أنشأت Intruder وكيل AI يجري اختبارات الاختراق في دقائق بدلًا من أيام

اختبار الاختراق اليدوي يكلف ما بين 10 إلى 50 ألف دولار، ويتطلب أسابيع من التحضير والتنسيق، وأياماً للتنفيذ، والتقرير غالباً ما يصبح قديماً قبل قراءته بالكامل. هذا يفسر لماذا تبقى الأمان في الشركات الناشئة في وضع حرج: التدقيقات مكلفة والنتائج سرعان ما تفقد أهميتها. أطلقت شركة Intruder اللندنية، من خريجي معجّل الأمن السيبراني GCHQ، وكلاء ذكاء اصطناعي يكررون منهجية المختبرين البشريين لكنهم ينفذون العمل بسرعة أرخص بعدة درجات وبتكلفة أقل بكثير. هذا هو أول نظام اختبار اختراق مؤتمت حقاً لا يتطلب تحضير سكريبتات يدوية.

كيفية عمل مختبر الاختراق بالذكاء الاصطناعي

يرى الذكاء الاصطناعي من Intruder الشاشة والمتصفح تماماً كما يفعل الإنسان. إنها ليست مجرد غلاف فوق أدوات المسح الموجودة مثل Burp Suite — يحلل النظام الواجهة، ويجد حقول الإدخال، ويفهم منطق التطبيق ويحاول بشكل منهجي كسره. العملية النموذجية: يفتح الوكيل موقع الويب المستهدف، ويجد نموذج تسجيل الدخول، ويحاول كلمات مرور معيارية وتوليفات نموذجية (admin/password, root/root)، ويحلل رد الخادم. ثم يستكشف الواجهة بشكل أعمق، ويبحث عن حقول إدخال البيانات، ويدخل في كل واحدة متجهات هجوم نموذجية: حقن SQL ('; DROP TABLE users; --)، حمولات XSS (<script>alert(1)</script>)، ويفحص التفاعل. كما يفحص حقوق الوصول: هل يمكن للمستخدم العادي الوصول إلى لوحة التحكم، هل يمكن لعميل واحد رؤية بيانات عميل آخر؟

الفحوصات الرئيسية للذكاء الاصطناعي:

• مسح المنافذ المفتوحة والخدمات وإصداراتها
• اختبار المصادقة: كلمات مرور ضعيفة وبيانات اعتماد قياسية وتجاوز المصادقة الثنائية
• التحقق من التفويض: تصعيد امتيازات أفقي وعمودي
• البحث عن حقن SQL و XSS و CSRF على جميع نماذج الويب
• تحليل الإعدادات: حزم S3 غير المحمية ومفاتيح API المكشوفة وتسرب الأكواد
• توليد تقرير مع توصيات لإصلاح كل ثغرة

اقتصاديات اختبار الاختراق تنقلب

يكلف مختبر الاختراق المحترف ما بين 50 و 150 دولاراً في الساعة. يتطلب التدقيق الكامل لشركة متوسطة أسبوعاً من الإعداد وأسبوعاً من الاختبار وأسبوعاً من التوثيق. المجموع: ثلاثة أسابيع، 20 إلى 50 ألف دولار، تقرير قد يصبح قديماً خلال شهر بسبب تحديثات الأكواد. يتعامل الذكاء الاصطناعي مع ذلك في ساعات أو دقائق اعتماداً على حجم النظام، وتنخفض التكاليف بعدة درجات. بالنسبة للشركات الناشئة والشركات الصغيرة والمتوسطة هذه ثورة — في السابق لم تستطع ببساطة تحمل تدقيقات احترافية. الآن يمكن فحص الأمان بانتظام: أسبوعياً أو شهرياً، مثل الاختبارات الانحدارية العادية. هذا يغير بشكل أساسي نموذج الأمان من فحص لمرة واحدة إلى مسح مستمر.

الفخاخ والقيود

يعمل الذكاء الاصطناعي بشكل جيد على الثغرات النموذجية لكنه غالباً ما يكون أعمى تجاه الأخطاء المنطقية. إذا كان للتطبيق منطق أعمال غير قياسي (خطأ في خوارزمية الدفع يسمح بالشراء برخص أكثر)، قد يفوته الذكاء الاصطناعي ذلك. بالإضافة إلى ذلك، قد يعلق الذكاء الاصطناعي على CAPTCHAs، قد لا يمر عبر تشويش JavaScript معقد، قد لا يتعامل مع WebAssembly على جانب العميل. على الأنظمة التي تتطلب وصولاً فيزيائياً أو هندسة اجتماعية، الذكاء الاصطناعي عاجز تماماً. لذلك فإن اختبارات الاختراق بالذكاء الاصطناعي تكمل ولا تستبدل التدقيقات الكاملة على الأنظمة الحرجة. تستخدم الشركات الناشئة الذكاء الاصطناعي للطبقة الأولى. البنوك والوكالات الحكومية — اختبار اختراق تقليدي بالإضافة إلى الذكاء الاصطناعي كرأي ثاني ومسح مستمر.

ما يعنيه هذا

يتحول الذكاء الاصطناعي في الأمن السيبراني من المختبرات إلى أداة قتالية. يتوقف الأمان عن كونه من مميزات الشركات الكبرى ويصبح في متناول الشركات الناشئة. هذا أمر جيد: ثغرات أقل وضوحاً على الإنترنت. لكنه سيء: يحصل الفاعلون الخبيثون أيضاً على إمكانية الوصول إلى أدوات الذكاء الاصطناعي للهجمات وكسر كلمات المرور. والنتيجة تصعيد: يفحص المدافعون بتكرار أكثر، والمهاجمون يبتكرون بسرعة أكبر. للشركات النتيجة واحدة: الأمان لم يعد مصروفاً لمرة واحدة بل ممارسة مستمرة.