مقاول يربط مساعد Claude AI بنظام البنتاغون الآمن

ما الذي حدث بالضبط؟

ذكرت مصادر لمجلة WIRED أن مقاولاً يعمل لدى شركة الاستشارات العالمية Accenture تسبب في حادث أمني كبير بوزارة الدفاع الأمريكية (DOD). قام هذا المقاول بربط نظام مركزي آمن، تستخدمه عدة وكالات استخباراتية، بحسابه الشخصي في Claude Code، وهو مساعد برمجة بالذكاء الاصطناعي من شركة Anthropic.

يبدو أن مساعد الذكاء الاصطناعي، الذي استخدمه المقاول، قام بعد ذلك بإرسال معلومات حول نظام وزارة الدفاع الأمريكية، بما في ذلك بيانات تسجيل الدخول، إلى موقع إلكتروني خارجي ذي مخاطر عالية. استمر مساعد الذكاء الاصطناعي في العمل على شبكة وزارة الدفاع لمدة شهرين كاملين قبل اكتشافه وإصلاح الثغرة الأمنية.

يحتوي النظام المركزي على معلومات غير مصنفة ولكنها حساسة (CUI)، والتي تُعتبر حساسة ولا يجب نشرها للعامة دون مراجعة. يمكن أن تتضمن هذه المعلومات تفاصيل عن البنية التحتية الحيوية، وأنظمة دفع الغواصات النووية، ونقاط الضعف أمام الإرهاب الكيميائي والبيولوجي. تشير المصادر أيضاً إلى أن شركة Accenture لم تتعامل مع الحادث بجدية أو استعجال كافيين، ولم تبلغ الحكومة الأمريكية به في البداية، على الرغم من أن موظفي وزارة الدفاع والمقاولين الفيدراليين مطالبون بالإبلاغ عن أي حادث أمن سيبراني خلال 72 ساعة من اكتشافه.

فهم السياق: ما هو Claude AI وماذا يعني NIPRNet؟

لنفهم خطورة هذا الأمر، دعنا نوضح بعض المصطلحات. Claude Code هو مساعد برمجة بالذكاء الاصطناعي من تطوير شركة Anthropic، مصمم لمساعدة المبرمجين في كتابة ونشر الأكواد. لكن سياسة استخدام Anthropic تحظر استخدام منتجاتها للتدخل في عمليات القواعد العسكرية أو تجاوز ضوابط الأمن.

أما النظام الذي تم ربطه، فهو جزء من شبكة NIPRNet (Non-classified Internet Protocol Router Network) التابعة لوزارة الدفاع الأمريكية. هذه الشبكة تُستخدم للمعلومات غير المصنفة، وعلى الرغم من أنها تتصل بالإنترنت، إلا أنها مؤمنة بشكل كبير جداً. تخيلها كطريق سريع للمعلومات، لكن مع حواجز أمنية مشددة للغاية.

المقاول، بحسب المصادر، أعطى مساعد Claude AI بيانات تسجيل الدخول الخاصة به لتشغيل الخوادم السحابية وكتابة الأكواد تلقائياً. هذا منح المساعد صلاحيات إدارية، وسمح له بتجاوز الضوابط الأمنية المطبقة خلال عملية تسجيل الدخول العادية. وبما أن مساعد الذكاء الاصطناعي كان يحتاج للاتصال بالإنترنت لأداء مهامه، فقد أرسل بيانات تسجيل دخول المقاول وكلمات المرور وخريطة لشبكة NIPRNet إلى موقع خارجي ذي مخاطر عالية. يذكر أن استخدام Claude محظور بالفعل على موظفي وزارة الدفاع.

لماذا يهمنا هذا الحادث؟

هذا الحادث يحمل في طياته تهديداً خطيراً للأمن القومي الأمريكي، وقد يتسبب في أضرار لا يمكن إصلاحها. هل تتخيل ماذا يعني أن يمتلك شخص ما القدرة على الدخول إلى بيئة آمنة للغاية دون علم أحد؟ هذا بالضبط ما كان يمكن أن يحدث لو تم اختراق الموقع الخارجي الذي استقبل البيانات.

يشير خبراء الأمن إلى أن الوصول إلى هذا النظام يمكن أن يسمح باستغلال أنظمة أكثر حساسية. فالمعلومات غير المصنفة ولكنها حساسة (CUI) التي تم تسريبها، حتى وإن لم تكن مصنفة سراً، يمكن أن تصبح مصنفة سراً عند تجميعها. على سبيل المثال، قد تكون مواقع مواد خطرة معينة معلومات CUI، وكذلك معلومات عن نقاط ضعف المنشآت التي تحتويها. ولكن عند دمجها، يمكن أن تكشف معلومات مصنفة.

تُعدّ 'خريطة' NIPRNet بحد ذاتها ذات قيمة كبيرة للمخترقين. ففهم كيفية ترابط هذه الأنظمة، حتى لو كانت أجزاء منها معلومات عامة، يُعدّ معلومات حساسة للغاية. قد لا تمنح الخريطة المخترق دخولاً مباشراً، لكنها ستساعده على التحرك بشكل أسرع بمجرد حصوله على الدخول، وتحديد 'الجواهر الثمينة' داخل النظام. هذا يضع كل البيانات الموجودة في النظام في خطر كبير.

الضغط المتزايد على المقاولين لتقديم المشاريع بشكل أسرع وبتكلفة أقل يتعارض مع إعطاء الأولوية للأمن والسلامة. يقول مات تراينر، مؤسس Hunter Strategy، إن المنظمات غالباً ما تُعاقب على الإبلاغ عن حوادث كهذه، حتى لو كان ذلك هو الشيء الصحيح والقانوني. هذا الوضع، الذي كان موجوداً قبل الذكاء الاصطناعي، أصبح الآن أكثر تعقيداً وسرعة مع دخول الذكاء الاصطناعي إلى المعادلة.

ماذا يعني هذا لشركة Accenture؟

تتعاقد Accenture حالياً بأكثر من 3.5 مليار دولار مع الحكومة الفيدرالية، منها ما يقرب من 605 مليون دولار مع وزارة الدفاع. هذا الحادث يثير تساؤلات جدية حول ممارسات الشركة الأمنية، خاصة وأن مكتب التحقيقات الفيدرالي (FBI) اكتشف في وقت سابق من هذا الشهر أن مقاولاً من Accenture فشل في إصلاح ثغرة أمنية أدت إلى حصول مجموعة قراصنة على تفاصيل آلاف الموظفين في المكتب. هذا يؤكد على أهمية اليقظة والالتزام بمعايير الأمن الصارمة، خصوصاً عند التعامل مع بيانات حساسة.