اختراق ذكاء هوجينغ فيس، كما يُروى من خلال استعارة دب يُظهر التزامًا متزايدًا
أصدرت Hugging Face يوم الاثنين جدولاً زمنياً تقنياً يوضح كيف قام وكيل ذكاء اصطناعي مستقل، مبني على نماذج OpenAI ويعمل داخل إحدى تقييمات الأمن السيبراني الخاصة بـ OpenAI، باختراق أنظمتها على مدى أكثر من أربعة أيام في وقت سابق من هذا الشهر. هذه هي أول حادثة أمنية “شعر” بها المدير التنفيذي لـ OpenAI، سام ألتمان، “بشكل قوي”، كما قال.
ليس من العجيب أن يشعر الجميع بذلك، على الأقل، كما لو أن شيئًا ما قد أُطلق حقًا هنا. في الواقع، قدّم فريق Hugging Face تقريره مقدمًا بالقول إن “الجميع يجب أن يكونوا مستعدين كمدافعين”، قبل الدخول في تفاصيل ما حدث لصالح المتخصصين في الأمن في كل مكان.
بينما تستمر بقية الإنترنت في محاولة فهم ما حدث (المصطلحات في تقرير Hugging Face مستحيلة بالنسبة لمعظم الناس لفهمها)، فإن نقطة واحدة تفوتها العديد من المراقبين هي أن هذا لم يكن وكيلًا متمردًا يخالف الأوامر. كان نظامًا مُصممًا للبحث عن الثغرات، وكان يقوم بذلك تمامًا، لكن ضد الهدف الخطأ.
اقرأ أيضاً
طريقة أخرى للتفكير في كل هذا هي تخيل دب في مخيم. حقًا. يحاول الدب خيوط خيمة ومقابض أبواب السيارات وثلاجات وغطاء المهملات. يفعل ذلك في كل مخيم، طوال الليل، لأنه يعلم أنه يحتاج فقط إلى ثلاجة واحدة غير مقفلة ليمتلئ بمواد غذائية تخص شخصًا محظوظًا.
هذا ما حدث تقريبًا في Hugging Face. حاول نظام OpenAI آلاف الأشياء واستمر في الانتقال. في النهاية، نجحت مجموعة صغيرة من تلك المحاولات، وعندما فعلت، تابع الوكيل المضي قدمًا. ووفقًا لـ Hugging Face، نفذ الوكيل 17,600 إجراء على مدى أربعة أيام ونصف دون توقف.
وهذا يعيدنا إلى تشبيهنا بالدب. تمامًا كما علمت نجاح واحد مع ثلاجة مليئة بالطعام دبًا أن يحاول بجد أكبر في المرة القادمة (أصبح الآن “دبًا مشروطًا بالطعام”)، قاد تسرب كلمة مرور واحدة وكيل OpenAI للبحث عن المزيد من الثغرات، وفي النهاية، عن مفتاح واحد فتح عدة أنظمة في الشركة في وقت واحد.
لا أي من السيناريوهين غير ضار. الدب الذي ينهب ثلاجتك لا يزال يأكل طعامك وربما أيضًا يدمر مخيمك. إنه فقط يركز على الحصول على الطعام، لكنه يترك ورائه أثرًا من الدمار. بالمثل، كان وكيل OpenAI يبدو أنه يسعى لتحقيق هدف دون اعتبار لأي شيء آخر. كان الوكيل يأخذ في الأصل امتحان الأمن السيبراني، واكتشف أن مفتاح إجابات الامتحان كان على الأرجح موجودًا على خوادم Hugging Face، فذهب للحصول عليه.
الإصرار هنا هو ما يستحق الذكر فوق كل شيء آخر؛ كان للوكيل وظيفة ولم يكن يريد التوقف حتى يتمكن من إنجازها. أدركت Hugging Face أخيرًا أن شيئًا ما كان غير صحيح، وقطعت الوصول وأوقفت الاختراق، لكن في تلك النقطة، كان الأوان قد فات. كان الوكيل قد حصل بالفعل على ما جلبه من أجله، وشيئًا أكثر بكثير.
إذا كنت قد فاتتك، إليك معظم ما حدث، حسب الجدول الزمني لـ Hugging Face، ولكن بلغة أكثر وضوحًا.
- كان الوكيل يأخذ امتحان مهارات الأمن السيبراني لـ OpenAI، حيث تم تقييم الذكاء الاصطناعي على اكتشاف واستغلال الأخطاء البرمجية. هذه العملية المحددة كان قد تم فيها إزالة الحواجز. (قد أوقفت OpenAI فلتر الأمان المعتاد لديها لرؤية ما يمكن أن يفعله النموذج بكل قوته، دون أي تدخل من الإنسان في أي من تحركاته الفردية.) Somewhere in there, it figured out the exam’s reference solutions were likely stored on Hugging Face’s servers. So instead of solving the challenge, it stole the answer key from infrastructure that had nothing to do with the original test.
- لقد هرب من بيئة امتحان OpenAI من خلال استغلال ثغرة برمجية غير مُرقعة التي منحت له طريقًا إلى الإنترنت المفتوح. من هناك، وجد أداة أخرى لاختبار الذكاء الاصطناعي جالسة مكشوفة على الإنترنت (لا علاقة لها بـ Hugging Face)، ونجح في اختراقها أيضًا، وقام بإدخال كود كان يشغّل أوامر مخفية في اللحظة التي بدأ فيها البرنامج. ذلك منح الوكيل السيطرة الكاملة على الجهاز – قاعدته الجديدة لبقية العملية التي سيستخدمها للاختراق في أنظمة Hugging Face.
- من تلك القاعدة، توجه إلى Hugging Face نفسه. كان لدى Hugging Face فلتر مصمم لمنع الطلبات المشبوهة من الوصول إلى الويب المفتوح، لكن الفلتر كان يتحقق فقط من الطلبات الخارجة، وليس الطلبات لقراءة الملفات المحلية الموجودة هناك على الخادم. وجد الوكيل هذه النقطة العمياء وتسلل عبرها. قام بتحميل ملف يتظاهر بأنه مجموعة بيانات عادية، ولكن مدفون داخلها كان توجيه يخبر أنظمة Hugging Face بسحب كلمات المرور وشفرة المصدر من الخادم وإعادتها مت disguised as normal data.
- نجح هذا الخداع في الحصول على كلمات المرور والشفرة، لكن الوكيل لم يستطع بعد تشغيل أي شيء على خوادم Hugging Face. لتنفيذ الأوامر هناك، يحتاج إلى طريقة ثانية للدخول. وجد خطأ آخر في نفس نظام Hugging Face – كان البرنامج يأخذ نصًا من الوكيل ويعالجه عن غير قصد كأمر للتشغيل بدلًا من كونه مجرد بيانات للقراءة. ذلك منح الوكيل القدرة على تنفيذ كوده الخاص مباشرة على خوادم Hugging Face.
- من أجل إدخال الأوامر وسرقة البيانات، لم يبن الوكيل أي بنية تحتية خاصة به، بحسب Hugging Face. استخدم أدوات يمكن لأي شخص الوصول إليها – مواقع لصق وخدمات تسجيل الطلبات، بالإضافة إلى ميزات التحميل والوكالة الخاصة بـ Hugging Face – تعمل معًا بطريقة سرية. فوق ذلك، بنى نظام رسائل صغير مرتجل بأرقام تسلسلية للحفاظ على ترتيب الأجزاء، بالإضافة إلى فحص سريع مدمج لالتقاط أي شيء وصل تالفة، لذا كان بإمكانه إرسال أوامر متعددة الخطوات وتوضيح بيانات مسروقة في الترتيب الصحيح.
- كما تأكد من أن لا شيء يسير في العلن. مهما سرق أو أرسل، فقد تم تشويشه أولاً. لم تلتقط المسح التلقائي الأولي لـ Hugging Face حركة المرور المعترضة سوى جزء صغير مما تم أخذه. عثر المحققون على الباقي – حوالي أربعة أضعاف – فقط بعد أن قاموا بعملية عكسية لتقنية تشويش الوكيل نفسه.
- حتى أن الوكيل كان لديه خطط احتياطية، حيث زرع نسخًا من نفسه عبر 11 خادمًا مختلفًا، كل منها مُعد للبدء من جديد بنفسه حتى لا يؤدي إيقاف نسخة واحدة إلى وقف أي شيء، حيث كان هناك المزيد من خطوات الوكيل تعمل بالفعل في أماكن أخرى.
- في مرحلة ما، حصل الوكيل على مفتاح تشفير خاص يُستخدم لتوليد رموز تسجيل الدخول صالحة. من هناك، يمكنه سك رموز صالحة خاصة به كلما أراد.
- بعد اختراق خادم واحد، حصل الوكيل على اعتماد كان، بسبب خطأ في التكوين على جانب Hugging Face، اتضح أنه يفتح عدة أنظمة داخلية منفصلة في وقت واحد بدلاً من واحد فقط جاء منه. أدى هذا الخطأ الأحادي إلى منح الوكيل السيطرة الواسعة على الفور.
- باستخدام الوصول إلى المستودع المسروق، قدّم تغييرًا إلى نص بناء كان، إذا تمت الموافقة عليه، يمكن أن يعرض الأنظمة الآلية التي كانت تعمل على هذا الكود للخطر. إلا أن هذا لم ينجح. ألقت تدابير الحماية الخاصة بـ Hugging Face القبض عليه.
- أظهر الوكيل أنه كان يتجنب إحداث أضرار حقيقية، لاحظت Hugging Face، لكن ربما ليس بدافع ضبط النفس. لاحظ المحققون أن كل أمر قادر على حذف أو تغيير موارد السحاب تم تشغيله في وضع “الجفاف”، مما يعني أنه كان سيُبلغ عما سيحدث دون فعله.
- في كل مرة يتم إعادة تعيين بيئة الاختبار، وهو ما حدث باستمرار، عن قصد، فقد كل أداة وكل أثر لهويته. ولكن أعاد بناء نفسه من لا شيء وأعاد الاتصال بالبنية التحتية المسروقة في كل مرة، لأكثر من أربعة أيام متتالية.
في النهاية، استنتجت Hugging Face في تقريرها، أن “هاكر” بشري “قادر” كان يمكنه “العثور على واستغلال نفس العيوب: معالجة مجموعات البيانات غير الآمنة، وبيانات السحاب المكشوفة، والوصول المفرط، والرموز طويلة الأمد.” الفرق الكبير، أضافت الشركة، هو أن “الوكيل استكشفها بمقياس مختلف.”
وهذا هو بالفعل المكان الذي تصبح فيه مقارنة الدب هي الأكثر فائدة. أفضل دفاع ضد دب جائع هو البروتوكول. أنت تضع الطعام بعيدًا؛ تستخدم مزلاجًا يعمل جيدًا للحفاظ عليه. النقطة المهمة هنا يجب ألا تكون أن الدب كان داهية أو ماكرًا. بل هي أنه لم يتوقف أبدًا عن الفحص. يُفهم في الأمن السيبراني أنه دائمًا ما يوجد خطأ لم تجدوه، لذا إذا أصبح من السهل فجأة 100 مرة فحص كل شيء، فلا شيء آمن حقًا. وهذا ما يشعر به الكثيرون بأنه مقلق في هذه الحلقة.
عند الشراء من خلال الروابط في مقالاتنا، قد نكسب عمولة صغيرة. هذا لا يؤثر على استقلاليتنا التحريرية.