المحتويات
المقدمة
في بداية 2024، انضم موظف مالية في شركة الهندسة Arup إلى مكالمة فيديو مع المدير المالي للشركة وعدد من الزملاء. كانت الوجوه والأصوات مقنعة. وبعد المكالمة، أجرى الموظف 15 تحويلًا بقيمة تقارب US$25 million. وكان كل من في المكالمة غيره تزييفًا عميقًا.
قالت Arup لاحقًا إن أيًا من أنظمتها الداخلية لم يُخترق. لم تكن هناك برمجية خبيثة لكشفها ولا ثغرة لإصلاحها. فقد تجاوز المهاجمون منظومة الأمن كلها بأدوات تزداد رخصًا.
ستتعرض للاختراق. تكررت عبارة “المسألة متى وليست هل” في مؤتمرات كثيرة حتى فقدت معناها، وما زالت معظم المؤسسات تضع ميزانياتها وتقاريرها ووعودها كأنها خاطئة. يتناول هذا المقال ما يتغير عندما تأخذ هذه العبارة بجدية.
ليس الهدف إثارة الذعر أو الدعوة إلى الاستسلام. تعامل معها كفرضية تخطيط، كما يفترض المهندس الذي يصمم جسرًا أن زلزالًا سيقع في النهاية. قد يحالف الحظ بعض الشركات، لكن لا يمكنك التخطيط على أساس الحظ.
لماذا لا يوجد أمن بنسبة 100%
يتطلب الضمان أن يصمد كل ضابط وكل شخص وكل مورد وكل سطر كود تعتمد عليه في الوقت نفسه وكل يوم. ويكفي المهاجم أن يفشل أحدها مرة واحدة. وتوضح الأرقام الحديثة قلة ما يقع من ذلك تحت سيطرتك.
- قد يسبق الاستغلال التحديث. يقدّر تقرير M-Trends 2026 من Mandiant متوسط وقت الاستغلال بسالب سبعة أيام، أي إن الاستغلال يبدأ عادةً قبل صدور الإصلاح. ولا يستطيع حتى برنامج تحديث مثالي إغلاق هذه النافذة.
- دفاعاتك أهداف أيضًا. رصدت Google Threat Intelligence Group عدد 90 ثغرة zero-day مستغلة في 2025. أصاب رقم قياسي بلغ 43 منها تقنيات المؤسسات، و21 منها في منتجات الأمن والشبكات، أي الأشياء التي تُشترى لإبقاء المهاجمين في الخارج.
- يشمل محيطك أخطاء الآخرين. وجد تقرير Verizon DBIR لعام 2026 أن أطرافًا ثالثة شاركت في نحو نصف الاختراقات، بزيادة 60% خلال عام.
- الأشخاص ضمن النطاق. في بيانات Mandiant، أصبح التصيد الصوتي ثاني أكثر طرق الدخول شيوعًا بنسبة 11% من الاختراقات، متقدمًا على التصيد بالبريد بنسبة 6%. فقد أُقنع شخص عبر الهاتف، ولا يوجد تحديث يصلح ذلك.
لا يتطلب شيء من هذا إهمال أحد. فالبرنامج الجيد يبقى فيه خطر متبقٍ، ومن يعدك بغير ذلك يحاول بيعك شيئًا.
ما تعلمته صناعة الخزائن منذ زمن
حاول شراء خزنة لا يمكن كسرها. لن يبيعك أي مصنع جاد واحدة، لأنهم يبيعون الوقت. فوفق معيار UL 687، يعني تصنيف TL-30 أن الباب صمد أمام مهاجمين ماهرين بأدواتهما لمدة 30 دقيقة من العمل. ويعترف الملصق صراحة بأن الخزنة ستُفتح إذا توفر الوقت الكافي.
لذلك يطرح المشتري سؤالًا أفضل من “هل يمكن كسرها؟”. إنه يسأل هل سيرن الإنذار وهل سيصل الحراس قبل انتهاء الدقائق الثلاثين. وقد نقل Winn Schwartau الفكرة نفسها إلى أمن المعلومات في كتابه Time Based Security الصادر عام 1999: يجب أن يتجاوز وقت الحماية وقت الكشف مضافًا إليه وقت الاستجابة. فلا يفيد الضابط إلا إذا استطاع فريقك الاستجابة وهو ما زال صامدًا.
طبق هذه المعادلة على أرقامك. يضع Mandiant متوسط مدة بقاء المهاجم عالميًا عند 14 يومًا، و122 يومًا في حالات التجسس. وفي الوقت نفسه، انخفض متوسط الفترة بين الوصول الأولي والتسليم إلى جماعة ثانية من أكثر من ثماني ساعات في 2022 إلى 22 ثانية في 2025. فإذا صمدت ضوابطك أسبوعًا ولم ينظر أحد لمدة شهر، فلا تهم قوتها كثيرًا.
الأمن ثمن، وأنت تساعد في تحديده
كل اختراق مشروع له ميزانية، حتى لو كانت صغيرة. يدفع المهاجم من وقته وجهده وموارده وخبرته، ويقبل أيضًا خطر كشفه قبل أن يقبض.
| التكلفة | ما ينفقه المهاجم | ما يرفع الثمن |
|---|---|---|
| الوقت | الأيام بين البدء والقبض | التحديث السريع، والجلسات وبيانات الاعتماد قصيرة العمر، والاحتواء السريع |
| الجهد | الخطوات وإعادة المحاولة والمحاولات الفاشلة | MFA المقاوم للتصيد، والتقسيم، وأقل الصلاحيات، لتحتاج كل خطوة إلى حيلة جديدة |
| الموارد | المال للأدوات والبنية التحتية والوصول المشترى وعمليات الاستغلال | إغلاق مسارات الهجوم الشائعة، فلا يمر إلا ما كان بأدوات مخصصة أو وصول مدفوع |
| الخبرة | المهارات النادرة ومن يملكونها | إزالة الطرق السهلة، فلا يصل المشغل قليل المهارة بعيدًا |
| الانكشاف | احتمال الكشف قبل القبض | تغطية EDR، والتسجيل المركزي، وبيانات اعتماد مضللة، وقواعد كشف مختبرة |
ينجح ذلك لأن جزءًا كبيرًا من التهديد عمل تجاري. فلدى جماعات الفدية شركاء وحصص إيرادات وعائد استثمار تفكر فيه. وعندما تكلفهم أكثر مما يُرجَّح أن تدفع، تنتقل الجماعة العقلانية إلى الاسم التالي في القائمة.
لهذا النموذج حدان يجب أن يوضحهما مسؤول أمن المعلومات. أولًا، تحرك الجهات الحكومية مهمة لا ربح. فإذا كنت تملك ما تريده، فلن يجعلها الثمن الأعلى تغادر، لكنه سيبطئها ويسهل كشفها، مما يمنح فريقك وقتًا للتصرف. ثانيًا، يفقد الضابط قيمته بمرور الوقت. فقد يزيل تجاوز جديد أو CVE جديدة أو أداة أرخص هذه القيمة بين ليلة وضحاها، لذا راجع الثمن بانتظام، حتى خارج فترات التدقيق.
مستويات التهديد، من شبه المجاني إلى الدول
تصبح التهديدات أوضح عند ترتيبها حسب تكلفتها على المهاجم. الجدول أدناه نموذج مبسط، فاقرأ التكاليف كأرقام تقريبية من السوق. ويختلف ترتيب المستويات الوسطى من حالة إلى أخرى.
| المستوى | من يستخدمه | ما يكلفه | ما يرفع الثمن |
|---|---|---|---|
| 1. الفحص الواسع لثغرات CVE المعروفة | شبكات البوتات، والجماعات قليلة المهارة، ووسطاء الوصول | شبه لا شيء: استغلال عام وخادم مستأجر | سطح مكشوف صغير، وإصلاح الثغرات المستغلة خلال أيام |
| 2. التخمين على المنافذ الافتراضية | شبكات البوتات والمهاجمون الانتهازيون | شبه لا شيء: قوائم كلمات وكلمات مرور مسربة | لا منافذ إدارة على الإنترنت، وبيانات اعتماد فريدة، وMFA قوي |
| 3. التصيد الواسع وinfostealers | عملاء أدوات التصيد ومشترو السجلات المسروقة | منخفضة: اشتراك في أداة أو حزمة بيانات دخول مسروقة | Passkeys، وتصفية البريد، وأجهزة مُدارة، وضوابط الجلسات |
| 4. الوصول المشترى | شركاء الفدية | غالبًا من مئات إلى آلاف الدولارات لموطئ قدم | مراقبة بيانات الاعتماد، والتقسيم، وEDR، ونسخ احتياطية غير قابلة للتعديل |
| 5. التصيد الصوتي الموجه | جماعات منظمة بمتصلين مدربين | أيام من البحث وشخص مقنع واحد | فحوص هوية صارمة لكل إعادة تعيين وتغيير MFA |
| 6. الصوت والفيديو بالتزييف العميق | جماعات الاحتيال وبعض الجهات الحكومية | منخفضة ومتراجعة: لقطات عامة وأدوات متاحة | قواعد معاودة الاتصال وموافقة مزدوجة لا يتجاوزها أي وجه |
| 7. الهندسة الاجتماعية في الموقع والمتواطئون الداخليون | جماعات جيدة التمويل وأجهزة استخبارات | السفر والرشاوى وخطر حقيقي بالاعتقال | ضبط الزوار، والتحكم في الوصول إلى الشبكة، وثقافة الإبلاغ |
| 8. اختراق سلسلة التوريد | جماعات ماهرة وغنية بالموارد | أشهر أو سنوات من العمل المستمر | وصول محدود للموردين، وضبط الخروج، ومراقبة السلوك |
| 9. ثغرات zero-day وحملات APT | الجهات الحكومية ومورّدو المراقبة التجاريون | حتى ملايين لكل استغلال، إضافة إلى فرق مخصصة | كشف السلوك، ونطاق أثر صغير، واحتواء مدرَّب عليه |
المستويات 1 إلى 3: هجمات خلفية مستمرة
لم يخترك أحد في هذا المستوى. ظهر عنوان IP الخاص بك، أو كانت كلمة مرور موظفك في سجل مسروق، أو كان نطاقك في قائمة. لا تتوقف هذه الهجمات أبدًا وليست شخصية، وسيُختبر كل ما هو مكشوف.
يسهل الاستهانة بهذه الهجمات، لكن الأرقام سيئة. يوضح DBIR لعام 2026 أن استغلال الثغرات تجاوز بيانات الاعتماد المسروقة كطريق الدخول الأول لأول مرة في تاريخ التقرير، بنسبة 31% من الاختراقات. ولم تُصلح بالكامل سوى 26% من الثغرات في قائمة CISA للثغرات المستغلة، وارتفع متوسط وقت التحديث إلى 43 يومًا. في هذا المستوى لم ينفق المهاجم شيئًا تقريبًا، مما يجعل الاختراق هنا الأصعب تفسيرًا.
المستويات 4 إلى 6: الوصول المشترى والهجمات على الأشخاص
هنا يبدأ المهاجم الإنفاق عليك تحديدًا، وإن لم يكن كثيرًا غالبًا. وجدت Rapid7 أن متوسط عروض وسطاء الوصول بلغ نحو $2,700 في النصف الثاني من 2024، وكان نحو 40% منها بين $500 و$1,000. وبلغ المتوسط أعلى بكثير في عينتها اللاحقة بسبب أسعار مرتفعة جدًا في منتدى واحد، فتعامل مع هذه الأرقام كمؤشرات تقريبية لأن الأسعار تتغير. وفي كل الأحوال، سعر الدخول صغير مقارنة بطلب الفدية.
تُظهر MGM Resorts مقدار الضرر الذي قد يسببه إنفاق صغير. أفاد باحثون بأن هجومها عام 2023، المنسوب على نطاق واسع إلى Scattered Spider، بدأ بمكالمة إلى مكتب دعم تقنية المعلومات، مع أن MGM لم تؤكد طريقة دخول المهاجمين. وقدّر إفصاحها لدى SEC أثرًا بنحو $100 million على الأرباح المعدلة. وتتبع Arup النمط نفسه: عملية وثقت بما يراه الناس ويسمعونه، فزيّف المهاجمون ذلك تحديدًا.
المستوى 7: عندما يأتي المهاجم بنفسه
عندما تصبح المسارات البعيدة مكلفة جدًا، يقترب بعض المهاجمين. في 2020، سافر Egor Kriuchkov إلى نيفادا لتجنيد موظف في مصنع Gigafactory التابع لـ Tesla قرب رينو، وعرض مبلغًا قدّره القاضي بـ $500,000 وذكرت تقارير سابقة أنه $1 million، لزرع برمجية خبيثة في شبكة الشركة. أبلغ الموظف عن العرض وتعاون مع FBI، فاعتُقل Kriuchkov وأقر بالذنب.
في 2018، أوقف أربعة ضباط من GRU سيارة مستأجرة بجوار مقر منظمة حظر الأسلحة الكيميائية في لاهاي، وفي مؤخرتها معدات هجوم Wi-Fi تحت معطف. وأوقفتهم الاستخبارات الهولندية هناك. أما النسخة اليومية فأبسط: ساعٍ يتبع الموظفين عبر باب، أو “فني طابعات” يحتاج إلى عشر دقائق وحده مع منفذ شبكة. ويأتي ذلك الآن أيضًا عبر التوظيف. يذكر Mandiant متوسط بقاء 122 يومًا في حالات العاملين في تقنية المعلومات من كوريا الشمالية، حيث يدخل المتسلل عبر عملية التوظيف لديك ويتقاضى راتبًا.
في هذا المستوى يخاطر المهاجم أيضًا بالاعتقال والسجن. وفي قضية Tesla، أوقف المخطط موظف عرف ما يجب فعله وشعر بالأمان عند الإبلاغ.
المستويان 8 و9: أغلى الهجمات
في أكتوبر 2021، قدّم شخص باسم Jia Tan تعديلًا غير ضار إلى XZ Utils، وهي مكتبة ضغط موجودة في Linux عمومًا. وعلى مدى أكثر من عامين، كسبت هذه الهوية ثقة أحد المشرفين، وفي فبراير 2024 أطلقت بابًا خلفيًا يستهدف خوادم SSH. واكتُشف بعد أسابيع، بالصدفة إلى حد كبير، عندما فحص المهندس Andres Freund تسجيلات دخول SSH كانت أبطأ من المعتاد بنحو نصف ثانية. هذا ما تشتريه ميزانية مهاجم كبيرة، وكاد ينجح.
لثغرات zero-day أيضًا ثمن واضح. ففي 2024، أعلن وسيط الاستغلال Crowdfense عن مبلغ يصل إلى $5 إلى $7 million لقاء استغلال iPhone كامل دون نقرة. ولن يهدر المهاجم استغلالًا كهذا إذا كانت مكالمة إلى مكتب الدعم لديك تكفي.
الذكاء الاصطناعي يجعل كل مستوى أرخص
لم يضف الذكاء الاصطناعي مستوى جديدًا. إنه يخفض تكلفة المستويات الحالية، خصوصًا في الخبرة والوقت، وهما التكلفتان اللتان اعتمد عليهما المدافعون أكثر من غيرهما. وأصبح بالإمكان بشكل متزايد أن ينفذ فريق صغير هجمات كانت تحتاج إلى فريق كبير وماهر.
- هجمات بسرعة الآلة. في نوفمبر 2025، أفادت Anthropic بأن جماعة قدّرت أنها مدعومة من الدولة الصينية استخدمت أداتها Claude Code ضد نحو ثلاثين هدفًا، ونجحت في عدد قليل من الحالات. ونفذ الذكاء الاصطناعي ما يقدر بنسبة 80 إلى 90% من الحملة، مع تدخل البشر في نحو أربع إلى ست نقاط قرار.
- اكتشاف الثغرات. في أبريل 2026، قالت Anthropic إن نموذجًا غير منشور، Claude Mythos Preview، وجد آلاف الثغرات عالية الخطورة وطوّر كثيرًا من عمليات الاستغلال المرتبطة بها بشكل ذاتي. وقصرت الوصول إليه على المدافعين عبر Project Glasswing، محذرة من أن مثل هذه القدرات ستنتشر قريبًا. يأتي التقريران من مورّد له مصلحة تجارية في الموضوع، لكن الاتجاه واضح.
- برمجيات خبيثة تطلب المساعدة. وثقت Google Threat Intelligence Group عائلات مثل PROMPTFLUX وPROMPTSTEAL تستعلم من نماذج لغوية كبيرة أثناء التشغيل لتفادي الكشف.
- انتحال أسهل. مر عامان على حادثة Arup، ولم تزدد الأدوات إلا تحسنًا. ويشير ارتفاع التصيد الصوتي في بيانات Mandiant إلى الاتجاه نفسه.
- تكلفة اختراق أعلى. في تقرير Cost of a Data Breach 2026 من IBM، قالت أكثر من مؤسسة من كل أربع تعرضت لهجوم خبيث إنه تضمن الذكاء الاصطناعي. وبلغ متوسط تكلفة هذه الحوادث أكثر من $6 million، مقابل متوسط عالمي قدره $4.99 million لكل الاختراقات.
لنبقِ الأمور في حجمها
تقدم بيانات الاستجابة للحوادث من Mandiant توازنًا مفيدًا: “لا نعتبر 2025 العام الذي كانت فيه الاختراقات نتيجة مباشرة للذكاء الاصطناعي”، و“الغالبية العظمى من الاختراقات الناجحة ما زالت تنبع من إخفاقات بشرية ومنهجية أساسية”. وتذكر حالة Anthropic نفسها أن النموذج اختلق أحيانًا بيانات اعتماد. فالهجمات بالذكاء الاصطناعي سريعة، لكنها ما زالت ترتكب أخطاء.
الأمران صحيحان إذن. فمعظم الاختراقات ما زالت تأتي عبر الأساسيات، وتكلفة الهجمات بمستوى الخبراء تنخفض بسرعة. وهذا سبب قوي لإصلاح الأساسيات الآن، ما دمت تستطيع ذلك وفق جدولك.
ثلاث فرضيات يجب التخلي عنها
- “نحن أصغر من أن نُستهدف.” كانت الهجمات المخصصة محدودة بساعات عمل المحللين التي تتطلبها. ومع انخفاض هذه التكلفة، يمكن توجيه الاهتمام الذي كان مخصصًا للمؤسسات الكبرى إلى الجميع.
- “دورة التحديث لدينا جيدة بما يكفي.” لا يستطيع متوسط تحديث قدره 43 يومًا مواكبة متوسط وقت استغلال يبلغ سالب سبعة أيام. ما زلت تحتاج إلى التحديث السريع، لكنك تحتاج أيضًا إلى ضوابط تعمل عند عدم وجود تحديث.
- “سأتعرف على مديري المالي.” لم تعد رؤية شخص وسماعه تثبت هويته. ويجب التحقق من كل طلب ينقل المال أو يغيّر بيانات الاعتماد أو يمنح الوصول عبر قناة منفصلة متفق عليها مسبقًا.
لدى المدافعين ذكاء اصطناعي أيضًا، ويجب أن يستخدموه
يحظى استخدام المهاجمين للذكاء الاصطناعي بمعظم العناوين، لكن التقنية نفسها متاحة للمدافعين، وقد تحرك قطاع الأمن بسرعة. فشركات CrowdStrike وMicrosoft وGoogle وPalo Alto Networks وSentinelOne وغيرها تدمج الذكاء الاصطناعي الآن في منصات الكشف والاستجابة، وتبيع مجموعة متزايدة من الشركات المتخصصة محللي SOC بالذكاء الاصطناعي. وعدد من هذه المنتجات قوي جدًا، وقد تكون تدفع مقابل بعضها بالفعل. يستخدم المهاجمون الذكاء الاصطناعي لخفض تكاليفهم، لذلك سيتخلف فريق الأمن الذي يتجنبه. والسؤال المفيد لمسؤول أمن المعلومات هو: أين يرفع الذكاء الاصطناعي ثمن المهاجم أكثر؟
يبدأ المدافعون بأفضلية
المهاجم الذي يستخدم الذكاء الاصطناعي ما زال يعمل من الخارج. فعليه أن يكتشف كيف بُنيت شبكتك، وما الحسابات المهمة، وكيف يبدو السلوك الطبيعي، وأن يبقى مختبئًا أثناء ذلك. أما ذكاؤك الاصطناعي فيستطيع قراءة جرد الأصول وبيانات الهوية والسجلات والحوادث السابقة والكود المصدري. ويستطيع أيضًا التصرف بصلاحية حقيقية، بعزل جهاز أو إلغاء جلسة أو إعداد إصلاح.
تعتمد هذه الأفضلية على بياناتك. فلا يستطيع محلل الذكاء الاصطناعي التحقيق في سجلات لم تجمعها، أو استخدام جرد أصول لا يحدّثه أحد. والأساسيات التي يغطيها هذا المقال هي أيضًا ما يجعل الذكاء الاصطناعي الدفاعي يعمل جيدًا.
أين يرفع الذكاء الاصطناعي الثمن اليوم
| المجال الأمني | ما يمكن للذكاء الاصطناعي فعله | كيف يرفع الثمن |
|---|---|---|
| فرز التنبيهات | يجمع التنبيهات ويرتبها ويضيف السياق ويغلق الإنذارات الخاطئة الواضحة | تقل الضوضاء التي يختبئ فيها المهاجمون |
| التحقيق | يجمع الأدلة عبر الأدوات ويبني جدولًا زمنيًا ويكتب ملخصًا | وقت أقل في الداخل قبل أن يفهم أحد الهجوم |
| صيد التهديدات | يبحث في أحجام كبيرة من السجلات عن تقنيات جديدة بأسئلة بلغة عادية | يُكتشف موطئ القدم المخفي أسرع |
| أمن البريد | يراجع الرسائل المبلغ عنها ويكشف احتيال الدفع والانتحال | يقل عائد كل حملة تصيد |
| الهوية والاحتيال | ينبه إلى تسجيلات الدخول غير المعتادة وتغييرات MFA وطلبات الدفع | تقل قيمة بيانات الدخول المسروقة والطلبات المزيفة |
| الكود والثغرات | يجد الأخطاء في كودك واعتمادياتك ثم يصوغ الإصلاحات | تتبقى أخطاء أقل ليكتشفها المهاجمون أولًا |
ما تظهره الأدلة
- تكلفة اختراق أقل. وجد تقرير IBM لعام 2026 أن المؤسسات التي تستخدم الذكاء الاصطناعي والأتمتة الأمنية على نطاق واسع خفضت متوسط تكلفة الاختراق بمقدار $1.93 million وقصرت دورة حياته 65 يومًا. وقد تكون هذه المؤسسات أكثر نضجًا في جوانب أخرى، لذلك لا يفسر الذكاء الاصطناعي الفرق كله على الأرجح.
- ضوضاء تنبيهات أقل. في نشر لمدة ستة أشهر في مركز عمليات مُدار غطى نحو 3.1 مليون تنبيه، خفض نظام AACT التنبيهات المعروضة على المحللين بنسبة 61%، مع معدل نتائج سلبية خاطئة قدره 1.36%.
- أداء أفضل للمحللين. في تجربة عشوائية مضبوطة شملت 167 محلل SOC، وجد من استخدموا Phishing Triage Agent في Microsoft Security Copilot ما يصل إلى 6.5 أضعاف النتائج الإيجابية الصحيحة في الدقيقة، وحسّنوا دقة أحكامهم بنسبة 77%. كما أمضوا وقتًا أكبر مع الرسائل الخبيثة، وهو المكان الذي تريد أن يُصرف فيه وقتهم.
- ثغرات تُكتشف قبل استغلالها. في يوليو 2025، قالت Google إن وكيلها Big Sleep عزل خللًا في SQLite، وهو CVE-2025-6965، بعد أن أظهرت الاستخبارات أن مهاجمين يحضرون zero-day. وتعتقد Google أنها المرة الأولى التي يوقف فيها وكيل ذكاء اصطناعي مباشرة محاولة استغلال فعلية.
- اكتشاف الثغرات على نطاق واسع. أثناء اختبار Claude Mythos Preview، وجدت Mozilla وأصلحت 271 ثغرة في Firefox 150. وتقول Anthropic إن شركاء Project Glasswing أفادوا بأن معدل اكتشافهم للأخطاء ارتفع بأكثر من عشرة أضعاف.
- الإصلاح الآلي. في نهائي AI Cyber Challenge من DARPA في أغسطس 2025، وجدت الأنظمة المتنافسة 86% من الثغرات المزروعة في كود التحدي وأصلحت 68%. وتُنشر هذه الأنظمة كمصادر مفتوحة.
لا يضمن شراء الأداة هذه النتائج. في تقريرها عن التحقق من وكلاء SOC بالذكاء الاصطناعي، تتوقع Gartner أنه بحلول 2028 ستجرب 70% من مراكز العمليات الكبيرة وكلاء الذكاء الاصطناعي، “لكن 15% فقط ستحقق تحسينات قابلة للقياس دون تقييم منظم”. وكثيرًا ما تأتي أرقام المورّدين من تجارب وظروف مثالية، فاطلب نتائج من استخدام إنتاجي مستمر واختبر المنتج على حوادثك السابقة.
الإصلاح أصبح نقطة الاختناق
يستطيع الذكاء الاصطناعي إيجاد الثغرات أسرع مما تستطيع المؤسسات إصلاحها. في مايو 2026، أفادت Anthropic بأن 75 من أصل 530 خطأ عالي الخطورة وحرجًا أبلغت عنها مشرفي المصادر المفتوحة قد أُصلحت. تفسر مهل الإفصاح جزءًا من هذه الفجوة، لكن Anthropic حددت القيد الرئيسي بأنه “القدرة البشرية على الفرز والإبلاغ وتصميم الإصلاحات ونشرها”.
خطط لزيادة كبيرة في الإصلاحات الأمنية، من فحوصك ومن مورّديك. يحتاج كل نظام إلى مالك واضح واختبارات آلية وطريقة آمنة لنشر التغيير والتراجع عنه. ويستطيع الذكاء الاصطناعي صياغة الإصلاحات والاختبارات، مع مراجعة المهندسين لما يُطلق. يحصل الفريق الذي يملك هذا المسار على القيمة الكاملة لاكتشاف الذكاء الاصطناعي، بينما يحصل الفريق ذو دورة التحديث البالغة 43 يومًا على قائمة متراكمة أطول فقط.
كيف تستخدمه بأمان
حدد مقدار الصلاحية الممنوحة للذكاء الاصطناعي قبل ربطه بأي شيء. ويعتمد المستوى الصحيح على الضرر الذي قد يسببه القرار الخاطئ وسهولة التراجع عنه.
| نوع العمل | من يقرر | أمثلة |
|---|---|---|
| القراءة والتلخيص | الذكاء الاصطناعي وحده | إضافة السياق وبناء الجداول الزمنية وصياغة التقارير |
| منخفض الخطر وقابل للتراجع | الذكاء الاصطناعي، وفق قواعد موافق عليها مسبقًا مع تسجيل كل إجراء | عزل جهاز واحد، وإلغاء جلسة، وعزل رسالة بريد |
| عالي الأثر | يوافق شخص محدد | إيقاف الإنتاج، وإعادة تعيين كلمات المرور جماعيًا، والتواصل مع الجهات التنظيمية |
- تعامل مع الذكاء الاصطناعي كهوية امتيازية. امنحه حسابًا خاصًا، وأقل وصول يحتاجه، وسجل تدقيق كاملًا، وطريقة سريعة لإيقافه.
- افترض أن المهاجمين سيحاولون التلاعب به. يقرأ ذكاؤك الاصطناعي السجلات والطلبات والرسائل، ويتحكم المهاجمون في جزء من هذا النص. في دراسة LogJack لعام 2026، دفعت تعليمات مخفية في السجلات السحابية وكلاء التصحيح إلى تشغيل كود عن بُعد على ستة من النماذج الثمانية المختبرة، ولم تكتشف الحمايات السحابية تقريبًا أيًا من الحمولات. أبعد البيانات غير الموثوقة عن الأدوات التي تستطيع تشغيل الأوامر، وأدرج هذا الهجوم في اختبارات الفريق الأحمر.
- افحص ما يغلقه. اطلب من المحللين مراجعة عينة من التنبيهات التي أغلقها الذكاء الاصطناعي كل أسبوع. فحتى المعدل المنخفض للنتائج السلبية الخاطئة يعني إخفاء بعض الهجمات الحقيقية، وسيحاول المهاجمون معرفة ما يتجاهله ذكاؤك الاصطناعي.
- حافظ على مهارات فريقك. تذكر Gartner تآكل المهارات والاعتماد المفرط ضمن أهم مخاطر أتمتة SOC، وقد تعلم المحللون المبتدئون المهنة عادةً عبر الفرز. اجعلهم يراجعون منطق الذكاء الاصطناعي، ونفذ بعض التمارين دونه. يجب أن يكون هناك من يستطيع أداء العمل عندما تخطئ الأداة أو تتعطل.
- اعرف أين تذهب بياناتك. تتضمن البيانات الأمنية بيانات اعتماد وبيانات شخصية وتفاصيل عن نقاط ضعفك، فتأكد من النماذج التي تعالجها، ومكان تخزينها، وهل تُستخدم في التدريب.
- احكم كل ذكائك الاصطناعي. في بيانات IBM لعام 2026، افتقرت 92% من المؤسسات التي شهدت حوادث أمنية مرتبطة بالذكاء الاصطناعي إلى ضوابط وصول كافية له. فأنظمة الذكاء الاصطناعي التي تشغلها جزء من سطح الهجوم.
بهذه الطريقة، يساعد الذكاء الاصطناعي في حل المشكلة التي يصفها بقية المقال. فالتسليم خلال 22 ثانية الذي يذكره Mandiant يوضح قلة الوقت المتاح لفريق يعمل بالسرعة البشرية فقط. دع الأتمتة تتولى الدقائق الأولى من الحادثة، وأبقِ الأشخاص في القرارات التي قد تضر العمل.
الاختراق بداية المعركة
إذا كان الاختراق حتميًا، فإن ما يحدد النتيجة هو ما يحدث بعده. يخفي عنوان “تعرضنا للاختراق” نطاقًا هائلًا من النتائج، من حاسوب واحد معزول إلى شركة لا تستطيع العمل ثلاثة أسابيع. ويعود الفرق إلى ثلاث قدرات: مدى تبكير الكشف، وجودة الاستجابة، والحد الذي تسمح به ضوابطك للانتشار.
قلنا سابقًا إن المدافع يجب أن يصمد في كل مكان بينما يكفي المهاجم نجاح واحد. أما داخل شبكتك، فتبدأ هذه الأفضلية بالانعكاس. فالاختراق الحقيقي سلسلة خطوات، وهي الفكرة وراء Cyber Kill Chain من Lockheed Martin وMITRE ATT&CK. يجب أن يتجاوز المهاجم كل خطوة دون ملاحظة ليصل إلى المرحلة الأخيرة، وهي تنفيذ الأهداف. ويكفيك كشف واحدة منها، وكلما كان ذلك أبكر قلت التكلفة.
اكشف مبكرًا ما دامت لديك خيارات
| المرحلة | ما يفعله المهاجم | ما قد يكشفه | إذا كشفته هنا |
|---|---|---|---|
| الوصول الأولي | استغلال خلل أو الدخول ببيانات مسروقة | محاولات استغلال، وتسجيلات دخول غير معتادة، وأجهزة MFA جديدة | طلب بسيط: تنظيف حساب أو جهاز واحد |
| موطئ القدم والاستمرار | تشغيل الأدوات وزرع طريق للعودة | تنبيهات EDR، وخدمات ومهام مجدولة جديدة، وحركة خارجة غريبة | حادثة محتواة على بضعة أجهزة |
| رفع الصلاحيات | جمع بيانات الاعتماد والبحث عن صلاحيات المسؤول | استخراج بيانات الاعتماد، وKerberoasting، واستخدام بيانات مضللة | حادثة خطيرة مع إعادة تعيين بيانات الاعتماد، لكن دون ضرر للعمل |
| الحركة الجانبية | الانتشار عبر الأنظمة والبحث عن الثمين منها | اتصالات إدارية غير معتادة، ولمس ملفات مصيدة، وفحص داخلي | حادثة كبرى: إعادة بناء أوسع وبعض التعطل |
| تنفيذ الأهداف | سرقة البيانات وتشفير الأنظمة ونقل الأموال | تحويلات خارجة كبيرة، وحذف النسخ الاحتياطية، وتغيير الملفات بكميات كبيرة | أزمة: توقف وابتزاز وجهات تنظيمية وعناوين صحفية |
ما زالت مؤسسات كثيرة ترى الهجوم متأخرًا، أو لا تراه أبدًا. وجد Mandiant أن 52% من المؤسسات كشفت النشاط الخبيث داخليًا أولًا في 2025، بتحسن عن 43%، لكن هذا يعني أن البقية سمعت به أولًا من جهة خارجية. ويضع IBM متوسط وقت تحديد الاختراق واحتوائه عند 247 يومًا. وكثيرًا ما تكشف الفدية عن نفسها في المرحلة الأخيرة، لذلك تعني مذكرة الفدية عادةً أن المهاجم موجود منذ فترة.
يحتاج الكشف إلى الاستثمار المدروس نفسه الذي تحتاجه الوقاية، وشراء أداة أصغر جزء منه.
- انظر إلى المسار كله. غطِّ الأجهزة والهوية والسحابة والبريد وحركة الشبكة، واحتفظ بالسجلات مدة كافية لإعادة بناء اختراق استمر 14 يومًا. سيبقى المهاجمون حيث توجد نقاطك العمياء.
- اكشف السلوك إضافة إلى البصمات المعروفة. تتغير الأدوات بين الحملات، ولا بصمة لثغرة zero-day، لكن استخراج بيانات الاعتماد والانتقال إلى وحدة تحكم بالنطاق يبدوان متشابهين كل مرة.
- انشر المصائد. لا استخدام مشروعًا لحسابات المسؤول المضللة وملفات المصيدة ومفاتيح السحابة المزيفة، لذلك فإن أي لمس لها تنبيه عالي الثقة. وهي من أرخص وسائل الكشف.
- غطِّ الساعات التي يفضلها المهاجمون. تتقدم اختراقات كثيرة في الليالي وعطلات نهاية الأسبوع والأعياد، فالتنبيه الذي ينتظر حتى الاثنين يصل متأخرًا.
- اختبر. نفذ تمارين الفريق الأرجواني على تقنيات مهاجميك المحتملين، واحسب ما كشفته وبأي سرعة وما فاتك.
استجب بخطة ناضجة وفريق مدرب
لا يكسب الكشف إلا الوقت، ويجب أن يتصرف أحد. تحول وظيفة الاستجابة الناضجة التنبيه إلى احتواء وإزالة وتعافٍ، بالترتيب الصحيح ودون إتلاف الأدلة اللازمة. ويوفر NIST SP 800-61 وNIST Cybersecurity Framework هيكلًا متينًا للبناء عليه.
يمكنك معرفة قدرة الاستجابة الناضجة من أمور قليلة يسهل فحصها.
- أدوار محددة بنواب، منها قائد الحادثة، وروابط واضحة مع القانونيين والاتصالات والموارد البشرية والإدارة العليا.
- أدلة تنفيذ للسيناريوهات المتوقعة فعلًا، مثل الفدية واختراق البريد المؤسسي والاستيلاء على الحسابات السحابية والنشاط الداخلي واحتيال التزييف العميق.
- صلاحيات ممنوحة مسبقًا، ليتمكن المستجيبون من عزل نظام دون انتظار اجتماع.
- عقد مع شركة استجابة خارجية، مع فهم متطلبات شركة التأمين مسبقًا. فاليوم الأول من الأزمة وقت سيئ للتفاوض على عقد.
- تمارين منتظمة بحضور المديرين، ومراجعة دون لوم بعد كل حادثة تعيد إلى البرنامج قواعد كشف وإصلاحات جديدة.
تؤثر السرعة في التكلفة أيضًا. في أرقام IBM لعام 2026، بلغ متوسط تكلفة الاختراقات التي استمرت أكثر من 200 يوم $5.65 million، مقابل $4.32 million لما حُل أسرع. واحسم أصعب الأمور والجميع هادئون، لأن الإجابة عنها لأول مرة أثناء الهجوم أصعب بكثير.
- من يملك صلاحية إيقاف نظام يدر الإيرادات في الساعة 3 صباحًا؟
- كيف سيتواصل فريق الاستجابة إذا كان البريد والدردشة في يد المهاجم؟
- ما موقفك من دفع الفدية، ومن يتخذ القرار مع المستشار القانوني وشركة التأمين؟
- ما الجهات التنظيمية والعملاء والشركاء الذين يجب إبلاغهم، وخلال أي مدة؟
- بأي ترتيب تعود الأنظمة، وهل جرب أحد ذلك فعلًا؟
يشرح دليل الاستجابة للفدية لدينا هذه القرارات بالتفصيل.
قلل نطاق الأثر والخطورة
تبقى الضوابط القوية مهمة بعد فشل الوقاية، لأنها تحدد مدى سوء الفشل. فلها وظيفتان: تمنح فرق الكشف والاستجابة وقتًا أطول، وتحد من الضرر إذا تمكن المهاجم من التصرف. تخيل كلمة المرور المسروقة نفسها في شركتين مختلفتين.
| الضابط | من دونه | معه |
|---|---|---|
| الإدارة بطبقات | سجل مسؤول نطاق دخوله إلى الحاسوب المصاب، فأصبح المهاجم يملك النطاق | لا تلمس بيانات المسؤول محطات العمل أبدًا، فلا يوجد ما يُسرق |
| التقسيم | تتيح الشبكة المسطحة لجهاز واحد الوصول إلى كل الخوادم، ومنها النسخ الاحتياطية | يبقى المهاجم محصورًا في قسم واحد ويجب أن يثير الضجيج لمغادرته |
| أقل الصلاحيات والوصول عند الحاجة | يملك الحساب وصولًا دائمًا يفوق بكثير ما يحتاجه صاحبه | الصلاحيات ضيقة وتنتهي، فلا يمنح الحساب المسروق إلا القليل |
| تشفير البيانات وتقليلها | سنوات من سجلات العملاء غير اللازمة بصيغة مقروءة | يوجد ما يُسرق بدرجة أقل، ويصعب استخدام ما يؤخذ |
| ضبط الخروج | تخرج تيرابايتات إلى مضيف سحابي غير معروف ولا يلاحظ أحد | يُحظر النقل أو يصدر إنذارًا، مما يضعف أي تهديد بالابتزاز |
| نسخ احتياطية غير قابلة للتعديل ومختبرة | تُشفر النسخ الاحتياطية أيضًا، فيبقى الخيار بين إعادة البناء والدفع | التعافي إجراء معروف بمدة معروفة |
كيف يغيّر هذا الحوار مع مجلس الإدارة
قد تكون عبارة “نحن آمنون” أخطر جملة في اجتماع المجلس. فهي غير صحيحة، وتعلم المجلس أن يرى الأمن شراءً منتهيًا، وتحول يوم الحادثة خطر العمل إلى وعد مكسور. استبدلها بتغيير الأسئلة التي تطرحها الإدارة.
| توقف عن السؤال | ابدأ بالسؤال | لماذا يهم ذلك |
|---|---|---|
| هل نحن آمنون؟ | كم سيكلف المهاجم الوصول إلى ما يهم أكثر؟ | يحول الإجابة بنعم أو لا إلى شيء يمكنك قياسه وتحسينه |
| هل يمكنك ضمان ألا يحدث هذا؟ | إذا حدث، فإلى أي مدى ينتشر وما الذي يوقفه؟ | نطاق الأثر يقع في معظمه تحت سيطرتك |
| هل اجتزنا التدقيق؟ | ما الهجمات التي لم يكشفها آخر اختبار لدينا؟ | يوضح الامتثال حدًا أساسيًا، ولا يهتم المهاجم بشهادتك |
| كم ننفق على الأمن؟ | أي تكاليف المهاجم رفعها هذا الإنفاق؟ | يربط كل بند في الميزانية بتغير في المخاطر |
| من المسؤول عن الخطأ؟ | بأي سرعة علمنا، وماذا تعلمنا؟ | يعلّم اللوم الناس إخفاء الأخطاء، مما يطيل بقاء المهاجم |
“لا يمكننا الوعد بأننا لن نتعرض للاختراق أبدًا، ولا يستطيع ذلك أي شخص صادق. لكن يمكننا الوعد بأن مهاجمتنا ستكون مكلفة، وبأن المتسلل سيُكشف سريعًا، وبأنه لا يوجد فشل واحد يستطيع إسقاط الشركة، وبأننا تدربنا على أسوأ يوم. هذه تكلفة كل منها، وهذا هو الخطر الذي تقبله إذا لم نموله.”
بيان لمجلس الإدارة يمكنك تكييفه
“الحتمي” ليس عذرًا
لهذه العقلية خطر واضح. يجب ألا تصبح عبارة “الجميع يتعرض للاختراق” غطاءً للإهمال. فالإصابة بثغرة zero-day في جهاز أمني ثم احتواؤها خلال ساعات نتيجة يمكن الدفاع عنها. أما الإصابة عبر لوحة إدارة مكشوفة على الإنترنت بكلمة مرور افتراضية، أو ثغرة معروف استغلالها تُركت مفتوحة تسعة أشهر، فلا. وستعرف الجهات التنظيمية وشركات التأمين والمحاكم الفرق.
تصبح المساءلة أوضح. ينتقل السؤال من “هل حدث شيء؟” إلى ثلاثة أسئلة أصعب: هل كان يمكن تجنبه، وبأي سرعة رأيناه، وإلى أين وصل؟ ويستطيع مسؤول أمن المعلومات أن يجيب عن ذلك.
أين تنفق أولًا
ابدأ بأدنى مستويات التهديد واصعد. البنود الأولى رخيصة وتقطع الطريق على أكبر حصة من المهاجمين، بينما تفترض البنود اللاحقة أن أحدهم سيمر مع ذلك.
- أغلق نقاط الدخول السهلة. احتفظ بجرد محدث لكل ما هو مكشوف على الإنترنت، وأزل منافذ الإدارة من الإنترنت، وأصلح الثغرات المستغلة خلال أيام لا أسابيع.
- اجعل كلمات المرور المسروقة بلا قيمة. انشر MFA المقاوم للتصيد مثل passkeys أو مفاتيح FIDO2، بدءًا بالمسؤولين والوصول عن بُعد، وأزل المصادقة القديمة.
- حصّن العمليات التي تنقل المال والهوية. اشترط فحوص هوية قوية في مكتب الدعم، ومعاودة الاتصال عبر رقم معروف، وموافقة مزدوجة على الدفعات. تكلفتها قليلة، وكانت ستغيّر الاحتمالات في حالتي Arup وMGM.
- قلل نطاق الأثر. افصل طبقات الإدارة، وقسّم الشبكات، وافرض أقل الصلاحيات، واحمِ مزود الهوية كأثمن أنظمتك. يجب ألا يصل حساب مسروق واحد إلى كل شيء أبدًا.
- اجعل كشف المتسللين أسهل. استهدف تغطية EDR كاملة وسجلات مركزية، وازرع بيانات اعتماد مضللة ورموز مصيدة، واختبر قواعد الكشف على تقنيات حقيقية. يجب أن تكون كل خطوة إضافية للمهاجم فرصة أخرى لإطلاق إنذار.
- سخّر الذكاء الاصطناعي للدفاع. ابدأ بأكبر نقطة اختناق لديك، وهي غالبًا فرز التنبيهات والتحقيق، باستخدام ميزات الذكاء الاصطناعي في المنصات التي تملكها بالفعل. قس النتائج، وضع حدودًا واضحة لما يمكنه فعله دون شخص.
- قيّد وصول الموردين. امنح الأطراف الثالثة وصولًا محدد النطاق والمدة ومراقبًا، وخطط لما ستفعله إذا اختُرق مورد رئيسي غدًا.
- غطِّ المسارات المادية والداخلية. رافق الزوار، وتحكم في الوصول إلى منافذ الشبكة، وتحقق من هوية الموظفين عن بُعد، وامنح الموظفين طريقة بسيطة ودون لوم للإبلاغ عن أي تواصل غريب.
- استعد للتعافي. احتفظ بنسخ احتياطية غير قابلة للتعديل، وتدرب على استعادة أنظمة الهوية إضافة إلى البيانات، وجهّز قناة اتصال خارج النطاق، وأبرم عقد استجابة للحوادث.
ضع رقمًا للثمن
إذا كانت التكلفة هي الهدف، فقسها. استخدم فريقك الأحمر لتحديد الثمن. فإضافة إلى سؤاله هل دخل، اسأل كم تطلب ذلك من جهد، وأي خطوة كانت الأرخص، وأي ضابط أجبره على تغيير أسلوبه.
| المقياس | ما يخبرك به |
|---|---|
| جهد الفريق الأحمر للوصول إلى الأصول الحرجة | أقرب شيء لديك إلى بطاقة سعر |
| نسبة التنبيهات التي أغلقها الذكاء الاصطناعي في العينة وكانت هجمات حقيقية | هل يخفي ذكاؤك الاصطناعي شيئًا |
| وقت إصلاح الثغرات المستغلة المكشوفة على الإنترنت | كم تبقى نقاط الدخول السهلة مفتوحة |
| تغطية الحسابات الامتيازية بـ MFA المقاوم للتصيد | ما يمكن أن تمنحه كلمة مرور مسروقة |
| الأنظمة التي يمكن الوصول إليها من حساب مخترق واحد | نطاق أثرك الحقيقي |
| وقت الكشف والاحتواء في التمارين | هل تدوم الحماية أكثر من الكشف والاستجابة معًا |
| الوقت المختبر لاستعادة الهوية والخدمات الأساسية | المدة الحقيقية ليوم سيئ |
خمس خطوات للأيام الثلاثين المقبلة
- اطلب ثمنًا. اطلب من فريقك الأحمر أو شريك موثوق تحديد أرخص طريق إلى أهم أصولك، ثم موّل إغلاق هذا الطريق أولًا.
- افحص نقاط الدخول السهلة. قارن هذا الأسبوع جرد ما هو مكشوف على الإنترنت بقائمة Known Exploited Vulnerabilities من CISA.
- اختبر مكتب الدعم. بالتصريح المناسب، اكتشف هل يستطيع متصل مقنع إعادة تعيين حساب امتيازي.
- ضع قاعدة واحدة لمعاودة الاتصال. يتم التحقق من كل طلب لنقل المال أو تغيير بيانات الدفع أو إعادة تعيين بيانات الاعتماد عبر قناة معروفة، ولا يُستثنى أحد، حتى الرئيس التنفيذي.
- نفذ تمرينًا مع المديرين. خصص 90 دقيقة لسيناريو يتضمن رئيسًا تنفيذيًا مزيفًا يليه هجوم فدية مساء الجمعة، ثم اعرض ما تعلمته على المجلس باستخدام البيان أعلاه.
الخاتمة
إذا كان الفوز يعني عدم الاختراق أبدًا، فكل مسؤول أمن معلومات سيخسر في النهاية، وعادةً أمام الجميع. والصورة الأفضل للفوز هي تقرير حادثة عادي إلى حد أنه بالكاد يصل إلى المجلس. ينفق المهاجم أسابيع ومالًا حقيقيًا للوصول إلى جهاز واحد. يجرب بيانات اعتماد مضللة فيطلق تنبيهًا. يعزل الفريق الجهاز قبل الغداء، ويبدل ما انكشف، ويكتب ما يجب إصلاحه. لا يسمع العملاء بالأمر أبدًا، ولا يعود استثمار المهاجم بشيء.
لا يمكنك بناء خزنة لا تُفتح أبدًا. لكن يمكنك تحديد تكلفة فتحها، والتأكد من وجود أحد عندما يحاولون.
المصادر
- Mandiant، تقرير M-Trends 2026: مدة البقاء، ومسارات الإصابة الأولية، ووقت الاستغلال، ووقت التسليم، والذكاء الاصطناعي في الاختراقات.
- Verizon، تقرير 2026 Data Breach Investigations Report: الاستغلال، ومشاركة الأطراف الثالثة، والتحديث.
- Google Threat Intelligence Group، مراجعة ثغرات zero-day لعام 2025 وأبحاثها عن البرمجيات الخبيثة التي تستخدم الذكاء الاصطناعي.
- IBM، تقرير Cost of a Data Breach Report 2026، كما نقلته eSecurity Planet.
- Anthropic، “Disrupting the first reported AI-orchestrated cyber espionage campaign” (2025) وProject Glasswing (2026).
- Rapid7، تقرير 2025 Access Brokers Report وأبحاثها اللاحقة عن وسطاء الوصول الأولي.
- تغطية CNN وRTHK لحادثة Arup (2024)، وMGM Resorts Form 8-K (أكتوبر 2023).
- التغطية القضائية لقضية United States v. Kriuchkov (من 2020 إلى 2021)، وإحاطة جهاز الاستخبارات والأمن الدفاعي الهولندي عن عملية OPCW (أكتوبر 2018).
- Andres Freund، إفصاح oss-security عن الباب الخلفي في XZ (مارس 2024)، وRuss Cox، الجدول الزمني لهجوم XZ، وCVE-2024-3094.
- قائمة أسعار برنامج شراء الاستغلال من Crowdfense (أبريل 2024)، كما نقلتها SecurityWeek وSecurity Affairs.
- Gartner، Validate the Promises of AI SOC Agents With These Key Questions، كما نقلته Help Net Security (سبتمبر 2026)، وأبحاثها عن أتمتة SOC.
- Turcotte et al.، Automated Alert Classification and Triage (AACT)، arXiv:2505.09843 (2025).
- Bono، Randomized Controlled Trials for Phishing Triage Agent، arXiv:2511.13860 (2025).
- Big Sleep من Google وCVE-2025-6965، كما نقلته The Record (يوليو 2025).
- DARPA، نتائج نهائي AI Cyber Challenge (أغسطس 2025).
- Anthropic، Project Glasswing: An initial update (مايو 2026).
- Shah، LogJack: Indirect Prompt Injection Through Cloud Logs Against LLM Debugging Agents، arXiv:2604.15368 (2026).
- Lockheed Martin، Cyber Kill Chain، وMITRE ATT&CK، وNIST SP 800-61 وNIST Cybersecurity Framework.
- تصنيفات الخزائن المقاومة للسطو UL 687، وWinn Schwartau، Time Based Security (1999).
- مسؤول أمن المعلومات
- الاستراتيجية الأمنية
- افتراض الاختراق
- المخاطر السيبرانية
- تهديدات الذكاء الاصطناعي
- الذكاء الاصطناعي في العمليات الأمنية
- التزييف العميق
- الهندسة الاجتماعية
- Zero-day
- APT
- تقارير مجلس الإدارة
