حذرت الحكومة الأمريكية يوم الأربعاء من "تهديد نشط" يستهدف مؤسسات البنية التحتية الحرجة داخل الولايات المتحدة باستخدام سكربتات استغلال مولدة بالذكاء الاصطناعي.
النشاط يستهدف وحدات التحكم المنطقية القابلة للبرمجة PLC من سلسلة Siemens S7 بهدف الاستطلاع وتطوير القدرات، مع استخدام سكربتات مولدة بالذكاء الاصطناعي ومموهة على أنها أدوات مراقبة شرعية.
وبحسب التقييم الحكومي، فإن نطاق استهداف وحدات PLC لا يقتصر على أجهزة Siemens فقط، بل يبدو أوسع من ذلك.
"تعتمد الجهات المهاجمة على خدمات المسح عبر الإنترنت مثل Censys وZoomEye لتحديد وحدات PLC المكشوفة على الإنترنت والتي تعمل ببرمجيات قديمة أو تعاني من ضعف في الحماية."
التحذير صدر بشكل مشترك عن وكالة الأمن القومي NSA ووكالة الأمن السيبراني وأمن البنية التحتية CISA ومكتب التحقيقات الفيدرالي FBI ووزارة الطاقة DOE ووكالة حماية البيئة EPA.
#ما القطاعات المستهدفة
تشمل الأهداف قطاعات التصنيع الحرج والطاقة وأنظمة المياه ومياه الصرف والمواد الكيميائية والغذاء والزراعة والمنشآت التجارية.
حتى الآن لم تنسب الجهات الأمريكية النشاط إلى مجموعة تهديد أو جهة معروفة.
استغلال وحدات PLC ضعيفة الحماية قد يؤدي إلى تعطيل العمليات الصناعية الحرجة أو وقوع حوادث سلامة أو توقف الأنظمة أو تلف المعدات.
وقد يمتد التأثير إلى تسريب بيانات حساسة ومخالفات تنظيمية وتأثيرات متسلسلة على أنظمة مترابطة مع بعضها.
#موديلات Siemens المستهدفة
ركز النشاط المكتشف على مجموعة واسعة من وحدات Siemens S7 وتشمل:
- S7-200 Series بجميع إصدارات CPU
- S7-300 Series بجميع إصدارات CPU بما فيها 314 و315 و317
- S7-400 Series بجميع إصدارات CPU
- S7-1200 Series بإصدارات CPU 1211C و1212C و1214C و1215C و1217C
- S7-1500 Series بجميع إصدارات CPU بما فيها وحدات F-series الخاصة بالسلامة
وقالت الجهات الأمريكية إن المهاجمين يستخدمون الذكاء الاصطناعي لتوليد سكربتات استغلال بالاعتماد على معلومات عامة متاحة عن وحدات Siemens S7.
هذه السكربتات يمكن استخدامها للوصول الأولي وسرقة بيانات الاعتماد وتنفيذ هجمات حجب الخدمة وتحقيق أهداف هجومية أخرى.
المشكلة تصبح أكثر خطورة عندما تكون وحدات PLC مكشوفة مباشرة على الإنترنت أو موجودة داخل شبكات تفتقر إلى الفصل الأمني الكافي.
في هذه الحالة يمكن للمهاجمين استغلال ثغرات معروفة عالية وحرجة الخطورة في هذه الأجهزة.
#سكربت Python يتخفى كأداة مراقبة
من بين الأدوات التي رصدها الباحثون سكربت Python مخصص يعتمد على مكتبات أتمتة صناعية مفتوحة المصدر مثل snap7.dll وpython-snap7.
السكربت يحاكي أدوات المراقبة الشرعية ويمنح إمكانية القراءة والكتابة على ذاكرة PLC وبيانات الإعدادات وبرامج Ladder Logic من خلال بروتوكول S7comm.
وهنا تظهر المشكلة الأساسية.
المهاجم لم يعد مضطرا لبناء كل شيء من الصفر.
المعلومات العامة والمكتبات المفتوحة المصدر ونماذج الذكاء الاصطناعي أصبحت قادرة مجتمعة على تسريع بناء الأدوات الهجومية وتعديلها بشكل متكرر خلال وقت قصير.
#الذكاء الاصطناعي يخفض حاجز الدخول إلى هجمات ICS
استخدام الذكاء الاصطناعي لتوليد سكربتات الاستغلال وتطويرها بسرعة يمثل تطورا واضحا في القدرات الهجومية.
هذا لا يعني أن الذكاء الاصطناعي اخترع الثغرات أو بروتوكولات الهجوم من الصفر.
لكنه يقلل الوقت والخبرة التقنية المطلوبة لتحويل المعلومات المتاحة علنا إلى أدوات قابلة للاستخدام ضد بيئات التحكم الصناعي ICS.
والنتيجة هي أن مهاجما بقدرات أقل قد يصبح قادرا على تجربة عدد أكبر من الأساليب والوصول إلى مرحلة الاستغلال بشكل أسرع.
#ماذا تطلب الجهات الأمريكية من مشغلي OT
أوصت الجهات المشاركة في التحذير مشغلي أنظمة OT الذين يستخدمون Siemens S7 أو غيرها من وحدات PLC بعدد من الإجراءات الأساسية:
- تحديث الأجهزة إلى أحدث الإصدارات المتاحة
- عزل وحدات PLC عن الإنترنت كلما كان ذلك ممكنا
- تطبيق ضوابط وصول قوية
- تحسين الفصل الشبكي بين بيئات IT وOT
- مراقبة بيئات ICS بحثا عن أي نشاط غير طبيعي أو خبيث
- مراجعة الأجهزة المكشوفة على الإنترنت وإغلاق الوصول غير الضروري إليها
وبحسب التحذير، فإن اجتماع الثغرات المعروفة مع مكتبات الاستغلال المتاحة وقدرات التطوير المدعومة بالذكاء الاصطناعي يخلق سيناريو هجوم عالي الاحتمالية ضد وحدات PLC غير المحمية بشكل كاف.
هجوم متعدد الوكلاء يستهدف تايوان
يأتي هذا التطور في وقت تتوسع فيه الجهات المهاجمة في استخدام الذكاء الاصطناعي لتنفيذ عمليات سيبرانية أكثر استقلالية.
وفي تقرير نشرته شركة الأمن السيبراني الإسرائيلية Dream، تم الكشف عن هجوم شبه ذاتي استهدف جهات حكومية في آسيا.
التقرير لم يذكر اسم الدولة المستهدفة بشكل مباشر.
لكن Financial Times وReuters ذكرتا أن الهدف كان تايوان.
وقالت وزارة الشؤون الرقمية التايوانية إن التحقيق أظهر مؤشرات واضحة على أن الهجمات جاءت من خارج البلاد.
كما اعتمد المهاجمون على نهج هجين جمع بين العمليات التقليدية ووكلاء ذكاء اصطناعي مثل OpenClaw.
#12 موجة هجومية خلال أربعة أيام
النشاط تم رصده بين 1 و4 يوليو 2026 ضمن 12 موجة هجومية.
وبحسب التقرير، يرجح أن العملية نُفذت بواسطة جهة تستخدم اللغة الصينية.
الإطار الهجومي اعتمد على Hermes وOpenClaw لتشغيل ما يصل إلى ثمانية وكلاء فرعيين بالتوازي.
كل وكيل كان مسؤولا عن سطح هجوم مختلف.
- A لاستغلال SSO وهجمات بيانات الاعتماد
- B لاختبار تجاوز JWT وتنفيذ هجمات CAPTCHA brute-force
- C للاستطلاع عبر عدة بوابات حكومية
- D لمسح واجهات API ومحاولة تجاوز لوحات الإدارة
- E للبحث عن CVEs واختبار سلاسل الثغرات
- F لتقييم أهداف سلسلة التوريد
- I لتنفيذ Password Spraying مع تجاوز CAPTCHA باستخدام Tesseract OCR
- Q لتنفيذ استغلال عميق لنقاط API
#من الاستطلاع إلى اختراق الحسابات
في مرحلة الوصول الأولي، اكتشف الإطار نقاط API مخفية كانت تعيد جلسة مصادقة صالحة بغض النظر عن محتوى الطلب.
تم استخدام هذه النقاط لاحقا لجمع أسماء موظفين حكوميين.
بعد ذلك استُخدمت الأسماء في هجمات Password Spraying ضد إحدى البوابات الحكومية.
وبحسب التقرير، نجح المهاجم في اختراق 85 حسابا.
#أكثر من 2500 سجل وبيانات اعتماد حساسة
أتاح الاختراق للمهاجمين الوصول إلى أكثر من 2,564 سجل موظف.
كما تم الحصول على قاعدة بيانات تضم مستخدمي أنظمة الإدارات المختلفة.
وشملت البيانات المسربة أيضا سبعة أسرار لعملاء SSO وست بيانات اعتماد لقواعد بيانات داخلية تعمل على MSSQL وOracle وSybase.
إضافة إلى ذلك، حصل المهاجمون على نطاقات عناوين IP داخلية.
لكن الهجوم لم يتوقف عند الأهداف الحكومية الأساسية.
بحسب Dream، توسعت العملية إلى موردي تقنية معلومات حكوميين ووكالة للسلامة النووية ونظام بريد حكومي وأكثر من سبع شركات في قطاع الطاقة.
وتم فحص هذه الجهات بالتوازي بحثا عن إعدادات خاطئة وواجهات إدارة مكشوفة وثغرات قابلة للاستغلال.
#إطار يتعلم أثناء الهجوم
الإطار تضمن أيضا محركا للتعلم يبحث في قواعد بيانات الثغرات ومستودعات GitHub وأبحاث الأمن السيبراني.
الهدف هو العثور على تقنيات يمكن تعديلها وتكييفها مع بنية الهدف أثناء استمرار العملية.
وخلال نحو أربعة أيام، أنتج المهاجم 1,395 ملفا واخترق 85 حسابا وسحب آلاف سجلات الموظفين وحصل على موطئ قدم مستمر داخل بنية حكومية.
الفكرة التي تبرز هنا ليست أن الذكاء الاصطناعي جعل الهجمات سحرية.
بل أن تكلفة تنفيذ هجوم منظم وسريع أصبحت أقل بكثير.
وفي المقابل، تكلفة الدفاع عن البيئات الحساسة لم تنخفض بنفس السرعة.
