دخلت الهجمات السيبرانية مرحلة أكثر تعقيدًا وسرعة، مع انتقال جهات معادية ودول من الاستخدام التقليدي للذكاء الاصطناعي التوليدي إلى تشغيل وكلاء AI مستقلين قادرين على اتخاذ قرارات وحل مشكلات وتنفيذ عمليات هجومية خلال ساعات، فيما برزت إيران في صلب هذا التحول من خلال توسيع استخدامها لنماذج الذكاء الاصطناعي في الهجمات وبناء البنى التحتية وعمليات التأثير.
وبحسب تقرير نشره موقع “mako” الإسرائيلي، كشفت مجموعة استخبارات التهديدات في غوغل GTIG، اليوم الثلاثاء، تقريرها عن تهديدات السايبر للربع الثاني من عام 2026، والذي أظهر انتقال جهات معادية ودول إلى استخدام وكلاء ذكاء اصطناعي وعمليات ذاتية تقلص بصورة كبيرة الوقت المتاح أمام فرق الدفاع السيبراني للرد.
ووضع التقرير النشاط الإيراني في قلب هذه التطورات، إلى جانب حملات نفذتها مجموعات صينية وجهات إجرامية.
ووفق التقرير، تواصل مجموعة الهجوم الإيرانية الحكومية CALANQUE ION، المعروفة أيضًا باسم APT42، توسيع استخدامها لنماذج اللغة الكبيرة، بما فيها Gemini.
ولا يقتصر استخدامها على جمع المعلومات من المصادر المفتوحة والترجمة السريعة للمحتوى بهدف إعداد رسائل تصيّد موجهة، بل يشمل أيضًا تطوير بنى تحتية تكتيكية للهجمات، ومحاولات للهندسة العكسية لخوارزميات ترخيص البرمجيات بهدف تجاوز أنظمة الحماية المؤسسية من نوع EDR.
كما أشار التقرير إلى تطور منظومة عمليات التأثير الإيرانية.
فبدل الاكتفاء بتعليمات بسيطة، باتت جهات إيرانية تستخدم النماذج لإعداد أوامر تقنية مفصلة لمولدات الصور، تشمل زوايا التصوير وإضاءة الاستوديو وملمس البشرة، بهدف إنشاء شخصيات مزيفة شديدة الواقعية لاستخدامها عبر شبكات التواصل الاجتماعي.
وبالتوازي، تقوم هذه الجهات بتوجيه النماذج لتقمص شخصيات مثل “خبراء في الحرب النفسية” أو “محللي سوق النفط”، ودمج تقنيات الإقناع والتلاعب النفسي داخل رسائل تخدم مصالح النظام في طهران.
ويصف التقرير أيضًا انتقالًا واضحًا نحو استخدام وكلاء ذكاء اصطناعي مستقلين من نوع Agentic AI، القادرين على اتخاذ القرارات ومعالجة الأعطال أثناء التنفيذ والعمل بصورة مستقلة.
وخلال الربع الثاني من عام 2026، رصدت غوغل حالة استخدم فيها مهاجم ذو دوافع مالية روبوت محادثة، إلى جانب أمر بسيط ومجموعة تعليمات مخصصة، من أجل التخطيط وبناء وتنفيذ حملة واسعة لمسح الثغرات وسرقة كلمات المرور خلال أقل من 6 ساعات فقط من لحظة الاختراق الأولي لموارد الحوسبة السحابية الخاصة بالضحية.
وبحسب التقرير، تصرف الذكاء الاصطناعي كوكيل مستقل، وعالج مشكلات تقنية أثناء العملية، كما أجرى تبديلًا تلقائيًا لعناوين IP في محاولة لتجنب الاكتشاف.
وكشف التقرير عن اتجاه آخر يرتبط بمجموعة السايبر المالية UNC6780، المعروفة أيضًا باسم TeamPCP.
ووفق غوغل، زرع أعضاء المجموعة داخل ملفات برمجية خبيثة تعليقات نصية تتضمن أوامر متطرفة، من بينها طلبات لتطوير أسلحة بيولوجية أو نووية، بهدف تفعيل آليات الأمان في ماسحات الحماية المعتمدة على نماذج اللغة.
وعندما يواجه ماسح الحماية مثل هذه النصوص، قد يرفض تحليل الملف بسبب مخالفته سياسات الأمان، الأمر الذي يسمح للكود الخبيث الموجود أسفل هذه التعليقات بالإفلات من الفحص والعمل داخل بيئة التطوير.
وإلى جانب إيران، أشار التقرير إلى حملة تجسس سيبراني طويلة الأمد تقودها مجموعة الهجوم الصينية UNC6508، والتي تستهدف مؤسسات بحثية أكاديمية وطبية وعسكرية في أميركا الشمالية.
وبحسب غوغل، تركز المجموعة على سرقة أبحاث خاصة ومملوكة تتعلق بالذكاء الاصطناعي، وتخترق البيئات السحابية للضحايا من أجل إنشاء نماذج محلية ذات “أوزان مفتوحة”.
وبهذه الطريقة تستفيد المجموعة من موارد الحوسبة التابعة للجهة المخترقة، وتتجاوز آليات الرقابة المرتبطة بواجهات API التجارية، وتواصل البحث عن ثغرات داخل نماذج الذكاء الاصطناعي نفسها.
وقالت غوغل إنها تعمل على حظر وتعطيل الأنشطة التي جرى رصدها.
ووفق الشركة، فإن جميع محاولات مجموعات الهجوم استخدام نماذج الذكاء الاصطناعي التابعة لها فعّلت آليات الأمان والمنع، فيما جرى حظر الحسابات والمشاريع المرتبطة بهذه الأنشطة بصورة دائمة.
وأضافت أن Google DeepMind تستخدم المعطيات الناتجة عن محاولات الهجوم بهدف تعزيز مرشحات الأمان والنماذج نفسها.
وقال جون هولتكويست، كبير المحللين في Google Threat Intelligence Group: “في هذه المرحلة يمكن الافتراض أن جميع الجهات المعادية تستخدم الذكاء الاصطناعي بدرجة أو بأخرى، وأن نشاطها تحسن بصورة كبيرة بفضل هذه القدرات”.
وأضاف: “مثل الجميع، نحن قلقون من مشكلة الثغرات، لكن الذكاء الاصطناعي يُطبَّق أيضًا في مجالات أخرى، وسيصبح التحدي كبيرًا بصورة خاصة كلما جرى دمجه بشكل مستقل في النشاط الهجومي وخلق خصمًا يعمل على نطاق أوسع وبسرعة أعلى”.
وتابع هولتكويست: “الجهات الإجرامية، مثل تلك التي نفذت حملة استغلال واسعة النطاق خلال 6 ساعات فقط، ستواصل التوجه نحو هجمات أسرع من قدرتنا على الرد عليها”.
وأضاف: “لكي تتوسع وتحصل على موارد الذكاء الاصطناعي، ستواصل الجهات المعادية محاولة سرقتها. حتى مجموعات التجسس السيبراني مثل UNC6508 مستعدة لاستخدام أنظمة تم اختراقها. المجموعة نفسها استخدمت أيضًا نموذجًا محليًا، ما سمح لها بتجاوز آليات المراقبة التجارية”.
وأشار إلى أن “جيلًا جديدًا من الجهات المعادية، مثل TeamPCP، سيركز على أنظمة الذكاء الاصطناعي كلما واصلنا دمجها بصورة أعمق في بنيتنا التكنولوجية”.
وأضاف: “في الوقت الحالي، تشكل سلسلة التوريد محور اهتمامهم الرئيسي، لكن من الواضح أنهم سيبحثون عن فرص إضافية”.
ويشير التقرير بذلك إلى انتقال نوعي في مشهد التهديدات السيبرانية، حيث لم يعد الذكاء الاصطناعي مجرد أداة تساعد المهاجم، بل أصبح في بعض الحالات وكيلًا قادرًا على التخطيط والتنفيذ والتكيف بسرعة، ما يفتح مرحلة جديدة تتقلص فيها الفجوة الزمنية بين الاختراق والهجوم إلى ساعات قليلة فقط.
