساحة عمل خاصة يمكنها التعامل مع ملفات كثيرة وحساسة.
لماذا يفضّل المهاجم نموذجاً يعمل محلياً؟
عند رفع وثيقة إلى روبوت محادثة سحابي، تغادر البيانات جهاز المستخدم وتخضع لشروط الخدمة وإجراءات المراقبة لدى المزود. أما النموذج المحلي فيستطيع معالجة الوثائق داخل بيئة يسيطر عليها المشغل، وهذا مناسب لمن يريد فرز بيانات مسروقة من دون كشفها لطرف آخر.
يمكن لتقنية الاسترجاع المعزز بالتوليد (Retrieval-Augmented Generation أو RAG) أن تبحث في مجلد أو قاعدة وثائق ثم تقدم المقاطع المناسبة للنموذج قبل أن يجيب. وفي سياق التجسس، قد تختصر الوقت اللازم للعثور على أسماء أو حسابات أو موضوعات ذات قيمة، لكن دقة النتيجة تظل مرتبطة بجودة الملفات والنموذج ومراجعة الإنسان.
هذه هي النقطة الأهم في قراءة NewTqnia: الأدوات المتاحة للعامة لا تتحول بمجرد تثبيتها إلى مهاجم ذاتي. قيمتها للمشغل تكمن أولاً في السرعة والخصوصية وتنظيم العمل، وهي فوائد كافية لرفع الخطر حتى قبل إثبات الأتمتة الكاملة.
الحملة نفسها ما زالت تستخدم وسائل مألوفة
سمّت Genians النشاط Operation GitPower، وقالت إنه امتداد لعمليات أقدم لا عائلة هجمات جديدة. يبدأ المسار برسائل تصيد وملفات اختصار خبيثة في أرشيفات ZIP، ثم يشغّل أوامر PowerShell مخفية ويستعين بمستودعات Git لتوزيع مكونات مشفرة من برمجية AsyncRAT.
كما حلل الباحثون وثائق طُعم تتعلق بالاستثمار والعملات المشفرة، ورجحوا أن الذكاء الاصطناعي ساعد في إنشائها. بدت اللغة والتنسيق قريبين من مواد العمل الحقيقية، لكن التقرير لم يقارن مجموعة رسائل قبل استخدام الذكاء الاصطناعي وبعده، لذلك لا توجد نسبة موثوقة لمدى تحسن نجاح التصيد.
وتنسجم هوية المجموعة مع سجل معروف. فقد فرضت وزارة الخزانة الأميركية عقوبات على Kimsuky في نوفمبر 2023 ووصفتها بأنها مجموعة تجسس سيبراني تخضع لسيطرة حكومة كوريا الشمالية، كما وثق تنبيه أميركي مشترك أساليب انتحال جهات موثوقة والهندسة الاجتماعية المنسوبة إليها.
قبل أن نبالغ في النتيجة
- تعتمد الأدلة التقنية ونسبة البنية إلى Kimsuky أساساً على تحقيق شركة أمنية واحدة.
- لم يقدم التقرير عدداً للضحايا أو حجماً للبيانات المسروقة أو قياساً لتحسن كفاءة الهجمات.
- تشير الأدوات إلى استعداد وتجارب متقدمة، لكنها لا تثبت أن وكيلاً ذكياً اختار هدفاً ونفذ اختراقاً كاملاً بلا إشراف بشري.
ما الذي يستطيع المدافعون مراقبته فعلياً؟
ذكرت رويترز عند نشر الخبر في 10 أغسطس أنها لم تتمكن من التحقق المستقل من النتائج. وهذا يجعل المؤشرات السلوكية أهم من الافتراضات الواسعة عن قدرات المجموعة.
يوصي التقرير بالبحث عن سلاسل أوامر طويلة داخل ملفات الاختصار، وتشغيل PowerShell في الخفاء، وإنشاء المهام المجدولة، والوصول غير المعتاد إلى محتوى GitHub الخام، وملفات تنفيذية مشفرة تتنكر في صورة صور. هذه علامات قابلة للرصد سواء كتب الإنسان رسالة الطُعم أم ساعده نموذج لغوي.
ومع تحسن النصوص الاصطناعية، يصبح الحكم على الرسالة من أسلوبها وحده أقل فائدة. الحماية الأمتن تراقب ما يفعله الملف بعد فتحه، وتفرض مصادقة قوية للبريد، وتعزل السلوك غير المألوف على الأجهزة.
ما الذي ينبغي إثباته لاحقاً؟
يحتاج الباحثون إلى تأكيد مستقل يربط أدوات الذكاء الاصطناعي بعمليات اختراق مكتملة، لا بمجرد سجلات تثبيت وتجارب. ومن المهم أيضاً معرفة ما إذا كان البحث المحلي استُخدم فقط لقراءة الملفات، أم اتصل بوكلاء قادرين على إصدار أوامر والتحرك داخل الشبكات.
النتيجة الحالية ليست ولادة قرصان آلي مستقل، بل محطة استعداد جدية. فبرامج النماذج المحلية الرخيصة تمنح جهة متقدمة مختبراً خاصاً لتحليل المعلومات وتطوير البرمجيات الخبيثة وصناعة الخداع، وهذا تطور يستحق المتابعة حتى مع بقاء الحدود واضحة.
كيانات وموضوعات موثّقة
المصادر والمراجع4 مصادر
المراجع الخارجية المستخدمة لدعم المعلومات الواردة في هذا المقال.
نشر بواسطة
مكتب نيو تقنية – الذكاء الاصطناعي
فريق تحريري مؤسسي تابع لنيو تقنية
