كشف تقرير صادر عن شركة UpGuard في نهاية عام 2025 أن نحو 90% من خبراء الأمن السيبراني يستخدمون أدوات ذكاء اصطناعي غير معتمدة في أماكن عملهم. واللافت أن من يُفترض بهم تطبيق سياسات الأمان يتجاهلونها بشكل صارخ، حيث يستخدم أكثر من 80% من الموظفين عبر مختلف الوظائف أدوات ذكاء اصطناعي غير مرخصة، ويأتي التنفيذيون في مقدمة المستخدمين المخالفين.
نحن هنا لا نُكرر المشهد، إذ قبل عشر سنوات كانت المعركة تدور حول تكنولوجيا الظل (Shadow IT)، من حسابات Dropbox الشخصية، وتطبيقات SaaS غير المعتمدة، وتدفق البيانات عبر أدوات لم تمر بمراجعة أمنية. ومع مرور الوقت، تمكنت المؤسسات من السيطرة على ذلك من خلال أدوات اكتشاف التهديدات، وخدمات الحوسبة السحابية المعتمدة، وتحسين السياسات.
لكن أدوات الظل لم تكن مجرد قنوات لنقل البيانات، فهي الآن تتعامل مع البيانات بطريقة مختلفة تمامًا، حيث تقوم بمعالجتها، وأحيانًا الاحتفاظ بها. فمثلاً، عندما ينسخ موظف قائمة عملاء إلى دردشة مجانية، أو يرسل رمزاً برمجياً داخليًا لتحليل أخطائه بسرعة، فإن تلك البيانات تدخل أنظمة لا تملك المنظمة السيطرة عليها، ولا يوجد سجل تدقيق يُثبت حدوث ذلك، وغالبًا لا يدرك أحد الأمر.
### مخاطر الامتثال والأمان من أدوات الذكاء الاصطناعي غير المصرح بها
يؤدي ذلك إلى تعريض البيانات لمخاطر تتزايد مع مرور الوقت، خاصة إذا لم تُتخذ إجراءات تصحيحية. فعدم وجود اتفاقية معالجة بيانات، أو سياسة احتفاظ موثقة، يُعرّض المنظمة لمشاكل قانونية، ويُصعب عليها الاستجابة لطلبات الوصول بموجب اللائحة العامة لحماية البيانات (GDPR)، أو إثبات أن البيانات الحساسة بقيت ضمن الحدود التنظيمية.
وتُظهر الأبحاث أن المؤسسات التي تعتمد بشكل كبير على أدوات الذكاء الاصطناعي غير المصرح بها تتكبد تكاليف أكبر من حيث خسائر البيانات، حيث تصل إلى حوالي 670 ألف دولار إضافية في المتوسط مقارنة بالمؤسسات التي تلتزم بالسياسات. ومع ذلك، فإن حظر استخدام الذكاء الاصطناعي لا يُجدي نفعًا، حيث أظهر استطلاع أن 46% من الموظفين سيواصلون استخدام الأدوات غير المعتمدة حتى لو تم حظرها رسميًا، لأن حظرها يدفعها إلى الاختباء.
### التحديات الناتجة عن الاعتماد على أدوات غير موثوقة
هناك تكلفة أخرى غير مرئية في تقارير الاختراقات، وهي أن الاعتماد على نماذج ذكاء اصطناعي غير معتمدة للتحليل، أو كتابة الكود، أو مسودة المستندات، يؤدي إلى نتائج غير موثوقة. فبيانات “الهلوسة” أو النتائج المضللة تتداخل مع تقارير الإدارة، كما أن أكوادًا غير صحيحة تُرسل إلى الإنتاج، وأطقم القانون تكتب نصوصًا باستخدام أدوات لم تتم مراجعتها، مما يضعف دقة مخرجات المنظمة مع مرور الوقت.
### التحول نحو أنظمة الذكاء الاصطناعي الوكيلية
الموجة الجديدة من أدوات الذكاء الاصطناعي تتجاوز مجرد تفاعل الموظفين مع الأدوات، فهي أنظمة ذاتية تتخذ إجراءات بشكل مستقل، مثل قراءة البريد الإلكتروني، وتنفيذ الأوامر البرمجية، والوصول إلى الملفات، وربط المهام معًا، وكل ذلك بصلاحيات المستخدم.
على سبيل المثال، مشروع OpenClaw، وهو وكيل ذكاء اصطناعي مفتوح المصدر، حقق شهرة واسعة على GitHub، لكنه كشف عن أخطار أمنية جسيمة. فاختبارات فريق Cisco للأمن على أحد الإضافات الشائعة لـ OpenClaw أظهرت أنها كانت بمثابة برمجية خبيثة، حيث أرسلت بيانات سرية إلى خادم خارجي بشكل سري عبر أوامر قشر (Shell). استُخدمت تقنيات حقن الأوامر لتجاوز قواعد الأمان، مع أن الإضافة كانت محمّلة آلاف المرات، ووجدت شركة كاسبرسكي أكثر من 500 ثغرة أمنية في تدقيق واحد، منها ثمانية ثغرات حرجة. وتم حظر استخدام OpenClaw من قبل الحكومة الصينية.
هذه الحالة ليست استثناءً، فالسلوكيات المماثلة تتكرر مع أدوات الذكاء الاصطناعي الوكيلية، حيث تتيح وصولاً واسعًا إلى الأنظمة، وتجمع مكونات من مصادر مجتمعية، وتضعف إجراءات الأمان بشكل افتراضي. وتتوقع شركة Gartner أن 40% من تطبيقات المؤسسات ستحتوي على وكلاء ذكاء اصطناعي مخصص للمهام بحلول نهاية عام 2025، مقابل أقل من 5% في عام 2022.
### التحديات الأمنية مع أدوات الوكيل الذكي
هذه الأنظمة تتصرف بشكل يصعب على أدوات الأمان التقليدية رصدها، لأنها تظهر كأنها مستخدم شرعي، ولا تتضمن ملفات ضارة واضحة، وتتعامل مع محتوى خارجي مثل البريد الإلكتروني والصفحات والمستندات، مما يتيح للمهاجمين إدخال تعليمات خبيثة مخفية، وتوجيه الوكيل لأداء أفعال ضارة دون أن يلاحظ أحد.
وقد ثبت أن رسالة واحدة ملوثة يمكن أن تؤدي إلى تسريب مفاتيح خاصة أو تنفيذ هجمات أخرى، وهو ما يفرض ضرورة تطوير أدوات حماية مخصصة للذكاء الاصطناعي.
### الحلول والتوصيات
الحظر الشامل غير فعال، فالأدوات الأفضل هو تزويد الموظفين بأدوات موثوقة ومعتمدة تقلل من رغبتهم في اللجوء إلى أدوات الظل. على سبيل المثال، أظهرت مؤسسة صحية أن استبدال الحظر بأدوات معتمدة أدى إلى انخفاض غير مسبوق في الاستخدام غير المصرح به بنسبة 89%.
كما ينبغي التعامل مع تفاعلات الذكاء الاصطناعي كأنها نقل بيانات، وتطبيق سياسات حماية البيانات (DLP) على المدخلات، وتصنيف المحتوى الذي لا ينبغي أن يدخل إلى نماذج خارجية. ويجب أن يكون هناك مراقبة دقيقة لاستخدام الأدوات، حيث تشير أبحاث BlackFog إلى أن 99% من المؤسسات لا تملك وسائل لقياس نشاط أدوات الظل.
أما بالنسبة للأدوات الوكيلية المستقلة، فلابد من وضع معايير صارمة للحماية، تشمل العزل (sandboxing)، وتقليل صلاحيات الوصول، والتدقيق المسبق لكل ملحق يتم إضافته. ويجب أن تتوفر أدوات مراقبة متخصصة لمواجهة تهديدات الذكاء الاصطناعي مثل حقن الأوامر، والتسلل عبر سلاسل التوريد، وتسرب البيانات من الذاكرة.
### بناء ثقافة أمنية تدعم الابتكار
لا يمكن حل المشكلة عبر الرقابة فقط، بل يجب أن تكون السياسات منظومة خدمة للموظفين وليست قيودًا عليهم. المؤسسات التي تتبنى هذا النهج ستكون في وضع قوي، بينما التي تتجاهل الأمر وتعتقد أنه مشكلة خارج نطاق مسؤوليتها، فهي تتعرض لخسائر مستمرة في البيانات، حيث تتسرب المعلومات بشكل مستمر عبر أدوات الذكاء الاصطناعي غير المراقبة.
هذه التحديات تتطلب وعيًا وتطوير استراتيجيات أمنية متقدمة، تواكب تطور أدوات الذكاء الاصطناعي، لضمان حماية البيانات والبقاء في صدارة التهديدات السيبرانية الجديدة.
المصدر: Latest from TechRadar
