حذرت شركة الأمن السيبراني ترليكس من أن التوسع في استخدام وكلاء الذكاء الاصطناعي لأتمتة سير عمل البرمجة يزيد مخاطر انكشاف بيانات الاعتماد. وقال باحث الشركة هاوي رين في تدوينة بحثية نشرت في الرابع عشر من أكتوبر إن هؤلاء الوكلاء ينتزعون باستمرار بيانات الاعتماد من الأماكن الآمنة التي يحفظها فيها نظام التشغيل، ويضعونها في أماكن أكثر عرضة للانكشاف بكثير. وأوضح أن ذلك يحدث كأثر جانبي طبيعي للعمل اليومي، وأن أنظمة المراقبة الأمنية الجيدة نفسها تجد صعوبة في التمييز بين هذا السلوك وبين مطور يؤدي عمله، أو مهاجم تسلل بالفعل إلى الجهاز. وأطلقت ترليكس على هذه الظاهرة اسم سطح الاعتماد غير المرئي.
سلم العزل وكيف يهبط الوكيل بالأسرار درجة بعد درجة
يقترح البحث تصور أماكن وجود السر الرقمي على هيئة سلم يبدأ من الأكثر أماناً وينتهي بالأكثر انكشافاً. في أعلاه يقع التخزين المشفر داخل مخزن النظام مثل سلسلة المفاتيح ومدير بيانات الاعتماد، ثم الاحتفاظ بالسر داخل ذاكرة عملية واحدة قيد التشغيل. بعد ذلك يأتي ظهوره بنص صريح في سطر الأوامر، ثم كتابته على القرص في سجل الأوامر أو ملفات الإعداد أو سجل محادثة الوكيل نفسه، وأخيراً خروجه من الجهاز كلياً بالرفع أو الإيداع أو الإرسال إلى مزود النموذج.
ويعمل نظام التشغيل جاهداً لإبقاء الأسرار في الدرجتين العلويتين، لكن المشكلة الجوهرية أن الوكلاء يدفعونها إلى الأسفل بحكم طبيعة عملهم، من المخازن المشفرة إلى النص الصريح والملفات والخوادم الخارجية. وهناك مسار فريد بالوكلاء وحدهم، فحين يشغل مطور بشري أمراً لعرض ملف البيئة يبقى الكشف محلياً على شاشته أو في سجل الأوامر، أما حين يقرأ الوكيل الملف نفسه فيدخل محتواه في نافذة السياق ويُرسل إلى مزود نموذج خارجي قد يسجله بصورة دائمة. ويقول الباحث إن أخطاء البشر تبقى داخل الجدران، أما عمليات الوكلاء فلا.
عشر فئات من السلوكيات الخطرة تبدو كلها عملاً اعتيادياً
حدد البحث عشر فئات، تبدأ بالأكثر شيوعاً. أولاها تمرير بيانات الاعتماد معاملات في سطر الأوامر، وهي أكثر أشكال الانكشاف انتشاراً، إذ تسجلها أنظمة مراقبة إنشاء العمليات كاملة لحظة التنفيذ. والثانية قراءة ملفات الاعتماد مثل ملفات البيئة وإعدادات الخدمات السحابية وحاويات كوبرنيتس. والثالثة استخراج الأسرار من مخازن بيانات الاعتماد ومخازن المفاتيح باستخدام الأدوات الرسمية نفسها. والرابعة جمع متغيرات البيئة بأمر واحد يعرض كل القيم المهيأة.
وتتناول الخامسة تعطيل ضوابط التحقق والنقل بإضافة أعلام تلغي فحص الشهادات حين يفشل اتصال آمن، فيصبح كل رمز يرسل بعدها عرضة لهجمات الوسيط. وتتعلق السادسة بقنوات التسريب خارج الجهاز، إذ تستخدم أوامر رفع الشيفرة نفسها في تسريب الأسرار. والسابعة التنفيذ المموه وغير المباشر، كتمرير نص مرمز إلى المفسر مباشرة، بحيث تسجل أدوات المراقبة الغلاف الخارجي دون الحمولة الفعلية. وتصف الثامنة الاستمرارية عبر ملفات بدء تشغيل الصدفة والمهام المجدولة، وهي هنا موطئ قدم لا مجرد تسرب. وتتعلق التاسعة بإنشاء بيانات اعتماد جديدة بأضعف صورة ممكنة، كتوليد مفاتيح دخول آمن دون عبارة مرور. وتختم العاشرة بالاستخراج من مديري الأسرار السحابية وعناقيد الحاويات.
ويؤكد البحث أن القاسم المشترك بينها أن كل فئة تنقل بيانات الاعتماد إلى أسفل السلم، وأنها تجري عبر أدوات موقعة وموثوقة تُشغَّل آلاف المرات يومياً لأسباب مشروعة. وتُربط كل فئة في البحث بتقنيات إطاري ميتر أتاك وأطلس، ومنها الاعتماد غير المؤمن وسرقة بيانات الاعتماد من مخازن كلمات المرور.
لماذا تفلت الأحداث المفردة من أنظمة المراقبة
يرى الباحث أن المشكلة بنيوية وليست مسألة ضبط قواعد الكشف. فكل تقنية من التقنيات المذكورة تستخدم أداة موثوقة مثل curl وgit وcat بالطريقة نفسها سواء كان المشغل مطوراً أو وكيلاً أو مهاجماً تسلل أصلاً إلى الجهاز، فلا برمجية خبيثة تُحظر ولا سلسلة عمليات غريبة تُرصد. وقاعدة تنبه كلما قرأت عملية ملف البيئة ستنطلق مع كل أدوات التطوير، فتدفن قراءات الوكيل بين الأحداث السليمة.
ويضيف أن حقن التعليمات يحول هذا الانكشاف إلى اختراق، إذ يكفي ملف تعريفي أو صفحة ويب أو بلاغ مسموم يقرؤه الوكيل ويحمل أوامر خفية ليوجه قدرات موجودة أصلاً، كقراءة الأسرار وإرسال البيانات، نحو هدف خبيث. أما الحل المقترح تحليلياً فهو الانتقال من فحص الحدث الواحد إلى تحليل التسلسلات المترابطة التي تبدأ بالوصول إلى بيانات الاعتماد ثم استخدامها ثم تسريبها، مع ربطها بعملية الوكيل التي أطلقت السلسلة.
توصيات للمطورين والمؤسسات التي تشغل الوكلاء
يوصي البحث الجهات التي تبني الوكلاء بالتوقف عن وضع الأسرار في سطر الأوامر، وتمرير بيانات الاعتماد داخل العملية عبر حزم التطوير لمزودي الخدمات السحابية، أو عبر الإدخال القياسي وواصفات الملفات المحددة النطاق عند الاضطرار لاستخدام أدوات سطر الأوامر. كما يدعو إلى تنقيح السلاسل التي تشبه بيانات الاعتماد قبل دخولها نافذة السياق لا قبل كتابتها في السجلات المحلية فقط، واعتراض الأنماط الخطرة وفرض البدائل الآمنة، والفصل الصارم بين المحتوى غير الموثوق الذي يقرؤه الوكيل والتعليمات التي ينفذها.
أما المؤسسات التي تنشر الوكلاء فيوصيها بجعل عمر بيانات الاعتماد هو الرافعة، عبر رموز قصيرة الأجل تصدر عند الحاجة وتقاس صلاحيتها بالدقائق لا بالأشهر، بحيث يتحول التسريب إلى حدث عديم الأثر بعد انتهاء صلاحيتها. ويدعو أيضاً إلى ضبط حركة الشبكة الصادرة من الأجهزة والحاويات التي يعمل عليها الوكلاء، ومعاملة كل جهاز يشغل وكيلاً بوصفه بنية تحتية عالية القيمة تتعامل مع الأسرار. وتقدم ترليكس في المقابل منتجاتها للكشف والربط بين الإشارات، ومنها حلول رصد نقاط النهاية والشبكة ومنع تسرب البيانات ومنصتها ترليكس وايز.
