بدافزارهای هوش مصنوعی؛ فقط ۳ درصد در دنیای واقعی دیده شده‌اند

پژوهش جدید Unit 42 نشان می‌دهد با وجود افزایش نمونه‌های بدافزار مرتبط با هوش مصنوعی، بخش عمده این تهدیدها هنوز از آزمایشگاه فراتر نرفته‌اند. از میان ۴۰۵ نمونه بررسی‌شده، تنها ۱۲ نمونه در محیط‌های واقعی مشاهده شده‌اند؛ یعنی حدود ۹۷ درصد نمونه‌ها تاکنون در محیط‌های عملیاتی دیده نشده‌اند.

وقتی هوش مصنوعی وارد دنیای بدافزارها می‌شود

هوش مصنوعی هم دنیای امنیت و هم دنیای تهدیدهای سایبری را متحول کرده است. این فناوری از یک سو به متخصصان امنیت سایبری در شناسایی و مقابله با تهدیدها کمک کرده و از سوی دیگر، مهاجمان را در شناسایی اهداف و توسعه بدافزارهای جدید توانمندتر کرده است.

بدافزارهای مجهز به هوش مصنوعی یکی از همین تهدیدها در دنیای امنیت سایبری هستند. در بخشی از عملکرد، فرایند انتشار و حمله یا سازوکار این بدافزارها، هوش مصنوعی یا مدل‌های آن نقش دارند. به عبارت دیگر، یک بدافزار ممکن است از یک مدل زبانی بزرگ برای تصمیم‌گیری، تولید یا تغییر کد، اجرای دستورات، شناسایی محیط قربانی و... استفاده کند.

هرچند هوش مصنوعی یا مدل‌های آن می‌توانند در نوشتن یا توسعه بدافزارها و حملات نقش‌آفرینی کنند، یافته‌های جدید Unit 42 نشان می‌دهد که فاصله قابل‌توجهی میان حجم نمونه‌های بدافزار مجهز به هوش مصنوعی در محیط‌های تحقیقاتی و حضور واقعی آن‌ها در محیط‌های عملیاتی وجود دارد.

واحد تحقیق و اطلاعات تهدیدات سایبری شرکت Unit 42 برای بررسی وضعیت بدافزارهای مجهز به هوش مصنوعی، ۴۰۵ نمونه بدافزار را از گزارش‌های تحلیلی WildFire، داده‌های VirusTotal Intelligence و پژوهش‌های OSINT منتشرشده جمع‌آوری کرده است.

۴۰۵ بدافزار؛ از باج‌افزار تا مدل‌های زبانی بزرگ

دامنه بدافزارهای مجهز به هوش مصنوعی در گزارش Unit 42 بسیار گسترده است. پژوهشگران این شرکت هر بدافزاری را که هوش مصنوعی در یکی از بخش‌های عملکرد، شیوه تحویل، برندسازی یا نام‌گذاری آن نقش داشته است، وارد این مجموعه کرده‌اند.

با این اوصاف، همه ۴۰۵ نمونه مورد بررسی در گزارش Unit 42 لزوماً بدافزارهایی نیستند که از یک مدل هوش مصنوعی برای عملکرد خود استفاده می‌کنند.

با این حال، گزارش Unit 42 از وضعیت بدافزارهای مجهز به هوش مصنوعی، ترکیبی از نمونه‌های بدافزار با کاربردها و ویژگی‌های مختلف همچون باج‌افزار، بدافزار درِ پشتی، بدافزار استخراج رمزارز و بدافزارهای مرتبط با مدل‌های زبانی بزرگ را شامل می‌شود.

بر همین اساس، پژوهشگران برای ارزیابی فعالیت بدافزارهای مجهز به هوش مصنوعی در محیط واقعی، داده‌های مربوط به نقاط پایانی، ترافیک شبکه WildFire و هشدارهای Cortex XDR را بررسی کرده‌اند. نتیجه بررسی ۴۰۵ نمونه بدافزار مجهز به هوش مصنوعی نشان می‌دهد حدود ۹۷ درصد نمونه‌های بررسی‌شده تاکنون در محیط‌های عملیاتی مشاهده نشده‌اند.

ردپای کمرنگ بدافزارهای AI در ترافیک شبکه

در مرحله نخست بررسی نمونه‌های بدافزارهای مجهز به هوش مصنوعی، اطلاعات مربوط به دستگاه‌هایی که تحت پوشش سامانه امنیتی Cortex XDR قرار داشتند، بررسی شد تا مشخص شود کدام‌یک از ۴۰۵ نمونه در دستگاه‌های واقعی مشاهده شده‌اند.

این بررسی در بازه زمانی دسامبر ۲۰۲۴ تا ژوئن ۲۰۲۵ انجام شد و نشان داد تنها ۱۲ نمونه، معادل حدود ۳ درصد، در این محیط‌ها دیده شده‌اند.

در مرحله بعد، پژوهشگران ترافیک شبکه و داده‌های سامانه WildFire را بررسی کردند. این داده‌ها مربوط به نمونه‌هایی بودند که از طریق تجهیزات امنیتی شبکه یا Cortex XDR برای تحلیل بیشتر به WildFire ارسال شده بودند.

بررسی داده‌های مربوط به ژوئن ۲۰۲۴ تا ژوئن ۲۰۲۵ نشان داد حدود ۱۵ تا ۲۰ نمونه منحصربه‌فرد در این بخش مشاهده شده‌اند که معادل حدود ۴ درصد از کل نمونه‌های بررسی‌شده است.

پژوهشگران همچنین هشدارهای امنیتی ثبت‌شده توسط Cortex XDR را بررسی کردند تا مشخص شود آیا نمونه‌های مورد مطالعه توانسته‌اند در دستگاه‌های واقعی فعالیت کنند و سامانه‌های امنیتی را با یک تهدید مواجه کنند یا خیر.

بر اساس یافته‌های Unit 42، تمام نمونه‌هایی که تلاش کردند وارد محیط مشتریان شوند، توسط محصولات امنیتی Palo Alto Networks شناسایی و مسدود شدند.

تهدیدی واقعی که هنوز فراگیر نشده است

در مجموع، این بررسی نشان می‌دهد بخش عمده نمونه‌های مرتبط با بدافزارهای هوش مصنوعی که در مخازن عمومی و محیط‌های آزمایشی مشاهده می‌شوند، دست‌کم در داده‌های مورد بررسی Unit 42، هنوز در محیط‌های عملیاتی مشاهده نشده‌اند.

به همین دلیل، پژوهشگران میان حجم نمونه‌های موجود در محیط‌های تحقیقاتی و میزان فعالیت واقعی آن‌ها در حملات سایبری تفاوت قابل‌توجهی قائل شده‌اند.

با این اوصاف، هرچند بدافزارهای مرتبط با هوش مصنوعی دیگر صرفاً یک مفهوم آزمایشگاهی نیستند و نمونه‌هایی از آن‌ها در محیط‌های واقعی مشاهده شده‌اند، فاصله قابل‌توجهی میان حجم نمونه‌های شناسایی‌شده در منابع تحقیقاتی و میزان حضور واقعی آن‌ها در حملات سایبری وجود دارد.

البته، این موضوع به معنای بی‌اهمیت‌بودن تهدید بدافزارهای مجهز به هوش مصنوعی نیست، بلکه بیانگر آن است که این حوزه هنوز در مرحله‌ای قرار دارد که بخش قابل‌توجهی از فعالیت‌ها به نمونه‌های آزمایشی، اثبات مفهوم و آزمایش‌های امنیتی محدود می‌شود.