كشفت شركة CrowdStrike عن حملة إلكترونية متطورة استهدفت مؤسسات مالية في كوريا الجنوبية باستخدام أداة اختبار اختراق تعتمد على الذكاء الاصطناعي تُعرف باسم ARTEX، في واحدة من أبرز الحالات التي توثق استغلال أنظمة الذكاء الاصطناعي الوكيلة لتنفيذ عمليات هجومية وسرقة بيانات على نطاق مؤسسي.
وأظهرت التحقيقات أن الحملة كانت نشطة بين أواخر سبتمبر وبداية أكتوبر 2026، وأسفرت عن تسريب واستخراج بيانات من عدد من المؤسسات المالية الكورية الجنوبية، من بينها بنك شينهان وبنك ييغارام للادخار، ما دفع الجهات التنظيمية المالية في البلاد إلى إصدار تحذيرات عاجلة للمستهلكين تحسباً لموجة جديدة من عمليات التصيد الاحتيالي والاحتيال المالي المعتمدة على البيانات المسربة.
وتعكس الحادثة تصاعد استخدام الذكاء الاصطناعي في الهجمات السيبرانية، حيث لم يعد دوره يقتصر على كتابة النصوص أو تحليل البيانات، بل أصبح يُستخدم لتشغيل عمليات اختراق واكتشاف ثغرات وتنفيذ مهام هجومية بشكل شبه ذاتي.
كيف استُخدمت أداة ARTEX في الهجمات؟
وفقاً لتحليل CrowdStrike، اعتمد المهاجمون على ARTEX، وهي أداة مفتوحة المصدر لاختبار الاختراق تعتمد على نموذج متعدد الوكلاء يعمل بالذكاء الاصطناعي، وتم تطويرها في الصين بهدف مساعدة الباحثين الأمنيين والمؤسسات على تقييم المخاطر الأمنية ضمن البيئات المصرح بها.
لكن المهاجمين استغلوا قدرات الأداة بصورة مختلفة تماماً، حيث جرى دمجها مع نماذج لغوية كبيرة ومتطورة لتنفيذ عمليات هجومية تستهدف البنية الرقمية للمؤسسات المالية الكورية الجنوبية.
وجاء اكتشاف الحملة بعد عثور الباحثين على أدلة مكشوفة على الإنترنت تضمنت سجلات جلسات Claude Code وملفات ذاكرة خاصة بالمساعد الذكي إضافة إلى ملفات إعدادات مرتبطة بأداة ARTEX، كانت جميعها مستضافة على عنوان إنترنت يقع في هونغ كونغ.
وأظهرت البيانات أن البنية المستخدمة في الهجوم اعتمدت على خادمين رئيسيين، إذ مثّل الخادم الموجود في هونغ كونغ مركز إدارة الحملة، بينما استُخدم خادم آخر لاستضافة نسخة ARTEX التي نُفذت من خلالها العمليات الهجومية ضد المؤسسات المستهدفة.
مؤشرات تقود إلى منفذ صيني محتمل
رغم أن الباحثين لم يتمكنوا من ربط الحملة بشكل قاطع بمجموعة قرصنة معروفة، فإن الأدلة الفنية تشير إلى أن منفذ العملية قد يكون متحدثاً باللغة الصينية ويهدف أساساً إلى تحقيق مكاسب مالية.
وكشفت التحقيقات أن الأداة اعتمدت على نموذج DeepSeek V4.1 Flash كمحرك رئيسي للذكاء الاصطناعي، إلى جانب الاستعانة بنماذج أخرى مثل GLM وGrok لتوسيع قدراتها التحليلية والهجومية.
كما عثرت CrowdStrike داخل سجلات الجلسات على استفسارات موجهة إلى Claude تتعلق بأماكن بيع بيانات الاختراق الخاصة بالشركات الكورية الجنوبية، إضافة إلى طلبات للعثور على مجموعات في منصة تيليغرام متخصصة في تداول البيانات المسروقة.
وفي إحدى الجلسات ظهر اسم مستخدم على تيليغرام يحمل المعرف YY520CN إلى جانب إشارات متكررة لشخص يُعرف باسم YY، إلا أن الباحثين أكدوا أن هذه المعطيات لا تكفي لإثبات هوية المنفذ بصورة نهائية.
وفي أعقاب اتهامات غير مباشرة للحساب المذكور، نشر صاحبه رسالة عبر تيليغرام نفى فيها أي علاقة له بالهجمات، معتبراً أن السلطات الكورية الجنوبية تحاول تحميله مسؤولية أنشطة لا يمكن تتبع منفذيها الحقيقيين.
مطورو ARTEX يوقفون المشروع نهائياً
أثارت إساءة استخدام ARTEX ردود فعل واسعة داخل مجتمع الأمن السيبراني، ما دفع مطور الأداة Autumn-27 إلى اتخاذ قرار بإيقاف المشروع وتحويله من مشروع مفتوح المصدر إلى مشروع مغلق بالكامل.
وأكد المطور أن الغرض الأساسي من ARTEX كان دعم البحث العلمي والتدريب الأمني واختبار المخاطر ضمن النطاقات المصرح بها فقط، مشدداً على أن الهجمات الأخيرة تتعارض بشكل كامل مع فلسفة المشروع وأهدافه الأصلية.
وأضاف أن النسخ المستقبلية لن تصدر للعامة، كما سيتم إيقاف عمليات التطوير والتحديث والصيانة بشكل نهائي لمنع استغلال الأداة في أنشطة إجرامية مشابهة.
ويُعد هذا القرار واحداً من أوضح الأمثلة على الجدل المتصاعد حول الأدوات الأمنية المفتوحة المصدر، والتي يمكن استخدامها من قبل الباحثين الأمنيين لتحسين الحماية، لكنها قد تتحول في الوقت نفسه إلى أدوات هجومية فعالة عند وقوعها في أيدي جهات خبيثة.
الذكاء الاصطناعي يقود موجة جديدة من اختراق الحسابات
تزامناً مع الكشف عن قضية ARTEX، كشفت شركة ZenoX عن منصة هجومية أخرى تعتمد على الذكاء الاصطناعي وتحمل اسم SCARLET LOOP، وتُستخدم في تنفيذ عمليات واسعة النطاق لاختراق الحسابات والاستيلاء عليها.
وتعتمد المنصة على أتمتة كاملة لجميع مراحل الهجوم، بداية من تحديد الضحايا واختيار الأهداف الأعلى قيمة، مروراً بالحصول على بيانات الدخول المسروقة من قواعد بيانات التسريبات وسجلات برمجيات سرقة المعلومات، وصولاً إلى تنفيذ عمليات تسجيل الدخول بصورة آلية.
وتستخدم المنصة مجموعة متنوعة من النماذج الذكية المتقدمة، بما في ذلك GPT وDeepSeek وClaude وGemini، بهدف تحليل الأهداف واكتشاف صفحات تسجيل الدخول والتكيف تلقائياً مع أنظمة الحماية المختلفة.
كما تمتلك المنصة القدرة على تشغيل متصفح فايرفوكس معدل يخفي المؤشرات الدالة على الأتمتة، مثل البصمة الرقمية للجهاز وموقعه الجغرافي والمنطقة الزمنية وإعدادات اللغة، وهو ما يعزز فرص نجاح الهجمات وتفادي أدوات الكشف التقليدية.
وأظهرت نتائج التحليل أن الخادم المكشوف المرتبط بالمنصة اختبر أكثر من 12.2 مليون بيانات اعتماد رقمية، تمكن من التحقق من صحة أكثر من 11 ألف حساب عبر نحو أربعة آلاف نطاق مختلف، الأمر الذي يبرز حجم التوسع الذي يمكن للذكاء الاصطناعي تحقيقه في عمليات الاختراق الحديثة.
وتشير هذه التطورات إلى أن الذكاء الاصطناعي لم يعد مجرد أداة تساعد المدافعين على اكتشاف التهديدات، بل أصبح عنصراً رئيسياً في ترسانة المهاجمين الذين يسعون إلى زيادة سرعة العمليات الهجومية وتقليل التدخل البشري وتوسيع نطاق الاستهداف بشكل غير مسبوق.
