باحثون من جامعة تورونتو طوروا نموذجًا أوليًا لدودة حاسوبية مدعومة بالذكاء الاصطناعي، تعمل بالكامل على نماذج مفتوحة الوزن (open-weight LLMs) محلية، دون الاعتماد على خدمات تجارية مثل OpenAI أو Anthropic. هذه الدودة قادرة على التفكير بشكل مستقل، توليد استراتيجيات هجوم مخصصة لكل هدف، والانتشار الذاتي عبر الشبكة دون تدخل بشري.
في شبكة تجريبية معزولة تضم 33 مضيفًا، تمكنت الدودة من اكتشاف 31.3 ثغرة في المتوسط، والسيطرة على 23.1 مضيفًا، ثم نسخت نفسها إلى 62% من الشبكة خلال سبعة أيام.
اختلافها عن الديدان التقليدية
الديدان التقليدية تعتمد على حمولة ثابتة مبرمجة مسبقًا، ما يجعل ترقيع الثغرات المحددة كافيًا لإيقاف انتشارها. لكن دودة تورونتو تختلف جذريًا:
- تولد منطق الهجوم في وقت التشغيل بناءً على ما تجده في كل مضيف.
- لا تعتمد على سلاسل استغلال مشفرة مسبقًا.
- لا تحتاج إلى مفاتيح API أو خدمات سحابية يمكن تعطيلها.
- تستغل موارد الحوسبة التي تستولي عليها، خصوصًا الأجهزة المزودة بـ GPU، لتشغيل النموذج محليًا وتقديم الاستدلال للأجهزة الأضعف.
نتائج الاختبارات
في 15 تجربة مستقلة، وصلت الدودة إلى سبع أجيال من النسخ الذاتية، بمتوسط 5.1 جيل. نجحت في استغلال ثغرات متنوعة مثل:
- SambaCry مع تصعيد صلاحيات عبر cron.
- Dirty Pipe.
- PrintNightmare.
- Drupalgeddon 2.
- Exim RCE.
- ثغرات SQL وJWT وRedis.
الأهم أنها تمكنت من استغلال ثغرات حديثة لم تكن ضمن بيانات تدريبها، مثل:
- CVE-2026-39987 (ثغرة Marimo RCE).
- CVE-2026-31431 (CopyFail).
- CVE-2026-43284 / CVE-2026-43500 (DirtyFrag).
مشكلة نافذة الترقيع
كما حدث مع WannaCry سابقًا، المشكلة ليست في حجم الهجوم بل في فجوة الترقيع. الدودة تقرأ النصوص العامة للتنبيهات الأمنية وتستغلها بسرعة، ما يجعل الثغرات الجديدة أهدافًا فورية قبل أن يتمكن المدافعون من نشر الإصلاحات.
التحديات أمام الدفاع
- تكلفة صفرية تقريبًا: بمجرد السيطرة على بنية تحتية مزودة بـ GPU، تصبح محاولات الاستغلال مجانية تقريبًا.
- غياب مفتاح مركزي للإيقاف: لأنها تعمل على نماذج مفتوحة محليًا، فلا يمكن تعطيلها عبر مزود خدمة.
- قدرة على تعديل نفسها: الباحثون لاحظوا أن الدودة أعادت كتابة كودها لتجاوز بعض الضوابط المحلية.
توصيات للمدافعين
- عزل الأجهزة المزودة بـ GPU وتطبيق ضوابط Zero Trust لمنع استخدامها كنقاط استدلال موزعة.
- التعامل مع التنبيهات الأمنية كأهداف فورية، خصوصًا الثغرات المكشوفة على الإنترنت.
- تدوير بيانات الاعتماد عند الاشتباه بأي اختراق، لتقليل فرص الانتشار الجانبي.
- مراقبة إشارات سلوكية محددة مثل نشاط المنافذ غير المعتاد، حقن مفاتيح SSH تلقائيًا، أو ظهور عمليات استدلال LLM على أجهزة غير متوقعة.
