GTIG AI Threat Tracker: من موجه إلى آلاف بيانات الاعتماد في ست ساعات

نشرت Google Threat Intelligence Group إصدار الربع الثاني من عام 2026 من AI Threat Tracker في 8 سبتمبر 2026. الحالة التي يتناولها التقرير قصيرة بما يكفي لسردها بوضوح: جهة فاعلة يُشتبه في أنها مدفوعة بدوافع مالية استولت على أحد الموارد السحابية العائدة لضحية، وأدخلت مطالبة ومجموعة من تعليمات الوكيل المكتوبة مسبقًا إلى روبوت محادثة للبرمجة بالذكاء الاصطناعي، وجنت آلافًا من بيانات الاعتماد الخاصة بأطراف ثالثة في أقل من ست ساعات، بينما أدار الوكيل بنفسه فحص الثغرات واستكشاف الأخطاء وإصلاحها وتدوير عناوين IP. ويصف التقرير نفسه خوادم MCP المصابة بأحصنة طروادة على PyPI، وسارق بيانات اعتماد يسرق هوية نظام البناء نفسه حتى تصل حزمه المزوّدة بأبواب خلفية مصحوبة بتصديقات SLSA Build 3 صالحة وموقّعة تشفيريًا، ونصًا عدائيًا يهدف إلى جعل ماسحات الأمان القائمة على LLM ترفض قراءة الشيفرة الموجودة تحته. كل ذلك هو رواية Google عن بيانات القياس عن بُعد الخاصة بها. جرى فهرسة هذا التقرير، مع درجة الثقة الخاصة به ومصادره المستشهد بها، في أرشيف حوادث الذكاء الاصطناعي، الذي يضم كل حادثة أخرى موثقة في هذه السلسلة إلى جانبه.

لم يتحقق أي طرف لا يكرر كلام Google من أي من الادعاءات الجوهرية. Help Net Securityغطّت المتتبع يوم النشر، وCloud Security Allianceنشرت مذكرة بحثية في اليوم التالي، وLineajeنشرت تحليل DUSTMAKER في 17 سبتمبر؛ وكل منها تلخيص أو طبقة تحليلية فوق إفصاح Google، ويقول Lineaje ذلك بنفسه، مشيرًا إلى أن GTIG «يصف عدة قدرات DUSTMAKER ذات صلة بدلًا من مسار تنفيذ واحد مرصود من طرف إلى طرف». المصدر الثاني المذكور إلى جانب هذا السجل، وهو بند «threat pulse» من threatops.tech بتاريخ 11 سبتمبر 2026، هو إعادة صياغة لا شاهد ثانٍ: فهو لا يضيف أي تقرير، ولا يعارض أي رقم، ويرفع تصنيف الخطورة دون توضيح ما يُقاس عليه. ولا تتفق التغطيات تمامًا حتى على اسم الإصدار — فHelp Net Security تسميه متتبع Q3 2026 بينما تؤرخ حالته الرئيسية بـ Q2 2026 — وهو اختلاف في الترقيم لا تعارض واقعي.

يصنّف الأرشيف هذا كتقرير لا كحادث: بدرجة ثقة A، غير متنازع عليه، ولا يوجد رقم كمّي محدّد للضرر الفعلي مسجّل بشأنه. هذا التصنيف يصف جودة التوثيق، لا حجم الضرر. فغوغل تُحصي بيانات الاعتماد، لا الضحايا. ولا يذكر المتعقِّب عدد المؤسسات التي وقعت في الحملة التي استمرت ست ساعات، ولا من كانت، ولا أي روبوت محادثة استُخدم، ولا ما إذا كانت أي من بيانات الاعتماد المسروقة قد بيعت أو استُخدمت لاحقًا.

الساعات الست التي يصفها GTIG، والمهام الثلاث التي أنجزها الوكيل بمفرده

يمتد التسلسل الوارد في التقرير من الوصول إلى النتيجة مع تدخل بشري ضئيل جدًا في ما بينهما. اخترق الفاعل موردًا سحابيًا، ثم استخدم روبوت محادثة تجاريًا للبرمجة بالذكاء الاصطناعي إلى جانب ما تسميه GTIG "مطالبة" و"مجموعة تعليمات للوكيل" — وهي كتب إرشادية بصيغة markdown توجد الآن في المستودعات كملفات AGENTS.md — لتخطيط العملية وبنائها وتشغيلها. ويصف Google النتيجة بأنها "حملة حصاد جماعية لبيانات الاعتماد ممكّنة بالوكلاء"، أُنجزت "في أقل من ست ساعات".

تُوصَف ثلاث مهام بأنها ذاتية، وهي المهام الثلاث التي كانت ستستهلك انتباه المشغّل لولا ذلك:

• خط أنابيب فحص الثغرات، الذي تتيح تعليمات الوكيل للذكاء الاصطناعي "{{1}}إدارته بشكل مستقل،{{/1}}" وفق الصياغة التي تقتبسها Help Net Security عن GTIG.

• استكشاف الأخطاء وإصلاحها في الوقت الفعلي لأي شيء كشف عنه الفحص، حتى لا يُعطّل أي عطل سير التشغيل في انتظار قرار.

• تدوير عناوين IP، بحيث تنطلق المحاولات المتتالية من عناوين مختلفة دون أن يُصدر أي شخص الأمر.

أصبح المكان الذي جرى فيه التشغيل لا يقلّ أهميةً عن سرعة تنفيذه. فمن خلال العمل انطلاقًا من البنية السحابية الخاصة بالضحية نفسها، وجّه الفاعل حركة المرور عبر نطاقات عناوين IP المشروعة الخاصة بالضحية. والطلبات التي تبدو وكأنها صادرة من داخل المؤسسة هي تحديدًا التي تكون دفاعات قائمة على السمعة أقل قدرة على التشكيك فيها، ويسجّل التقرير ذلك بوصفه نتيجةً للعمل من داخل أصول الضحية نفسها.

ما لا يحتويه التقرير ذو دلالة بقدر ما يحتويه. فلا يوجد توقيت لكل خطوة، لذا فإن عبارة «under six hours» قياس واحد للعملية بأكملها ولا يمكن تفكيكه إلى رسم بياني. ولا يوجد اسم للفاعل يتجاوز «suspected financially motivated»، ولا ضحية، ولا بيان يحدد النموذج أو بائع روبوت الدردشة المعني. ويتعامل المتتبع مع الحالة بوصفها مثالًا تطبيقيًا على اتجاه عام، وقد كُتبت على المستوى الذي يخدم ذلك الغرض لا على المستوى الذي يريده مستجيب للحوادث.

خادم مكشوف تحوّل إلى لوحة تحكم تضم 23,800 سر

الاكتشاف الثاني في القسم نفسه أكثر تحديدًا، وهو حالة منفصلة. وجدت GTIG خادم قيادة وتحكم مكشوفًا يستضيف إطارًا آليًا للاستطلاع وإدارة بيانات الاعتماد تسميه Recon. كانت قائمة الدليل قابلة للقراءة وكشفت التصميم: AGENTS.md، KNOWLEDGE.md، agentic_vuln_research.md، إضافة إلى دليل .openclaw/ معياري ودليل memory/. أسماء الملفات هذه هي بصمة مكدس وكيل وليست غرسة مخصصة — تعليمات ومعرفة متراكمة وخطة بحث، كلها على القرص حيث يمكن لأدوات المشغّل قراءتها.

كان الدليل نفسه، لاحقًا، يعمل كلوحة تحكم أمامية حيّة تنظّم وتتحقق من أكثر من 23,800 سرّ مُحصَّل، بما في ذلك مفاتيح API لخدمات السحابة والذكاء الاصطناعي. وتصف GTIG التحوّل الذي يمثله بأنه انتقال «من برمجيات سرقة المعلومات الخاملة والمركّزة على نقاط النهاية إلى الحصاد الوكيلي الهجومي» — أي من برمجيات خبيثة تلتقط ما تستطيع من حاسوب محمول واحد إلى أدوات تواصل العمل على الأهداف التي وصلت إليها بالفعل.

ينبغي أن يقترن بهذا الرقم تحذيران. فثلاثة وعشرون ألفاً وثمانمائة هو عدد للأسرار، لا عدد للأشخاص أو الشركات، ولا يحوّل التقرير أحدهما إلى الآخر. كما لا تذكر GTIG ما إذا كان خادم Recon والحملة التي استمرت ست ساعات هما العملية نفسها؛ إذ يُعرضان كملاحظتين منفصلتين في القسم نفسه، لذا فإن معاملتهما كخط سردي واحد ستكون استنتاجًا لا يقدمه التقرير.

DUSTMAKER والإقرار الذي ينص بشكل صحيح على أن العبوة أصلية.

يتعلق الشق الخاص بسلسلة التوريد في المتتبع بـUNC6780، الذي تتبعه Google أيضاً باسمTeamPCP، وهي مجموعة ذات دوافع مالية تعمل على اختراق البنية التحتية مفتوحة المصدر منذ مارس 2026 عبر PyPI وnpm وDocker Hub. وأسلوبها مع أدوات الذكاء الاصطناعي مباشر: استُخدمت حسابات مطوّرين مخترقة لنشر نسخ متفرعة من خوادم MCP الشرعية مضمّنة أحصنة طروادة، معtiktoken_mcpالذي ذُكر كمثال على PyPI، وجرى حقن شيفرة خبيثة في مستودعات المؤسسة الرسمية، بما في ذلكazure-functions-mcp-extension. وتلاحظ GTIG أنه كان يتم بعد ذلك استيعاب الحمولات وخطافات مساحة العمل الخبيثة تلقائياً كلما نُزّلت الأصول أو استُنسخت — دون طُعم منفصل، ودون خطوة ثانية.

أداة سرقة بيانات الاعتماد الخاصة به، DUSTMAKER، هي حيث تكمن النقطة التقنية الأكثر فائدة في التقرير. السلسلة قصيرة. تكتشف الأداة أنها تعمل في بيئة CI/CD؛ وتكتب GTIG أنه «إذا تأكد ذلك»، فإنها تستخرج رموز OIDC من ذاكرة العملية الخاصة بمشغّل GitHub Actions. وتستخدم تلك الرموز لتفويض نفسها كناشر موثوق. ثم تنشر إصدارات حزم مخترقة تحمل شهادات إثبات SLSA Build 3 صالحة وموقعة تشفيرياً. لا شيء في تلك السلسلة مزوّر. الشهادة حقيقية، صادرة لهوية حقيقية، لعملية بناء حدثت فعلاً — لكود كتبه المهاجم. استنتاج GTIG هو الجملة التي تهم أي شخص يعتمد على المنشأ: «الحزم المنشورة برموز صالحة ستجتاز فحوصات الثقة الآلية الخاصة بوكيل البرمجة بالذكاء الاصطناعي.»

يستهدف بقية سلوك DUSTMAKER أماكن لا يراقبها المدافعون. وهو يُسقط ويُعدّل ملفات داخل أدلة مساحات عمل مساعدي البرمجة بالذكاء الاصطناعي وبيئات التطوير — .claude/، .vscode/، .cursor/ — حيث يندمج في ضجيج المطورين ويتجنب المواقع التي يراقبها كشف نقاط النهاية فعلياً، مثل مفاتيح سجل Windows أو /etc/cron.*. ويكتب إعدادات تجعل بيئة التطوير أو إضافة الذكاء الاصطناعي تشغّل سكربتاً مثل setup.mjs عند فتح مساحة العمل، وهو ما يحوّل فتح مجلد إلى تنفيذ كود. وينشئ مهام خط أنابيب بأسماء ذات طابع ذكاء اصطناعي مثل "Copilot Setup" للبحث عن الرموز المميزة، ويُجري استدعاءات API لحذف سجلات تنفيذ سير العمل كي لا يظهر التشغيل في واجهة GitHub.

البرمجية الخبيثة التي تطلب من الماسح الضوئي أن يغضّ الطرف

الآلية الأخيرة هي الأقل تحققًا من بين الثلاث. تفتتح سكربتات تحميل JavaScript الخاصة بـ DUSTMAKER بنص توجيهي عدائي مضمّن كتعليقات — في _index.js ضمن ملفات أخرى — يشير إلى أسلحة بيولوجية ونووية، ويتضمن طلبًا للحصول على مواصفات لجهاز انشطاري من نوع الانضغاط بقوة 20 كيلوطن. وتقييم GTIG هو أن هذا "كان على الأرجح يهدف إلى جعل ماسحات الأمان الخاصة بالنماذج اللغوية الكبيرة تفشل أو تتخطى تحليل شيفرة JavaScript الخبيثة الموجودة تحته بسبب الرفض المتعلق بالسلامة أو السياسات."

التسمية على تلك الجملة مهمة. فهي بيان عن النية، مستنتَج من النص الذي يحمله المُحمِّل، وليست برهانًا على أن أي ماسح رفض فعليًا. لا يسمّي التقرير ماسحًا تخطّى الملف، ولا يذكر معدل تجاوز، ولا يقول إن التقنية نجحت. الثابت هو أن أحدهم كتب الطُّعم وضعه داخل سارق بيانات اعتماد — وهذا بحد ذاته دليل على أن المهاجمين يتوقعون أن يكون الفرز القائم على نماذج اللغة الكبيرة في المسار.

تقع UNC6508 وMIDNIGHT NEPTUNE وCALANQUE ION في التقرير نفسه

المواد المرتبطة بالدول في المتتبع أوسع من مواده المتعلقة بالجرائم، وهي في الغالب أقل أتمتة. UNC6508، وهي مجموعة مرتبطة بجمهورية الصين الشعبية، قد شنت حملة تجسس على مدى سنوات ضد الأبحاث الأكاديمية والطبية والعسكرية في أمريكا الشمالية، وهي تستهدف الآن أبحاث الذكاء الاصطناعي الخاصة تحديدًا؛ وتشتبه GTIG في أن المجموعة تخترق البيئات السحابية من أجل نشر نماذج محلية مفتوحة الأوزان، وهو ما يتجنب مراقبة واجهات برمجة التطبيقات التجارية ويُشغّل حوسبة الضحية نفسها.

وفي أماكن أخرى، يتمثل النمط في نماذج جاهزة تؤدي عملًا اعتياديًا على نطاق واسع. وكوريا الشماليةMIDNIGHT NEPTUNE، المعروفة سابقًا باسم UNC1069، استخدمتDeepSeek-Coder لكتابة أحصنة طروادة للوصول عن بُعد بلغة Python تتميز باستمرارية عابرة للمنصات وحقن العمليات، واستخدمت النماذج اللغوية الكبيرة لكتابة سكربتات الحركة الجانبية بلغة Bash، وشغّلت شخصيات هندسة اجتماعية وإغراءات تقنية، وسممت إعدادات المستودعات الداخلية، وعدّلتClaude CLI خطافات، ونشرتSOMBERMEME بابًا خلفيًا عندما تفاعل مطور مع المستودع. وإيرانCALANQUE ION، المعروفة سابقًا باسم APT42، استخدمت نماذج لتحديد عناوين البريد الإلكتروني المستهدفة، وإجراء OSINT، وتوطين الإغراءات، وتلخيص البيانات المسربة، ومحاولة الهندسة العكسية لشيفرة الترخيص. والجهة المرتبطة بجمهورية الصين الشعبيةBASIN CASTLE استخدمت Gemini لتنميط الأهداف، وترجمة مواد صينية إلى تقارير سياسية إنجليزية رسمية، واستكشاف أخطاء PowerShell وإصلاحها؛RAVINE CASTLE بحثت في تجاوزات VMware vCenter SAML واستغلال Active Directory بعد الاختراق باستخدامه؛ والجهة الروسيةSANDWORM RELIC جعلت Gemini يكتب شيفرة رش كلمات المرور الخاصة بها. وبدافع مالي،UNC6240، المعروفة أيضًا باسم ShinyHunters، استخدمتClaude Code مطالبات لكتابة شيفرة مبهمة، وتجاوز Cloudflare، وتحليل المجلدات المسربة عبر أدوات MCP المخصصة.

تتجاوز إحدى الحالات في هذا القسم بقية الحالات بخطوة. استخدمت مجموعة مرتبطة بجمهورية الصين الشعبية Gemini لتصميم إطار عمل ديناميكي آلي لاختبار الاختراق، يهدف إلى مراقبة حالة الهدف، والاستدلال على ما ينبغي فعله بعد ذلك، وتنفيذ فحص المنافذ وتحليل الخدمات. وتقول Google إنها اتخذت إجراءً أوسع نطاقًا ضد الحملات التي حددتها، فعطّلت الأصول والمشاريع والحسابات المرتبطة بها. وبشكل منفصل، في يونيو 2026، عطّلت Google "Outsider Enterprise"، خدمة إجرامية إلكترونية مقرها الصين كانت تورّد أدوات تصيّد احتيالي، ووصفت ذلك بأنه أول مرة تلجأ فيها إلى إجراء قانوني بشأن إساءة استخدام Gemini. وهذان بيانان منفصلان، وأي ملخص يدمجهما سيقول أكثر مما يقوله التقرير: فإطار اختبار الاختراق يندرج ضمن لغة تعطيل الأصول، أما الإجراء القانوني فيندرج ضمن Outsider Enterprise.

LLMJacking، وكم تبلغ تكلفة حساب ذكاء اصطناعي مسروق الآن

تحدد أداة التتبع أيضًا أسعار السوق المرتبطة بالوصول المسروق إلى الذكاء الاصطناعي. وتركّز الطلب في السوق السوداء على بيانات اعتماد Claude وGemini، إلى جانب بيئات التطوير المتكاملة للبرمجة المستقلة Cursor Pro وDevin، وهذا الأخير من إنتاج Cognition، كما ارتفعت متوسطات أسعار السوق لكل حساب بأكثر من الضعف خلال عام 2026. وبرامج سرقة المعلومات التي تقوم بالجمع — LUMMAC.V2، STEALC.V2، VIDAR وACRSTEALER — حُدّثت لتستهدف إعدادات مطوري الذكاء الاصطناعي. في مايو 2026، أطلق متحكمو ACRSTEALER قواعد التقاط الملفات الخاصة بـ Cline المسمى secrets.json وملف Continue AI المسمى config.yaml، ويمكن أن يحتوي كلٌّ منهما على مفاتيح API بنص صريح ونقاط نهاية مخصصة لتوجيه النماذج.

يُظهر أحد الاختراقات التي يصفها GTIG قيمة حساب ذكاء اصطناعي بمجرد الاستيلاء عليه. في أبريل 2026، كان رمز وصول شخصي مكشوف على GitHub كافيًا لتمكين Gemini Enterprise، وتجهيز قدرة حوسبة عالية الأداء، وإنشاء مستودعات Docker لنشر واجهة LiteLLM API وإطار عمل وكيل Manus، وإقامة خدمات Cloud Run مكشوفة أمام allUsers عبر ربط مستدعٍ في IAM. وأنشأت الجلسة نفسها حساب خدمة مارقًا بامتيازات Editor وصدّرت مفاتيحه، واستعلمت من BigQuery عن متغيرات البيئة وبيانات الاعتماد، وحاولت نقل ملكية المشروع إلى عنوان خارجي، واستخدمت واجهة Cloud Quotas API لطلب سعة NVIDIA RTX 6000 والمزيد من نسخ 48-vCPU.

صورة استخراج النماذج هي الاقتصاديات نفسها على نطاق أوسع. تقول GTIG إن حملات التقطير تحدث الآن بانتظام، «بعضها يتجاوز 100 مليون مطالبة»، مع تدوير الاستعلامات عبر آلاف الحسابات المخترقة والاحتيالية وتوجيهها عبر بنية تحتية للبروكسي، وإن Google نشرت تدابير مضادة يمكنها إضعاف أداء النموذج الطالب وأساليب لتحديد النماذج المقطَّرة من Gemini عبر تتبّع المصدر.

ما المُثبت، وما هو التقييم، وما تقول GTIG إنها لم تره

مُثبَت، بمعنى أن Google تصف القياسات التليمترية الخاصة بها من الطرف الأول وإجراءات حسابها الخاصة: التقرير وتاريخه؛ والعناصر التي تقول إنها رصدتها، بما في ذلك أسماء الحزم، وأسماء ملفات أداة التحميل، وأسماء المجلدات، ولوحة المعلومات التي تضم 23,800 سر؛ وخطوات التعطيل التي تقول Google إنها اتخذتها، ويمكنها أن تشهد عليها لأن تعطيل حساب أمر تفعله بدلًا من أن تستنتجه. وتُورد Help Net Security وCloud Security Alliance وLineaje كل هذه البنود دون تناقض، وإن لم يقدّم أيٌّ منها دليلًا مستقلًا خاصًا به.

تقييم، بالمعنى الذي يشكّل حكماً تصدره Google: كل إسناد إلى دولة قومية في التقرير؛ وقراءة طُعم الرفض على أنه متعمد؛ والادعاء بأن الرموز المسروقة ستجتاز "فحوص الثقة الآلية لوكيل البرمجة بالذكاء الاصطناعي"، وهو بيان عن كيفية بناء تلك الفحوص عادةً لا قياساً لفشل منتج معيّن في اجتياز أحدها.

لم يُثبت: هوية الفاعل ذي الست ساعات، والضحايا وعددهم، وروبوت المحادثة والنموذج المعنيان، وما إذا كان خادم Recon متصلًا بتلك الحملة على الإطلاق.

والسقف الذي يضعه التقرير لنفسه أدنى مما يوحي به عنوانه. وتذكر GTIG أنها لم ترصد بعد مسارات استغلال مستقلة بالكامل في العالم الحقيقي، وتقدّر أن استخدام الخصوم "قد يكون آخذًا في التطور نحو حالة الاستخدام هذه". والانقسام يقع داخل الهجوم لا حوله: فالبشر يوفّرون الهدف والموجّه وملف التعليمات؛ والوكيل يوفّر المسح واستكشاف الأخطاء وإصلاحها والتدوير، ولا يتوقف لطلب الإذن. وبقراءة متأنية، ليست الحملة التي استمرت ست ساعات دليلًا على أن الاستقلالية قد وصلت. بل هي دليل على أن حصة الإنسان من العمل انكمشت إلى الجزء الذي يستلزم إنسانًا — تقرير ما ينبغي فعله — بينما كل ما بين القرار والنتيجة كان يعمل من تلقاء نفسه.

ما الذي تقول Google إنها غيّرته، والتحكّم الذي يشير إليه التقرير فعليًا

تسير استجابة Google المعلنة على مسارين. ففي ما يتعلق بإساءة الاستخدام، تقول إن الأنشطة "أثارت استجابات الأمان لدى Gemini"، وإنها اتخذت "إجراءً إضافيًا أوسع نطاقًا" ضد الحملات استنادًا إلى إخفاقات الأمن التشغيلي لدى الفاعلين، وإنها عطّلت الأصول والمشاريع والحسابات المرتبطة، وإن Google DeepMind استخدمت النتائج لتعزيز مصنّفاتها والنموذج نفسه كي يرفض هذه الطلبات. وفي ما يتعلق بالدفاع، نشرت Google AI Threat Defense، الذي يجمع بين Gemini والنماذج المتقدمة مع تحديد أولويات المخاطر من Wiz، والمعالجة من Gemini وCodeMender، واستخبارات Mandiant، باستخدام نماذج أخف للفحص المستمر والنماذج المتقدمة للنتائج عالية المخاطر؛ كما قدّمت Gemini 3.8 Flash Cyber لاكتشاف الثغرات والترقيع الآلي، ونشرت إرشادات مفتوحة المصدر لتقوية سلسلة التوريد.

الإصلاح المحدد الذي تستدعيه قضية DUSTMAKER أضيق نطاقًا من تلك المنظومة، والتحليلات الخارجية تتقارب على ذلك. تجيب شهادة إثبات SLSA عمّا إذا كانت الحزمة قد بُنيت بالهوية التي تدّعيها. لكنها لا تجيب عمّا إذا كانت تلك الهوية لا تزال تنتمي إلى الطرف الذي قصدت الوثوق به، وطريقة DUSTMAKER بأكملها تقوم على استعارة هوية بدلًا من تزويرها. وخلاصة Lineaje للتحوّل الكامن هي أوضح صياغة له: «يتحوّل محتوى المستودع إلى سلطة تنفيذ». إن أسماء الحزم، وأسماء خوادم MCP، وشارات الإثبات، وملفات التعليمات داخل المستودع، تأتي جميعها الآن مصحوبة بادعاء ما يستدعي الإذعان لها، ورمز OIDC المسروق هو ما يجعل هذا الادعاء يبدو مُتحقَّقًا منه.