به گزارش گروه بین الملل خبرگزاری تسنیم، پژوهشگران امنیت سایبری ترکیه، شناسایی تازه‌ترین تهدیدات مبتنی بر هوش مصنوعی (AI) و دنیای سایبری را به عنوان بخشی از معماری امنیت ملی می‌دانند.

آنان معتقدند که به چالش کشیدن مفاهیمی مانند امنیت ملی و باقی ملی در حوزه هوش مصنوعی امنیت سایبری، ممکن است به مراتب آسان‌تر از حوزه‌های امنیتی مرسوم و مرتبط با قدرت سخت باشد.

در دو بخش پیشین این مطلب، با دغدغه‌های پژوهشگران ترکیه در این زمینه آشنا شدیم و به این اشاره شد که آنکارا، تحقیق و فعالیت‌های نهادمند و منظم در این حوزه را جدی گرفته و به دنبال آن است که جایگاه و رده خود را از گروه سوم لیگ جهانی هوش مصنوعی، خود را به گروه دوم ارتقا دهد.

درسی از تجارب دیگران

پژوهشگران امنیت سایبری ترکیه برای رسیدن به ارزیابی روشنی از اهمیت این حوزه، سراغ مرور تجارب آمریکا و اروپا رفته‌اند. آنان به این نتیجه رسیده‌اند که بر اساس گزارش‌های معتبر «موسسه ملی استانداردها و فناوری آمریکا» (NIST) مفاهیمی همچون مسمومیتِ داده‌ها، دستکاری منابع ورودی، استخراج مدل، استخراج عضویت، مهندسی معکوس و نقض حریم خصوصی، تنها لایه‌های اولیه فریب و تهدید را تشکیل می دهند.

این خطرات به عنوان اقدامات عمدی «دشمنانِ با انگیزه» تعریف می‌شوند و می‌توانند عواقب جدی داشته باشند. این خطرات، به ویژه در زمینه‌هایی مانند احراز هویت، تشخیص ناهنجاری، فیلتر کردن محتوا، پشتیبانی تصمیم‌گیری مستقل و نظارت بر زیرساخت‌های حیاتی، دردسرساز هستند.

در جریان حملات خصمانه به سیستم‌های هوش مصنوعی، بارها سیستم‌های پشتیبانی تصمیم‌گیری در مؤسسات عمومی و زیرساخت‌های حیاتی گمراه شده‌اند و مهاجمین توانسته‌اند محیط داده‌ای را مسموم و مختل کنند و با شناسایی رفتارهای مدل هوش مصنوعی، امکانات و ظرفیت‌های نشت اطلاعات را به آسانی شناسایی کنند.

شناسایی انواع تهدید

بر اساس بررسی‌های پژوهشگران ترکیه در حوزه تهدیدات سایبری، می‌توان قائل به نوعی از دسته بندی بود که هدف و مابه ازای تهدید را به شکل ملموس نشان می‌دهد.

بر این اساس: مهمترین روش‌های تهدید را می‌توان به این شکل دسته بندی کرد: 
تهدیدات فیشینگ مبتنی بر هوش مصنوعی.
ربودن حساب از طریق پر کردن اعتبارنامه.
 تولید و انتشار محتوای جعلی عمیق.
 تولید و انتشار باج‌افزار.
 تلاش برای کنترل اتوماسیون.
 تلاش برای کنترل خدمات و زیرساخت‌های حیاتی.
 ربودن حساب از طریق پر کردن اعتبارنامه.
حملات مبتنی بر بات‌نت (آلوده کردن پنهانی گروهی از رایانه‌ها به یک نرم‌افزار و کنترل از راه دور آنها توسط یک هکر).
تهدیدات یکپارچگی مدل و امنیت داده‌ها.
سرقت مدل یا الگو.
تهدیدات یکپارچگی مدل و امنیت داده‌ها.
تزریق درخواست.
تهدیدات نفوذ در فرآیند تصمیم‌گیری سازمانی.
افشای اطلاعات حساس.
 دستکاری سیستم‌های تشخیص ناهنجاری.

در مجموع و در یک ارزیابی کلی، خطرات و تهدیدات این حوزه را می توان به پنج خوشه اصلی تقسیم کرد: اقناع و دستکاری هویت، اتوماسیون و مقیاس‌بندی، یکپارچگی مدل و امنیت داده‌ها، زیرساخت‌های حیاتی و تداوم خدمات، نفوذ در فرآیندهای تصمیم‌گیری شرکتی.

در سال 2025 میلادی در استفاده از هوش مصنوعی مشهور چت.جی.پی.تی، موارد بسیاری تلاش‌های سوء استفاده گزارش شده که غالباً شامل تولید رزومه‌های جعلی، به دست آوردن اطلاعات هویتی کارمندان مهم آمریکا برای کپی و جعل اطلاعات و استفاده از دسترسی‌های آنان، خودکارسازی درخواست‌های شغلی و دستکاری فرآیندهای کار از راه دور، است.

در این عرصه پر از کلاهبرداری، مجرمین نه تنها پروفایل‌های جعلی ایجاد کرده‌اند، بلکه از پشتیبانی مدل برای روش‌ها و ابزارهایی برای تسهیل دسترسی از راه دور به لپ‌تاپ‌های کارمندان همان شرکت نیز استفاده کرده‌اند.

آنان برای رسیدن به اهداف خود، از هوش مصنوعی مولد برای ایجاد متن ایمیل‌های قانع‌کننده، پیام‌های صوتی/تصویری، پروفایل‌های جعلی رسانه‌های اجتماعی و وب‌سایت‌های کلاهبرداری استفاده کرده‌اند.

بر این اساس، هوش مصنوعی با کاهش خطاهای زبانی و شخصی‌سازی محتوا، اعتبار طرح‌های کلاهبرداری را افزایش می‌دهد و به مجرمان اجازه می‌دهد تا در مدت زمان کوتاه‌تری به مخاطبان گسترده‌تری دسترسی پیدا کنند.

تحول اساسی در اینجا این است که حمله دیگر صرفاً مبتنی بر فریب نیست، بلکه مبتنی بر ترغیب و متقاعدسازی است. به لطف هوش مصنوعی مولد، حملات بهتر طراحی می‌شوند، هدفمندترند، زمان‌بندی دقیق‌تری دارند و به راحتی موفق‌ می شوند.

همچنین ارزیابی‌های آژانس امنیت سایبری اتحادیه اروپا (ENISA) نشان می‌دهد که حملات مهندسی اجتماعی در بخش مالی منجر به سرقت داده‌های شخصی/شرکتی، کلاهبرداری و جرایم مالی در مقیاس بزرگ می‌شود و نشان می‌دهد که این تهدید فراتر از یک مشکل کاربر شخصی بوده و به سطح ریسک شرکتی رسیده است.

در حملات فیشینگ هوشمند، رفتار هدف از طریق رسانه‌های اجتماعی و ایمیل‌ها تجزیه و تحلیل می‌شود تا پیام‌های جعلی شخصی‌سازی شده تولید شود. حملات فریب عمیق شامل تقلید چهره یا صدای یک فرد با هوش مصنوعی است و از چنین منطقی پیروی می‌کند: «با هوش مصنوعی، هوش مصنوعی را فریب بده». 

سوء استفاده مهاجمین و مجرمین از هوش مصنوعی، می‌تواند به راحتی، مغز تصمیم‌گیری یک شرکت، نهاد یا سازمان مهم و حساس را در اختیار بگیرد و در تصمیمات آن، دخالت کند. در این عملیات، فقط پای هک، خاموش کردن سیستم‌ها یا سرقت داده‌ها در میان نیست؛ بلکه مهاجم به دنبال مجبور کردن سازمان به تصمیم‌گیری‌های اشتباه و اولویت‌بندی‌های اشتباه است.

در نتیجه در دو حوزه، تهدید بزرگ شکل می‌گیرد: الف) بی‌اعتنایی به نظارت مداوم انسانی و تسلیم شدن در برابر روح ماشینی و خودکارِ هوش مصنوعی. ب) اعتماد بیش از حد به کل خروجی‌ها و تصمیمات نهایی هوش مصنوعی.

پژوهشگران امنیتی ترکیه می‌گویند، با وابستگی روزافزون خدمات عمومی، زیرساخت‌های حیاتی و فرآیندهای تصمیم‌گیری شرکت‌ها به سیستم‌های هوش مصنوعی، خطر آسیب‌پذیری‌های عملیاتی و استراتژیک، افزایش می‌یابد.

بنابراین، اولویت سیاست‌گذاری این است که به وضوح تعریف شود که سیستم‌های استفاده‌کننده از هوش مصنوعی با کدام داده‌ها، در چه محدوده اختیاراتی و با چه وابستگی‌های خارجی کار می‌کنند و بر این اساس، سازوکارهای امنیتی، حسابرسی و تأیید انسانی مناسبی ایجاد شود. موفقیت زمانی حاصل می‌شود که به جای پذیرش سریع هوش مصنوعی و دادن اختیارات نهادی به او، مفاهیمی مانند مدیریت ایمن، حسابرسی و پاسخگویی، همچنان در اولویت باشند. 

تجارب بانک‌ها، نهادها، شرکت‌ها و کشورهای شکست خورده در این زمینه می‌گوید: وقتی که در یک سیستم مبتنی بر هوش مصنوعی، کنترل و اختیارات بیش از حدی به یک «مدل بزرگ زبانی» (LLM) بدهید و به عنوان مثال، در فرآیندهای تصمیم‌گیری و برنامه‌های حیاتی، او را به عنوان مسئول خودکارسازی تراکنش‌های مالی در نظر بگیرید، اقدام خطرناکی انجام داده‌اید. چرا که ممکن است این مدل زبانی، بدون کنترل‌های کافی، تصمیمات پرخطری بگیرد. بنابراین محدود کردن قابلیت‌های تصمیم‌گیری مدل و گنجاندن نظارت انسانی در فرآیندهای حیاتی برای کاهش این ریسک مهم است.

از دیدگاه حاکمیتی، خطر این است که مشخص نیست تفویض اختیار از کجا شروع و پایان می‌یابد. در چنین حالتی، یک خطا یا سوء استفاده فراتر از یک نقص فنی صرف است و نشان‌دهنده یک شکست در زنجیره کنترل است. بنابراین، خطر مجوز بیش از حد باید در داخل سازمان از طریق مجوز مبتنی بر نقش، تأیید انسانی، مکانیسم‌های توقف اضطراری و ثبت اجباری تراکنش‌ها مدیریت شود.
ادامه دارد....

انتهای پیام/