القاهرة: الأمير كمال فرج.

واجهت روبوتات الدردشة المدعومة بالذكاء الاصطناعي انتكاسة أمنية جديدة؛ فبعد نحو أسبوعين من تعرض المساعد الذكي لشركة Meta لاختراق سمح للقراصنة بالسيطرة على حسابات Instagram .

ذكر فيكتور تانجرمان في تقرير نشره موقع Futurism إن "باحثون أمنيون كشفوا عن ثغرة حرجة في نظام ك Copilot Enterprise التابع لشركة مايكروسوفت، مكنتهم من تحويل الشات بوت إلى سلاح لتهريب البيانات بنقرة واحدة".

وصنفت مايكروسوفت الثغرة بأنها قصوى الخطورة وحرجة للغاية، وقامت بإصدار تحديث أمني عاجل لمعالجتها بعد تلقيها بلاغاً من شركة فارونيس المتخصصة في الأمن السيبراني التي اكتشفت الهجوم.

آلية الاختراق وتجاوز الصلاحيات

أوضح الخبراء أن الحيلة السيبرانية كانت بسيطة ومباشرة على نحو مفاجئ؛ إذ يقوم المهاجم بصياغة رابط إلكتروني خبيث يوجه Copilot للبحث في رسائل البريد الإلكتروني الخاصة بالضحية، واستخراج العناوين، ثم دمجها داخل رابط صورة محدد. ولا يتطلب الأمر من الضحية كتابة أي شيء، بل يكتفي بنقر الرابط، ليتولى الذكاء الاصطناعي تنفيذ بقية المهمة.

ونظراً لأن نسخة الشركات من Copilot تعمل بصلاحيات كاملة للوصول إلى شبكة بيانات المستخدم، فإن المهاجم يرث فعلياً هذه الصلاحيات للوصول إلى معلومات المؤسسة دون الحاجة إلى إجراء أي عملية تسجيل دخول أو مصادقة. ونتيجة لذلك، يصبح بإمكان القراصنة الوصول إلى المراسلات السرية، بل وتفعيل رموز التحقق بخطوتين لأي خدمة مرتبطة بالمستخدم.

استخدم الباحثون في هذا الاختراق أسلوباً يُعرف بحقن المعاملات في الأوامر (P2P)، وهو أسلوب متطور يرتبط بطرق حقن الأوامر التقليدية التي تعتمد على تلاعب النصوص لإجبار النموذج اللغوي الكبير على تجاوز تعليماته الأساسية. وفي هذه الحالة، تم إخفاء الأمر الخبيث داخل معلمات التكوين الخاصة بالرابط، وليس في نص المحادثة المباشرة.

استغلال الروابط الموثوقة 

أجبر الهجوم محرك البحث بينغ التابع لمايكروسوفت على القيام بالمهمة القذرة عبر دمج الأمر الخبيث داخل رابط يحمل نطاق بينغ؛ ونظراً لأن هذا النطاق مدرج في القائمة البيضاء والموثوقة لدى الشركة، لم تشك الأنظمة الأمنية في طبيعته.

ولأن هذا الاختراق يستهدف فئة الشركات والمؤسسات في حزمة مايكروسوفت، فإن رقعة الضرر لم تقتصر على البيانات الشخصية فحسب؛ بل امتدت لتشمل كل ما يملك المستخدم صلاحية الوصول إليه داخل المؤسسة، بما في ذلك رسائل البريد الإلكتروني، ودعوات الاجتماعات، ومذكرات العمل، مما ينذر بمخاطر أوسع اعتماداً على طريقة ربط خدمات مايكروسوفت 365 بالبيئة الرقمية الشاملة للشركات.