كشف فريق Threat Hunter التابع لشركة Symantec، في تقرير نشره بتاريخ 21 أكتوبر 2026، عن وكيل هجوم ذاتي صممه مهاجمون للبحث عن نماذج ذكاء اصطناعي مكشوفة على الإنترنت والاستيلاء عليها. ويهدف هذا الوكيل إلى تخطيط هجماته وقيادتها لما يصل إلى 100 ألف خطوة متتالية دون الحاجة إلى أي موافقة بشرية. وتطلق Symantec على هذا النشاط اسم LLMjacking، والذي يعني سرقة حق الوصول إلى نموذج يملكه طرف آخر، محملاً المالك الأصلي تكلفة التشغيل.
والتقطت Symantec التعليمات التشغيلية الكاملة لهذا الوكيل خلال صيف عام 2026 عبر فخ تمويهي مصمم لمحاكاة خدمة ذكاء اصطناعي مكشوفة، بهدف استدراج الهجمات التي تستهدف بنى الذكاء الاصطناعي ودراستها. وبما أن المشغلين أرسلوا تعليماتهم كاملة إلى ما اعتقدوا أنه نموذج حقيقي، تمكن الباحثون من الحصول على رؤية استثنائية ومتكاملة حول آلية بناء هذا النوع من الوكلاء. ولم ينفذ الفخ التمويهي أياً من الأدوات التي وردت في طلبات المهاجمين. وفي الفترة ذاتها، سجل أكثر من 127 ألف طلب خارجي صادر من عشرات الآلاف من العناوين، تركز معظمها على استطلاع نقاط وصول النماذج، وتجربة مفاتيح واجهات برمجة مسروقة، والتفتيش عن ملفات إعدادات مكشوفة.
ويبحث الوكيل المهاجم عن نقاط وصول تقبل طلبات الذكاء الاصطناعي عبر الإنترنت دون أي مصادقة، أو عبر مصادقة يمكن تجاوزها باستخدام مفتاح مسروق. ولأن أغلب أدوات الذكاء الاصطناعي تعتمد على واجهة البرمجة المتوافقة مع بنية OpenAI، يمكن لماسح واحد أن يكتشف أنواعاً متعددة من الأهداف. وتشمل هذه الأهداف خوادم النماذج المفتوحة افتراضياً، وبوابات الذكاء الاصطناعي التي تسبق حسابات النماذج المدفوعة، وأنظمة الاختبار الداخلية المنشورة على عجل، فضلاً عن خوادم بروتوكول سياق النموذج MCP. وتتمثل الغنيمة الكبرى في الحصول على استدلال مجاني يتحمل تكلفته صاحب النموذج، بينما يكسب المشغلون ميزة إخفاء الهوية وتجنب حظر الحسابات الذي يفرضه المزودون عند رصد إساءة الاستخدام.
وبنيت تعليمات الوكيل في خمس طبقات متدرجة. تأمر الطبقة الأولى النموذج بتقديم نفسه كمساعد برمجة يحمل علامة تجارية، دون الكشف عن هويته الحقيقية أو مزوده أو مروره عبر وسيط. وتعيد الطبقة الثانية تعريف عمليات قراءة ملفات الإعدادات، وملفات البيئة، ومفاتيح الواجهات، ومخططات قواعد البيانات، لتعتبرها عملاً تطويرياً اعتيادياً لا يستوجب الرفض أو التحذير. وتجعل الطبقة الثالثة النموذج رفيقاً مخلصاً للمشغل، معتبرة أي رفض لتنفيذ الأوامر بمثابة خيانة له. وتطلب الطبقة الرابعة تجاهل كافة رسائل الأمان وإخراج شيفرات الأدوات والاستغلال البرمجي دون إصدار أي تحذير، بينما تحمل الطبقة الخامسة 74 تعريفاً لأدوات هجومية مختلفة.
وتشمل هذه الأدوات تقنيات لاكتشاف الأصول عبر الإنترنت باستخدام خدمة FOFA، ووحدات استغلال مخصصة لأطر وتطبيقات متعددة منها VS Code وDjango وJupyter وLaravel وSupabase وNext.js وFlask/Werkzeug. كما تتضمن الأدوات آليات لحقن الأوامر، وتزوير الطلبات من جهة الخادم للوصول إلى الملفات المحلية وخدمات بيانات السحابة، وسحب قواعد البيانات المكشوفة عبر أداة Prisma Studio، وصولاً إلى إدارة شبكات البوت نت.
وخُتمت التعليمات بتوجيه يضع الوكيل في وضع أطلق عليه المشغلون اسم Skynet. ويجيز هذا التوجيه تنفيذ ما يصل إلى 100 ألف خطوة متتالية دون أي إشراف، ويلزم النموذج بتنفيذ الأدوات فوراً دون سرد تفاصيل ما يفعله بين الخطوات أو طلب إذن مسبق. ويأمر التوجيه النموذج بنشر برمجيات تعدين عملات مشفرة بهدوء في الخلفية والتحقق من عملها، واصفاً حلقة مستمرة تقوم بمسح أهداف جديدة وإصابتها، ثم نشر برمجيات التعدين عليها وإعادة إصابتها. وتقابل Symantec سلوك التعدين هذا بتقنية الاستيلاء على الموارد ضمن إطار MITRE ATT&CK. وفي اليوم التالي، وصل إلى الفخ التمويهي طلب من عنوان آخر يحمل نصاً برمجياً مضغوطاً ومرمزاً يهدف إلى تنزيل برمجية XMRig لتعدين عملة Monero، مع إخفاء ملفها ومسح سجلات الخدمة، وهو ما لم ينفذه الفخ أيضاً.
ولا تملك Symantec حتى الآن أي دليل يثبت استخدام هذا الوكيل في هجمات فعلية، وفقاً لتصريح باحثة الشركة Priti More لموقع The Register، إلا أن الوصف التقني للأداة يؤكد أنها تتجاوز مرحلة النموذج الأولي. ولم تنسب Symantec هذه الأداة الهجومية إلى أي شخص أو جهة محددة حتى اللحظة.
وترى Symantec أن هذا النشاط يمثل تحولاً جذرياً في استخدام المهاجمين لتقنيات الذكاء الاصطناعي. فبدلاً من التركيز على خداع روبوتات الدردشة العامة، دمج المشغلون الذكاء الاصطناعي في صلب أداة هجومية متكاملة، وبحثوا عن نماذج لتشغيلها. وبهذه الطريقة، يعمل النموذج كمحرك استدلال يخطط للهجوم ويقوده، بينما تتولى وحدات الأداة مهام المسح والاستغلال والتعدين ضد ضحايا آخرين. وتوضح Priti More أن التقنيات الفردية المستخدمة ليست جديدة بحد ذاتها، لكن الابتكار يكمن في ربطها داخل وكيل واحد يوكل مهام التخطيط إلى نموذج مستعار.
ويسفر هذا النوع من الهجمات عن ضحيتين رئيسيتين بحسب تقييم Symantec؛ الضحية الأولى هي صاحب النموذج أو المفتاح المسروق الذي يتحمل تكلفة التشغيل، والتي قد تكون باهظة لأداة صممت لتنفيذ 100 ألف خطوة. والضحية الثانية هي الخوادم التي يخترقها الوكيل، حيث تفقد بياناتها ومعلوماتها الحساسة وتُستغل مواردها في عمليات التعدين. وتنصح الشركة المؤسسات التي تشغل خدمات ذكاء اصطناعي، أو بوابات نماذج، أو خوادم MCP، بعدم تركها مكشوفة للعامة دون آليات مصادقة قوية، بما في ذلك مسارات سرد النماذج وفحص الصحة. كما توصي بمعاملة مفاتيح واجهات الذكاء الاصطناعي كبيانات اعتماد عالية القيمة، ومراقبة أي استهلاك غير معتاد لها، وتقييد الاتصالات الصادرة من خوادم الذكاء الاصطناعي لتضييق نطاق الهجمات المحتملة.
