اختراق وكيل ذكاء اصطناعي لحساب Hugging Face! وأخيرًا كشف نموذج التحليل الجنائي باستخدام نموذج GLM 5.2 الصيني مفتوح المصدر

كشفت شركة Hugging Face عن اختراق مدفوع بوكلاء ذكاء اصطناعي مستقلين، خلّف فيه المهاجمون أكثر من 17,000 حدثًا سجليًا، لتطال مجموعة من مجموعات البيانات الداخلية وعدة بيانات اعتماد لخدمات داخلية. والأكثر إحراجًا أن التحقيق الجنائي بعد وقوع الحادث تعذّر عليه الاستفادة من نماذج تجارية متقدمة بسبب أسيجة الأمان التي رفضت التعامل مع أوامر الهجوم الحقيقية ومخرجات C2، فاضطر فريق الأمن السيبراني إلى الاعتماد بدلًا من ذلك على نموذج الأوزان مفتوح المصدر GLM 5.2 من Z.ai لإكمال التحليل على أجهزتهم.

(الخلفية: نموذج OpenAI مفتوح المصدر يتصدر Hugging Face، 24 ألف عملية تنزيل تخفي برمجية خبيثة) (إضافة خلفية: باحثون من Google وMeta يطلقون نداءً مشتركًا: أمان وكلاء الذكاء الاصطناعي ليس مشكلة في النموذج، بل في النظام)

ملخص النقاط الرئيسية

• كشفت Hugging Face في 16 يوليو عن حادث اختراق، وخلف المهاجمون أكثر من 17,000 حدث سجلي
• المدخل كان مجموعة بيانات خبيثة، ربطت مسارين للتنفيذ: محمّل بيانات مجموعة أكواد عن بُعد وحقن القوالب
• أسيجة النماذج التجارية المتقدمة منعت طلبات التحقيق الجنائي، فتم اللجوء إلى نموذج الأوزان مفتوح المصدر GLM 5.2 من Z.ai لإنهاء المهمة

تواصل شركة Hugging Face، الرائدة في مجتمع الذكاء الاصطناعي مفتوح المصدر، في 16 يوليو عبر نشر إفصاح عن حادث أمني، مع اعتراف بأن جزءًا من بيئة الإنتاج تعرض للاختراق، وأن هذا الاختراق تم تشغيله من البداية إلى النهاية بواسطة نظام وكلاء ذكاء اصطناعي مستقلين. ترك المهاجمون داخل النظام أكثر من 17,000 حدث سجلي، بما في ذلك التأثير على مجموعات البيانات الداخلية، وبيانات اعتماد عدة خدمات داخلية تستخدمها بيئات العمل.

يشير توضيح Hugging Face الرسمي إلى أن مجموعة البيانات نفسها أساءت استخدام مسارين لتنفيذ الأكواد داخل عملية معالجة المجموعات: أحدهما محمّل بيانات لمجموعة أكواد عن بُعد، والآخر ثغرة حقن القوالب داخل ملف إعدادات مجموعة البيانات. وبمجرد ربط المسارين، يصبح في مقدور المهاجم تشغيل برامجه الخاصة على عقد المعالجة، ثم التحرك أفقيًا داخل العنقود الداخلي، لقطف بيانات اعتماد السحابة والعنقود.

تصف الشركة الهجوم بأنه «مجموعة من برامج آلية تعمل داخل عازل قصير العمر»، وأن البنية التحتية للأوامر والتحكم ستنتقل تلقائيًا، وتتطفّل على الخدمات العامة. هذا النوع من الهجمات لا يمكن تنفيذه إلا بواسطة وكلاء.

الدفاع لا يعبث بالنموذج

المشكلة الحقيقية ظهرت بعد وقوع الحادث في مرحلة التحقيق الجنائي. لإعادة بناء خط زمني كامل للهجوم، كان على محللي التحقيق تغذية كميات كبيرة من أوامر الهجوم الحقيقية وexploit payload ومخرجات C2 إلى النموذج، وهي بالضبط الأشياء التي صُممت أسيجة الأمان لمنعها. كتبَت Hugging Face بوضوح أن هذه الطلبات «تم حجبها بواسطة أسيجة الأمان لدى مزود الخدمة».

المهاجمون غير مقيدين بأي سياسات استخدام، بينما أُوقفت أعمال التحقيق الجنائي الخاصة بنا منذ البداية بسبب أسيجة الأمان للنماذج المستضافة التي جرّبناها.

الجملة بالإنجليزية هي: «The attacker was bound by no usage policy, while our own forensic work was blocked by the guardrails of the hosted models we first tried.» لم تذكر Hugging Face طوال الوقت أي مزود بعينه، واكتفت بالإشارة إلى «النموذج المستضاف الذي تم اعتماده أولًا»، لكن من السهل استنتاج أنه يتعلق بنماذج رئيسية أمريكية.

في النهاية كان الختام بنموذج صيني مفتوح المصدر

استعانت Hugging Face بدلًا من ذلك ب نموذج GLM 5.2 من Z.ai، وهي شركة ناشئة صينية جديدة، لإتمام التحقيق الجنائي. وهو نموذج أوزان مفتوح المصدر صدر في منتصف يونيو تقريبًا، بإجمالي معلمات يصل إلى نحو 7,530 مليار. النقطة ليست في الأداء القياسي، بل في أنه يمكن تشغيله بالكامل دفعة واحدة على أجهزتهم.

المدير التنفيذي Clem Delangue صاغها بعبارة أكثر وضوحًا: «عندما تتعامل مع حادث جارٍ، لا يمكنك السماح للأداة بالرفض عند فحص payload الخبيث، أو العكس بأن تُصنّف حسابك أنت.» وأضاف أن المهاجمين كانوا يستخدمون وكلاء منذ وقت طويل، وأنهم واضح أنهم لا يلتزمون بأي أسيجة.

تقول Hugging Face إنها لا تعرف أي نموذج يتخفى خلف وكيل المهاجم—قد يكون نموذجًا مستضافًا تم «تجريبه/تجاوزه» (jailbreak)، أو قد يكون نموذج أوزان مفتوحًا بلا قيود تمامًا. وهذا في الحقيقة غير مهم؛ فسواء كان هذا أو ذاك، فإن جهة الهجوم لا تحتاج إلى اجتياز أي مراجعة لسياسات الاستخدام، بينما جهة الدفاع تحتاج إلى ذلك.

يبدو نطاق الضرر محدودًا حتى الآن. تذكر Hugging Face أنه لا توجد أدلة تشير إلى أن النماذج أو مجموعات البيانات أو Spaces أو سلاسل توريد البرمجيات العامة قد تم التلاعب بها، وأن التحقيق لا يزال مستمرًا، مع وعد بالتواصل مباشرةً مع الأطراف المتأثرة. كما أشار المسؤول التنفيذي في مجال الميدان لدى شركة Zero Networks لأمن «عدم الثقة» Chris Boehm إلى هذا التناقض نفسه: أدوات الأمان المصممة للحماية تتحول بدلًا من ذلك إلى عائق أمام الاستجابة للحادث الأمني وتضع الفريق في مأزق آنذاك.

الأسئلة الشائعة

ما البيانات التي تم تسريبها بسبب الاختراق هذه المرة على Hugging Face؟

طالت مجموعة من مجموعات البيانات الداخلية وعدة بيانات اعتماد لخدمات داخلية، وترك المهاجمون أكثر من 17,000 حدث سجلي. وتقول الشركة رسميًا إنه لا توجد أدلة تشير إلى أن النماذج أو مجموعات البيانات أو Spaces أو سلاسل توريد البرمجيات العامة تم التلاعب بها، وأن التحقيق لا يزال مستمرًا.

لماذا قد يرفض نموذج ذكاء اصطناعي تجاري المساعدة في التحقيق الجنائي الأمني؟

يتطلب التحقيق الجنائي إدخال كميات كبيرة من أوامر هجوم حقيقية وexploit payload ومخرجات C2 إلى النموذج، وهي بالضبط المحتوى الذي تستهدفه أسيجة الأمان لاحتجازه. الأسيجة لا تقرأ النوايا بل المحتوى فحسب، ولا تستطيع التفريق بين كون من يسأل هو مهاجم أو جهة دفاع، لذلك يتم تفعيل رفض الإجابة.