تهدید امنیتی تازه در اکوسیستم هوش مصنوعی

تحلیلگران امنیتی اخیراً بدافزاری به نام NIK C2 را شناسایی کرده‌اند که ویژگی‌های خطرناکی برای کاربران سازنده مدل‌های زبانی بزرگ، به ویژه OpenAI، دارد. این بدافزار علاوه بر قابلیتهای کلاسیک سرور فرمان‌دهی و کنترل (C2)، مکانیزمی برای یافتن و ارتکاز بر کلیدهای API ذخیره‌شده در سیستم قربانی طراحی شده است.

با دسترسی به این کلیدها، مهاجم می‌تواند بلافاصله از ظرفیت هوش مصنوعی حساب قربانی برای پردازش درخواست‌های خود استفاده کند. این روش باعث می‌شود هزینه API بر عهده قربانی بیفتد و همچنین خلوص اعتبارات هوش مصنوعی وی به خطر بیفتد.

نقش کلیدهای API در حملات مدرن

کلیدهای API گواهی دسترسی به سرویس‌های ابری و هوش مصنوعی هستند. در حین توسعه نرم‌افزار، توسعه‌دهندگان اغلب این کلیدها را در کد ماژول یا متغیرهای محیطی درون سیستم خود نگه می‌دارند. بازمسیری‌کننده‌های نانون (C&C) جدید مانند NIK C2، این فضای حافظه را اسکن کرده و کلیدهای معتبر مرتبط با سرویس‌هایی مانند OpenAI و Anthropic را شناسایی می‌کنند.

  • اسناریو حملات غیرمستقیم: مهاجم با استفاده از کلید قربانی، از پرامپت‌های پیچیده استفاده می‌کند تا کدهای آسیب‌رسان تولید کند.
  • استفاده اعتباری (Credential Stuffing): آزمایش مدل‌ها با اعتبارات دزدیده شده برای دور زدن محدودیت‌های نرخ (Rate Limiting).
  • توسعه حملات: استفاده از خروجی مدل هوش مصنوعی برای ایجاد بدافزارهای سفارشی روی دیگر قربانیان.

راهکارهای دفاعی برای توسعه دهندگان

برای جلوگیری از چنین تهدیدهایی، امنیت کلیدهای دسترسی باید به عنوان اولویت اصلی در نظر گرفته شود. استفاده از مراکز مدیریت رمز عبور (Secret Management) به جای هاردکد کردن کلیدها در کد منبع، یک ضرورت است. همچنین، نظارت بر مصرف API برای شناسابی افزایش‌های غیرعادی در ترافیک درخواست‌ها، به توسعه‌دهندگان کمک می‌کند تا خروج کلیدها را به سرعت کشف کنند.

تصویرسازی از ربات‌های هوش مصنوعی به‌عنوان ابزارهای مهاکmé، نشان‌دهنده دو لبه بودن این فناوری است. کاربران نهایی و توسعه‌دهندگان باید آگاهی خود را از اصول امنیت سایبری، به‌ویژه در مدیریت توکن‌های دسترسی، افزایش دهند.

پرسش‌های پرتکرار

NIK C2 چه نوع بدافزاری است؟

NIK C2 یک بستر فرمان‌دهی و کنترل (Command and Control) است که پیشرفت تازه در شناسایی و استفاده از کلیدهای خدمات هوش مصنوعی مانند OpenAI دارد.

چگونه می‌توان از سرقت کلیدهای API هوش مصنوعی جلوگیری کرد؟

از ذخیره کردن کلیدها در فایل‌های کد استفاده نشود؛ به جای آن از سرویس‌های مدیریت اسکریت (Secret managers) و پیکربندی محیطی امن استفاده کنید.