وثقت مجموعة سيسكو تالوس للأمن السيبراني ظهور برمجية فولتا أوتودوكسر الخبيثة، التي تدمج تقنيات سرقة بيانات الاعتماد والعملات الرقمية مع نماذج الذكاء الاصطناعي التوليدي لتقييم الضحايا وتحديد أولويات الاستهداف المالي.
- اكتشاف برمجية فولتا أوتودوكسر وآلية جمع البيانات المسروقة
- توظيف النماذج اللغوية عبر أوبن راوتر كمحلل استخباراتي للمهاجمين
- حدود الأدلة التقنية المتاحة وتداعيات الاكتشاف على الدفاع السيبراني
- أسئلة شائعة
اكتشاف برمجية فولتا أوتودوكسر وآلية جمع البيانات المسروقة
كشفت مجموعة «سيسكو تالوس» المتخصصة في أبحاث التهديدات والأمن السيبراني يوم 31 أكتوبر 2026 في الساعة 08:00 صباحاً عن تفاصيل برنامج خبيث لسرقة المعلومات يعمل على نظام التشغيل «ويندوز» ويحمل اسم «فولتا أوتودوكسر»، ويتميز باستخدامه للنماذج اللغوية الكبيرة لتحليل المعلومات وتصنيفها بعد أن تقوم مكونات البرمجيات الخبيثة التقليدية بجمعها من الأجهزة المخترقة. وبالتزامن مع نشر البحث التقني الأصلي، نشرت مجلة «وايرد» تغطية صحفية مستقلة استندت إلى هذه النتائج البحثية.
ويتعلق البحث المنشور حديثاً بعينة برمجية خبيثة جرى رصدها وتحليلها مخبرياً، وليس بتفشٍ إجرامي واسع النطاق ومؤكد على أرض الواقع؛ حيث صرح الباحث في مجموعة «سيسكو تالوس» ريان فيترمان لمجلة «وايرد» بأن المؤسسة لم تتثبت بعد مما إذا كانت هذه العينة البرمجية تُستخدم فعلياً ضد ضحايا حقيقيين في الفضاء الرقمي المفتوح.
ولا تعتمد الوظائف الهجومية الأولية لبرمجية «فولتا» بصورة غير معتادة على تقنيات الذكاء الاصطناعي التوليدي؛ إذ عثر الباحثون داخل الشيفرة البرمجية على آليات تقليدية مصممة للاستحواذ على بيانات اعتماد متصفحات الإنترنت، وملفات تعريف ارتباط الجلسات، ورموز مصادقة «أو أوث»، والأسرار والمفاتيح المرتبطة بمحافظ العملات الرقمية المشفرة، فضلاً عن استخلاص معلومات من خدمات المراسلة والاتصالات ومنصات الألعاب الإلكترونية. وفي بعض الإعدادات البرمجية، يستطيع البرنامج جمع بيانات تتيح للمهاجم بناء ملف شخصي متكامل عن الضحية.
توظيف النماذج اللغوية عبر أوبن راوتر كمحلل استخباراتي للمهاجمين
يكمن العنصر المبتكر في هذه البرمجية الخبيثة في مرحلة التصنيف والتقييم اللاحقة لعملية السرقة؛ حيث يجري تجهيز المواد والبيانات المجمعة وتمريرها إلى نموذج لغوي كبير يتولى ترتيب وتصنيف المعلومات لتحديد أي منها يحمل القيمة المالية أو التشغيلية الأعلى بالنسبة للمهاجم السيبراني. وقد رصد باحثو «سيسكو تالوس» استدعاءات برمجية تمر عبر منصة «أوبن راوتر»، وهي خدمة وسيطة تدعم توجيه الطلبات إلى مزودي نماذج ذكاء اصطناعي مختلفين.
وحددت إعدادات التكوين الخاصة بالبرمجية الخبيثة نموذج «كلود أوبوس 4.6» التابع لشركة «أنثروبيك» بوصفه النموذج الافتراضي للتحليل، مع تضمين مسارات بديلة للنماذج تشمل كلاً من نموذج «مون شوت كيمي كي 2» ونموذج «جيميناي 2.5 فلاش» التابع لشركة «غوغل». وفسر الباحثون وجود هذه المسارات الاحتياطية بأنه محاولة لضمان استمرار عمل البرمجية الخبيثة في حال رفض أحد النماذج تلبية الطلب بسبب ضوابط الأمان. ومن المهم التأكيد على أن مجرد وجود أسماء نماذج تجارية مشروعة داخل شيفرة خبيثة لا يثبت بأي حال أن الشركات المطورة لتلك النماذج قد تعاونت مع المهاجمين.
ويشبه المخرج النهائي المستهدف من البرنامج تقييماً استخباراتياً منظماً للأهداف، وهو ما يختلف جوهرياً عن الاستخدامات السابقة للذكاء الاصطناعي التوليدي التي كانت تقتصر على صياغة رسائل التصيد الاحتيالي عبر البريد الإلكتروني؛ إذ يعمل النموذج اللغوي هنا بدور محلل معلومات بعد أن تكون المكونات البرمجية الأخرى قد جمعت السجلات المسروقة بالفعل. كما وصف الباحثون سلوك الحذف الذاتي للبرمجية وغياب بنية تحتية مخصصة خاضعة لسيطرة المهاجمين في الشيفرة التي جرى فحصها.
حدود الأدلة التقنية المتاحة وتداعيات الاكتشاف على الدفاع السيبراني
تخضع الأدلة التقنية المتاحة في هذا التقرير لحدود منهجية مهمة؛ إذ يمكن لتحليل عينة برمجية أن يكشف عن السلوك المقصود والقدرات المحتملة للبرنامج دون أن يُظهر عدد المرات التي جرى فيها نشر تلك الشيفرة بنجاح في هجمات فعلية. ولم يسجل التقرير أي إجمالي موثق لعدد الضحايا، أو عائدات مالية إجرامية مؤكدة، أو أدلة تثبت وجود حملة هجومية مكتملة على أرض الواقع، كما أنه من غير الدقيق استنتاج أن أياً من النماذج المذكورة قد بدأ الهجوم من تلقاء نفسه.
وتنبع أهمية هذا الكشف من أن مجرمي الإنترنت قد يلجأون إلى خدمات الذكاء الاصطناعي للأغراض العامة لتنظيم كميات ضخمة من البيانات المخترقة، مما يقلص العمل اليدوي اللازم لتحديد أولويات الضحايا واستهدافهم. ويسلط هذا التطور الضوء على المخاطر الجسيمة المرتبطة بانكشاف بيانات الاعتماد ورموز الجلسات، وليس مجرد الرسائل النصية المولدة بالذكاء الاصطناعي.
وتتمثل الخطوات المقبلة في رصد أي إصابات فعلية بصورة مستقلة،ونسبة البرمجية إلى مشغل محدد، ومعرفة ما إذا كان بإمكان مزودي النماذج اكتشاف هذا الاستغلال الخبيث على نطاق واسع، علماً أن مؤشرات الاختراق والإرشادات الدفاعية التي نشرتها «تالوس» تعد خيوطاً تقنية مفيدة ولكنها ليست دليلاً على تفشٍ واسع النطاق.
أسئلة شائعة
السؤال: ما هي الوظيفة الجديدة التي تؤديها برمجية فولتا أوتودوكسر باستخدام الذكاء الاصطناعي؟
الإجابة: بعد سرقة كلمات المرور وملفات تعريف الارتباط ومحافظ العملات الرقمية بالطرق التقليدية، تمرر البرمجية هذه البيانات إلى نموذج لغوي كبير ليقوم بتحليلها وترتيب الضحايا حسب أهميتهم المالية أو التشغيلية للمهاجم.
السؤال: ما هي النماذج اللغوية التي تحاول برمجية فولتا استخدامها عبر منصة أوبن راوتر؟
الإجابة: تعتمد البرمجية نموذج كلود أوبوس 4.6 من أنثروبيك كخيار افتراضي، وتستخدم مسارات بديلة تشمل مون شوت كيمي كي 2 وغوغل جيميناي 2.5 فلاش لتجاوز أي رفض محتمل من النماذج.
السؤال: هل ثبت استخدام برمجية فولتا أوتودوكسر في هجمات واسعة النطاق ضد ضحايا حقيقيين؟
الإجابة: لا، فقد أوضح باحثو سيسكو تالوس أن التحليل أجري على عينة برمجية مرصودة، ولم يثبت حتى الآن وجود حملة هجومية واسعة أو عدد موثق للضحايا في الواقع.
السؤال: لماذا يعد هذا التطور مهماً لفرق الأمن السيبراني؟
الإجابة: لأنه يظهر انتقال المهاجمين من مجرد استخدام الذكاء الاصطناعي لكتابة رسائل التصيد إلى توظيفه كمحلل بيانات آلي لفرز الغنائم الرقمية وتحديد الأهداف عالية القيمة بسرعة.
