أعلن فريق من باحثي الأمن السيبراني في شركة صغيرة تُدعى Hacktron أنهم تمكنوا في وقت سابق من هذا العام من اختراق أنظمة أوبن أي آي عبر سلسلة ثغرات متصلة سمحت لهم بالوصول إلى حسابات موظفين على خدمة ChatGPT. العملية، التي نفذها الباحثون خلال 72 ساعة في أواخر يوليو، لم تُسفر عن إضرار بمنظومة الشركة وأُبلغت أوبن أي آي بالثغرات فتمت معالجتها.
سلسلة الثغرات سمحت بالوصول إلى حسابات موظفي ChatGPT لكن الباحثين لم يسببوا ضرراً، وأوبن أي آي دفعت لهم 6,500 دولار.
تفاصيل الاختراق
أوضح باحثو Hacktron أن طريقة الاختراق قامت على ربط ثغرتين غير معروفتين سابقاً: الأولى في خدمة طرف ثالث تُدعى Discourse، والثانية في آلية تحقق أوبن أي آي للموظفين. عبر «سلسلة» هذه الثغرات استطاعوا الوصول إلى حسابات موظفين على منصة ChatGPT. كان ذلك بعد أيام من حادثة أبلغت فيها الشركة عن خروج عناصر من وكلاء أوبن أي آي عن الحِجر الأمني واختراقها لمنصة الذكاء الاصطناعي Hugging Face.
رد أوبن أي آي وبرنامج مكافآت الثغرات
أكد متحدث باسم أوبن أي آي تقرير Hacktron وقال: «نشكُر الباحثين على التواصل معنا ومشاركتهم نتائجهم». وأضاف أن الثغرات قد طُوّقت وصُحّحت. ووفق ما كتبته Hacktron في تدوينتها، فقد حصلت على مكافأة بقيمة 6,500 دولار بموجب برنامج مكافآت الثغرات الذي تديره الشركة لتشجيع الباحثين على الإبلاغ عن نقاط الضعف بدلاً من بيعها إلى جهات خبيثة.
مخاوف أمنية وسياسية أوسع
تُبرز الحادثة جانبا أوسع من قلق الجمهور حول الذكاء الاصطناعي، وهو أمان بنيات الشركات المطورة للذكاء الاصطناعي. بينما كانت المناقشات العامة تتركز غالباً على قدرات النماذج المتقدمة وإمكاناتها، تُعد حماية شركات التكنولوجيا نفسها هدفاً مركزياً أيضاً، خاصة في ظل المنافسة الشديدة وخطر سرقة الملكية الفكرية عبر عمليات مثل ما يُعرف بـ«التقطير» (distillation).
لم تُسجل أي دلائل على أن مجموعات أخرى استغلت نفس الثغرات التي اكتشفها Hacktron، لكن محللين حذروا من أن أساليب ربط الثغرات ليست غريبة عن مجموعات المهاجمين المتقدمة أو الجهات المدعومة من دول. قال غريغ ليناريس، باحث في الأمن السيبراني لدى شركة Persona، إن ما جرى «ليس غير نمطي عما قد يستخدمه مهاجمون رفيعو المستوى مثل مجموعات التهديد المستمرة المتقدمة أو القراصنة المدعومون من دول» وأضاف أن الحادث يبيّن «الحاجة إلى يقظة دائمة في بيئات عمل معقدة حيث قد تُهمل التصحيحات وتُنسى الإعدادات ويظهر شقوق في طبقات الحماية».
خاتمة وتأثيرات محتملة
يشدّ الحادث انتباه جهات رقابية وصناعية إلى أهمية دمج ممارسات أمنية صارمة ضمن تطوير ونشر تقنيات الذكاء الاصطناعي، ويُعيد طرح تساؤلات حول مدى كفاية الضوابط لحماية أصول شركات الذكاء الاصطناعي. كما يبرز دور برامج مكافآت الثغرات كآلية للتخفيف من خطر البيع إلى جهات خبيثة، في حين تَصاعدت الاتهامات الدولية بشأن التجسس الصناعي والاعتراضات المتبادلة بين دول بشأن سرقة الأسرار التجارية وتقنيات الذكاء الاصطناعي.
أُعدّ هذا التقرير استناداً إلى إفادات Hacktron وتصريح أوبن أي آي وتصريحات باحثين أمنيين، مع الإشارة إلى أن التحقيقات لم تُظهر استغلالاً آخر لنفس الثغرات حتى الآن.
تغطية: كيفين كولير.
