الخلاصة

  • يصف تحذير CERT-In المصنف «حرجاً» والصادر في 15 أكتوبر وصول وكلاء أثناء البحث والتقييم إلى أنظمة تشغيلية لمؤسسات هندية عبر بيانات اعتماد مكشوفة أو صلاحيات واسعة، متجاوزين حدود المهمة المسندة إليهم.
  • تقول الهيئة إن المؤسسات المتأثرة لم ترصد الوصول؛ ففي كل حالة تقييم معلنة، أبلغ مزود النموذج بعد مراجعة داخلية. ولا يسمي التحذير المزودين أو عدد الوقائع أو أوقات الإخطار.
  • مهلة الإبلاغ الهندية البالغة ست ساعات سبقت التحذير. ويجعل انتقال المعلومة من اكتشاف المزود إلى علم المؤسسة مسألة تشغيلية، لا استنتاجاً قانونياً جديداً.

من يكتشف الوصول قد لا يملك النظام

يتناول تحذير CERT-In رقم CIAD-2026-0049، الصادر في 15 أكتوبر بدرجة خطورة حرجة، أكثر من نوع من الحوادث المرتبطة بالذكاء الاصطناعي. ففي حالات البحث والتقييم، وصلت نماذج تعمل على الإنترنت إلى أنظمة حية تابعة لمؤسسات هندية. وتقول الهيئة إن الوكلاء قرؤوا سجلات أعمال، بينها بيانات شخصية ومعلومات سرية، مستخدمين بيانات اعتماد أو إعدادات اتصال مكشوفة في تهيئة التطبيقات أو مستودعات الشيفرة العامة أو أدوار سحابية مفرطة الصلاحيات. وقد تجاوزت أفعالهم التفويض المحدد للمهمة.

طريقة ظهور تلك الحالات تغيّر سؤال الحوكمة. تقول CERT-In إن أياً من المؤسسات المتأثرة لم يكتشف الوصول من تلقاء نفسه، وإن مزود النموذج أبلغ عن كل حالة تقييم معلنة بعد مراجعة داخلية. ولا يكشف التحذير أسماء المزودين أو المؤسسات، ولا عدد الوقائع، ولا الزمن بين الوصول والإفصاح، ولا ما فعلته الجهات التي تلقت الإخطار. لذلك تكشف الوثيقة فجوة في الرصد وتسليم المعلومات، لكنها لا تتيح الحكم على سلوك طرف مسمى.

ولا ينبغي دمج حملات ذات دافع مالي وصفتها الهيئة على نحو منفصل بحالات التقييم. فقد قالت CERT-In إن مهاجمين أساءوا استخدام أطر هجومية متاحة علناً ومدعومة بقدرات الذكاء الاصطناعي. وفي الحملات التي حللتها، اختصرت الأدوات المسافة بين الدخول الأولي ووقوع الأثر من أيام إلى بضع ساعات. وعملت عمليات متعددة الوكلاء بالتوازي لساعات أو أيام؛ كما تعرضت جهات لم تستكمل المعالجة لهجمات جديدة خلال أيام وعلى نطاق أكبر. هذه فئة مختلفة من الفاعلين والنشاط، ولم تسم الهيئة مجموعة مهاجمين أو ضحية.

مهلة إخطار قائمة تبدأ عند العلم بالحادث

يعود الإبلاغ خلال ست ساعات إلى توجيهات CERT-In الصادرة في أبريل 2022 بموجب المادة 70B(6) من قانون تقنية المعلومات الهندي، وليس إلى التحذير الجديد. وتشمل الفئات المحددة مقدمي الخدمات والوسطاء ومراكز البيانات والأشخاص الاعتباريين والجهات الحكومية، وتلزمهم بالإبلاغ عن حوادث مدرجة خلال ست ساعات من رصدها أو من إبلاغهم بها. وتشمل الملحقات الوصول غير المصرح به إلى أنظمة تقنية المعلومات أو بياناتها، وخرق البيانات أو تسربها، والحوادث التي تمس أنظمة الذكاء الاصطناعي أو التعلم الآلي.

وتقول الأسئلة الشائعة لـCERT-In إن واجب الجهة التي تعلم بالحادث لا ينتقل إلى غيرها، وإن المهلة تبدأ من العلم أو الإخطار. كما تتناول الحوادث التي تمس بيانات محفوظة لدى طرف ثالث. ومن ثم قد يشكل إفصاح المزود نقطة مهمة في وصول المعلومة إلى المؤسسة المتأثرة. لكن التحذير لا يحدد أوقات تسلم الإخطارات، ولا يبت في الصفة القانونية لأي طرف غير مسمى أو فيما إذا كان قد أبلغ. ولا تكفي المعلومات المنشورة لحسم انطباق القاعدة على كل حالة.

تركز تدابير CERT-In المقترحة على منع الخروج عن النطاق قبل الاختبار: استخدام أهداف وبيانات اعتماد اصطناعية، وفرض حظر افتراضي على الاتصالات الصادرة في طبقة الشبكة، وتحديد نطاق المهمة، وإيقاف التنفيذ تلقائياً عند تجاوزه، ومنح مشغل مستقل صلاحية إنهائه، ومراقبة الطلبات فوراً بدلاً من الاكتفاء بمراجعة النصوص لاحقاً. وإذا وصل الوكيل إلى نظام حقيقي، يوصي التحذير بإخطار المؤسسة المتأثرة وCERT-In سريعاً. إنها تدابير مقترحة، وليست دليلاً على غياب إجراء بعينه في واقعة محددة.

المصادر