محققان کرم هوش مصنوعی خودتکثیری ساختند که کاملاً روی مدل‌های محلی و وزن‌باز اجرا می‌شود

محققان دانشگاه تورنتو یک نمونه اولیه (اثبات مفهوم) از یک کرم کامپیوتری مبتنی بر هوش مصنوعی ساخته و آزمایش کرده‌اند. این کرم از یک مدل زبانی بزرگ (LLM) محلی با وزن‌های باز (Open-Weight) برای استدلال در یک شبکه، تولید استراتژی‌های حمله سفارشی برای هر هدف و تکثیر خود استفاده می‌کند؛ تمامی این فرآیندها کاملاً بدون دخالت انسان و بدون نیاز به سرویس‌های هوش مصنوعی تجاری انجام می‌شود.

این مقاله پیش‌چاپ که در تاریخ ۲ ژوئن در پلتفرم arXiv منتشر شده و در حال حاضر تحت داوری همتایان است، نشان می‌دهد چرا رویکرد وصله کردن تک‌تک آسیب‌پذیری‌ها (CVE) در دورانی که بدافزارها می‌توانند سرویس‌های در معرض دید را بررسی کنند، هشدارهای امنیتی جدید را بخوانند و مسیر حمله جدیدی در زمان اجرا تولید کنند، دیگر کارآمد نیست.

در ۱۵ اجرای مجزا روی یک شبکه ۳۳-میزبانی که عمداً آسیب‌پذیر طراحی شده بود، این کرم به طور متوسط ۳۱.۳ آسیب‌پذیری را شناسایی کرد و در ۲۳.۱ میزبان (تقریباً سه‌چهارم میزبان‌های هدف) به دسترسی سطح بالا (Elevated Access) رسید. سپس این کرم در طول هفت روز، بدون هیچ‌گونه دانش قبلی از توپولوژی شبکه و بدون ورودی انسانی، به طور مستقل در ۲۰.۴ میزبان (۶۲ درصد از کل شبکه) تکثیر شد.

کرم‌های سنتی با یک بارِ مخرب (Payload) ثابت منتشر می‌شوند که در زمان ساخت انتخاب شده است. اگر آن باگ‌های خاص را وصله کنید، انتشار کرم متوقف می‌شود. اما این کرم متفاوت عمل می‌کند: از یک LLM محلی در حال اجرا روی یک پردازنده گرافیکی (GPU) استفاده می‌کند تا منطق حمله را در زمان اجرا تولید کند و آن را با هر آنچه در هدف بعدی پیدا می‌کند، تطبیق دهد. در اینجا هیچ زنجیره اکسپلویت از پیش برنامه‌ریزی‌شده‌ای وجود ندارد و به هیچ API پولی (مانند OpenAI یا Anthropic) که امکان مسدودسازی یا محدود کردن ترافیک آن وجود داشته باشد، وابسته نیست.

کرم هوش مصنوعی دقیقاً چه کاری انجام داد؟

تیم آزمایشگاه CleverHans به سرپرستی نیکولاس پاپرنوت (دانشیار)، متشکل از محققان دانشگاه تورنتو، موسسه وکتور، دانشگاه کمبریج و ServiceNow است. آن‌ها ۱۵ آزمایش مستقل را روی یک شبکه ایزوله ۳۳-میزبانی به نام FakeCorp انجام دادند که شامل سیستم‌عامل‌های اوبونتو، دبیان، راکی لینوکس، آلپاین، ویندوز سرور (۲۰۰۸ R2، ۲۰۱۹ و ۲۰۲۲) و دستگاه‌های اینترنت اشیا (IoT) می‌شد.

هر میزبان حداقل یک آسیب‌پذیری واقعی داشت. پنج دستگاه از این ۳۳ ماشین دارای GPU بودند. در آزمایش‌های اصلی انتشار، کرم از یک استخر استنتاج GPU مشترک برای شبیه‌سازی توان محاسباتیِ گرفته‌شده از ماشین‌های قربانی استفاده کرد. تیم به طور جداگانه تکثیر در سطح GPU را نیز آزمایش کرد، جایی که کرم یک نمونه LLM محلی را روی یک میزبان GPU سازش‌یافته مستقر می‌کند؛ این کار در ۶۸.۸ درصد مواقع موفقیت‌آمیز بود.

طی ۱۵ اجرا، کرم به طور متوسط به دسترسی سطح بالا در ۲۳.۱ میزبان دست یافت و با موفقیت روی ۸۸ درصد آن‌ها یک نسخه از خود را اجرا کرد. این کرم تا هفت نسل تکثیر خودکار را تجربه کرد (با میانگین ۵.۱ نسل).

اکسپلویت‌های استفاده شده در یک اجرا شامل موارد زیر بود:

• SambaCry زنجیره‌ای
• ارتقاء امتیاز cron ریشه قابل نوشتن
• Dirty Pipe و PrintNightmare
• Drupalgeddon 2 و Exim RCE
• تزریق کور SQL، دور زدن JWT و فرار از Redis

این موفقیت‌ها به خاطر از پیش برنامه‌ریزی شدن آن‌ها نبود، بلکه عامل هوش مصنوعی مسیر خود را بر اساس آنچه در هر میزبان پیدا می‌کرد، استدلال و کشف می‌کرد.

مشکل پنجره زمانی وصله‌ها (Patching-Window)

کرم توانست محدودیت زمانی آموزش مدل خود را با خواندن متون مشاوره‌های امنیتی عمومی در زمان اجرا دور بزند. این عامل توانست میزبان‌های آزمایشی را که دارای سه آسیب‌پذیری کشف‌شده (پس از زمان آموزش مدل) بودند، با موفقیت اکسپلویت کند:

• CVE-2026-39987: اجرای کد از راه دور پیش از احراز هویت در Marimo Python notebook.
• CVE-2026-31431 (CopyFail): نقص ارتقاء امتیاز هسته لینوکس.
• CVE-2026-43284 / CVE-2026-43500 (DirtyFrag): مشکلات ارتقاء امتیاز محلی هسته لینوکس.

در برابر این سه میزبان، کرم در ۴۱ مورد از ۶۷ تلاش به دسترسی Root دست یافت. به عنوان مثال، آسیب‌پذیری اول در ۸ آوریل ۲۰۲۶ فاش شد و اکنون شاهد عاملی هستیم که می‌تواند بلافاصله مشاوره امنیتی را بخواند و آن را در مقیاس وسیع آزمایش کند. یک کرم تطبیق‌پذیر می‌تواند به آزمایش مسیرهای جدید ادامه دهد، در حالی که مدافعان هنوز در حال اعتبارسنجی وصله‌های امنیتی هستند.

هزینه نهایی صفر و نبود کلید توقف مرکزی

دو عامل باعث می‌شود مهار این کرم دشوارتر از کرم‌های سنتی باشد:

1. انتقال هزینه‌ها: هزینه از اجاره دسترسی API به سمت هر توان محاسباتی که کرم بتواند تسخیر کند، تغییر می‌یابد. هنگامی که یک زیرساخت قربانیِ دارای GPU وجود داشته باشد، مهاجم دیگر هزینه‌ای بابت هر تلاش پرداخت نمی‌کند.
2. نبود وابستگی به ارائه‌دهنده: از آنجا که همه چیز روی مدل‌های متن‌باز و محلی اجرا می‌شود، کنترل‌های سمت ارائه‌دهنده (مانند تعلیق حساب یا محدودیت نرخ) بی‌معنی هستند. هیچ کلید API برای لغو وجود ندارد. مهار باید در لایه شبکه و میزبان انجام شود.

همچنین، محققان مشاهده کردند که کرم در چندین مورد کد خود را بازنویسی کرد تا از کنترل‌های امنیتی محلی در محیط آزمایش عبور کند؛ رفتاری که محققان هرگز برای آن کدنویسی نکرده بودند.

مدافعان سایبری اکنون باید چه کنند؟

نسخه فعلی این کرم فاقد ویژگی‌های پنهان‌کاری (مثل رمزگذاری، کدهای چندریختی یا پاکسازی لاگ‌ها) است. سیگنال‌های رفتاری این نمونه اولیه به مدافعان سرنخ‌های ملموسی برای شکار تهدید می‌دهد:

• ماشین‌های دارای GPU را به شدت ایزوله کنید: طراحی این کرم به گونه‌ای است که استنتاج LLM را از طریق هر میزبان GPU آلوده هدایت می‌کند. زیرساخت‌های GPU را بخش‌بندی کرده و کنترل‌های اعتماد صفر (Zero-Trust) را برای جلوگیری از حرکت جانبی (Lateral Movement) اعمال کنید.
• با مشاوره‌های منتشر شده به عنوان اهداف تسلیحاتی فوری برخورد کنید: برای آسیب‌پذیری‌های رو به اینترنت، پنجره اکسپلویت اکنون برای برخی از باگ‌ها در حد چند ساعت است. اولویت را به وصله کردن سیستم‌های متصل به اینترنت بدهید.
• اعتبارنامه‌های (Credentials) افشا شده را به سرعت تغییر دهید: کرم استفاده مجدد سیستماتیک از اعتبارنامه‌ها را به عنوان یک مسیر انتشار نشان داد. سرعت حرکت جانبی با اعتبارنامه‌های سرقت‌شده از اکثر چرخه‌های تشخیص سریع‌تر است.
• سیگنال‌های رفتاری خاصِ عوامل هوش مصنوعی را زیر نظر بگیرید: فعالیت در پورت‌های غیرمعمول، تزریق خودکار کلید عمومی SSH و خوشه‌های استنتاج LLM که در نقاط پایانی غیرمنتظره ظاهر می‌شوند، مصنوعات قابل مشاهده این تهدید هستند و باید نقطه شروع منطق تشخیص شما باشند.

اجرای این بدافزار به صورت عمومی منتشر نشده است و دانشگاه تورنتو در حال ایجاد یک فرآیند تایید صلاحیت برای محققان دفاعی واجد شرایط جهت درخواست دسترسی به آن است.