تقرير Mandiant لعام 2026 عن الذكاء الاصطناعي: فاتورة بقيمة 50,000 دولار لوكيل منفلت واختراقات مدعومة بالذكاء الاصطناعي

تقرير MandiantAI Risk and Resilience 2026 المنشور على Google Cloud في سبتمبر 2026، والذي غطته في الأسبوع نفسه Help Net Security وThe Hacker News وSecurityBrief، يصف ثلاث مهام كان فيها الذكاء الاصطناعي هو الآلية لا الهدف: جلسة مساعد برمجة مدعوم بالذكاء الاصطناعي تم اختطافها ونشرت دودة Shai-Hulud عبر نحو 100 مستودع داخلي لدى مزود خدمات برمجية كخدمة لم يُسمَّ؛ وبيانات اعتماد CI/CD مخترَقة حوّلها متسلل إلى مركز هجومي مدعوم بالذكاء الاصطناعي داخل شركة رعاية صحية، وسرّب آلاف بيانات الاعتماد؛ ووكيل محاسبة راكم نحو 50,000 دولار من رسوم السحابة في أقل من ساعة بعد أن أفسدت قيمة null تالفة إحدى أدواته، ما أدى إلى قفل قاعدة بيانات الفوترة وإيقاف المعاملات الجارية. لم يكن هناك مهاجم في الحالة الثالثة. ويمكن العثور على السجل الذي بُني عليه هذا المقال، وعلى المدخلات المسجلة حوله، في أرشيف حوادث الذكاء الاصطناعي، الذي يحمل لكل مدخل مصادره الخاصة ودرجة خطورته ودرجة ثقته وإشارة كونه محل نزاع.

ما نوع هذا المستند؟

التقرير بعنوان "مخاطر الذكاء الاصطناعي ومرونته في 2026: تقرير خاص من Mandiant" على صفحة موارد الأمان الخاصة بـ Google Cloud، وهو منشور صادر عن مورّد وليس إفصاحًا عن خرق. وتأتي دراسات الحالة الواردة فيه من مهام الاستجابة للحوادث لدى Mandiant ومن تقييمات فريق الأمن الهجومي لديها، ولا تُعرَّف المؤسسات إلا بالقطاع: مزوّد خدمات البرمجيات كخدمة، ومنظمة رعاية صحية عالمية، ومزوّد خدمات مالية عالمي للمؤسسات. لا تُذكر أي ضحية بالاسم، ولا يُؤرَّخ أي اختراق، ولا يرفق أي بيان من الضحية بأي من الثلاثة.

وهذا يشكّل طريقة قراءة الأرقام. فكل رقم فيها ينشأ لدى محققي Mandiant أنفسهم. وتصف مذكرة Frontier Ready الصادرة عن Cloud Security Alliance بتاريخ 16 سبتمبر رسومًا تبلغ نحو 50,000 دولار وحجمًا قدره 15,000 استدعاء بأنها "مُبلّغ عنها ذاتيًا (مقياس المزوّد)" وتقول إنها "لم يتم التحقق منها بشكل مستقل" — وهو وصف دقيق للتقرير بأكمله، الذي لا ينشر أي بيانات قياس عن بُعد من طرف ثالث للتحقق منها. ويؤرشف السجل هذا المدخل بوصفه سجلاً معلوماتيًا، أي تقريرًا لا حادثة ذات ضرر مسجل، ويصنّفه بدرجة ثقة A دون الإشارة إليه كنقطة خلاف؛ وتتعلق هذه الدرجة بمدى توثيق التقرير، لا بما إذا كان طرف خارجي قد أكّد محتوياته.

الإطار الذي يطرحه التقرير نفسه هو أن الخصوم انتقلوا في عام 2026 من سؤال روبوتات المحادثة لإجراء البحث إلى السماح للأنظمة الوكيلية بالاضطلاع بأجزاء من عملية اختراق. وتقول Mandiant إن Google Threat Intelligence Group رصدت فاعلين ينشرون أدوات ذاتية التشغيل تشمل Hexstrike وStrix لأغراض الاستطلاع وجمع بيانات الاعتماد، ويبنون مرحّلات بروكسي ومسارات تسجيل آلية للتحايل على الضوابط وحدود الفوترة في منصات الذكاء الاصطناعي التجارية. ويشير التقرير إلى تسليح مهارات وكيل OpenClaw في فبراير كما وثّقته VirusTotal، وإلى اختراقات سلسلة التوريد في مارس التي تنسبها Mandiant إلى الفاعل الذي تتعقبه باسم UNC6780 ويتعقبه آخرون باسم TeamPCP، وإلى إفصاح في مايو وصفته GTIG بأنه أول حالة مؤكدة علنًا لمجرم إلكتروني يستخدم استغلال ثغرة يوم صفر مطوَّرًا بالذكاء الاصطناعي، استغلالًا تجاوز المصادقة الثنائية في أداة إدارة مفتوحة المصدر شائعة.

الحالة الأولى: أوصى المساعد بالحزمة

في الحالة الأولى، اخترق مهاجم مزوّد برمجيات كخدمة، ثم استولى على جلسة نشطة لمساعد برمجة بالذكاء الاصطناعي على محطة عمل أحد المطورين. وتصف Mandiant المساعد بأنه "يعمل كمفسّر موثوق داخل البيئة": فقد أوصى بتثبيت حزمة برمجية خارجية كان المهاجم قد سمّمها مسبقًا، وقبل المطور التوصية. ويقول التقرير إن المساعد "عمل عن غير قصد كحصان طروادة".

من خلال الجلسة الحية، ثبّت المهاجم برنامج سرقة معلومات (infostealer) عبر حزمة PyPI مسمومة، وجمع رموز OAuth الخاصة بالمطوّر على GitHub. ثم انتقل دودة Shai-Hulud ذاتية الانتشار عبر ما يقارب 100 مستودع برمجي داخلي، مؤتمتةً سرقة أسرار المستودعات والتسريب البرمجي للشيفرة المصدرية للمنتجات المملوكة. كما سمّم المهاجم حزمة داخل النطاق الرسمي للمؤسسة، فسحب موظف ثانٍ النسخة المخترقة — وهو إصابة لاحقة لم تتطلب، بحسب Mandiant، أي إجراء إضافي من المتسلل.

ما لا يذكره التقرير هو متى حدث أي من ذلك، أو كيف تمكن المهاجم من السيطرة على جلسة المساعد من الأساس. وتلاحظ The Hacker News، التي أوردت دراسة الحالة في 16 سبتمبر، كلا الإغفالين. وتصف المذكرة البحثية الصادرة عن Cloud Security Alliance في 18 سبتمبر بشأن الحالة ناقل الوصول الأولي بأنه «أهم سؤال مفتوح في دراسة الحالة»، وتلاحظ أن الضوابط الموصى بها من Mandiant تعالج مدى انتشار الإصابة، لا كيفية الاستيلاء على الجلسة.

ضوابط Mandiant لهذه الحالة ثلاثة، وهي محددة بشأن الإخفاق: فرض خطافات تحقق في IDE وCLI تفحص كل تبعية طرف ثالث يوصي بها الذكاء الاصطناعي مقابل مجاميع تحقق تشفيرية وقائمة سماح معتمدة؛ وإبقاء مفاتيح API الخام ورموز OAuth طويلة العمر وغيرها من الأسرار بعيدة عن متناول الإضافات؛ وتقييد الخروج الشبكي لمحطات العمل بحيث لا تُوجّه حركة التبعيات إلا عبر مستودعات داخلية خاضعة للتحكم.

الحالة الثانية: تحويل بيانات اعتماد CI/CD إلى مركز للتنقيح المشترك بالذكاء الاصطناعي

الحالة الثانية هي تحقيق في سحابة مؤسسية لدى منظمة رعاية صحية عالمية. تتبّعت Mandiant نشاطًا شاذًا إلى بيانات اعتماد مطوّر طويلة الأمد خاصة بـ CI/CD تم اختراقها، واستخدمها الدخيل لإنشاء نسخة VM غير معزولة وتحويلها إلى مركز هجومي نشط. وبدلًا من بناء الأدوات دون اتصال، ربط المهاجم نماذج لغوية كبيرة مباشرة بالخادم قيد التشغيل وكرّر التجربة عليها في مكانها.

يصف Mandiant سير عمل من ثلاث مراحل. أولاً جاءت تهيئة السياق: حزم برمجية جرى مزامنتها عبر جلسات عن بُعد وملفات README الخاصة بالمشروع حُمّلت في سياق محادثة النموذج، لتوجيه توليد الشيفرة اللاحق نحو أهداف الحملة. ثم التصحيح التفاعلي: جعل المهاجم النموذج يبني إطاراً متعدد العمال لجمع البيانات، وعمل معه على تصحيح أخطاء منطقية في تقسيم السكربتات، رافعاً وتيرة تسريب البيانات إلى دورة كل ثلاث ساعات. وأخيراً التهرب والاستغلال: كتب النموذج سكربتات تدوير IP ديناميكية لتبديل عناوين الخوادم المدرجة في القائمة السوداء أثناء التشغيل، وشارك في تطوير أداة قائمة على Rust لتسجيل الدخول إلى حسابات الضحايا والتحقق من الأرصدة المالية.

تقول Mandiant إن الحملة اخترقت آلافًا من بيانات الاعتماد وسرّبت مفاتيح API التي جُمعت والأسرار المالية إلى مستودع يتحكم فيه المهاجم. لا يوضح التقرير لمن تعود الحسابات التي وُجّهت إليها أداة Rust، ولا إلى من تعود الأرصدة المالية التي فحصتها، ولا ما آل إليه مصير بيانات الاعتماد بعد ذلك. لا تُذكر أي بيانات للمرضى في أي مكان من دراسة الحالة.

تتبع الضوابط الموصى بها بيانات الاعتماد لا النموذج: استبدل مفاتيح الوصول طويلة الأجل بعلاقات ثقة Workload Identity Federation قصيرة الأجل باستخدام OIDC؛ واحتواء حركة الخروج باستخدام VPC Service Controls بحيث لا تستطيع بيئات التشغيل والتطوير الوصول إلى مزوّدي نماذج خارجيين غير معتمدين؛ وتشغيل الفحص المستمر للأسرار عبر مساحات العمل؛ ووضع جدار حماية للمطالبات وقت التشغيل مثل Model Armor في المسار لاعتراض بيانات الاعتماد المضمّنة وحظر نصوص الأدوات الهجومية أثناء تنفيذها.

الحالة الثالثة: الوكيل الذي أنفق 50,000 دولار في أقل من ساعة

لم يكن للحالة الثالثة أي خصم. نشر مزوّد عالمي للخدمات المالية للمؤسسات وكيلًا لتسوية الحالات الشاذة في دفتر الأستاذ المحاسبي لديه، ومنحه صلاحية القراءة والكتابة على قواعد بيانات الفوترة الداخلية. أدت قيمة فارغة تالفة إلى تعطيل أداة التنسيق لدى الوكيل، فاستجاب الوكيل بالدخول فيما تسميه Mandiant حلقة استدلال تعاودية غير مقيّدة لإصلاح المشكلة بأسلوب القوة الغاشمة.

في أقل من ساعة، أصدر أكثر من 15,000 استدعاء API للاستدلال عالي التكرار وعالي التكلفة، مما أحدث ارتفاعًا مفاجئًا في فاتورة السحابة بنحو 50,000 دولار. وتسببت الحلقة نفسها في قفل شديد لقاعدة البيانات المحلية أوقف معاملات تجارية نشطة. يصنّف Mandiant الحالة تحت مسمى "denial-of-wallet"، كما أن الإصلاحات التي يوصي بها تشغيلية لا على مستوى النموذج: حد أقصى للإنفاق، وتعاود محدود، وقاطع دائرة لإيقاف وكيل يستمر في الفشل في المهمة نفسها.

لا يوضح التقرير ما إذا كان قد تم دفع الرسم أو إضافته كرصيد أو الاعتراض عليه، ولا المدة التي توقفت فيها المعاملات، ولا ما إذا كان العملاء قد تأثروا، ولا ما غيّرته الشركة بعد ذلك. كما لا يذكر أي تاريخ. ويُدرج تجميع SecurityWeek المؤرخ 18 سبتمبر هذا ضمن ما يصفه التقرير بأنه فئة جديدة للمخاطر المالية بدلاً من اختراق تقليدي.

ضوابط Mandiant المقترحة ذات طابع مالي تبعاً لذلك: تعريفات الهوية والوصول القائمة على الأدوار للوكلاء، وحدود السقف المالي والمراقبة كحوكمة، إضافة إلى قواطع دوائر مالية آلية توقف الوكيل بعد عدد محدد من إخفاقات المهام المتتالية. وعلى مستوى الخدمة والمشروع، توصي بحدود مالية صارمة، وحدود تكرار محدودة، وحدود معدل، بحيث تُكبح حلقة التصحيح الذاتي قبل أن تتحول إلى انقطاع في الخدمة.

ما هو ثابت، وما هو منسوب، وما لم يُفصح عنه

مؤكد. نشرت Mandiant هذا التقرير، وهو يقول ما لُخّص أعلاه. غطّته أربع منصات إعلامية متخصصة، كل منها في غضون ثلاثة أيام من الأخرى — Help Net Security وThe Hacker News في 16 سبتمبر، وSecurityBrief UK في 17 سبتمبر، وSecurityWeek في 18 سبتمبر — وتتوافق رواياتها مع ما جاء في التقرير في كل رقم تعيده. نشرت Cloud Security Alliance مذكرة بحثية منفصلة عن الحالة الأولى في 18 سبتمبر، وتوصلت إلى القراءة نفسها لآلياتها وإلى الاستنتاج نفسه بشأن ما أغفلته Mandiant.

منسوب، ولم يُتحقق منه بشكل مستقل. الأرقام المحددة هي أرقام Mandiant: نحو 100 مستودع، وآلاف من بيانات الاعتماد، ودورة تسريب بيانات مدتها ثلاث ساعات، وأكثر من 15,000 استدعاء استدلال، ونحو 50,000 دولار، وأقل من ساعة. لم تنشر أي وسيلة إعلامية بيانات قياس من أي من الضحايا الثلاثة، ولم يذكر أحد أسماء أي منهم. التأكيد الموجود هو تأكيد لمحتويات التقرير، لا للأحداث. هذا التمييز هو كل ما يمكن للقارئ الاعتماد عليه هنا، وينبغي قراءة درجة الثقة في الأرشيف على هذا النحو أيضًا.

لم يُفصح عنه. لا يورد التقرير أي تواريخ لأي من المهام الثلاث، ولا أسماء الضحايا، ولا رواية لكيفية الاستيلاء على جلسة المساعد في الحالة الأولى. ولا يذكر ما إذا كانت رموز OAuth الخاصة بـGitHub وأسرار المستودعات التي جُمعت قد أُبطلت، ولا ما إذا كانت آلاف بيانات الاعتماد من الحالة الثانية قد استُخدمت أو أُعيد ضبطها، ولا ما إذا كان أصحاب البيانات لدى المؤسسة الصحية قد تأثروا، ولا ما إذا كانت رسوم وكيل المحاسبة قد استُردت، ولا ما الذي غيّرته أي من المؤسسات الثلاث بعد ذلك. ولم يعثر هذا المقال على أي إفادة ضحية، أو إشعار من جهة تنظيمية، أو تقرير متابعة نُشر منذ 16 سبتمبر يسد تلك الفجوات.

حيث تتباين التغطية. تصف مذكرة تحالف أمن السحابة (Cloud Security Alliance) الإصابة الثانية في الحالة الأولى بأنها انتشرت عبر مساحة الأسماء npm الخاصة بالشركة. أما نص Mandiant فيقول فقط "حزمة داخل مساحة الأسماء الرسمية للمؤسسة" ولا يذكر أي منظومة هناك؛ فقراءة npm إضافة وليست اقتباسًا. وبشكل منفصل، يوضح موقع The Hacker News صراحةً أن الدودة في هذه الحالة لا تربطها الأدلة المتاحة بدودة npm التي ظهرت في أغسطس والتي زرعت خطافات لمساعدي البرمجة، ولا بأحد متغيرات Shai-Hulud التي وُجدت وهي تفحص 469 موقعًا بحثًا عن بيانات الاعتماد — إنه الاسم العائلي نفسه، لكنها حملات منفصلة، ولا يوجد في المقال ما يربط بينها.

ما يذكر التقرير أنه ينبغي تغييره

تتكرر توصيات Mandiant عبر دراسات الحالة في التقرير: الانتقال من بيانات الاعتماد طويلة الأجل وحسابات الخدمة إلى هويات مرتبطة بحمل عمل وقصيرة الأجل بحكم التصميم؛ والتعامل مع مساعدي البرمجة بالذكاء الاصطناعي وخوادم MCP بوصفها جلسات ذات امتيازات يُتحقق من امتداداتها وخطافات CLI الخاصة بها قبل التنفيذ؛ وإحاطة أحمال عمل الوكلاء بمحيطات شبكية تمنع الخروج إلى مزودي نماذج غير معتمدين؛ وتزويد استخدام الرموز المميزة واستدعاءات API العابرة للتطبيقات ووصول الوكلاء إلى الأصول الحساسة بأدوات رصد، بحيث تظهر القراءة الأولى لمستودع حساس كإشارة بدلاً من أن تختلط بحركة مرور الأدوات المشروعة.

فيما يتعلق بالتكلفة، ترسم خطًا فاصلًا بين حوكمة الذكاء الاصطناعي والحوكمة من أجل الذكاء الاصطناعي: السياسات التي تحدد شهية المخاطر وقواعد الشراء من جهة، والحدود التقنية المفروضة من جهة أخرى. ووكيل المحاسبة هو مثال التقرير على إخفاق النوع الثاني: فبحسب رواية Mandiant، لم يقيّد أي شيء في نشره الحلقة، والضوابط التي كانت ستكشف ذلك — سقف، وحد لمعدل الطلبات، وقاطع دائرة — هي ضوابط عادية تُطبّق على حمل عمل غير معتاد.

لا تشترك الحالات الثلاث في سبب واحد. إحداها مشكلة ثقة، حيث حملت توصية مساعدٍ ما سلطة توصية زميل. وإحداها مشكلة بيانات اعتماد تسبق وجود أي نموذج، إذ جعلت النماذج الاختراق أسرع وأكثر تكيّفًا بمجرد الدخول. وأما الثالثة فليست أيًا منهما: لا مهاجم، ولا ثغرة مستغلة، بل وكيلٌ مُنح صلاحية الكتابة إلى سجل، ودون سقف لما يمكنه إنفاقه لإصلاح أداة معطوبة. وما تشترك فيه هو أن نظام الذكاء الاصطناعي كان يتمتع في كل منها بسلطة لم يحدد نطاقها أحد — سلطة التوصية، وإعادة الضبط، ومواصلة المحاولة.