كشفت ثغرة ميوز عن مخاطر أمنية مرتبطة بقدرات مساعد الذكاء الاصطناعي التابع لشركة ميتا، بعدما أتاح خلل أمني محتمل للمهاجمين الوصول إلى معلومات شخصية حساسة مخزنة ضمن الحساب السحابي المخصص للمستخدم. ودفع اكتشاف الثغرة شركة ميتا بلاتفورمز إلى الاستعداد لإضافة تحذير أمني أكثر وضوحًا داخل تطبيق ميوز.

وأبلغ باحث أمني خارجي عن الخلل من خلال برنامج مكافآت اكتشاف الأخطاء التابع لميتا، ولم تكن الشركة قد أعلنت عن الثغرة قبل الإبلاغ عنها عبر البرنامج. وأظهرت مراجعة داخلية للحادث تفاصيل تتعلق بنطاق الوصول الذي كان يمكن أن يوفره الخلل للمهاجمين.

ثغرة ميوز أتاحت الوصول إلى الحساب السحابي

كانت ثغرة ميوز قد تسمح للمهاجم بالوصول إلى ما يعرف باسم الجهاز الافتراضي المخصص للمستخدم، وهو حساب يعمل عبر السحابة وتخصصه ميتا لكل مستخدم ضمن بيئة ميوز.

ويحتوي هذا الحساب السحابي على بيانات مرتبطة بالمستخدم، من بينها رسائل البريد الإلكتروني والملفات. وبالتالي، فإن استغلال الخلل كان يمكن أن يتيح الوصول إلى معلومات شخصية لا يفترض أن تكون متاحة لطرف خارجي.

وبحسب تقرير داخلي للحوادث لدى ميتا اطلع عليه موقع “ذا إنفورميشن”، صنفت الشركة الثغرة في البداية ضمن مستوى SEV-2، وهو ثالث أعلى مستوى للخطورة على مقياس ميتا الذي يتكون من خمس درجات.

• ما يعرفه الذكاء الاصطناعي عنك.. أداة مجانية تكشف أسرار ChatGPT
• ميزة السحب لتحديد الصور تختفي من Google Photos.. خلل يزعج مستخدمي أندرويد

ماذا يعني تصنيف SEV-2؟

يشير تصنيف ثغرة ميوز ضمن فئة SEV-2 إلى أن ميتا تعاملت معها باعتبارها حادثًا ذا تأثير كبير، وفقًا لما أورده تقرير “ذا إنفورميشن” ونقلته رويترز.

وتكتسب الثغرة أهمية إضافية بسبب طبيعة ميوز نفسه، إذ لا يقتصر دوره على الإجابة عن أسئلة المستخدمين، وإنما يعمل كوكيل ذكاء اصطناعي يستطيع تنفيذ مهام نيابة عنهم.

ثغرة ميوز تهدد بيانات المستخدمين.. وميتا تستعد لتشديد تحذيرات الأمان

ميوز يتولى مهام متعددة للمستخدمين

أطلقت ميتا تطبيق ميوز في وقت سابق من الشهر، وقدمت الشركة المساعد باعتباره وكيلًا شخصيًا للذكاء الاصطناعي يمكنه تنفيذ مجموعة من المهام بدلًا من المستخدم.

وتشمل قدرات ميوز التسوق وحجز الرحلات وإرسال رسائل البريد الإلكتروني وإجراء المدفوعات، ما يعني أن الخدمة تتعامل مع أنواع متعددة من المعلومات والحسابات والبيانات التي يحتاج إليها تنفيذ هذه المهام.

وتوضح ثغرة ميوز أهمية تأمين البنية السحابية التي يعتمد عليها الوكيل، خصوصًا عندما تمنحه طبيعة عمله إمكانية التعامل مع بيانات شخصية وتنفيذ إجراءات نيابة عن صاحبه.

ميتا تستعد لتحذير أمني أوضح

بعد اكتشاف الخلل، تعتزم ميتا إضافة تحذير أمني أكثر وضوحًا داخل تطبيق ميوز، في خطوة تهدف إلى تنبيه المستخدمين بصورة أفضل إلى المخاطر المرتبطة باستخدام وكيل قادر على التعامل مع بياناتهم وخدماتهم الشخصية.

ويأتي ذلك بالتزامن مع الانتشار السريع للتطبيق، الذي صعد خلال الأسابيع الأخيرة في تصنيفات التطبيقات المجانية على متجري أبل وغوغل في الولايات المتحدة وكندا.

وقدرت شركة أبحاث السوق “سنسور تاور” عدد تنزيلات ميوز بنحو 2.8 مليون تنزيل خلال أول أسبوعين من إطلاقه، ما يعكس سرعة وصول التطبيق إلى عدد كبير من المستخدمين خلال فترة قصيرة.

وتضع ثغرة ميوز مسألة الأمان في مقدمة التحديات التي تواجه تطبيقات الذكاء الاصطناعي الوكيلة، خصوصًا مع توسع قدراتها من تقديم المعلومات إلى تنفيذ مهام حقيقية والوصول إلى حسابات وملفات وخدمات نيابة عن المستخدم.

تمكن وكيل OpenAI يعمل بشكل مستقل من الوصول دون تصريح إلى بوابة بيانات صحية تابعة للحكومة الأسترالية خلال يونيو الماضي، حيث اطلع على ملفات عامة وأخرى داخلية تحتوي على بيانات صحية مجمعة، في واقعة أثارت تساؤلات حول أمن الأنظمة الوكيلة.

وأكد رئيس الوزراء الأسترالي أنتوني ألبانيزي الحادثة، موضحًا أن النظام التجريبي تمكن من الوصول إلى نظام حكومي صحي دون الحصول على الصلاحيات المطلوبة.

وكيل OpenAI تجاوز صلاحيات الوصول

وقعت الحادثة داخل خدمة مخصصة للإبلاغ عن إحصاءات الرعاية الطبية، وهي بوابة تديرها هيئة خدمات أستراليا وتعرض بيانات إجمالية مرتبطة بالرعاية الصحية والإنفاق الحكومي.

وتمكن النظام من الوصول إلى ملفات متاحة للعامة، إلى جانب بعض البيانات الداخلية غير المنشورة، بما في ذلك أسماء ملفات وإحصاءات صحية مجمعة.

وقالت OpenAI إن ما حدث وقع أثناء محاولة النظام البحث عن معلومات عبر الإنترنت، حيث نفذ إجراءات لم يكن المطورون قد صمموه لتنفيذها.

ولم تكتشف الشركة الواقعة إلا في أغسطس، خلال مراجعة داخلية لنشاط اعتبرته خارج الأهداف المحددة للنموذج، قبل إخطار السلطات الأسترالية في 10 سبتمبر.

تأخر الإبلاغ يثير انتقادات

أثار الفاصل الزمني بين وقوع الحادث واكتشافه ثم إبلاغ الحكومة الأسترالية به انتقادات في كانبيرا.

وتحدث رئيس الوزراء أنتوني ألبانيزي مع الرئيس التنفيذي لـOpenAI سام ألتمان بشأن الواقعة، وأعرب عن قلق الحكومة من تأخر الإبلاغ عنها.

• موظفة استقبال بالذكاء الاصطناعي تربك مريضة بعد سكتة دماغية.. هل تهدد التقنية وصول المرضى للرعاية؟
• شرائح آبل M6 وM5 Ultra.. أقوى قفزة في أداء أجهزة ماك والذكاء الاصطناعي

وكيل OpenAI يصل إلى بوابة صحية حكومية في أستراليا دون تصريح

وفي الوقت نفسه، بدأت مديرية الإشارات الأسترالية تحقيقًا رقميًا للتأكد من عدم امتداد الوصول إلى أنظمة حكومية أخرى.

وقال وزير الدفاع ريتشارد مارلز إن المعلومات المتاحة حتى الآن لا تشير إلى حدوث اختراق أوسع.

هل وصلت البيانات إلى سجلات المرضى؟

أكدت OpenAI أن وكيل OpenAI لم يصل إلى سجلات المرضى الخاصة أو بيانات Medicare الشخصية، ما يعني أن المعلومات الشخصية الحساسة لم تكن ضمن البيانات التي تم الوصول إليها، وفقًا لما نقلته BBC.

وتأتي الواقعة وسط اهتمام متزايد بالمخاطر الأمنية المرتبطة بالوكلاء القادرين على تصفح الإنترنت وتنفيذ الإجراءات بشكل مستقل.

وسبق أن واجهت OpenAI حوادث أخرى مرتبطة بالوكلاء، كما أعلنت شركات مثل Anthropic وGoogle وMeta عن وقائع تمكنت فيها أنظمة ذكاء اصطناعي من الوصول إلى موارد خارجية بصورة غير مصرح بها.

وتعيد هذه الحوادث طرح أسئلة حول قدرة أنظمة الحماية الحالية على مواكبة الوكلاء الذين يحصلون تدريجيًا على صلاحيات أكبر لتنفيذ المهام واتخاذ الإجراءات بصورة مستقلة.

زعمت مجموعة ShinyHunters المتخصصة في اختراق FBI وسرقة البيانات أنها تمكنت من الوصول إلى أنظمة تابعة لمكتب التحقيقات الفيدرالي الأميركي، والاستيلاء على معلومات شخصية تخص آلاف العملاء والمتقدمين للعمل داخل الوكالة.

اختراق FBI وسرقة البيانات يطال معلومات حساسة

نشرت المجموعة ادعاءاتها عبر موقع مخصص لتسريب البيانات على شبكة الإنترنت المظلم (Dark Web)، وقالت إنها حصلت على معلومات تخص معظم عملاء FBI تقريبًا، إلى جانب بيانات أشخاص تقدموا بطلبات للعمل لدى الوكالة.

وكان موقع “404 Media” أول من كشف تفاصيل الواقعة، بعدما حصل على عينة من البيانات التي يُعتقد أنها مسروقة. وتضمنت العينة أسماء وعناوين منازل وأرقام هواتف لعدد من عملاء FBI وأزواجهم، وتمكن الموقع من التحقق من بعض المعلومات من خلال مقارنتها بسجلات متاحة للعامة.

لماذا تقول ShinyHunters إنها نفذت الاختراق؟

بحسب ما نقلته تقارير إعلامية، قالت ShinyHunters إن العملية لم تكن بهدف الحصول على المال، وإنما طالبت مكتب التحقيقات الفيدرالي بحذف تقرير منشور تزعم المجموعة أنه يحتوي على اتهامات غير صحيحة بحقها.

ووفقًا لما أورده موقع “TechCrunch”، نقلًا عن تقارير حول الحادثة، لم تحدد المجموعة ما إذا كانت ستستخدم البيانات أو تسربها في حال رفض FBI تنفيذ مطلبها.

• هاتف Motorola Edge 70 Neo يتألق بتسريب جديد وكاميرا 200 ميجابكسل وتصميم مدمج

كيف تمكن القراصنة من الوصول إلى البيانات؟

أوضح تقرير “404 Media” أن المهاجمين تمكنوا في البداية من اختراق خادم Oracle PeopleSoft، وهو نظام تستخدمه جهات حكومية ومؤسسات مختلفة في عمليات الموارد البشرية والتوظيف، ويحتوي على معلومات شخصية للمتقدمين إلى الوظائف.

وبعد الوصول إلى هذا النظام، تمكن القراصنة من التحرك نحو بيئة سحابية حكومية تستضيفها شركة Amazon، حيث كانت تُخزن بيانات مرتبطة بعملاء FBI والمتقدمين للعمل في الوكالة.

وتقول ShinyHunters إنها استولت على تيرابايتات من المعلومات، لكنها لم تكشف بصورة واضحة عن طبيعة البيانات التي ستنشرها أو الإجراء الذي ستتخذه إذا لم يستجب FBI لمطالبها.

اختراق FBI وسرقة البيانات.. ShinyHunters تزعم الاستيلاء على معلومات آلاف العملاء

مخاوف من استغلال بيانات عملاء FBI

يثير اختراق FBI وسرقة البيانات مخاوف أمنية كبيرة، خصوصًا مع احتمال احتواء المعلومات المسروقة على تفاصيل يمكن أن تكشف هوية عملاء الوكالة وأفراد عائلاتهم.

وقد تتيح مثل هذه البيانات للقراصنة أو جهات استخباراتية أجنبية إمكانية استهداف العملاء أو أقاربهم بالضغط والابتزاز، في محاولة لدفعهم إلى التعاون مع جهات حكومية أجنبية.

تعطل أنظمة التوظيف التابعة لـFBI

لم تقتصر تداعيات الواقعة، وفق التقارير، على سرقة البيانات فقط، إذ تمكن المهاجمون أيضًا من العبث بموقع التوظيف التابع لمكتب التحقيقات الفيدرالي.

وكانت بوابة التوظيف تظهر وقت نشر التقارير باعتبارها متوقفة مؤقتًا بسبب أعمال الصيانة، بينما أشار التقرير كذلك إلى توقف البوابة المخصصة لتقديم طلبات الالتحاق بوظيفة عميل خاص في FBI.

• بيل غيتس يقترح ضريبة على الروبوتات لحماية الوظائف من الذكاء الاصطناعي
• “عز العرب” يعلق على أسعار باقات الإنترنت في مصر.. “لم يعد ترفًا”

ثاني اختراق معروف لأنظمة FBI خلال العام

تأتي هذه الواقعة بعد اختراق آخر لأنظمة FBI خلال العام الجاري، إذ تمكن قراصنة لم تُحدد هويتهم من الوصول إلى أحد أنظمة الوكالة المستخدمة في إدارة عمليات التنصت الفوري، إلى جانب أوامر جمع المعلومات الاستخباراتية الأجنبية.

وكان من الممكن أن تحتوي هذه الأنظمة على معلومات تكشف هويات أشخاص يخضعون للمراقبة ضمن عمليات تجريها الوكالة، ما يضيف بُعدًا أمنيًا حساسًا إلى الحادثة السابقة.

اختراق بريد مدير FBI في حادثة منفصلة

وفي واقعة أخرى منفصلة، تعرض حساب البريد الإلكتروني الشخصي لمدير FBI كاش باتيل للاختراق، قبل أن تقوم مجموعة القرصنة Handala بتسريب محتوياته.

وارتبطت تلك الحادثة، بحسب التقارير، بمجموعة Handala المدعومة من إيران، وجاءت بعد الضربات التي قادتها الولايات المتحدة ضد إيران.

وتسلط الحوادث المتتالية الضوء على حساسية البيانات التي تحتفظ بها المؤسسات الأمنية، خصوصًا عندما تتعلق بهويات العاملين والعملاء وأفراد عائلاتهم.