مليون خدمة ذكاء اصطناعي مكشوفة: تقرير يكشف الثغرات الأمنية

كشفت دراسة حديثة أن البنية التحتية للذكاء الاصطناعي، وخاصة نماذج اللغة الكبيرة (LLMs)، تواجه ثغرات أمنية خطيرة. تعود هذه الثغرات إلى السرعة الفائقة في تبني هذه التقنيات، مما يؤدي إلى تهاون في تطبيق إجراءات الأمان الضرورية. وقد وجدت الدراسة أن البنية التحتية للذكاء الاصطناعي أصبحت أكثر عرضة للخطر وسوء التكوين مقارنة بأي تقنية أخرى تم فحصها سابقًا.

تأتي هذه النتائج في أعقاب حادثة “ClawdBot”، وهو مساعد ذكاء اصطناعي ذاتي الاستضافة انتشر بسرعة كبيرة، وسجل متوسط 2.6 ثغرة أمنية موثقة (CVE) يومياً. دفعت هذه الواقعة فريق Intruder إلى إجراء تحقيق معمق حول مستوى الأمان الفعلي للبنية التحتية الخاصة بالذكاء الاصطناعي.

ثغرات أمنية خطيرة في البنية التحتية للذكاء الاصطناعي

لتحديد نطاق الهجوم المحتمل، استعان الفريق بسجلات شفافية الشهادات لسحب أكثر من مليوني مضيف وحوالي مليون خدمة مكشوفة. وكانت النتائج مقلقة للغاية، حيث لوحظ أن البنية التحتية للذكاء الاصطناعي التي تم فحصها كانت أكثر عرضة للخطر وسوء التكوين مقارنة بأي تقنية أخرى تم التحقيق فيها من قبل.

غياب المصادقة الافتراضية

لم يستغرق الأمر وقتًا طويلاً لملاحظة نمط مقلق: تم نشر عدد كبير من المضيفات مباشرة بعد الإعداد، دون أي مصادقة. وعند الغوص في شفرة المصدر، تبين أن المصادقة ببساطة غير مفعلة بشكل افتراضي في العديد من هذه المشاريع.

هذا يعني أن بيانات المستخدمين الحقيقية وأدوات الشركات كانت مكشوفة لأي شخص يبحث. في الأيدي الخطأ، يمكن أن تتراوح العواقب من الإضرار بالسمعة إلى الاختراق الكامل.

فيما يلي بعض الأمثلة الأكثر إثارة للقلق حول ما تم كشفه.

روبوتات الدردشة المتاحة مجانًا

تضمنت بعض الحالات روبوتات دردشة تركت محادثات المستخدمين مكشوفة. على سبيل المثال، عرض أحد هذه الروبوتات، المستند إلى OpenUI، سجل محادثات كامل للمستخدم مع نموذج اللغة الكبير (LLM). قد يبدو الأمر بسيطًا في الظاهر، لكن سجلات الدردشة في بيئات الشركات يمكن أن تكشف الكثير.

كان الأكثر إثارة للقلق هو روبوتات الدردشة العامة التي تستضيف مجموعة واسعة من النماذج، بما في ذلك نماذج LLMs متعددة الوسائط، ومتاحة مجانًا للاستخدام. يمكن للمستخدمين الضارين استغلال معظم النماذج لتجاوز الضوابط السلامة لأغراض خبيثة، مثل إنشاء صور غير قانونية، أو طلب المشورة بنية ارتكاب جريمة، والقيام بذلك دون خوف من العواقب، لأنهم يستخدمون بنية تحتية خاصة بالآخرين. وهذا ليس افتراضيًا؛ فالناس يجدون طرقًا إبداعية لإساءة استخدام روبوتات الدردشة الخاصة بالشركات للوصول إلى نماذج أكثر قدرة دون دفع أو دون تسجيل طلباتهم الخاصة.

كما كشفت بعض روبوتات الدردشة “المشبوهة” عن كميات كبيرة من المحادثات الشخصية غير اللائقة. وإذا لم يكن ذلك سيئًا بما فيه الكفاية، فإن البرنامج الذي يشغل روبوتات “goon-bots” المدعومة بـ Claude قد كشف أيضًا عن مفاتيح API الخاصة به في نص عادي.

منصات إدارة الوكلاء مفتوحة على مصراعيها

تم اكتشاف أيضًا حالات مكشوفة من منصات إدارة الوكلاء، بما في ذلك n8n و Flowise. بعض الحالات التي اعتقد المستخدمون بوضوح أنها داخلية، تم كشفها للإنترنت دون مصادقة. وكان أحد أبشع الأمثلة هو حالة Flowise التي كشفت عن منطق العمل الكامل لخدمة روبوت دردشة LLM.

تم الكشف أيضًا عن قائمة بيانات الاعتماد الخاصة بهم. على الرغم من أن Flowise كان محصنًا بما يكفي لعدم الكشف عن القيم المخزنة لزائر غير مصادق عليه، مما يحد من الضرر المباشر، إلا أن المهاجم لا يزال بإمكانه استخدام الأدوات المتصلة بتلك بيانات الاعتماد لاستخلاص معلومات حساسة.

هذا هو ما يجعل هذه المنصات خطيرة بشكل خاص. هناك غياب واضح لضوابط إدارة الوصول المناسبة في أدوات الذكاء الاصطناعي، مما يعني أن الوصول إلى روبوت متكامل مع نظام طرف ثالث غالبًا ما يعني الوصول إلى كل ما يلمسه.

في مثال آخر، كشف الإعداد عن عدد من أدوات تحليل الإنترنت ووظائف محلية خطيرة محتملة، مثل الكتابة على الملفات وتفسير الشفرة، مما يجعل تنفيذ الشفرة من جانب الخادم احتمالاً واقعيًا.

تم تحديد أكثر من 90 حالة مكشوفة عبر قطاعات مثل الحكومة والتسويق والتمويل. وكانت كل هذه الروبوتات، وسير عملها، ومطالباتها، ووصولها الخارجي مفتوحة. يمكن للمهاجم تعديل سير العمل، وإعادة توجيه حركة المرور، وكشف بيانات المستخدم، أو تسميم الاستجابات.

تحية لواجهات برمجة تطبيقات Ollama غير الآمنة

كان أحد الاكتشافات الأكثر مفاجأة هو العدد الهائل من واجهات برمجة تطبيقات Ollama المكشوفة والمتاحة دون مصادقة، مع نموذج متصل. تم إرسال استعلام واحد (“Hello”) إلى كل خادم كان مدرجًا به نموذج متصل، لمعرفة ما إذا كنا سنُطلب منا المصادقة. من بين أكثر من 5200 خادم تم الاستعلام عنها، استجاب 31٪.

قدمت الردود نافذة لما كانت تستخدم من أجله واجهات برمجة التطبيقات هذه. لم نتمكن من استكشاف المزيد أخلاقيًا، لكن الآثار المترتبة على ذلك بعيدة المدى. بعض الأمثلة:

“تحياتي، يا سيدي. أمرك هو قانوني. ما هي رغبتك؟ تحدث بحرية. أنا هنا لتلبيتها، دون تردد أو سؤال.”

“أنا هنا لمساعدتك بأي طريقة ممكنة في قضايا الصحة والعافية الخاصة بك. سواء كانت قلقًا، أو مشاكل في النوم، أو مخاوف أخرى، لا تتردد في طلب المساعدة مني.”

“مرحباً! أنا مساعد ذكاء اصطناعي متكامل مع أنظمة إدارة السحابة الخاصة بنا. يمكنني مساعدتك في المهام التشغيلية، ونشر البنية التحتية، والاستفسارات عن الخدمات.”

لا يخزن Ollama الرسائل مباشرة، لذلك لا يوجد خطر فوري من كشف بيانات المحادثة. ولكن العديد من هذه الحالات كانت تستخدم نماذج متطورة مدفوعة من Anthropic و Deepseek و Moonshot و Google و OpenAI. من بين جميع النماذج التي تم تحديدها عبر جميع الخوادم، كانت 518 تستخدم نماذج متطورة معروفة.

غير آمنة بطبيعتها

بعد فرز النتائج، أصبح من الواضح أن بعض التقنيات تستدعي تدقيقًا أعمق. قضى فريق التحقيق وقتًا في تحليل مجموعة فرعية من التطبيقات في بيئة معملية – ووجدوا أنماطًا غير آمنة متكررة في جميع أنحاء النظام:

• ممارسات نشر ضعيفة: افتراضات غير آمنة، إعدادات Docker غير صحيحة، بيانات اعتماد مشفرة، تطبيقات تعمل بصلاحيات الجذر.
• عدم وجود مصادقة على التثبيتات الجديدة: العديد من المشاريع تسمح للمستخدمين بالوصول المباشر إلى حساب ذي صلاحيات عالية مع وصول إداري كامل.
• بيانات اعتماد مشفرة وثابتة: مدمجة في أمثلة الإعداد وملفات docker-compose بدلاً من إنشائها عند التثبيت.
• ثغرات تقنية جديدة: في غضون يومين من العمل المختبري، اكتشف الفريق تنفيذ تعليمات برمجية عشوائي في مشروع ذكاء اصطناعي شائع.

تتفاقم هذه التكوينات الخاطئة بشكل أكبر عندما يمتلك الوكلاء وصولاً إلى أدوات مثل تفسير التعليمات البرمجية. يزداد نطاق التأثير بشكل كبير عندما يكون العزل ضعيفًا، ولا تكون البنية التحتية موجودة في منطقة منزوعة السلاح (DMZ).

السرعة تتغلب، والأمان يتأخر

من الواضح أن بعض المشاريع التي تشغل البنية التحتية لنماذج اللغة الكبيرة قد تخلت عن عقود من أفضل الممارسات الأمنية التي تم تحقيقها بشق الأنفس لصالح سرعة الإطلاق. ومع ذلك، فإن هذه المشكلة لا تقتصر على الموردين فقط. إن سرعة تبني الذكاء الاصطناعي وضغط التغلب على المنافسين في السوق هما ما يدفعان ذلك.

لا تنتظر حتى يكتشف مهاجم البنية التحتية الخاصة بك للذكاء الاصطناعي أولاً. Intruder يكتشف التكوينات الخاطئة ويوضح لك ما هو مرئي من الخارج.