أصبح اكتشاف الثغرات الأمنية باستخدام الذكاء الاصطناعي رخيصًا للغاية لدرجة أن الأمان قد يعتمد بشكل متزايد على مدى استعداد الشركات للإنفاق قبل أن يفعل المهاجمون ذلك.
هذا هو التحذير الذي أطلقه هاشم قريشي، الشريك الإداري في صندوق Dragonfly، بعدما أعادت نماذج الذكاء الاصطناعي اكتشاف ثغرة حرجة في برنامج محفظة بتكوين Coldcard خلال دقائق فقط.
كتب قريشي على منصة X: “الأمن السيبراني الآن يعتمد كليًا على الإنفاق”. وأوضح أن السؤال الأساسي هو مقدار ما يستثمره المطورون في الاختبارات المعتمدة على الذكاء الاصطناعي مقارنة بالمهاجمين المحتملين.
كشفت Coldcard عن خلل في توليد العشوائية، يؤثر على المفاتيح الخاصة (seeds) التي أُنشئت باستخدام إصدارات معينة من البرنامج. تسبب الخلل في اعتماد بعض الأجهزة على مولّد برمجي حتمي بدلاً من مصدر العشوائية العتادي المقصود. أصدرت شركة Coinkite تحديثات طارئة في 31 يوليو، وطلبت من المستخدمين المتأثرين إنشاء مفاتيح جديدة ونقل أموالهم. تثبيت البرنامج الجديد وحده لا يصلح المفتاح القديم.
الثغرة اُكتشفت خلال دقائق
كشف أحد الاختبارات عن الخلل باستخدام أداة Claude Code من Anthropic بعد حوالي ثماني دقائق. حذّر قريشي من أن النتيجة ربما تأثرت بالوصول إلى الإنترنت، مما قد يكون عرض النموذج لمعلومات موجودة عن الثغرة. اختبار آخر عطّل الوصول إلى الإنترنت واستخدم نموذج GLM 5.2، فأعاد إنتاج الثغرة في حوالي 20 دقيقة.
وبناءً على تكاليف الإدخال والإخراج للنموذج، قدّر أن تكلفة التدقيق حوالي دولارين. وعلّق قائلاً: “دولاران من التحصين بالذكاء الاصطناعي كانت ستكشف هذه الثغرة. لا يوجد أي عذر لذلك”. كما اقترح قياسًا جديدًا أسماه “تكلفة الاكتشاف”، وهو مقياس يقدّر تكلفة إعادة إنتاج ثغرة بشكل مستقل بواسطة نموذج ذكاء اصطناعي متقدم.
شركات الأمن الصغيرة تواجه ضغوطًا متزايدة
قد تكون لهذه الحادثة عواقب أوسع على سوق محافظ العملات الرقمية.
يرى قريشي أن الشركات الكبرى ستحظى بميزة لأنها تستطيع إنفاق المزيد على الاختبارات الآلية والتدقيق وتحصين الإصدارات الجديدة. بينما قد تواجه الشركات الصغيرة صعوبة في منافسة المهاجمين الذين يمكنهم فحص الكود باستمرار بتكلفة منخفضة.
وأوصى الشركات الناشئة التي تبني محافظًا أو عقودًا ذكية أو أي منتجات تحمي الأموال، بإجراء مراجعات أمنية بالذكاء الاصطناعي قبل كل إصدار.
كما تحدى قريشي افتراضًا شائعًا حول أمان المصدر المفتوح. الكود العام يمكن أن يحمي المستخدمين من المطورين الخبيثين، لكنه لا يحميهم تلقائيًا من المهاجمين.
يمكن للذكاء الاصطناعي خدمة الجانبين معًا. فهو يخفض تكلفة اكتشاف الثغرات، لكنه يمنح المطورين أيضًا أدوات دفاعية أقوى.
قال قريشي: “ليس لدينا خيار سوى التكيف”.
الأسئلة الشائعة
ما هي ثغرة Coldcard التي تم اكتشافها؟
هي خلل في توليد العشوائية بمحفظة بتكوين Coldcard، جعل بعض الأجهزة تعتمد على مولّد برمجي بدلاً من مصدر العشوائية العتادي، مما أضعف أمان المفاتيح الخاصة المنشأة بإصدارات معينة من البرنامج.
كيف يمكن للذكاء الاصطناعي اكتشاف الثغرات الأمنية؟
يمكن لنماذج الذكاء الاصطناعي المتقدمة فحص الكود البرمجي وتحليل الأنماط، وإعادة إنتاج الثغرات المعروفة في دقائق بتكلفة زهيدة جدًا، مما يجعلها أداة قوية للمطورين والمهاجمين على حد سواء.
ماذا يجب أن يفعل مستخدمو Coldcard المتأثرون؟
يجب عليهم تحديث البرنامج فورًا، وإنشاء مفاتيح خاصة جديدة، ونقل أموالهم إلى المحفظة الجديدة، لأن تثبيت التحديث وحده لا يصلح المفاتيح القديمة المتأثرة بالخلل.
