يبدو أن متجه الهجوم بسيط للغاية بشكل لا يصدق. ينقر الموظف على ما يبدو كرابط شرعي لـChatGPT، ربما يكون مدمجًا في بريد إلكتروني حول ترقية أدوات الذكاء الاصطناعي أو اختبار ميزة جديدة. يؤدي ذلك النقر الواحد إلى تشغيل أداة بناء الوكلاء في ChatGPT لإنشاء مساعد ذكاء اصطناعي ضار باستخدام معلمات مخفية في عنوان URL نفسه. يربط الوكيل نفسه بأي خدمات شركية قد اتصل بها الموظف بالفعل (Outlook، Teams، Slack، Google Drive، SharePoint)، يقوم بتعطيل الموافقات المطلوبة، ينشر نفسه، ويبدأ في العمل بجدول زمني. كل ذلك بدون أن يعلم الضحية أنه حدث شيء ما. تطلق Zenity Labs، الشركة الأمنية التي اكتشفت هذا الضعف، عليه اسم AgentForger لأنه يزور الداخلين بدلاً من سرقة البيانات. الهجمات التقليدية للتصيد تأخذ كلمات المرور أو رموز الجلسات. هذه التقنية تخلق شيئًا أكثر استمرارًا: ذكاءً اصطناعيًا ذاتي العمل يستخدم الصلاحيات الشرعية للضحية ويستمر في العمل بعد فترة طويلة من الاختراق الأولي. لا يحتاج الوكيل الخبيث حتى للاتصال بخادم القيادة والتحكم. بدلاً من ذلك، يراقب صندوق بريد الضحية للحصول على رسائل بريد إلكتروني تحتوي على كلمة TASK في الموضوع، يعامل كل واحدة كأنه مهمة جديدة. سيناريوهات إثبات المفهوم التي أظهرتها Zenity تبدو كقائمة مراجعة للتجسس الشركي. يمكن للوكيل الشقي رسم خريطة هيكل مؤسسة عن طريق الزحف عبر التقويمات، وسجلات الدردشة، ومشاركة الملفات. يمكن أن يصطاد كلمات المرور ومفاتيح واجهة برمجة التطبيقات (API) المدفونة في رسائل Slack. يمكن أن يرسل رسائل تصيد تُظهِر أنها جاءت من حساب Teams الخاص بالضحية، مما يجعل من الصعب تقريبًا اكتشافها على أنها احتيالية. تصبح هجمات الاحتيال عبر البريد الإلكتروني للأعمال (BEC)، حيث يتنكر المهاجمين كرؤساء لتفويض المدفوعات الاحتيالية، تافهة عندما يتحكم المهاجم في الذكاء الاصطناعي الذي يحتوي بالفعل على حق الوصول إلى قنوات الاتصال الخاصة بالرؤساء التنفيذين. قامت OpenAI بإصلاح الضعف في غضون أربعة أيام من تقرير Zenity في 4 يونيو 2026. أزالت الشركة المعلمة المعرضة للاختراق في عنوان URL التي سمحت للهجوم بحقن التعليمات في أداة بناء الوكلاء قبل أي انكشاف عام. هذا وقت استجابة سريع للغاية، مما يشير إلى أن OpenAI فهمت مدى الخطورة على الفور. لكن التصحيح يعالج فقط هذا الاستغلال المحدد. تبقى المشكلة الأوسع: وكلاء الذكاء الاصطناعي يتخرجون من الإجابة على الأسئلة لاتخاذ الإجراءات عبر الأنظمة الشركية، وفِرَق الأمان ليس لديها خطة لهذا. يقدم Michael Bargury، المؤسس المشارك والمدير التنفيذي للتكنولوجيا (CTO) في Zenity، هذا على أنه فشل في ثقة الوكلاء. تتحكم الإجراءات الأمنية الحالية في مراقبة سرقة البيانات، ومواقع تسجيل الدخول المشبوهة، أو نقل البيانات غير المعتاد. إنها ليست مصممة لاكتشاف مساعد ذكاء اصطناعي يعمل ضمن صلاحياته الممنوحة، باستخدام الوصول الشرعي للضحية، ويتصرف تمامًا مثل أي أداة أتمتة عمل أخرى. لم يعد السطح الهجومي يبدو كأنه نقاط ضعف في البرمجيات أو اختراقات في الشبكات. يبدو كأنه قوة العمل الخاصة بك، ويمسي التمييز بين مساعد ذكاء اصطناعي مساعد وآخر ضار غير مريح للأسف.
💻 technology
روابط التصيد الآن تبني جواسيس ذكاء اصطناعي داخل مساحات العمل الخاصة بك
يمكن لرابط واحد ضار من ChatGPT تثبيت وكيل ذكاء اصطناعي يتحكم فيه المهاجم بصمت داخل مساحة العمل الخاصة بشركتك، مع إمكانية الوصول إلى بريدك الإلكتروني، وSlack، والملفات. أثبت باحثو الأمان في Zenity Labs المفهوم قبل أن يقوم OpenAI بإصلاح الخطأ في يونيو. تم تسمية الخطأ AgentForger، حيث حول مساعدي الذكاء الاصطناعي إلى عملاء داخليين يتبعون أوامر البريد الإلكتروني.
رأيي
هذا هو السيناريو الكابوسي الذي كان الجميع يخشونه عندما بدأت الشركات في دمج الذكاء الاصطناعي في كل شيء دون التفكير في نموذج الأمان. لقد قضينا عقودًا في بناء دفاعات محيطية، ومصادقة متعددة العوامل، وأنظمة اكتشاف الاقتحام. كل ذلك يصبح غير ذي صلة عندما لا يكون التهديد قد اخترق من الداخل ببناء مساعد يبدو شرعيًا تثق به أنظمتك بشكل ضمني. الجزء المخيف ليس أن هذا الضعف كان موجودًا (تم إصلاحه الآن). الجزء المخيف هو أنه يكشف مدى عدم جاهزيتنا للوكلاء الذكاء الاصطناعي الذين يتصرفون بشكل مستقل نيابة عنا. استحقاق OpenAI للإصلاح السريع يستحق التقدير، لكننا نلعب لعبة الضرب على الخلد. كل منصة جديدة لوكلاء الذكاء الاصطناعي، كل أداة أتمتة في مكان العمل، كل تكامل بين الذكاء الاصطناعي والأنظمة الشركية يخلق فرصًا جديدة لهذه الفئة من الهجمات. تحتاج فرق الأمان إلى البدء في التفكير في وكلاء الذكاء الاصطناعي على أنهم موظفون ذوو مخاطر عالية يمكنهم الوصول بشكل غير مقيد، لأن هذا بالضبط ما هم عليه. النموذج القديم حيث تحمي المحيط وتثق في كل شيء داخله قد انتهى. نحن بحاجة إلى بنى زخرفية تُفترض فيها أن كل وكيل، وكل إجراء آلي، وكل مساعد ذكاء اصطناعي قد تعرض للاختراق.
ماذا سيحدث بعد ذلك
سيتسارع مزودو الأمن إلى السوق بأدوات مراقبة وكلاء الذكاء الاصطناعي، لكن معظمهم سيفشلون في حل المشكلة الحقيقية. التحدي ليس اكتشاف السلوك الشاذ (هؤلاء الوكلاء يعملون ضمن الصلاحيات الشرعية). التحدي هو تأسيس المصدر: معرفة أي وكلاء تم إنشاؤهم من قبل من، ومتى، ولماذا. توقع أن تقدم OpenAI وMicrosoft سجلات للوكلاء وعمليات الموافقة في الربع القادم، من المرجح أن تتطلب توقيعًا بشريًا على أي وكيل لديه حق الوصول إلى بيانات الشركة. سيتبع Google Workspace خلال ستة أشهر. يأتي الاختبار الحقيقي عندما يضرب أول اختراق كبير باستخدام هذه التقنية شركة فورتشن 500، التي يبدو أنها أمر لا مفر منه نظرًا لعدد المؤسسات التي نشرت بالفعل وكلاء الذكاء الاصطناعي في عملياتها. سيؤدي ذلك الاختراق إلى استجابة تنظيمية. من المحتمل أن تصنف وكالة حماية الخصوصية في كاليفورنيا (CPPA) وآليات إنفاذ قانون الذكاء الاصطناعي في الاتحاد الأوروبي وكلاء الذكاء الاصطناعي المستقل كأنظمة عالية الخطورة تتطلب تدقيقات أمان إلزامية. ستبدأ شركات التأمين في استبعاد اختراقات وكلاء الذكاء الاصطناعي من سياسات الأمان السيبراني القياسية، مما يجبر الشركات على شراء تغطية متخصصة لا يستطيع معظمها تحمل تكلفتها. سيقوم رئيس أمن المعلومات (CISO) الذي يتم فصله بعد هذا الاختراق بكتابة كتاب يبيع بالملايين عنه.
ما يخبرنا به التاريخ
AgentForger هو في الواقع إعادة تكرار لهجمات يعرفها باحثو الأمن لعقود، الآن معززة باستقلالية الذكاء الاصطناعي. فيروس Melissa لعام 1999 استخدم وحدات ماكرو Microsoft Word لإرسال نفسه عبر البريد الإلكتروني إلى جهات اتصال في دفتر عناوين Outlook للضحية. نفس المبدأ (اختراق قنوات الاتصال الشرعية للانتشار) يظهر الآن كوكلاء ذكاء اصطناعي يراقبون البريد الإلكتروني وينفذون الأوامر. استغلت هجمات حقن SQL في عام 2003 التي اخترقت ملايين المواقع حقيقة أن التطبيقات تثق في مدخلات المستخدم بدون تحقق. تستغل AgentForger معلمات URL بنفس الطريقة، حقن التعليمات الضارة في أداة بناء الوكلاء في ChatGPT من خلال رابط مُصنَّع. هجمات تزوير الطلب بين المواقع (CSRF) من منتصف العقد الأول من القرن العشرين كانت تخدع المتصفحات للقيام بإجراءات نيابة عن المستخدمين المصرَّح لهم دون علمهم. AgentForger هو CSRF على المنشطات: بدلاً من إجراء غير مصرح به واحد، تقوم بتثبيت وكيل دائم يقوم بإجراءات غير محدودة باستخدام صلاحيات الضحية. أظهر اختراق RSA SecurID لعام 2011 كيف يمكن للمهاجمين أن يخترقوا أداة أمان موثوقة ويستخدمونها ضد المنظمات. وكلاء الذكاء الاصطناعي هم الأدوات الموثوقة الجديدة، واختراقهم يمنح المهاجمين نفس الوصول الداخلي. عمليات الاحتيال عبر البريد الإلكتروني للأعمال (BEC)، والتي تقول وكالة التحقيقات الفدرالية (FBI) إنها كلفت الشركات أكثر من 50 مليار دولار منذ عام 2013، اعتمدت على الهندسة الاجتماعية لتقمص المديرين التنفيذيين. يقوم AgentForger بأتمتة BEC بإعطاء المهاجمين الذكاء الاصطناعي الذي يمكنه دراسة أنماط الاتصال، تقليد أساليب الكتابة، وإرسال رسائل تصيد مقنعة من داخل حساب Teams أو Slack الفعلي للضحية. استغل اختراق Equifax لعام 2017 ثغرة غير مرقعة في Apache Struts، وهي خلل معروف كان يجب إصلاحه. المكافئ اليوم هو نشر المنظمات لوكلاء ذكاء اصطناعي دون مراجعات أمان، على افتراض أن منصة الموفر آمنة. هجمات الرجل في الوسط (MitM) كانت موجودة منذ الثمانينيات، اعتراض الاتصالات بين طرفين. وكلاء الذكاء الاصطناعي هم الوسيط الجديد، يجلسون بين الموظفين والأنظمة الشركية، مع خطر إضافي أنهم يمكنهم العمل باستقلالية بدلاً من مجرد المراقبة السلبية. دودة Morris Worm لعام 1988، إحدى أولى الديدان الكبرى على الإنترنت، استغلت الفجوات المتعددة لتنتشر تلقائيًا. وكلاء الذكاء الاصطناعي الحديثون لديهم نفس قدرة الانتشار التلقائية، ولكن بدلاً من استغلال التحميلات الزائدة، يستغلون العلاقات الموثوقة وتكامل واجهة برمجة التطبيقات (API). ما يجعل هذه الاستغلالات القديمة أكثر خطورة في سياق الذكاء الاصطناعي هو الاستمرارية والقدرة على التوسع. هجوم التصيد التقليدي يمنحك الوصول مرة واحدة. لكن وكيل الذكاء الاصطناعي الضار يمنحك الوصول الدائم الذي ينجو من تغييرات كلمات المرور، يعمل عبر خدمات متعددة في وقت واحد، ويمكنه تكييف سلوكه بناءً على ما يتعلمه من بيانات الضحية. نحن نتعامل أساسًا مع جميع الأخطاء الكبرى لفشل الأمن السيبراني على مدار الثلاثين عامًا الماضية، الآن تعمل بشكل تلقائي مع قدرات التعلم الآلي. سطح الهجوم لم يتغير جذريًا. الهجمات فقط تعمل بشكل أسرع، تخفي أفضل، وتتسبب في ضرر أكبر قبل أن يلاحظها أي شخص.
تأثير السوق
هذا الخبر يعتبر سلبيًا لشركة CrowdStrike (CRWD)، التي تتداول حاليًا حول 385 دولارًا، بزيادة تقريبًا 48% منذ بداية العام كما في يوليو 2026، وللبائعين التقليديين لأمن النقاط الطرفية التي لم يتم بناء أدواتها لاكتشاف هذه الفئة من التهديدات. كانت أسعار أسهمهم ترتفع على خلفية قصة أمن الذكاء الاصطناعي، لكن AgentForger يكشف عن نقطة عمياء في قدرات اكتشافهم. توقع تراجع بنسبة 3-5% في قطاع الأمن السيبراني بينما يهضم المستثمرون التداعيات. في المقابل، يُعتبر إيجابيًا لشبكات Palo Alto (PANW)، التي تتداول بالقرب من 340 دولارًا، بزيادة حوالي 25% هذا العام، التي كانت تدفع بنشاط في استعدادها لمنصة Zero Trust لعبء عمل الذكاء الاصطناعي. تبدو عمليات الاستثمار الأخيرة لهم في مجال إدارة الهوية والوصول الآن استشرافية. كما يجب متابعة شركتي Okta (OKTA)، التي تراوح حول 105 دولارًا والتي واجهت صعوبة هذا العام، والتي قد تستفيد من التركيز المتجدد على التحقق من الهوية لوكلاء الذكاء الاصطناعي. تواجه Microsoft (MSFT)، التي تتداول حول 445 دولارًا، مخاطر سمعة قصيرة المدى نظرًا لتكامل وكلاء ChatGPT بشكل عميق مع Microsoft 365، لكن بنيتها التحتية الأمنية تمنحها موارد للتعامل مع هذه المسألة بشكل أسرع من المنافسين. على المدى الطويل، يُسرع هذا من سوق أمن الذكاء الاصطناعي للشركات، الذي تقدر جارتنر أنه سيصل إلى 12 مليار دولار بحلول عام 2027.