#

النقاط الرئيسية

• يمكن للأدوات الوكيلة أتمتة أعمال ما بعد الاستغلال.

• الحوادث غير المؤكدة تظل مهمة لتخطيط الدفاع.

• ينبغي للفرق المغربية مراجعة الأدلة المكشوفة ومسارات الوصول الضعيفة.

• يمكن لمزيج اللغات والمهارات والتسجيل أن يؤثر في الجاهزية الفعلية.

• يجب أن تشمل الحوكمة الخصوصية والأمن السيبراني والمشتريات.

ما الذي حدث في الحالة المبلغ عنها

أفاد موقع BleepingComputer في 24 يوليو 2026 بأن جهة تهديد استخدمت وكيل الذكاء الاصطناعي مفتوح المصدر Hermes في وضع YOLO غير المراقَب. وكان الهدف المبلغ عنه هو أتمتة أنشطة ما بعد الاستغلال أثناء اختراق مزعوم لوزارة المالية في تايلاند. ولم تكن الوزارة قد أكدت وقوع اختراق، لذا لا يزال الحادث غير موثّق جزئياً.

عثر Hunt.io والباحث الأمني Bob Diachenko على أدلة مكشوفة تحتوي على ملفات مرتبطة بالعملية. وأشارت بعض الآثار إلى الاستهداف أكثر من كونها تؤكد الاختراق. هذا التمييز مهم. ينبغي للقراء المغاربة التعامل مع التقرير كتحذير بشأن الأسلوب، لا كدليل على حملة أوسع.

لماذا يهم هذا المغرب

الدرس الأساسي بسيط. يمكن لوكلاء الذكاء الاصطناعي تقليل الجهد المطلوب للمهام المتكررة لدى المهاجمين. وقد يجعل ذلك ما بعد الاستغلال أسرع وأكثر قابلية للتوسع وأصعب في الاكتشاف. بالنسبة للمؤسسات المغربية، لا يكمن الخطر في الأداة نفسها فقط، بل في الجمع بين الأتمتة وضعف الرؤية وتأخر الاستجابة.

غالباً ما تعمل الفرق المغربية في بيئات مختلطة. فقد تدير واجهات بالعربية والفرنسية والإنجليزية، إلى جانب أنظمة قديمة وخدمات سحابية. هذا المزيج اللغوي قد يبطئ مراجعة الحوادث إذا لم تكن السجلات والتنبيهات وكتب الإجراءات موحّدة. كما قد يجعل المشتريات أصعب عندما لا تتوافق أدوات الأمن مع سير العمل المحلي.

حالات استخدام عملية للمدافعين المغاربة

هذا التقرير مفيد لفرق الأمن ومديري تقنية المعلومات وصانعي السياسات في المغرب. وهو يقترح عدة فحوصات عملية.

1) مراجعة الأدلة المكشوفة ومسارات الوصول

تضمنت الحالة المبلغ عنها أدلة مكشوفة. ينبغي للمؤسسات المغربية التحقق مما إذا كانت الملفات الداخلية أو النسخ الاحتياطية أو مناطق الإدارة قابلة للوصول دون ضوابط مناسبة. وهذا مهم بشكل خاص للأنظمة المواجهة للعموم والتخزين المشترك.

2) مراقبة أنماط ما بعد الاستغلال المؤتمتة

قد تساعد الأدوات الوكيلة المهاجمين على التحرك بسرعة أكبر بعد الوصول الأولي. ينبغي للمدافعين البحث عن سلاسل أوامر متكررة، ووصول غير معتاد إلى الملفات، وأنشطة سريعة مرتبطة بالامتيازات. قد لا تثبت هذه الأنماط الاختراق بمفردها، لكنها قد تبرر مراجعة أعمق.

3) تحسين التسجيل والاحتفاظ

إذا كانت السجلات غير مكتملة، تفقد الفرق فرصة إعادة بناء ما حدث. ينبغي للمؤسسات المغربية التأكد من الاحتفاظ بسجلات المصادقة ونقاط النهاية والشبكة لمدة كافية للتحقيق. كما ينبغي اختبار ما إذا كانت السجلات قابلة للقراءة أثناء الحادث.

4) الاستعداد لفجوات اللغة وسير العمل

قد يحتاج مركز العمليات الأمنية المغربي إلى التعامل مع التنبيهات بأكثر من لغة. وقد يسبب ذلك تأخيرات إذا اضطر المحللون إلى ترجمة الرسائل أو مواءمة المصطلحات بين الأدوات. يمكن للتسمية الموحدة ومسارات التصعيد الواضحة وكتب الإجراءات القصيرة أن تقلل هذا الاحتكاك.

المخاطر والحوكمة

يثير التقرير أيضاً أسئلة تتعلق بالحوكمة. يمكن أن تكون الوكلاء الذكيون مفيدين في العمليات الدفاعية، لكن يمكن إساءة استخدامها أيضاً. ينبغي للمؤسسات المغربية تحديد أين يُسمح بالأتمتة، وأين تكون الموافقة البشرية مطلوبة، وأي الإجراءات تُحظر بموجب السياسة.

تظل الخصوصية والامتثال مهمين أيضاً. إذا كانت أداة أمنية تعالج بيانات الموظفين أو العملاء أو الاتصالات الداخلية، فيجب أن تعرف الفرق أين تذهب تلك البيانات ومن يمكنه الوصول إليها. ينبغي أن تتضمن المشتريات أسئلة حول معالجة البيانات ومسارات التدقيق ودعم المورّد. هذه أسئلة عملية وليست نظرية.

كما يجب أن تغطي ضوابط الأمن السيبراني الأساسيات. فالمصادقة القوية، وأقل قدر من الامتيازات، والتقسيم، والنسخ الاحتياطية الآمنة تظل ضرورية. الذكاء الاصطناعي لا يحل محلها. بل إن الأدوات الوكيلة تجعل الضوابط الضعيفة أكثر خطورة لأنها تستطيع استغلالها بسرعة أكبر.

البنية التحتية قيد آخر. قد لا تمتلك بعض المؤسسات المغربية تغطية كافية لنقاط النهاية أو تسجيلًا مركزيًا أو محللين مهرة. هذا لا يعني أنها يجب أن تنتظر. بل يعني أنها يجب أن تعطي الأولوية أولاً للأنظمة الأعلى خطورة وأن تبني التغطية على مراحل.

ما الذي ينبغي على المؤسسات المغربية فعله بعد ذلك

ابدأ بمراجعة داخلية قصيرة. حدّد الأنظمة التي تكشف وظائف الإدارة أو أدلة الملفات أو مسارات الوصول عن بُعد. تأكد من من يمكنه الوصول إليها ومن أين. ثم اختبر ما إذا كانت التنبيهات تُنشأ عند ظهور نشاط غير معتاد.

بعد ذلك، حدّث كتب إجراءات الاستجابة للحوادث. أدرج خطوات للنشاط المشتبه بأنه مدعوم بالذكاء الاصطناعي. أضف فحوصات للأفعال السريعة والمتكررة وللاكتشاف المشبوه للملفات. وتأكد من أن كتب الإجراءات تعمل للفرق متعددة اللغات ولا تعتمد على معرفة شخص واحد.

ثم قيّم المهارات والتدريب. يجب أن يعرف المحللون كيفية التحقق من التنبيه، وحفظ الأدلة، والتصعيد بسرعة. ويجب أن يعرف المديرون متى يوقفون الأتمتة ويطلبون مراجعة بشرية. بالنسبة للقراء المغاربة، هذه لحظة مناسبة للتعامل مع الذكاء الاصطناعي كجزء من نموذج التهديد، وليس فقط كأداة إنتاجية.

وأخيراً، راجع المشتريات والحوكمة. اسأل ما إذا كانت الأداة تستطيع تسجيل أفعالها، والحد من الأوامر الخطرة، ودعم احتياجات الامتثال المحلية. إذا كانت الإجابة غير واضحة، فذلك يمثل خطراً. قد يحتاج صانعو السياسات والمشترون في المؤسسات بالمغرب إلى معايير أوضح للأنظمة الوكيلة، خاصة حيث تتقاطع الخصوصية والأمن السيبراني.

الخلاصة

الحالة المبلغ عنها المتعلقة بـ Hermes ليست مؤكدة بالكامل، لكن الدرس الدفاعي يظل واضحاً. يمكن لوكلاء الذكاء الاصطناعي مساعدة المهاجمين على أتمتة العمل بعد الوصول. ينبغي للمؤسسات المغربية أن ترد بتشديد الوصول، وتحسين السجلات، واختبار خطط الاستجابة الآن. هذه هي الطريقة الأكثر عملية لتقليل المخاطر دون المبالغة في الحادث نفسه.