في واقعة عملية تبرز الأبعاد الجديدة لأدوات الذكاء الاصطناعي في الأمن السيبراني، نجح باحث أمني مستقل، عبر استغلال نموذج Claude Opus 4.7 المطور من شركة Anthropic، في رصد ثغرة أمنية حرجة بمنصة Front Gate Tickets المملوكة لشركة Live Nation Entertainment، وهي الجهة المسؤولة عن مبيعات تذاكر الفعاليات الموسيقية الضخمة مثل Lollapalooza وBonnaroo وAustin City Limits. هذه الثغرة، التي عولجت لاحقاً، منحت الباحث صلاحيات إدارية كاملة تتيح له نظرياً توليد عدد غير محدود من التذاكر المجانية، بما فيها تذاكر كبار الشخصيات (VIP) التي تبلغ قيمتها آلاف الدولارات.
هذه الحادثة التي كشف عنها الباحث إيان كارول، تتجاوز تصنيف الهجمات التقليدية؛ إذ تعكس تحولاً ملموساً في توظيف النماذج اللغوية الكبيرة لتغيير قواعد اكتشاف الثغرات. فباستخدام Claude، لم يتوقف كارول عند رصد ثغرة حقن استعلامات البنية، بل نجح في الالتفاف على جدار حماية تطبيقات الويب بأسلوب تعجز عنه أدوات الفحص المؤتمتة القديمة.
اكتشاف الصدفة وعبقرية الاحتكار
بدأت تفاصيل القصة بدافع شخصي بعيداً عن حملات الفحص المنظمة، حيث كان كارول، الذي يدير شركة Seats.aero الناشئة بجانب نشاطه في الأبحاث الأمنية المستقلة، يتطلع لحضور مهرجان Electric Daisy Carnival في مسقط رأسه بمدينة لاس فيغاس، ورصد أن منصة Front Gate هي المتولية لإدارة تذاكر الفعالية. قاده الفضول لملاحظة استئثار هذه المنصة بخدمات مبيعات التذاكر لجميع المهرجانات الكبرى تقريباً في الولايات المتحدة، باستثناء مهرجان Coachella. ووصف كارول هذا الوضع في مقابلاته قائلاً إن هذه المنصة تمثل المعادل الرقمي لشركة Ticketmaster في قطاع المهرجانات، مشيراً إلى هيمنتها الكاملة على السوق، وهو ما جعل من ثغرة برمجية في منظومة واحدة تهديداً مباشراً لقطاع الترفيه بأكمله.
ومن خلال إجراء فحص أولي للمنصة عبر أداة اختبار المدخلات، لاحظ كارول أن أي مسار يضم كلمة “device” في واجهة برمجية التطبيق (API) يُنتج خطأ يطلب معرفاً يسمى deviceUID. وعند إدخال علامة اقتباس مفردة كاختبار، توقف استجابة الطلب، وهي الإشارة التقليدية إلى تمرير المدخلات مباشرة إلى استعلامات SQL دون تنقية، ما يؤكد وجود ثغرة حقن SQL قابلة للاستغلال. ومع ذلك، منعت دفاعات المنصة المعتمدة على جدار حماية Amazon Web Services محاولات الاستغلال الآلي بواسطة أدوات مثل sqlmap، وهو التحدي الذي دفع كارول للاستعانة بالذكاء الاصطناعي.
العقل المدبر: كيف هزم Claude الجدار الناري
تمثلت النقلة النوعية في هذه الحادثة في تجاوز الأساليب التقليدية لكتابة الأكواد الخبيثة يدوياً أو الاعتماد على البرمجيات المؤتمتة التي أوقفتها جدران الحماية، حيث قام كارول بتزويد منصة Claude Code، المعتمدة على نموذج Opus، ببيانات المشكلة التقنية. وأظهر النموذج قدرة متقدمة على التحليل المنطقي للمنظومات الدفاعية؛ إذ استنتج أن جدار حماية تطبيقات الويب يكتفي بفحص الطبقة الخارجية فقط من البيانات المدخلة. وبناء على ذلك، اقترح Claude تغليف الحمولة البرمجية الخبيثة داخل استعلام فرعي متداخل، وهي الفكرة التي سمحت للبيانات بالمرور عبر آليات الفحص دون إطلاق أي تنبيه أمني، لتصبح المفتاح الأساسي لتجاوز خط الدفاع الأول.
ولأن نقطة النهاية المستهدفة لا تعرض أي مخرجات مباشرة من قاعدة البيانات، استلزم الأمر تخطيط هجوم حقن أعمى (Blind SQL Injection). وهنا وظف Claude خاصية محددة في قواعد بيانات MySQL، تحول السلاسل النصية مثل ‘x’ إلى صفر عند إضافتها إلى الأرقام، ما أتاح صياغة استعلامات شرطية دقيقة. وباستخدام حمولات مثل deviceUID = x’+(SELECT CASE WHEN [شرط] THEN 1 ELSE 0 END)– -، تمكن كارول من استخراج البيانات تدريجياً، حيث كانت الاستجابة تختلف بإرجاع اسم جهاز معين بناء على صحة الشرط أو خطئه. وقد نجحت هذه الآلية في سحب محتويات قاعدة البيانات الضخمة المسماة fgs والتي تحتوي على أكثر من 500 جدول تشمل سجلات العملاء، وبيانات اعتماد الموظفين، ورموز المصادقة النشطة.
من البيانات إلى التاج: تتويج المدير الأعلى
عقب اختراق جدار الحماية والوصول إلى قاعدة البيانات، تطورت وتيرة العملية سريعاً، حيث رصد كارول جداول مخصصة لرموز إعادة تعيين كلمات مرور المستخدمين (RESET_TOKEN). وبقراءة الرمز الخاص بأحد حسابات الإدارة العليا، تمكن من الدخول إلى الحساب دون الحاجة لمعرفة كلمة المرور الفاصلة. وساهم غياب إجراء المصادقة الثنائية (2FA) لحسابات المشرفين في تسهيل عملية السيطرة الكاملة على الحساب دون عوائق.
وبامتلاك صلاحيات المدير الأعلى، أتيح لكارول الاطلاع على كافة المهرجانات المدرجة في المنصة، وإصدار تذاكر مجانية لأي حدث، بما في ذلك التذاكر البلاتينية لمهرجان Bonnaroo التي تبلغ قيمتها 4,000 دولار. وأوضح كارول أنه كان قادراً على دخول أي فعاليات وتوليد تصاريح الكواليس وكبار الشخصيات حتى لو كانت مبيعة بالكامل. ورغم هذه القدرة، أوقف الباحث عمليته عند هذا الحد دون إصدار تذاكر فعلية أو سحب جماعي للبيانات، مكتفياً بإثبات أن طلباً واحداً غير مصادق يمنح نفاذاً كاملاً لمنظومة تدير ملايين السجلات.
روايتان متضاربتان: بين طمأنة الشركة وتشكك الباحث
أعلنت شركة Front Gate أنها عالجت الثغرة الأمنية خلال 24 ساعة من تلقي البلاغ، مثمنة دور الباحث في تعزيز تدابيرها الدفاعية. وأشارت في بيان رسمي إلى أن المشكلة جرى تشخيصها بواسطة باحث استخدم أدوات مدعومة بالذكاء الاصطناعي للالتفاف على جدران الحماية القياسية، موضحة أن نقطة الضعف تقع ضمن واجهة API داخلية مخصصة لأجهزة الفحص عند البوابات وليست في الواجهات الموجهة للجمهور، مؤكدة عدم وجود مؤشرات على استغلال الثغرة سابقاً أو تسريب لبيانات العملاء.
وفي المقابل، أشار كارول ومحللون إلى وجود فجوات في الرواية الرسمية؛ فبينما ذكرت الشركة أن أي تعديل في حسابات الموظفين يفعل نظام الإنذار، أكد كارول أنه استبدل كلمة مرور حساب الإدارة العليا دون أن تلحظ الأنظمة ذلك حتى أبلغهم بنفسه. كما شكك في قدرة الشركة الفورية على إلغاء التذاكر الاحتيالية بناء على سجلات التدقيق، نظراً لأن الصلاحيات التي امتلكها تتيح تعطيل تلك الآليات.
وتظل النقطة الأكثر تبايناً هي تأكيد الشركة عدم وقوع اختراقات سابقة لعدم وجود أدلة، مقابل تمسك كارول بالقاعدة الأمنية التي تفيد بأن غياب الدليل لا يعني دليل الغياب، خاصة في الهجمات المعقدة التي تمحو أثرها من السجلات. ولم يحسم الجدل أيضاً حول إمكانية توليد أساور التعريف المادية (RFID) الخاصة بفئات VIP؛ حيث نفت الشركة إمكانية إصدارها رقمياً، في حين أثبت الباحث قدرته التقنية على إدراج البطاقة البلاتينية في سلة التحكم بالنظام.
ما بعد الواقعة: رسم ملامح المستقبل الأمني
تتعدى أبعاد الحادثة حدود المنصة المتأثرة لتشكل دليلاً عملياً على تحذيرات الخبراء بشأن قدرة الذكاء الاصطناعي على إعادة صياغة آليات الهجوم والدفاع السيبراني. وأفاد كارول، المشارك في برنامج التحقق السيبراني التابع لشركة Anthropic والذي يتيح للمختصين استخدام Claude في الاختبارات الأمنية الهجومية، بمدى كفاءة النموذج في ابتكار أساليب الالتفاف، مرجحاً قدرة الذكاء الاصطناعي مستقبلاً على رصد واستغلال هذا النوع من الثغرات بشكل مستقل تماماً دون تدخل بشري. ويعكس هذا التقييم تحولاً تكنولوجياً لا يقتصر فيه دور العنصر البشري على القيادة، بل يصبح شريكاً لمنظومة ذكية قادرة على تفكيك الدفاعات وتصميم الحلول.
من جهتها، أوضحت شركة Anthropic أن برنامجها يهدف لتزويد الباحثين بقدارت دفاعية متقدمة لتأمين البرمجيات عالمياً، مؤكدة أن أنظمتها كانت لترصد وتمنع هذا الاستخدام لولا عضوية كارول المصرحة.
