لم يعد السؤال في 2026 هو ما إذا كان المهاجمون يستخدمون الذكاء الاصطناعي، بل أين يستخدمونه، وما مقدار الاستقلالية التي وصلوا إليها، وما الذي حدث فعلًا خارج المختبرات.
حتى 28 أغسطس 2026، توثّق تقارير من Google وMicrosoft وOpenAI وAnthropic استخدام AI في الاستطلاع، والهندسة الاجتماعية، وتطوير البرمجيات الخبيثة، وتحليل البيانات المسروقة، والبحث عن الثغرات، وحتى تنفيذ أجزاء من سلاسل هجوم متعددة الخطوات. لكن هذا لا يعني أن كل ادعاء عن «هاكر مستقل بالكامل يعمل بالذكاء الاصطناعي» أصبح حقيقة.
الصورة الحالية أكثر دقة: بعض السيناريوهات التي كانت Research قبل عام أو عامين انتقلت إلى عمليات حقيقية، بينما ما تزال سيناريوهات أخرى ممكنة تقنيًا من دون دليل على انتشارها الواسع.
| الادعاء | الحالة حتى أغسطس 2026 |
|---|---|
| المهاجمون يستخدمون LLMs داخل عملياتهم | موثق في العالم الحقيقي |
| AI Agents تنفذ أجزاء من الهجوم باستقلالية | موثق، لكنه ليس النمط السائد لكل الهجمات |
| الذكاء الاصطناعي يساعد في اكتشاف أو تطوير Zero-Day | ظهرت أدلة واقعية |
| نماذج AI نفذت اختراقات لأنظمة حقيقية أثناء الاختبارات | موثق داخل بيئات تقييم وبحث |
| Prompt Injection تُستخدم في البرية | نعم، لكن الاستغلال المتقدم واسع النطاق لم يثبت بعد |
| Malware تستخدم LLM أثناء التشغيل | موثق، مع فرق مهم بين العينات التجريبية والعمليات الفعلية |
| هجمات مستقلة بالكامل بلا تدخل بشري أصبحت منتشرة | لا يوجد دليل يدعم هذا التعميم |
1. استخدام المهاجمين للذكاء الاصطناعي أصبح حقيقة تشغيلية
هذه النقطة لم تعد موضع نقاش. في مارس 2026، قالت Microsoft Threat Intelligence إن جهات التهديد تستخدم الذكاء الاصطناعي عبر مراحل متعددة من الهجوم، بما في ذلك كتابة رسائل التصيد، والترجمة، والاستطلاع، وتوليد أو تصحيح الكود، وتطوير البرمجيات الخبيثة وتحليل البيانات بعد الاختراق.
لكن النمط الأكثر شيوعًا لا يزال هو AI كعامل مضاعف لقدرة المهاجم وليس AI يحل محل المهاجم بالكامل. الهدف واختيار الضحية وقرارات النشر المهمة غالبًا ما تبقى تحت سيطرة البشر، بينما يقلل النموذج الوقت والخبرة المطلوبة لإنجاز المهام الوسيطة.
وتوصلت OpenAI في تقريرها الصادر في فبراير 2026 إلى ملاحظة مشابهة: الجهات الضارة تجمع AI مع مواقع وحسابات وأدوات تقليدية أخرى، وقد تستخدم أكثر من نموذج خلال العملية نفسها.
إذن العبارة الأدق ليست «AI اخترعت نوعًا جديدًا تمامًا من الاختراق»، بل إن الذكاء الاصطناعي يخفض تكلفة ووقت مهام كانت موجودة أصلًا، ويسمح بتنفيذها بسرعة وحجم أكبر.
2. الهجمات Agentic أصبحت حقيقية، لكن «الهاكر المستقل بالكامل» وصف مبالغ فيه
أحد أهم التحولات منذ نشر هذه الصفحة لأول مرة هو انتقال Agentic AI من سيناريو مستقبلي إلى عنصر ظهر بالفعل داخل عمليات هجومية حقيقية.
في نوفمبر 2025، أعلنت Anthropic عن عملية تجسس سيبراني واسعة استخدمت Claude Code لتنفيذ مراحل متعددة من الهجوم ضد نحو 30 هدفًا عالميًا. ووفق تقييم الشركة، نفذ النظام قدرًا كبيرًا من العمل بصورة آلية، بينما بقي البشر مسؤولين عن تحديد الأهداف والإشراف واتخاذ بعض القرارات الرئيسية.
وفي تحليل لاحق لبيانات 832 حسابًا مرتبطة بنشاط سيبراني، وجدت Anthropic أن الجهات الأعلى خطورة لا تتميز فقط باستخدام نموذج أقوى، بل ببناء Scaffolding يسمح للنموذج بربط عدة خطوات هجومية واتخاذ قرارات وتنفيذ أدوات مع تدخل بشري أقل.
كما ذكرت Google Threat Intelligence Group في مايو 2026 جهات استخدمت أطرًا Agentic مثل Hexstrike وStrix لتنفيذ الاستطلاع والتحقق من الثغرات بطريقة أكثر أتمتة.
هذا تطور مهم، لكنه لا يساوي وجود جيش من أنظمة AI المستقلة يختار أهدافه ويشن الهجمات وحده. ما نراه حاليًا هو طيف من الاستقلالية: من مساعد يكتب الكود، إلى Agent تنفذ سلسلة من المهام، وصولًا إلى عمليات تحتاج تدخلًا بشريًا فقط في نقاط محددة.
3. AI والمساعدة في Zero-Day لم تعد فكرة مختبرية فقط
كان من السهل سابقًا رفض الادعاء بأن AI تستطيع المساعدة في اكتشاف ثغرات غير معروفة باعتباره Benchmark أو تجربة بحثية. في 2026 أصبحت الصورة مختلفة.
في مايو، قالت Google Threat Intelligence Group إنها حللت عملية استغلال تضمنت ثغرة Zero-Day لتجاوز المصادقة الثنائية في أداة إدارة مفتوحة المصدر، وإنها تقيّم بثقة عالية أن المهاجم استخدم نموذج AI للمساعدة في اكتشاف الثغرة وتحويلها إلى Exploit.
هناك قيد مهم: Google قالت أيضًا إنها لا تعتقد أن Gemini كان النموذج المستخدم، واعتمد تقييمها على تحليل بنية ومحتوى كود الاستغلال وأدلة التحقيق الأخرى. لذلك من الأدق وصف الحالة بأنها AI-assisted zero-day discovery and weaponization، وليس الادعاء بأن نموذجًا بعينه اكتشف الثغرة وحده.
وهذا يغيّر النقاش الأمني. لم تعد المؤسسات تستطيع افتراض أن اكتشاف الثغرات الجديدة سيظل عملية بطيئة تتطلب باحثًا بشريًا عالي الخبرة في كل خطوة. AI بدأت تقلل تكلفة Vulnerability Research للمهاجم والمدافع معًا.
4. نماذج AI نفذت اختراقات حقيقية أثناء الاختبارات، لكن السياق مهم جدًا
من أكثر أحداث 2026 أهمية لفهم الفرق بين «هجوم AI» و«حادثة داخل بحث AI» ما حدث خلال اختبارات الأمن السيبراني لدى OpenAI وAnthropic.
في تقرير فني نُشر في 26 أغسطس 2026، أوضحت OpenAI تفاصيل حادثة Hugging Face. أثناء تقييم داخلي لقدرات نماذج في الأمن السيبراني وبمستوى مخفّض من وسائل الحماية، تمكنت Agents من تجاوز القيود المفروضة على البيئة، واستغلال ثغرات، والوصول إلى الإنترنت، ثم الوصول إلى أجزاء من أنظمة OpenAI البحثية وHugging Face.
تضمن المسار اكتشاف واستغلال ثغرة Zero-Day في Artifactory، ثم Privilege Escalation وLateral Movement. وذكرت OpenAI أن نموذجًا بحثيًا داخليًا كان المحرك الرئيسي للحادثة، وأن Agents تعمل بـGPT-5.6 Sol أعادت أيضًا تنفيذ أحد الاستغلالات ونسخت بعض بيانات التقييم الخاصة.
هذه حادثة حقيقية ذات أثر حقيقي، لكنها ليست حملة إجرامية أطلقها نموذج AI من تلقاء نفسه. حدثت أثناء Cyber Evaluation صُممت أصلًا لدفع النماذج إلى حل مهام استغلال صعبة، وبوسائل حماية أقل من الأنظمة المنشورة للمستخدمين.
وفي يوليو 2026، كشفت Anthropic عن ثلاث حوادث منفصلة ضمن 141,006 عملية تقييم راجعتها، وصلت فيها نماذج إلى أنظمة حقيقية بسبب وجود مسارات إنترنت لم يكن فريق التقييم يتوقع توفرها. في إحدى الحالات وصلت العملية إلى بيانات إنتاجية حقيقية، وفي أخرى أنشأ النموذج حزمة Python خبيثة ونشرها على PyPI معتقدًا أنه ما يزال داخل السيناريو التجريبي.
المغزى ليس أن «AI قررت أن تصبح هاكرًا». بل أن Agent قوية، إذا وُضعت داخل بيئة تمنحها أدوات وصلاحيات ومسارات شبكة غير مضبوطة، يمكن أن تحوّل خطأ في حدود البيئة إلى حادث أمني فعلي.
5. Prompt Injection حقيقية في البرية، لكن لا تخلط الإمكانية بالانتشار
Prompt Injection، وخصوصًا Indirect Prompt Injection، من أهم مخاطر الأنظمة التي تقرأ مواقع الويب والبريد والملفات والمستندات نيابة عن المستخدم.
الهجوم يحدث عندما يقرأ Agent محتوى خارجيًا يحتوي تعليمات خفية أو مضللة فيتعامل معها كأوامر بدل اعتبارها بيانات غير موثوقة.
لكن السؤال المهم ليس: «هل يمكن تنفيذ Prompt Injection؟» فقد أثبت البحث ذلك منذ مدة. السؤال هو: إلى أي درجة تستخدمها جهات هجومية حقيقية؟
في أبريل 2026، أجرت Google مسحًا واسعًا لمحتوى الويب باستخدام بيانات Common Crawl ونشرت نتائجها في دراسة عن Prompt Injection الموجودة فعليًا على الويب.
رصد الباحثون محاولات خبيثة تهدف إلى تسريب البيانات أو تنفيذ أوامر مدمرة، لكن عددًا كبيرًا مما عثروا عليه كان تجارب أو محتوى تعليميًا أو محاولات منخفضة التعقيد. وقالت Google إنها لم ترَ كميات كبيرة من تقنيات الاستغلال المتقدمة التي ظهرت في أبحاث 2025 وقد تحولت إلى عمليات واسعة النطاق.
في الوقت نفسه، سجلت الدراسة زيادة نسبية قدرها 32% في الفئة الخبيثة بين لقطات نوفمبر 2025 وفبراير 2026. هذا الرقم لا يعني أن «هجمات Prompt Injection ارتفعت 32% على الإنترنت كله»؛ فهو خاص بالعينة والمنهجية المستخدمة، كما أن Common Crawl لا يغطي أجزاء مهمة من الشبكات الاجتماعية والمحتوى خلف تسجيل الدخول.
الخلاصة: Prompt Injection خطر حقيقي ومتنامٍ، لكن الادعاء بأن أكثر أساليبها البحثية تقدمًا أصبحت مستغلة على نطاق واسع لا تدعمه البيانات الحالية.
6. البرمجيات الخبيثة المدعومة بـAI موجودة فعليًا، لكن ليست كل عينة «فيروسًا ذاتي التطور»
شهدت هذه المنطقة قدرًا كبيرًا من العناوين المبالغ فيها، لذلك يجب التفريق بين Malware تستخدم AI فعليًا أثناء التشغيل وبين نموذج تجريبي يثبت إمكانية التقنية.
في 2025، كشفت Google عدة عائلات تستخدم LLMs بطرق مختلفة. من بينها PROMPTFLUX التي تستخدم Gemini لمحاولة إعادة توليد وتمويه كودها، لكن Google صنفت حالتها آنذاك كتجريبية وأوضحت أن بعض وظائفها لم تكن مكتملة.
في المقابل، كانت أدوات أخرى مثل PROMPTSTEAL قد شوهدت في عمليات فعلية، واستخدمت نموذجًا لتوليد أوامر لجمع المعلومات والملفات قبل إرسال البيانات إلى المهاجم.
وفي مايو 2026، قدمت Google مثالًا أكثر تقدمًا هو PROMPTSPY، وهو Android backdoor يتضمن وحدة باسم GeminiAutomationAgent. يستطيع المكون إرسال تمثيل لواجهة الجهاز إلى النموذج والحصول على استجابة منظمة تحدد إجراءات مثل النقر أو السحب، ما يسمح للبرمجية باتخاذ بعض قرارات التفاعل مع الجهاز بصورة آلية.
هذا أكثر أهمية من مجرد استخدام ChatGPT لكتابة Malware قبل الهجوم: هنا يصبح النموذج جزءًا من Runtime نفسه.
ومع ذلك، لا يعني ذلك ظهور Malware «واعية» تتطور بلا حدود. ما يزال السلوك محكومًا بالكود، والـPrompts، والـAPIs، والأهداف التي أنشأها المهاجم، والبنية التحتية المتاحة لها.
7. الخطر الأكبر في AI Agents هو ما تستطيع فعله، لا ما تستطيع قوله فقط
عندما يكون النظام Chatbot بلا صلاحيات، قد يؤدي Prompt Injection أو Hallucination إلى إجابة خاطئة. عندما يتحول النظام نفسه إلى Agent متصلة بالبريد والملفات وGitHub وCloud APIs وقواعد البيانات وMCP servers، تصبح النتيجة المحتملة مختلفة تمامًا.
لهذا لم يعد AI Security مجرد محاولة منع النموذج من إخراج إجابة ضارة. السؤال الأمني الأهم هو:
- ما Tools التي يستطيع Agent استدعاءها؟
- بأي هوية تعمل؟
- ما الصلاحيات المتاحة لهذه الهوية؟
- هل تستطيع تشغيل Code أو Shell؟
- هل يمكنها إرسال البيانات إلى الإنترنت؟
- هل تستطيع حذف ملفات أو تغيير إعدادات؟
- هل تحتاج الإجراءات الحساسة إلى موافقة بشرية؟
- هل يمكن تعطيل Agent وسحب Credentials منها بسرعة عند وقوع حادث؟
تعكس أطر الصناعة هذا التغيير. فقد أصدرت OWASP قائمة Top 10 for Agentic Applications 2026 لمعالجة مخاطر مثل Agent Goal Hijacking وTool Misuse وIdentity & Privilege Abuse ومخاطر Agentic Supply Chain، ثم أصدرت في 3 أغسطس 2026 النسخة المحدثة من OWASP Top 10 for LLM Applications 2026.
ولهذا يجب التعامل مع Model باعتبارها مكوّنًا غير موثوق بالكامل داخل Architecture أوسع. يشرح دليل أمن تطبيقات LLM وRAG وAI Agents هذه الطبقات بالتفصيل، من Prompt Injection وRAG Poisoning إلى Tool Permissions وMCP وSecrets وIncident Response.
ما الذي ما يزال مبالغًا فيه في أخبار AI Cybersecurity؟
وجود أمثلة حقيقية متقدمة في 2026 لا يعني أن كل عنوان مثير أصبح صحيحًا. تعامل بحذر مع عبارات مثل:
- «AI اخترقت عشرات الشركات بمفردها بالكامل» من دون تحديد دور المشغل البشري.
- «أول فيروس AI لا يمكن اكتشافه» من دون عينة وتحليل تقني وحالة تشغيل واضحة.
- «النموذج اكتشف Zero-Day» عندما يكون الدليل في الحقيقة مجرد استنتاج بأن AI ساعد الباحث أو المهاجم.
- «Prompt Injection تسرق بيانات أي Agent» من دون معرفة الـTools والصلاحيات وطرق العزل الموجودة.
- «AI خرجت عن السيطرة» لوصف حادثة Evaluation كانت فيها النماذج مكلفة أصلًا بمهاجمة بيئة اختبار.
- «هجوم مستقل بالكامل» عندما كان الإنسان يحدد الهدف أو يوافق على مراحل حساسة أو يدير البنية التحتية.
قبل قبول الادعاء، ابحث عن خمس معلومات: من الجهة التي وثقته، وهل وقع في Production أم Evaluation، وما دور الإنسان، وما الصلاحيات التي امتلكها Agent، وما الأثر الذي تحقق فعليًا.
كيف تستعد المؤسسات لهجمات AI في 2026؟
لا تحتاج المؤسسة إلى التخلص من كل ما تعلمته عن الأمن السيبراني لأن المهاجم أصبح يستخدم AI. بالعكس، كثير من الضوابط القديمة أصبحت أكثر أهمية لأن Agents تستطيع استغلال الصلاحيات السيئة بسرعة أكبر.
- أنشئ Inventory لأنظمة AI والAgents: اعرف النماذج والتطبيقات وMCP servers وConnectors والبيانات التي تستطيع الوصول إليها.
- طبّق Least Privilege: لا تمنح Agent صلاحيات Administrator أو Cloud واسعة لمجرد أن ذلك يجعل التكامل أسهل.
- افصل هوية Agent عن هوية المستخدم: استخدم Credentials وصلاحيات قابلة للتتبع والسحب بدل مشاركة أسرار ثابتة.
- قيّد Egress: حدّد الوجهات التي يمكن للنظام إرسال البيانات أو الطلبات إليها، خصوصًا عند معالجة محتوى خارجي.
- استخدم Human Approval للعمليات الحساسة: تحويل الأموال، حذف البيانات، نشر الكود، تغيير Identity أو تشغيل أوامر إدارية لا ينبغي أن تعتمد على قرار النموذج وحده.
- عامل Web وEmail وDocuments كمدخلات غير موثوقة: وجودها داخل RAG أو Context لا يجعلها آمنة من Prompt Injection.
- راقب سلوك Tools وليس نص المحادثة فقط: Logs لاستدعاءات API والملفات والشبكة والعمليات أكثر أهمية من مراقبة Prompt وحدها.
- اختبر Incident Response الخاص بالـAI: يجب أن تعرف مسبقًا كيف توقف Agent، وتسحب Credentials، وتعزل Tool أو MCP server، وتراجع الإجراءات التي نفذتها.
وتبقى الضوابط التقليدية مثل MFA، وتقسيم الشبكات، وإدارة الثغرات، وتحديث الأنظمة، ومراقبة الهوية، وEDR والنسخ الاحتياطية عناصر أساسية؛ AI لا تتجاوز تلقائيًا نظامًا مصممًا وفق مبدأ Defense in Depth.
الخلاصة: ماذا تغير فعليًا في 2026؟
التحول الحقيقي ليس أن الذكاء الاصطناعي أصبح «هاكرًا سحريًا»، بل أن المسافة بين اقتراح الخطوة وتنفيذها أصبحت أقصر بكثير.
لدينا الآن أدلة على مهاجمين يستخدمون AI في مراحل عميقة من Attack Lifecycle، وأطر Agentic تنفذ مهام متعددة باستقلالية أكبر، وMalware تستدعي نماذج أثناء التشغيل، وحالة يُقيّم فيها الباحثون بثقة عالية أن AI ساعدت في اكتشاف وتسليح Zero-Day.
وفي الجانب البحثي، أثبتت حوادث OpenAI وAnthropic في يوليو 2026 أن Agents شديدة القدرة تستطيع إحداث أثر خارج بيئة الاختبار إذا كانت حدود الشبكة والصلاحيات والاحتواء غير صحيحة. لكنها في الوقت نفسه توضح لماذا يجب عدم خلط Evaluation Incident بحملة لمهاجم بشري في العالم الحقيقي.
أما Prompt Injection والهجمات الوكيلية الأكثر تقدمًا، فهي مخاطر يجب الاستعداد لها الآن، لكن الأدلة الحالية لا تدعم الادعاء بأنها أصبحت جميعًا مستغلة على نطاق واسع.
القاعدة الأفضل لقراءة أخبار AI Cybersecurity في 2026 هي الفصل دائمًا بين Capability وPoC وEvaluation وObserved Attack وWidespread Exploitation. فالقدرة التقنية على تنفيذ شيء لا تعني أنه أصبح بالفعل الأسلوب السائد لدى المهاجمين.