برای دهه‌ها، آنتی‌ویروس‌ها و سیستم‌های امنیتی بر اساس یک اصل ساده کار می‌کردند: بدافزار یک امضای مشخص و ثابت دارد، پس می‌توان آن را شناسایی کرد. اما گوگل یک بدافزار جدید کشف کرده که این اصل را کاملاً زیر پا می‌گذارد؛ بدافزاری به‌نام PROMPTFLUX که هر ساعت، با کمک هوش مصنوعی Gemini، کل کد منبع خودش را بازنویسی می‌کند.
این کشف که توسط TheHackerNews و Cybersecurity Dive منتشر شد، یکی از نگران‌کننده‌ترین نمونه‌های استفاده از هوش مصنوعی در بدافزارهای مدرن است و نشان می‌دهد که حتی ابزارهای امنیتی سنتی هم باید برای مقابله با نسل جدید تهدیدات، به‌طور کامل بازطراحی شوند.
PROMPTFLUX دقیقاً چگونه کار می‌کند؟
این بدافزار که به زبان VBScript نوشته شده، دارای بخشی به‌نام «ربات متفکر» (Thinking Robot) است. این بخش به‌طور دوره‌ای به API هوش مصنوعی Gemini متصل می‌شود و از آن می‌خواهد که به‌عنوان یک «متخصص مبهم‌سازی VBScript» عمل کند.
- هوش مصنوعی کد جدیدی تولید می‌کند که از نظر عملکرد دقیقاً همان کار قبلی را انجام می‌دهد
- اما ساختار، نام متغیرها و الگوی کد کاملاً متفاوت است
- برخی نسخه‌ها این کار را هر ساعت یک‌بار انجام می‌دهند – یعنی بدافزار در طول یک روز، ده‌ها بار «شکل عوض می‌کند»
هدف اصلی این تکنیک، فرار از سیستم‌های تشخیص مبتنی بر امضا (signature-based detection) است؛ چون این سیستم‌ها بر اساس الگوهای شناخته‌شده کد کار می‌کنند، و وقتی کد هر ساعت تغییر می‌کند، امضای قدیمی دیگر کارساز نیست.
خبر خوب: هنوز در مرحله آزمایش است
طبق ارزیابی گوگل، PROMPTFLUX در حال حاضر در مرحله توسعه یا آزمایش قرار دارد و هنوز روشی برای آلوده‌کردن واقعی سیستم‌های قربانیان ندارد. اما این موضوع دلگرم‌کننده نیست؛ چون نشان می‌دهد مهاجمان سایبری در حال آزمایش نسل جدیدی از بدافزارها هستند که از قابلیت‌های زبان‌های بزرگ هوش مصنوعی (LLM) برای بقا و فرار استفاده می‌کنند.
گوگل هنوز هویت گروه سازنده این بدافزار را کشف نکرده، اما شواهد نشان می‌دهد این گروه یک انگیزه مالی دارد و به‌طور گسترده، بدون محدودیت جغرافیایی یا صنعتی خاص، افراد را هدف قرار می‌دهد.
این تنها نمونه نیست
PROMPTFLUX تنها یک نمونه از موج گسترده‌تری است. طبق گزارش‌های Check Point، مجرمان سایبری امروز به‌طور فعال از ابزارهایی مانند ChatGPT، Google Gemini، Microsoft Copilot و Anthropic Claude برای موارد زیر استفاده می‌کنند:
- تولید متن‌های فیشینگ قانع‌کننده
- توسعه اجزای بدافزار
- پشتیبانی از فعالیت‌های پس از نفوذ به سیستم
در انجمن‌های سایبرجنایی، تنها نام Gemini بیش از ۵.۱ میلیون بار ذکر شده – نشانه‌ای روشن از میزان علاقه مهاجمان به این ابزارها.
چرا شرکت‌ها باید نگران باشند؟
بدافزارهایی مانند PROMPTFLUX نشان می‌دهند که آینده امنیت سایبری با گذشته بسیار متفاوت خواهد بود:
- تشخیص مبتنی بر امضا به‌تنهایی دیگر کافی نیست – چون بدافزار می‌تواند مدام شکل خود را عوض کند
- سرعت تکامل تهدیدات بسیار بالا رفته – یک بدافزار می‌تواند در عرض چند ساعت، ده‌ها نسخه متفاوت از خودش تولید کند
- راهکارهای امنیتی رفتارمحور (behavior-based) اهمیت بیشتری پیدا می‌کنند – چون رفتار بدافزار، برخلاف کدش، معمولاً ثابت می‌ماند
راهکارهای عملی
- 🛡️ از راهکارهای امنیتی مبتنی بر تحلیل رفتار (Behavioral/EDR) استفاده کنید، نه فقط آنتی‌ویروس‌های سنتی مبتنی بر امضا
- 🔄 سیستم‌های تشخیص نفوذ خود را به‌طور مداوم به‌روزرسانی کنید تا با آخرین تکنیک‌های فرار هماهنگ باشند
- 📧 کارمندان را درباره فیشینگ پیشرفته تولیدشده با هوش مصنوعی آموزش دهید
- 🔍 ترافیک شبکه خود را برای ارتباطات غیرعادی با APIهای هوش مصنوعی نظارت کنید
نقش Fadak Guardian
Fadak Guardian سازمان‌ها را برای مقابله با این نسل جدید تهدیدات آماده می‌کند:
- ✅ آگاهی‌رسانی درباره جدیدترین بدافزارهای مبتنی بر هوش مصنوعی مانند PROMPTFLUX
- ✅ کمک به انتخاب و پیاده‌سازی راهکارهای امنیتی رفتارمحور به‌جای اتکای صرف به امضا
- ✅ آموزش کارمندان درباره تهدیدات نوظهور فیشینگ و بدافزار هوشمند
نتیجه‌گیری
کشف PROMPTFLUX یک زنگ خطر جدی برای کل صنعت امنیت سایبری است. وقتی بدافزار می‌تواند از همان هوش مصنوعی‌ای که Claude، ChatGPT و Gemini را قدرتمند می‌کند، برای فرار از شناسایی استفاده کند، رویکردهای سنتی امنیتی دیگر کافی نیستند.
آینده امنیت سایبری، رقابتی بین هوش مصنوعی مهاجمان و هوش مصنوعی مدافعان خواهد بود – و شرکت‌هایی که زودتر خود را برای این واقعیت آماده کنند، در موقعیت بهتری قرار خواهند داشت.