NGR Softlab تضيف إلى نظام SIEM Alertix قاعدة لاكتشاف الهجمات التي تستخدم LLM

أضافت NGR Softlab إلى نظام SIEM Alertix قاعدة ارتباط جديدة يُفترض أن ترصد النشاط المشبوه المرتبط بالهجمات السيبرانية القائمة على النماذج اللغوية. وأعلنت CNews عن هذا التحديث في 12 أكتوبر 2026. ولا يتضمن المقتطف المتاح من الخبر أي مؤشرات رقمية: فلا يذكر عدد السيناريوهات التي تغطيها القاعدة، ولا مصادر الأحداث التي تعتمد عليها، ولا الإصدار الذي أصبحت متاحة فيه. لذلك يعرض ما يلي السياق العام، لا تفاصيل التنفيذ.

ما المعروف عن الإصدار

Alertix هو نظام SIEM من شركة NGR Softlab الروسية. وتؤدي قاعدة الارتباط في مثل هذه المنتجات مهمة بسيطة: تقارن الأحداث الواردة من مصادر مختلفة (أجهزة الشبكة، وخوادم البروكسي، وسجلات التطبيقات، وحسابات المستخدمين)، وتُنشئ حادثة أمنية حين تشكّل مجموعة الأحداث سلسلة مميزة. فالطلب المنفرد إلى خدمة خارجية لا يعني شيئاً بحد ذاته. أما الطلب نفسه بعد تسجيل دخول غير معتاد وتنزيل كمية كبيرة من البيانات، فيبدو مختلفاً تماماً.

وبحسب صياغة الموقع، صُممت القاعدة لاكتشاف الهجمات التي يستخدم فيها المهاجمون النماذج اللغوية. أما التقنيات التي ترصدها تحديداً، سواء توليد رسائل التصيّد، أو أتمتة الاستطلاع، أو الشيفرات الخبيثة المكتوبة بمساعدة LLM، أو الهجمات على النماذج المؤسسية نفسها، فلا يوضحها المصدر.

لماذا يضطر SIEM إلى تعلّم رصد LLM

تغيّر النماذج اللغوية صورة التهديدات من جهتين. الأولى جهة المهاجمين: فالنموذج يسرّع إعداد الرسائل والسكربتات وسيناريوهات الهندسة الاجتماعية، ويخفض عتبة الدخول، ويزيد حجم المحاولات. والثانية جهة البنية التحتية المحمية: فالشركات تعتمد روبوتات الدردشة والمساعدين والوكلاء (agents) الذين يصلون إلى بيانات داخلية، فتظهر نقاط هجوم جديدة، منها prompt injection والتسريبات عبر الاستعلامات وإساءة استخدام مفاتيح API.

وهذا يعني بالنسبة إلى SIEM أنواعاً جديدة من القياس عن بُعد (telemetry) وأنماطاً جديدة. فالقواعد الكلاسيكية كُتبت للبرمجيات الخبيثة وهجمات القوة الغاشمة (brute force) والحركة الجانبية (lateral movement). أما حركة المرور إلى خدمات LLM والاتصالات ببوابات النماذج الداخلية فلا تنسجم مع هذه القوالب.

البيانات التي يؤكدها المقتطف المنشور:

• الشركة: NGR Softlab
• المنتج: نظام SIEM Alertix
• نوع التغيير: قاعدة ارتباط جديدة
• الغرض: رصد النشاط المشبوه المرتبط بالهجمات التي تستخدم النماذج اللغوية
• تاريخ الخبر: 12 أكتوبر 2026، والمصدر CNews

لم يُكشف عن: عدد سيناريوهات الكشف، وقائمة مصادر الأحداث، وشروط الترخيص، وما إذا كانت القاعدة مربوطة بإطار MITRE ATT&CK، ومعدل الإنذارات الكاذبة.

ما الذي ينبغي أن يتحقق منه العملاء

تبلغ فائدة قاعدة الارتباط حدّ اكتمال البيانات التي تعمل عليها، لا أكثر. فإذا لم تتوفر في المؤسسة سجلات بروكسي تصنّف خدمات LLM، ولا سجلات بوابة AI داخلية، ولا تدقيق لطلبات API، فلن يكون هناك ما يمكن رصده، مهما بلغ منطق القاعدة من التطور.

قبل التطبيق، يُنصح بطلب ثلاثة أمور من الشركة المطوّرة: قائمة مصادر الأحداث الإلزامية، ووصف شروط تفعيل القاعدة، وإحصاءات الإنذارات الكاذبة في التجارب الأولية (pilots). كما يجب تحديد من في SOC يتولى فرز (triage) هذه الحوادث: فمحلل الخط الأول الذي لا يملك خبرة في تهديدات LLM لن يستطيع التمييز بين الهجوم والاستخدام الطبيعي للمساعد من جانب موظف. وأخيراً، لا تعالج القاعدة سوى جزء من المهمة. فجرد النماذج المؤسسية والتحكم في صلاحيات وكلائها يبقيان عملاً منفصلاً.