AI في الدفاع السيبراني
كيف تغيّر AI الدفاع السيبراني عبر دورة حياة الحوادث السيبرانية
يهدف الدفاع السيبراني إلى حماية الأنظمة والشبكات والبيانات من الاختراق أو التعطيل أو التدمير. و دورة حياة الحوادث السيبرانية يوفر طريقة مفيدة لفهم الدفاع السيبراني، حيث يقسمه إلى أربع مراحل:
- الوقاية: منع وتقليل مخاطر الحوادث وتقليل آثارها المحتملة.
- الاستعداد: تطوير الخطط والأدوات والقدرات لدعم الاستجابة الفعالة.
- الرد: وقف الحادث ومنع وقوع المزيد من الأضرار.
- التعافي: استعادة العمليات بسرعة والعودة إلى مستوى طبيعي أو أقوى من الأمان.
أصبح للذكاء الاصطناعي (AI) أهمية في جميع المراحل الأربع. على عكس الأدوات التقليدية التي تتناسب بدقة مع خطوة واحدة، فإن العديد من قدرات AI تتقاطع مع دورة الحياة: نفس التقنية التي تدعم التأهب يمكن أن تتيح أيضًا استجابة أسرع أو تساعد في التعافي. هذا التكامل يجعل AI قوية وصعبة التصنيف في آن واحد: لا تكمن قيمتها في تحسين المهام الفردية فحسب، بل في ربط المراحل معًا بسلاسة أكبر.
الوقاية
الاستعداد
الاستجابة
التعافي
تخطيط سطح الهجوم
المسح الضوئي للرموز
تلخيص البيانات
تصنيف البيانات
اكتشاف الحالات الشاذة
الكتابة والتحليل
البيانات التركيبية
إدارة الهوية والوصول
إدارة الهوية والوصول
تحليل السجل
تحليل البرمجيات الخبيثة
التدريب والمختبرات
التدريب والمختبرات
في الأقسام التالية، ندرس في الأقسام التالية تطبيقات AI الملموسة للدفاع السيبراني، ونوضح كيف أنها تنطبق على مراحل مختلفة من دورة حياة الحادث، وفي كثير من الحالات، تمتد على عدة مراحل في آن واحد.
تخطيط سطح الهجوم
يحدد تخطيط سطح الهجوم جميع الأصول ونقاط الدخول ونقاط الضعف التي يمكن للخصم استغلالها في الهجوم. ويوفر للمدافعين رؤية واضحة لما يمكن أن يتعرضوا له ويساعد في تحديد أولويات ما يجب تأمينه.
كيف يغير AI تخطيط سطح الهجوم:
تسليط الضوء على الحالة: استخدام الآليات طويلة الأجل لاكتشاف الأصول في البنية التحتية الحيوية
في عام 2025, لويجي كوبولينو وآخرون نشرت دراسة تُظهر كيف يمكن للنماذج اللغوية الكبيرة (LLMs) تحسين اكتشاف الأصول في البنى التحتية الحيوية. فالأدوات التقليدية مثل Nmap أو منصات الأمن الصناعي إما أنها تخاطر بتعطيل الأنظمة الحساسة من خلال عمليات المسح النشطة أو تفشل في اكتشاف الأجهزة المخفية عند الاعتماد فقط على المراقبة السلبية.
واقترح الباحثون إطار عمل "مزيج من الخبراء" قائم على نظام "LLM" يجمع بين البيانات المستمدة من المراقبة السلبية لحركة المرور والاستكشاف النشط المحدود بعناية والإشارات المادية مثل الانبعاثات الكهرومغناطيسية. ثم يقوم وكلاء LLM المتخصصون بتفسير هذه البيانات: يركز أحدهم على البروتوكولات الصناعية، وآخر على نقاط الضعف في شبكات تكنولوجيا المعلومات/التكنولوجيا التشغيلية، وآخر على بنية النظام وتبعياته.
يمكن للنظام أيضًا الاعتماد على مصادر استخبارات خارجية (مثل MITRE ATT&CK أو قواعد بيانات CVE) لتحديد نقاط الضعف والتوصية بتدابير أمنية. في الاختبارات التي أجريت على شبكة صناعية محاكاة، نجح النظام في تصنيف أصول مثل وحدات التحكم المنطقية القابلة للبرمجة والأذرع الآلية والطابعات بنجاح، مع الإشارة إلى الممارسات غير الآمنة مثل حركة مرور Modbus غير المشفرة.
يحول هذا النهج رسم خرائط سطح الهجوم إلى عملية تكيفية ومدركة للسياق توفر رؤية في الوقت الفعلي وتقلل من مخاطر المسح التقليدي. ومن خلال خفض الحواجز التقنية أمام المدافعين، فإنه يتيح مراقبة أكثر شمولاً ويعزز الوضع الأمني العام للبنية التحتية الحيوية.
-
أثر AI للكشف عن التهديدات - "AI للدفاع" (دوني دبليو ويندت 2024)
يوضّح الفصل كيف قامت AI بتطوير عملية الكشف عن التهديدات وفرزها، حيث تعالج نماذج التعلم الآلي كميات هائلة من البيانات غير المتجانسة لتحديد الهجمات المحتملة. وتسلط النتائج الضوء على كيفية تركيز التطبيقات المبكرة في العقد الأول من القرن الحادي والعشرين على اكتشاف البرمجيات الخبيثة والتطفل والبريد المزعج، مما يدل على قوة AI في تحليل مجموعات البيانات الكبيرة وتحسين أنظمة الكشف الحالية مع تعزيز وظائف الأمن السيبراني القائمة منذ فترة طويلة بشكل تدريجي. -
الجيل التالي من الكشف عن التهديدات - "إحداث ثورة في الأمن السيبراني: إطلاق العنان لقوة الذكاء الاصطناعي والتعلم الآلي" (Manoharan & Sarker 2022)
تُظهر الورقة البحثية كيف تُحدث تقنية AI والتعلم الآلي ثورة في الكشف عن التهديدات، مما يمكّن المؤسسات من اكتشاف الحالات الشاذة وتحليل الأنماط السلوكية والتنبؤ بالهجمات المحتملة. تسلط النتائج الضوء على كيف يمكن لتقنيات مثل البرمجة اللغوية العصبية لاستخراج معلومات التهديدات والتعلم العميق للتعرف على الأنماط أن تعمل على أتمتة الكشف والاستجابة، بينما تؤكد دراسات الحالة الواقعية فعاليتها.
مسح الرموز وتقييمها
يقوم فحص الشيفرة البرمجية بمراجعة التعليمات البرمجية المصدرية لاكتشاف الثغرات أو المكتبات غير الآمنة أو الممارسات الأمنية السيئة قبل أن يتم استغلالها.
كيف يغير AI مسح الرموز وتقييمها:
تعمل AI على تسريع عملية اكتشاف الثغرات الأمنية من خلال تسليط الضوء على الوظائف غير الآمنة وتحديد أنماط الترميز الخطرة المستفادة من عمليات الاستغلال السابقة. كما أنه يقدم اقتراحات علاجية تلقائية، مما يدعم المطورين في كتابة تعليمات برمجية أكثر أماناً ويقلل من الفرص المتاحة للمهاجمين.
تسليط الضوء على الحالة: استخدام أدوات المسح الضوئي للرموز البرمجية والتطوير الآمن
في عام 2025, بيلوزروف وآخرون في كيفية دعم النماذج اللغوية الكبيرة لممارسات الترميز الآمنة. اختبرت دراستهم ChatGPT مقارنةً بمجموعة بيانات DevGPT، والتي احتوت على كود مطور حقيقي إلى جانب الثغرات المعروفة التي تم الإبلاغ عنها بواسطة الماسحات الضوئية الثابتة. من بين 32 ثغرة مؤكدة اكتشف ChatGPT 18 ثغرة بشكل صحيح، بل واقترح إصلاحات ل 17 منها.
تُظهر النتائج كيف يمكن ل AI تقليل الجهد اليدوي في مراجعة التعليمات البرمجية والمساعدة في فرز أنماط الترميز الخطرة وتقديم اقتراحات علاجية آلية. وينطوي ذلك على إمكانية توسيع نطاق ممارسات الترميز الآمن وتقصير الفترة الزمنية التي تظل فيها الثغرات قابلة للاستغلال.
في الوقت نفسه، أكدت الدراسة على وجود قيود مهمة: أنتج برنامج ChatGPT في بعض الأحيان مخرجات مفرطة في الثقة ولكنها غير صحيحة، وأدخل عيوبًا جديدة عند محاولة الإصلاح، وكان أقل موثوقية من التحليل الثابت أو المراجعة البشرية الخبيرة. من النتائج الرئيسية المستخلصة من هذه الدراسة أن AI يمكن أن يكون مساعداً قوياً في تقييم الأكواد، ولكن فقط عندما يقترن بالأدوات التقليدية والإشراف المناسب.
-
المراجعة الآلية للأكواد البرمجية - "مراجعة تطبيق AI للأمن السيبراني: الفرص والمخاطر واستراتيجيات التخفيف من المخاطر" (نديبي وأوفومبا 2024)
وتوضح الورقة البحثية كيف يمكن لنماذج AI والنماذج اللغوية الكبيرة دعم المراجعات الآلية للأكواد البرمجية وتقييمات الثغرات، مما يساعد المؤسسات على الكشف الاستباقي عن نقاط الضعف في التعليمات البرمجية المصدرية وتقليل أوقات الاستجابة. كما تسلط النتائج الضوء أيضاً على المخاطر مثل التعليمات البرمجية غير الآمنة التي تم إنشاؤها بواسطة AI، مما يؤكد الحاجة إلى الرقابة البشرية وأطر الحوكمة. -
التعلم العميق القابل للتفسير للكشف عن الثغرات الأمنية - "الكشف عن الثغرات الأمنية مع تفسيرات دقيقة" (لي وآخرون 2021)
تقدم هذه الورقة البحثية نموذج IVDetect، وهو نموذج للتعلم العميق يكتشف الثغرات في الأكواد ويحدد العبارات والتبعيات المحددة المسؤولة عن ذلك. يحسّن IVDetect الدقة مقارنةً بأحدث الأدوات ويوفر تفسيرات دقيقة. تُظهر النتائج مكاسب كبيرة في أداء الكشف وتحديد أكثر دقة للأكواد البرمجية الضعيفة، مما يدعم كلاً من التحليل الآلي ومعالجة المطورين. -
الكشف عن الثغرات البرمجية متعددة اللغات - "الكشف عن الثغرات البرمجية عبر لغات البرمجة المختلفة باستخدام نماذج AI" (Humran & Sonmez 2025)
تبحث هذه الورقة البحثية في النماذج القائمة على المحولات، بما في ذلك CodeBERT و CodeLlama، للكشف عن الثغرات عبر لغات برمجة متعددة. من خلال الضبط الدقيق على مجموعات بيانات متنوعة، تلتقط النماذج كلاً من بناء الجملة والدلالات، وتحقق دقة تصل إلى 97%. تدمج الدراسة أيضًا أساليب التجميع وAI القابلة للتفسير لتقليل النتائج الإيجابية الخاطئة وتحسين ثقة المطورين. وتوضح الدراسة أن نماذج AI يمكن أن تتفوق على نماذج AI في الأداء على المحللات الثابتة التقليدية في الإعدادات متعددة اللغات، على الرغم من أن التحديات لا تزال قائمة في المتانة والدقة والجاهزية للنشر.
تلخيص البيانات
يعمل تلخيص البيانات على تلخيص كميات كبيرة من البيانات التقنية (مثل السجلات والتقارير ومعلومات التهديدات) إلى رؤى يسهل الوصول إليها.
كيف يغير AI تلخيص البيانات:
يقلل AI من الحمل المعرفي الزائد عن طريق تحويل المعلومات الخام وغير المنظمة إلى معلومات استخباراتية قابلة للتنفيذ. ويمكنه تحديد الأنماط المتكررة أو الحالات الشاذة عبر مجموعات البيانات المجزأة. ويمكنه أيضًا إنشاء تقارير بلغة بسيطة لغير المتخصصين. وبالتالي، فإن AI يجعل المعلومات أسهل في الاستهلاك والتواصل والتصرف بناءً عليها.
تسليط الضوء على الحالة: AI لتلخيص السجل والوعي الظرفي
في عام 2024, بالاسوبرامانيان وآخرون CYGENT، وهو عامل محادثة مدعوم من GPT-3 يمكنه تحليل سجلات النظام وتلخيصها. فبدلاً من مطالبة المحللين بالبحث في آلاف إدخالات السجلات الخام، يقوم CYGENT بتكثيفها في مخرجات قصيرة يمكن للبشر قراءتها وتسلط الضوء على الأحداث الرئيسية والحالات الشاذة.
في التقييمات، تفوقت CYGENT على نماذج لغوية كبيرة أخرى في إنتاج ملخصات واضحة وقابلة للتنفيذ. قلل النظام من العبء المعرفي الزائد، ودعم الوعي الظرفي أثناء الحوادث المباشرة، ومكّن من اتخاذ القرارات بشكل أسرع.
توضح هذه الحالة كيف يمكن لبرنامج AI تحويل البيانات التقنية الخام إلى معلومات استخباراتية يمكن الوصول إليها. ومن خلال تسهيل تفسير السجلات، يساعد ذلك المدافعين على الاستعداد بفعالية أكبر، والاستجابة بسرعة أكبر، والتعافي بتوثيق أفضل بعد الحوادث.
-
مجموعات بيانات تلخيص CTI - "CTISum: مجموعة بيانات معيارية جديدة لتلخيص معلومات التهديدات السيبرانية" (بينغ وآخرون 2024)
تقدم الورقة البحثية مجموعة بيانات CTISum، وهي مجموعة بيانات لتلخيص تقارير استخبارات التهديدات السيبرانية (CTI)، مما يسمح بتلخيص تقارير الاستخبارات المعقدة لمساعدة المدافعين على التخطيط والتقاط الدروس المستفادة بشكل أكثر فعالية. -
استخراج TTP - "TTPXHunter: استخلاص المعلومات الاستخبارية للتهديدات القابلة للتنفيذ في شكل تقارير التهديدات السيبرانية المنتهية" (راني وآخرون 2024)
تقترح هذه الورقة البحثية أداة TTPXHunter، وهي أداة قائمة على البرمجة اللغوية العصبية تستخرج تكتيكات المهاجمين وتقنياتهم وإجراءاتهم من تقارير التهديدات لفهم طريقة عملهم، وتحويل المعلومات الاستخباراتية غير المنظمة إلى ملخصات منظمة وقابلة للتنفيذ. -
البرمجة اللغوية اللغوية العصبية لتحليل الحوادث - "معالجة اللغة الطبيعية لتحليل حوادث الأمن السيبراني" (أوغوندايرو وبروكلين، 2024)
تستعرض الورقة البحثية تطبيقات البرمجة اللغوية العصبية لتحليل مصادر البيانات غير المهيكلة، باستخدام تقنيات البرمجة اللغوية العصبية (مثل التعرف على الكيانات، وتحليل المشاعر، والتلخيص، والفرز القائم على روبوتات الدردشة). وتخلص الورقة البحثية إلى أن البرمجة اللغوية العصبية يمكنها أتمتة الإبلاغ عن الحوادث وملخصات معلومات التهديدات، مما يقلل من أوقات الاستجابة ويحسن التوثيق بعد وقوع الحادث.
تصنيف البيانات
يعمل تصنيف البيانات على تنظيم المعلومات وفقاً لحساسيتها أو متطلبات الامتثال، مما يضمن حصول الأصول المهمة على الحماية المناسبة.
كيف يغير AI تصنيف البيانات:
يستخدم AI معالجة اللغة الطبيعية لوضع علامات تلقائيًا على المحتوى الحساس واكتشاف البيانات التي تم تصنيفها أو كشفها بشكل خاطئ على نطاق واسع.
تم تسليط الضوء على الحالة: AI لتصنيف البيانات الحساسة
في عام 2024, دي رينزيس وآخرون دراسة كيفية استخدام النماذج اللغوية الكبيرة لتحسين تصنيف المعلومات الحساسة. يتمثل التحدي الرئيسي في هذا المجال في أنه لا يمكن دائمًا استخدام البيانات الشخصية الحقيقية للتدريب بسبب مخاطر الخصوصية. اقترح المؤلفون توليد بيانات تدريب اصطناعية لا تزال تعكس أنماط الفئات الحساسة، مثل الصحة أو السياسة أو الدين.
وقد مكّن نهجهم من تدريب مصنفات دقيقة دون الكشف عن بيانات المستخدم الفعلية، مما يوضح كيف يمكن لـ AI مساعدة المؤسسات على الامتثال للوائح مثل اللائحة العامة لحماية البيانات مع زيادة قدرتها على اكتشاف المعلومات الحساسة وحمايتها. توضح هذه الحالة كيف تعزز تقنية AI كلاً من الوقاية (من خلال الحد من التعرض العرضي للبيانات) والتأهب (من خلال دعم أطر الامتثال). وفي الوقت نفسه، تؤكد في الوقت نفسه على أهمية الحوكمة والتحقق من الصحة لضمان أن تظل البيانات التركيبية والنماذج الناتجة عنها تمثيلية وموثوقة.
-
وضع العلامات القائمة على المحولات لفئات اللائحة العامة لحماية البيانات - "الكشف التلقائي عن البيانات الحساسة باستخدام المصنفات القائمة على المحولات" (بتروليني وآخرون 2022)
تطبق هذه الدراسة نماذج AI لوضع علامات تلقائيًا على النصوص الحساسة، التي تغطي مجالات مثل السياسة والصحة والدين والجنس، ضمن مجموعات كبيرة من المستندات. وهي توضح أن النُهج القائمة على المحولات يمكنها تصنيف مثل هذه البيانات بشكل موثوق، مما يدعم الامتثال للائحة العامة لحماية البيانات ويتيح وضع العلامات على نطاق واسع وبشكل آلي لتصنيف البيانات القائم على الامتثال. -
تحليل دلالي للكشف الآلي عن البيانات الحساسة - "التحديد الآلي للبيانات الحساسة من مواصفات المستخدم الضمنية (S3)" (يانغ وليانغ 2018)
تقدم هذه الورقة البحثية نظام S3، وهو نظام يحدد البيانات الحساسة في تطبيقات الأجهزة المحمولة من خلال تحليل الدلالات بدلاً من الاعتماد على الكلمات المفتاحية. ومن خلال تعلم تفضيلات خصوصية المستخدم، يحقق هذا النظام دقة أعلى من الأدوات التقليدية، مما يوضح كيف يمكن لنظام AI تكييف تصنيف البيانات مع سياقات العالم الحقيقي. تؤكد الدراسة على أن حساسية المعلومات تعتمد على كل من سياق التطبيق وتفضيلات المستخدم، وأن الحماية الفعالة في عصر السحابة تتطلب أولاً القدرة على تحديد هذه البيانات.
اكتشاف الشذوذ في نقطة النهاية أو الشبكة
يراقب الكشف عن الحالات الشاذة نقاط النهاية وحركة مرور الشبكة بحثاً عن السلوكيات غير الاعتيادية التي قد تشير إلى وجود اختراق.
كيف يقوم AI بتغيير نقطة النهاية واكتشاف الشذوذ في الشبكة:
يتعلم نظام AI كيف يبدو النشاط الطبيعي ويحدد الانحرافات التي قد تشير إلى نشاط ضار. وعلى عكس الأنظمة القائمة على التواقيع، يمكنه اكتشاف الاختراقات الأكثر دقة التي تتفادى الكشف التقليدي. يتيح نظام AI استجابة أسرع وأكثر فعالية للحوادث من خلال إعطاء الأولوية للتنبيهات وتقليل النتائج الإيجابية الخاطئة.
تسليط الضوء على الحالة: استخدام AI للكشف عن الحالات الشاذة في الأنظمة الحرجة
في عام 2024, نووي ونواغوغيغياغو فحصوا كيف يمكن للكشف عن الحالات الشاذة المستندة إلى تقنية AI تحسين الدفاع السيبراني عبر نقاط النهاية والشبكات. وباستخدام نماذج التعلم الآلي المدرّبة على الأنماط العادية لسلوك النظام وحركة مرور الشبكة، سمح لهم نهجهم بتحديد الانحرافات الدقيقة التي قد تغفلها الأنظمة التقليدية القائمة على التوقيع، بما في ذلك على سبيل المثال العلامات المبكرة للتهديدات الداخلية وخروقات البيانات.
وقدمت الدراسة أمثلة لحالات من قطاعات حيوية، حيث أظهرت أن الكشف عن الحالات الشاذة التي تدعمها تقنية AI قلل من أوقات الاستجابة وساعد في الحفاظ على استمرارية الأعمال من خلال الإبلاغ عن الأنشطة المشبوهة قبل أن تتسبب في أضرار جسيمة. وأقرّ المؤلفون أيضاً بالتحديات، بما في ذلك الإيجابيات الخاطئة والحاجة إلى الشفافية في نماذج AI المعقدة. توضح هذه الحالة كيف يساهم نظام AI في كل من التأهب (من خلال إنشاء خطوط أساس للنشاط العادي) والاستجابة (من خلال اكتشاف الحالات الشاذة وتحديد أولوياتها في الوقت الفعلي).
-
كشف الشذوذ القائم على شبكة GAN - "TadGAN: الكشف عن الشذوذ في السلاسل الزمنية باستخدام شبكات الخصومة التوليدية" (جيجر وآخرون 2020)
تقدم هذه الورقة البحثية TadGAN، وهو إطار عمل غير خاضع للإشراف يطبق شبكات الشبكة العالمية المتناسقة مع الدورات للكشف عن الحالات الشاذة في بيانات السلاسل الزمنية. من خلال الجمع بين أخطاء إعادة الإعمار والمخرجات الحرجة، يولد TadGAN درجات شذوذ موثوقة ويقلل من النتائج الإيجابية الخاطئة. وقد تم اختباره على 11 مجموعة بيانات معيارية من المجالات، وقد تفوّق باستمرار على أحدث الأساليب. تُظهر الدراسة كيف يمكن لشبكات GAN تحسين الكشف عن الشذوذات الزمنية الدقيقة عبر أنظمة العالم الحقيقي المتنوعة. -
التعلم الآلي لاكتشاف الشذوذ في البنية التحتية - "AI Defenders: كشف الشذوذ المدفوع بالتعلم الآلي في البنى التحتية الحرجة" (نيبيبي وآخرون. 2024)
تقارن هذه الورقة البحثية بين نماذج التعلم الآلي للكشف عن الحالات الشاذة في البنية التحتية الحرجة، باستخدام بيانات السلاسل الزمنية من محاكي النظام الهيدروليكي. وتميّز الورقة بين الحالات الشاذة النقطية (القيم المتطرفة الفردية) والحالات الشاذة السياقية (الانحرافات الظاهرة فقط في السياق) وتقارن النماذج البسيطة القابلة للتفسير (مثل الانحدار اللوجستي وأشجار القرار) مع نماذج الصندوق الأسود الأكثر تعقيدًا عبر مجموعات بيانات متسقة. والهدف من ذلك هو تقييم الأساليب الأفضل أداءً في البيئات الصناعية في العالم الحقيقي. تؤكد الورقة البحثية على أنه في حين أن النماذج المعقدة قد تسفر عن معدلات اكتشاف أعلى، إلا أن الأساليب الأبسط لا تزال تقدم مزايا في قابلية التفسير والمتانة في مجالات البنية التحتية الحساسة.
الكتابة العامة ومهام جمع/تحليل البيانات العامة
تنطوي العمليات الدفاعية أيضًا على الكتابة والبحث وتحليل البيانات على نطاق واسع لتوثيق الحوادث وإبلاغ القرارات وتدريب الموظفين.
كيف تقوم AI بتغيير مهام الكتابة العامة وجمع البيانات أو تحليلها:
يمكن لبرنامج AI صياغة التقارير والسياسات والإحاطات المتعلقة بالحوادث، مما يخفف العبء الإداري على المحللين. ويمكنه أتمتة جمع المعلومات الاستخبارية مفتوحة المصدر للتدريبات، مما يسمح للطلاب والمحترفين بالتركيز على التحليل والاستراتيجية على مستوى أعلى بدلاً من المهام المتكررة.
تسليط الضوء على الحالة: الجمع الآلي للمعلومات الاستخباراتية وإعداد التقارير
في عام 2024, غاو وآخرون وقدمت شركة ThreatKG، وهو نظام مدعوم من شركة AI يقوم تلقائيًا بجمع معلومات التهديدات الإلكترونية من المصادر المفتوحة، ويستخرج الكيانات الرئيسية مثل الجهات الفاعلة والثغرات، وينظمها في رسم بياني معرفي منظم. وبدلاً من قيام المحللين بقراءة التقارير الطويلة غير المنظمة يدوياً، يوفر النظام نظرة عامة موحدة وقابلة للبحث. وهذا يقلل من العبء الإداري للعمليات الدفاعية، ويدعم إنتاج تقارير موجزة عن الحوادث بشكل أسرع، ويحسن الوعي الظرفي أثناء التهديدات النشطة. ومن خلال تحويل المعلومات المجزأة إلى رؤى يسهل الوصول إليها، يتيح نظام ThreatKG للموظفين قضاء المزيد من الوقت في التفسير واتخاذ القرارات. توضح الدراسة كيف يمكن لنظام AI إعادة تشكيل العمل الدفاعي اليومي من خلال جعل جمع المعلومات الاستخباراتية أكثر كفاءة وقابلية للتنفيذ، مع تسليط الضوء أيضًا على الحاجة إلى الرقابة لضمان الدقة والملاءمة.
-
الحوكمة، والآثار الأخلاقية والقانونية والاجتماعية المترتبة على AI في مجال تحليل العمليات - "الاستخبارات مفتوحة المصدر وAI: مراجعة منهجية" (غيوني وآخرون 2023)
يستعرض هذا المقال 571 دراسة حول استخدام AI في استخبارات المصادر المفتوحة (OSINT)، ويبحث في حوكمتها وآثارها الأخلاقية والقانونية والاجتماعية. وقد خلصت المراجعة إلى أن تقنية AI قد وسّعت من قدرات الاستخبارات مفتوحة المصدر من خلال التعلم الآلي والتنقيب عن البيانات والطب الشرعي المرئي، ولكنها أثارت أيضًا مخاوف ملحة حول الخصوصية والمساءلة والتحيز وسوء الاستخدام. يسلط المؤلفون الضوء على الثغرات في التنظيم والرقابة والشفافية، داعين إلى وضع أطر عمل أقوى لضمان أن تدعم تقنية AI التي تعمل بتقنية AI عمليات الاستخبارات دون تقويض الحقوق أو الثقة أو المساءلة الديمقراطية. -
إنشاء التقارير آلياً - "AGIR: أتمتة تقارير استخبارات التهديدات السيبرانية مع توليد اللغة الطبيعية" (بيرينا وآخرون 2023)
تقدم هذه الورقة البحثية نظام AGIR، وهو نظام توليد لغة طبيعية يقوم بإنشاء تقارير شاملة لمبادرة التحول الرقمي من الرسوم البيانية الرسمية للكيانات. يقلل AGIR من وقت كتابة التقارير بأكثر من 40% مع الحفاظ على دقة وطلاقة عالية، مما يوضح كيف يمكن لـ AI أتمتة مهام صياغة التقارير وتحليلها، مما يحرر المحللين للتركيز على التفسير والاستراتيجية على مستوى أعلى.
توليد البيانات التركيبية
ينشئ توليد البيانات الاصطناعية مجموعات بيانات اصطناعية للتدريب أو الاختبار أو المحاكاة دون الكشف عن معلومات العالم الحقيقي الحساسة.
كيف يغير AI توليد البيانات التركيبية:
يمكن لـ AI إنتاج حركة مرور واقعية على الشبكة أو عينات من البرمجيات الخبيثة للاستخدام المختبري، وسد الثغرات حيث لا تتوفر بيانات العالم الحقيقي، وحماية الخصوصية مع تمكين التجريب. يساعد ذلك المعلمين والمدافعين على الاستعداد للحوادث الحقيقية دون المخاطرة بكشف البيانات الحساسة.
تسليط الضوء على الحالة: استخدام شبكات الشبكة العالمية لإنتاج بيانات تدريب آمنة وواقعية
في عام 2022, نوكافارابو وآخرون طوّر MirageNet، وهو إطار عمل يستخدم شبكات الخصومة التوليدية (GANs) لإنشاء حركة مرور شبكية اصطناعية واقعية. يمكن للنظام تكرار أنماط حركة مرور DNS والبروتوكولات الأخرى بطريقة تشبه إلى حد كبير بيانات العالم الحقيقي، ولكن دون الكشف عن معلومات حساسة من الشبكات الحية.
هذا الابتكار مهم لأن المدافعين والمعلمين غالبًا ما يحتاجون إلى بيانات واقعية للتدريب والاختبار والتجريب، ولكن لا يمكنهم دائمًا استخدام حركة المرور التشغيلية لأسباب تتعلق بالخصوصية أو الأمان. تتيح MirageNet المحاكاة الآمنة التي تهيئ المحللين للهجمات الحقيقية مع تجنب مخاطر الكشف عن البيانات. يسمح استخدام AI، وفي هذه الحالة شبكات GANs، بإجراء تجارب أكثر أمانًا وقابلية للتطوير. في الوقت نفسه، يظل من المهم التحقق من أن البيانات الاصطناعية تعكس حقاً الظروف التشغيلية الحقيقية، مما يضمن أن يظل التدريب والاختبار موثوقاً.
-
التعلّم العميق لنمذجة حركة مرور الشبكات الاصطناعية - "STAN: توليد حركة مرور الشبكة الاصطناعية باستخدام النماذج العصبية التوليدية" (شو وآخرون 2021)
تعرض الورقة البحثية STAN (توليد حركة مرور الشبكة الاصطناعية باستخدام النماذج العصبية الانحدارية الذاتية الانحدار)، وهي بنية عصبية تصوغ كلاً من التبعيات الزمنية والسمات في حركة مرور الشبكة لتوليد مجموعات بيانات واقعية. تُظهر النتائج أن نماذج الكشف عن الشذوذ التي تم تدريبها على حركة المرور الاصطناعية في STAN حققت دقة شبه قابلة للمقارنة مع تلك التي تم تدريبها على بيانات حقيقية، مما يوضح كيف يتيح التعلم العميق مجموعات بيانات اصطناعية عالية الجودة للتدريب والمحاكاة في مجال التأهب مع الحفاظ على الخصوصية. -
تقييم طرق توليد حركة المرور الاصطناعية - "توليد بيانات حركة مرور الشبكة الاصطناعية: دراسة مقارنة" (عمارة وآخرون، 2025)
تقيّم هذه الدراسة اثنتي عشرة طريقة لتوليد حركة المرور الاصطناعية، بما في ذلك الأساليب الإحصائية ونهج AI الكلاسيكية ونهج AI التوليدية باستخدام مجموعات بيانات قياسية. تُظهر النتائج أن النماذج القائمة على شبكة GAN توفر دقة وفائدة أعلى، بينما تحافظ الأساليب الإحصائية على التوازن الطبقي ولكنها تفتقد التعقيد الهيكلي.
إدارة الهوية والوصول (IAM)
تضمن إدارة الهوية والوصول (IAM) أن المستخدمين المصرح لهم فقط هم من لديهم صلاحية الوصول المناسب إلى الأنظمة والموارد.
كيف يغير AI إدارة الهوية والوصول:
يعمل AI على تعزيز إدارة عمليات الوصول إلى الحسابات IAM من خلال اكتشاف أنماط تسجيل الدخول الشاذة التي قد تشير إلى إساءة استخدام بيانات الاعتماد، والتوصية بنهج مصادقة متكيفة وأتمتة عمليات التحقق الروتينية. أثناء الحوادث، يمكنه الإبلاغ بسرعة عن الحسابات المخترقة وتفعيل ضوابط أقوى لاحتواء التهديدات.
تسليط الضوء على القضية: الكشف عن وصول غير عادي وغير مناسب
في عام 2024, البيع إجراء دراسة لإثبات صحة المفهوم حول تطبيق AI على أنظمة إدارة عمليات الوصول إلى المعلومات. من خلال دمج نموذج الكشف عن الحالات الشاذة في نظام أساسي مباشر لإدارة عمليات الوصول والمصادقة (IAM)، تمكن النظام من الإبلاغ عن سلوك تسجيل الدخول غير المعتاد وامتيازات الوصول غير المناسبة. يسمح هذا النهج للمؤسسات باكتشاف الحسابات المخترقة أو إساءة الاستخدام من الداخل بسرعة أكبر وتكييف سياسات المصادقة ديناميكيًا عند اكتشاف المخاطر. وجدت الدراسة مكاسب واضحة من حيث الكفاءة مع التأكيد على الحاجة المستمرة للإشراف البشري لتفسير الحالات الشاذة التي تم الإبلاغ عنها وتجنب التعطيل غير الضروري. وبالتالي، تسمح تقنية AI بتعزيز التحكم اليومي في الوصول ويمكنها تحويل إدارة الوصول المُدارة إلى خط دفاع أكثر تكيفاً واستباقية.
-
مراجعة حسابات البنية التحتية الحيوية - "AI-تدقيق IAM المدعوم من AI للكشف عن الحالات الشاذة في البنية التحتية الحرجة" (رودريغيز وآخرون 2025)
تقترح الورقة البحثية إطار تدقيق AI مدعومًا بـ AI يجمع بين هندسة السمات والكشف عن الشذوذ غير الخاضع للإشراف والتصنيف الخاضع للإشراف لتحليل سجلات IAM. على مجموعة بيانات اصطناعية مصممة على غرار البنية التحتية الحرجة، حقق النظام معدل اكتشاف 92% مع معدل إيجابي كاذب أقل من 3%. توضح النتائج كيف يعزز نظام AI من تدقيق سجلات IAM، مما يتيح الكشف الاستباقي عن التهديدات الداخلية وحالات الوصول الخفية التي غالباً ما تغفلها الطرق التقليدية.
تحليل السجل
يفحص تحليل السجلات سجلات النظام والسجلات الأمنية لاكتشاف الحوادث والتحقيق فيها وفهمها.
كيف يقوم AI بتغيير تحليل السجل:
يمكن لنظام AI معالجة كميات هائلة من السجلات في الوقت الفعلي، وتسليط الضوء على تسلسل الأحداث غير الاعتيادية، وإنشاء ملخصات موجزة. وهذا يحسّن من عملية الكشف ويسمح بتدريس ومحاكاة الحوادث بشكل أسرع.
تسليط الضوء على الحالة: وكلاء AI لتحليل السجلات واكتشاف أنماط التهديدات
في عام 2025, كارارسلان وآخرون فحصت كيف يمكن لعوامل AI دعم تحليل السجلات المكثفة التي تولدها روبوتات العسل من كاوري. تقوم روبوتات العسل بتقليد الأنظمة الضعيفة عمداً لجذب المهاجمين، ولكن النتيجة هي حجم هائل من البيانات الخام التي يصعب على المحللين البشريين تفسيرها.
وأظهر الباحثون أن وكلاء AI يمكنهم تحليل هذه السجلات وتلخيصها تلقائيًا، واستخراج أنماط الهجمات المتكررة وإعداد تقارير موجزة. تقلل هذه الأتمتة من الجهد اليدوي، وتعزز الوعي الظرفي، وتسمح للمدافعين باكتشاف الاتجاهات وتعديل التدابير الأمنية بسرعة أكبر. توضح الدراسة كيف يمكن ل AI تحويل مجموعات البيانات التي لا يمكن إدارتها إلى معلومات استخباراتية قابلة للتنفيذ، مع التأكيد على الحاجة إلى التحقق من صحة المخرجات بعناية حتى لا يتم قراءة تكتيكات الخصوم المتطورة أو المخادعة بشكل خاطئ.
-
تحليل السجل الخاضع للإشراف الذاتي - "تحليل سجل AI المدفوع بـ AI باستخدام تركيبات المحولات" (بان 2023)
تستكشف هذه الدراسة كيف يمكن لنموذج AI أن يدعم تحليل السجل للكشف عن الحوادث والتحقيق فيها. وباستخدام نموذج محول تم تدريبه على إدخالات السجل العادية، يطبق النهج زيادة السجل للتعلم الذاتي للميزات الخاضعة للإشراف، ثم يقوم بضبط النموذج مع التعلم المعزز على مجموعة بيانات صغيرة ذات تسميات. تشير النتائج إلى أن هذه الطريقة يمكن أن تتغلب على تحديات مصادر السجلات غير المتجانسة والبيانات الموسومة النادرة، مما يبشر بالنشر العملي والواقعي في عمليات الأمن السيبراني. -
تحليل السجل القائم على التعلم العميق للكشف عن التسلل - "تصنيف سجلات أحداث الهجمات الإلكترونية باستخدام التعلم العميق مع تحليل السمات الدلالية" (الزعبي وآخرون 2025)
تقترح هذه الدراسة إطارًا قائمًا على التعلّم العميق باستخدام التحويل الدلالي والتضمين الدلالي لـ BERT لتحليل سجلات الأحداث للكشف عن التسلل. من خلال تصنيف السجلات حسب أنواع الأحداث والهجمات مع AI القابلة للتفسير في AI، يحسّن النهج دقة الكشف، ويحقق أكثر من 99% استدعاء ودقة أكثر من 99%، ويتفوق على النماذج الحالية.
تحليل البرمجيات الخبيثة
يقوم تحليل البرمجيات الخبيثة بالتحقيق في البرمجيات الخبيثة لفهم سلوكها وأصلها وتأثيرها المحتمل.
كيف يغير AI من تحليل البرمجيات الخبيثة:
يعمل AI على تسريع عملية التصنيف من خلال تحديد أوجه التشابه في الشيفرات البرمجية عبر عائلات البرمجيات الخبيثة وتوليد تفسيرات لتنفيذ صندوق الرمل. ويساعد المحللين على فهم كيفية عمل البرمجيات الخبيثة بسرعة، مما يدعم الاستجابة الأسرع والتخفيف من آثارها بشكل أكثر فعالية.
تسليط الضوء على الحالة: تفكيك البرمجيات الخبيثة بمساعدة AI
في عام 2025, أبفريل وناكوف قام بتقييم R2AI، وهو مكون إضافي AI لمفكك Radare2 على عينات حديثة من البرمجيات الخبيثة لنظام لينكس وإنترنت الأشياء. يدمج النظام برمجيات LLMs في عملية الهندسة العكسية، مما يساعد المحللين على تفكيك الدوال، وإعادة تسمية المتغيرات، وتحديد السلوكيات المشبوهة. وقد أظهرت دراستهم أن مساعدة AI يمكن أن تقلل وقت التحليل من عدة أيام إلى النصف تقريباً، مع الحفاظ على جودة مساوية أو أفضل من التحليل البشري فقط. على سبيل المثال، في حالة البرمجية الخبيثة Linux/Devura، استنتجت AI بشكل صحيح تنسيقات الوسيطة التي فاتت المحللين البشريين. ومع ذلك، لا تزال هناك قيود: فقد أنتجت النماذج أحيانًا هلوسات أو مبالغات أو حذفات، وتطلبت التحقق المستمر من صحة النماذج من قبل خبراء مهرة. تُشير النتائج إلى أن التفكيك بمساعدة AI هو الأكثر فعالية كمضاعف للقوة، مما يسرّع عملية الفرز ويكشف التفاصيل بسرعة أكبر، مع الاعتماد في الوقت نفسه على الإشراف البشري لضمان الدقة وتجنب سوء التفسير.
-
التجزئة الدلالية للتصنيف - "التعلم العميق مع التقسيم الدلالي لتصنيف البرامج الضارة" (تشين وآخرون 2025)
توضّح الدراسة أن تطبيق AI على أجزاء مختارة من ملفات البرمجيات الخبيثة، بدلاً من تطبيق تسلسل الملفات بالكامل، يمكن أن يحسّن الأداء بشكل كبير. من خلال التركيز على بيانات رأس الملفّات القابلة للتنفيذ المحمولة، حقق نموذجهم دقة 99.54% في تصنيف عائلات البرمجيات الخبيثة. يشير هذا إلى أن استهداف أقسام التعليمات البرمجية الأكثر إفادةً يُمكّن من اكتشاف التهديدات بشكل أسرع وأكثر موثوقية. -
التعلُّم القليل من الطلقات القليلة للبرمجيات الخبيثة الجديدة - "نهج لتصنيف البرمجيات الخبيثة قليل اللقطات للتعرف على عائلة غير معروفة باستخدام تصور ميزات البرمجيات الخبيثة" (كونتي وآخرون 2022)
تقترح هذه الورقة البحثية استخدام التعلّم بقليل من اللقطات لتصنيف عائلات البرمجيات الخبيثة مع عدد قليل من الأمثلة، مما يجنب الحاجة إلى إعادة تدريب النماذج كلما ظهرت برمجيات خبيثة جديدة. من خلال تصور ثنائيات البرمجيات الخبيثة كصور ثلاثية القنوات واختبار بنيتين (CSNN و Shallow-FS)، تُظهر الدراسة دقة عالية في تصنيف البرمجيات الخبيثة التقليدية والجديدة على حد سواء. وهذا يدل على إمكانات النُهج قليلة الطلقات في تحسين القدرة على التكيف والسرعة في اكتشاف التهديدات الناشئة.
التدريب والمختبرات
يوفر التدريب والمختبرات بيئات خاضعة للرقابة للتدريب العملي والمحاكاة في مجال الأمن السيبراني.
كيف يغير AI التدريب والمختبرات:
يمكن ل AI إنشاء سيناريوهات مختبرية ديناميكية مصممة خصيصًا لتقدم المتعلم، وإنشاء تحديات تكيفية متفاوتة الصعوبة، وأتمتة التغذية الراجعة والتقييم. وهذا يدعم تدريباً أكثر واقعية وقابلية للتطوير.
تسليط الضوء على الحالة: نطاقات AI الإلكترونية التي تعمل بالطاقة AI للتدريب التكيفي
في عام 2025, سيسوديا وآخرونمجموعة إلكترونية مدعومة بتقنية AI مصممة لتحسين واقعية وفعالية التدريب على الأمن السيبراني. على عكس المختبرات الثابتة التقليدية، تستخدم المنصة AI لضبط صعوبة السيناريوهات وفقاً لتقدم المتعلم، وحقن أحداث هجوم واقعية، وتقديم ملاحظات تلقائية.
ووجدت الدراسة أن الطلاب الذين تم تدريبهم في هذه البيئة حققوا دقة أعلى في الكشف عن الحوادث وتقليل أوقات التخفيف من آثارها مقارنةً بالمناهج التقليدية. بالنسبة للمعلمين، يتيح النظام إمكانية توسيع نطاق التدريبات وتخصيص التحديات ودمج الدروس المستفادة من الحوادث الحقيقية في عمليات المحاكاة.
ومن الناحية التقنية، أظهر البحث أيضاً أن البنى الهجينة، التي تجمع بين قابلية التوسع السحابي ودقة الأنظمة المادية، تقدم سيناريوهات أكثر واقعية وتكيّفاً. تسلط النتائج الضوء على الكيفية التي يمكن من خلالها أن تحوّل AI التدريب من تمارين ثابتة إلى بيئات تعليمية ديناميكية تُعد الطلاب والمهنيين بشكل أفضل لمواجهة التهديدات السيبرانية الحقيقية.
-
أساليب التدريب على الأمن السيبراني - "مراجعة منهجية لأساليب التدريب الحالية في مجال الأمن السيبراني" (برومر وآخرون 2024)
تُظهر الورقة البحثية أن مجموعة واسعة من مناهج التدريب على الأمن السيبراني، بما في ذلك الأساليب القائمة على الألعاب، تُحسّن سلوك المستخدم النهائي والنتائج الأمنية التنظيمية. تسلط النتائج الضوء على فعالية برامج التدريب المنظمة، ولكنها تكشف أيضًا عن تحديات مثل صغر حجم العينة والتصاميم غير التجريبية. وهذا يؤكد على قيمة دمج AI في التدريب والمختبرات لتوسيع نطاق التدخلات وتخصيص المحتوى وإنشاء تمارين تكيفية تتغلب على قيود الأساليب التقليدية.
أسئلة للمناقشة
- أي مرحلة من مراحل دورة حياة الحوادث السيبرانية (الوقاية والتأهب والاستجابة والتعافي) من المرجح أن تتغير من خلال AI في المستقبل، وما هي المرحلة التي تحدث فيها AI حالياً أكبر فرق؟ أين تبدو AI الأقل فعالية؟
- هل تعمل AI على تحويل ميزان القوى في الفضاء الإلكتروني نحو المدافعين، أم أنها تساعد المهاجمين في الغالب على الاحتفاظ باليد العليا؟
- هل ستعمل أدوات AI مفتوحة المصدر والمتاحة على نطاق واسع على تكافؤ الفرص أمام صغار المدافعين، أم أن الأنظمة المتقدمة المملوكة للشركات الكبيرة ستظل تمنح المؤسسات الكبيرة ميزة ساحقة؟
- كيف يمكن لقدرة AI على أتمتة الكشف والفرز والاستجابة أن تغير سرعة وطبيعة العمليات الدفاعية؟ هل يمكن أن يجعل هذا "نماذج مراكز العمليات الأمنية الخاصة التقليدية" بالية؟
- هل يمكن أن يصبح المدافعون معتمدين أكثر من اللازم على AI، مما يؤدي إلى نقاط عمياء إذا فشلت النماذج أو تم تسميمها أو خداعها من قبل مدخلات الخصم؟
- من يتحمل المسؤولية إذا أغفلت أنظمة AI التهديدات الحرجة أو قدمت توصيات خاطئة: المطورون أو المؤسسات التي تنشرها أو المحللون البشريون الذين يعتمدون عليها؟
- كيف يجب على صانعي السياسات تشجيع الاستخدام المسؤول لتقنية AI في مجال الدفاع دون خنق الابتكار أو الحد من وصول المعلمين والمؤسسات الصغيرة؟
- مع اعتماد كل من المهاجمين والمدافعين على حد سواء على تقنية AI، هل سيتطور الصراع السيبراني إلى مسابقة "الدفاع المستقل مقابل الهجوم المستقل"؟
