AegisShield: Democratizing Cyber Threat Modeling with Generative AI
تقدم هذه الورقة AegisShield، وهي أداة ذكاء اصطناعي توليدي تعمل على أتمتة نمذجة التهديدات باستخدام إطاري عمل STRIDE وMITRE ATT&CK المتكاملين مع استخبارات التهديدات في الوقت الفعلي، مما يقلل التعقيد بشكل كبير وينتج نتائج متوافقة مع معايير الخبراء لمساعدة المؤسسات ذات الموارد المحدودة على تبني ممارسات التصميم الآمن.
تخيل الإنترنت كمدينة ضخمة وصاخبة، حيث كل مبنى فيها هو برنامج حاسوبي، وكل شارع هو وصلة بيانات. في هذه المدينة، يشبه "نمذجة التهديدات" استئجار فريق من المحققين الخبراء للقيام بجولة في كل مبنى قبل انتقال أي شخص للسكن فيه، بحثاً عن الفخاخ المخفية، أو الأقفال الضعيفة، أو الأنفاق السرية التي قد يستخدمها اللصوص. لعقود من الزمن، كان هذا العمل التحقيقي صعباً للغاية، ومكلفاً، وبطيئاً، حيث يتطلب متخصصين مدربين تدريباً عالياً يمكنهم رسم خرائط معقدة وتخمين الأماكن التي قد يضرب فيها الأشرار. وبسبب ذلك، لم تستطع العديد من الشركات الصغيرة والمؤسسات تحمل تكلفة استئجار هؤلاء المحققين، مما ترك أبوابها الرقمية مفتوحة على مصراعيها. يستكشف هذا البحث فكرة جديدة: ماذا لو استطعنا تزويد هؤلاء المحققين بمساعد آلي ذكي جداً ولا يكل، يعمل بالذكاء الاصطناعي (AI) لمساعدتهم في أداء المهمة بشكل أسرع، وأرخص، وأسهل؟ أراد الباحثون معرفة ما إذا كان بإمكان مساعد الذكاء الاصطنا هذا رصد نفس المخاطر التي يكتشفها الخبراء البشر، ولكن مع شرحها بلغة أبسط يمكن لأي شخص فهمها.
يقدم البحث الذي يحمل عنوان "AegisShield: دمقرطة نمذجة التهديدات السيبرانية باستخدام الذكاء الاصطناعي التوليدي"، أداة تسمى AegisShield. فكر في AegisShield كأنه "ماسح أمني" رقمي يمكنك استخدامه على حاسوبك. فبدلاً من الحاجة إلى فريق من الخبراء لقضاء أيام في رسم الخرائط وكتابة التقارير، ما عليك سوى إخبار الأداة كيف يبدو "مبناك" الرقمي (مثل موقع إلكتروني، أو تطبيق هاتف محمول، أو جهاز ذكي). بعد ذلك، تستخدم الأداة عقلاً اصطناعياً قوياً لتوليد قائمة فورية بالتهديدات المحتملة، وترتيب مدى خطورتها، واقتراح كيفية إصلاحها. وهي تفعل ذلك من خلال اتباع كتابي قواعد مشهورين يستخدمهما خبراء الأمن: STRIDE (الذي يصنف التهديدات مثل "التزييف" أو "التلاعب") وMITRE ATT&CK (وهو موسوعة ضخمة لكيفية قيام القراصنة الحقيقيين بالهجمات فعلياً).
اختبر الباحثون هذه الأداة من خلال مقارنة عملها مع 15 سيناريو واقعياً مختلفاً تم تحليلها بالفعل من قبل خبراء بشريين. ووجدوا أن AegisShield حقق نجاحاً هائلاً في جعل الأمن متاحاً للجميع. أولاً، جعلت الأداة أوصاف التهديدات أبسط بكثير في القراءة؛ فبينما كتب الخبراء البشر بمستوى تعليمي يعادل طالب الصف الثاني عشر في الثانوية، كتب الذكاء الاصطناعي بمستوى أدنى قليلاً، مما جعل المصطلحات التقنية المخيفة أسهل بكال كثير للفهم لغير المتخصصين. ثانياً، كانت قائمة التهديدات التي أعدها الذكاء الاصطناعي دقيقة بشكل مفاجئ؛ ففي 14 حالة من أصل 15، أنتجت الأداة وصفاً واحداً على الأقل للتهديد يكون مشابهاً جداً في المعنى لنسخة الخبير البشري لدرجة يصعب معها التفريق بينهما. أخيراً، كانت الأداة بارعة جداً في ربط نتائجها بـ "موسوعة" تقنيات الهجوم القياسية، حيث نجحت في مطابقة 85.4% من التهديدات التي حددتها مع أساليب الهجوم المعروفة.
ومع ذلك، فإن الورقة البحثية حريصة على عدم القول بأن هذا هو عصا سحرية تحل كل شيء. فقد وجد الباحثون أنه بينما كان الذكاء الاصطناعي بارعاً في رصد التهديدات الشائعة مثل "التزييف" (انتحال شخصية شخص آخر) أو "رفع الامتيازات" (سرقة صلاحيات المسؤول)، فإنه واجه صعوبات أحياناً في المجالات الأكثر تعقيداً أو تخصصاً، مثل "الإنكار" (حيث ينكر شخص ما قيامه بفعل ما) أو التقنيات الجديدة جداً مثل بروتوكولات الطائرات بدون طيار (الدرونز) أو إنترنت الأشياء (IoT) المحددة. كما تعتمد الأداة أيضاً على جودة المعلومات التي تقدمها لها؛ فإذا لم تصف نظامك بشكل جيد، فلن يتمكن الذكاء الاصطناعي من تخمين الأجزاء المفقودة بشكل مثالي.
في النهاية، تشير الدراسة إلى أن AegisShield هي وسيلة جديدة قوية لـ "دمقرطة" الأمن السيبراني. فهي لا تحل محل الخبراء البشر، بل تعمل كمضاعف للقوة، مما يسمح للمؤسسات الصغيرة ذات الميزانيات المحدودة بالحصول على فحص أمني عالي الجودة في دقائق بدلاً من أسابيع. ومن خلال أتمتة العمل الشاق وترجمة المخاطر المعقدة إلى خطوات واضحة وقابلة للتنفيذ، تساعد الأداة المزيد من الناس على بناء أنظمة رقمية أكثر أماناً منذ البداية، مما يثبت أنك لست بحاجة إلى ثروة لتبدأ في حماية منزلك الرقمي.
تواجه منهجيات نمذجة التهديدات التقليدية (مثل STRIDE وPASTA وOCTAVE) عوائق كبيرة أمام التبني، لا سيالما لدى المنظمات الصغيرة والمحدودة الموارد. تشمل هذه العوائق التعقيد العالي، والمتطلبات الزمنية الكبيرة، والاعتماد على الخبرات المتخصصة، وعدم القدرة على التوسع بفعالية مع الأنظمة الحديثة والديناميكية مثل البيئات السحابية، وإنترنت الأشياء (IoT)، والأنظمة السيبرانية الفيزيائية (CPS). وبينما توفر أطر العمل مثل MITRE ATT&CK وSTRIDE مناهج مهيكلة، إلا أن تنفيذها اليدوي غالباً ما يؤدي إلى تقييمات غير مكتملة، ومخرجات غير متسقة، و"فجوة مهارات" حيث تشعر نسبة ضئيلة فقط من المنظمات بالثقة في تغطيتها للتهديدات. علاوة على ذلك، تعتمد أطر العمل التي تركز على الذكاء الاصطناعي حالياً على افتراضات غير واقعية حول قدرات المهاجمين أو تفشل في دمج استخبارات التهديدات في الوقت الفعلي، مما يحد من فائدتها العملية في سيناريوهات متنوعة من الواقع.
المنهجية
استخدم هذا البحث منهجية بحث علم التصميم (DSRM) لتطوير وتقييم AegisShield، وهو أداة لنمذجة التهديدات مدعومة بالذكاء الاصطناعي التوليدي، مبنية بلغة بايثون (Python) ومُقدمة عبر إطار عمل Streamlit.
تطوير الأداة
البنية الهيكلية: تدمج AegisShield نموذج GPT-4o من OpenAI مع أطر العمل الأمنية الراسخة (STRIDE وMITRE ATT&CK وDREAD) ومصادر استخبارات التهديدات (قاعدة بيانات الثغرات الوطنية [NVD]، ومنصة AlienVault Open Threat Exchange [OTX]). ولتحسين الأداء وتقليل الاعتماد على واجهة برمجة التطبيقات (API)، تستخدم الأداة ملف STIX بتنسيق JSON مخزن محلياً لبيانات MITRE ATT&CK.
هندسة الأوامر (Prompt Engineering): يستخدم النظام بنية أوامر مهيكلة مصممة لمحاكة اتخاذ القرار الخبير. تم تصميم الأوامر لفرض مخرجات بتنسيق JSON، مما يضمن الاتساق ويقلل من الهلوسة البرمجية. تغطي الأوامة خمسة مكونات رئيسية:
ربط MITRE ATT&CK: اختيار التكتيكات والتقنيات والإجراءات (TTPs) ذات الصلة من مجموعة بيانات STIX المخزنة محلياً.
تحديد التهديدات: توليد التهديدات عبر فئات STRIDE (التزييف، التلاعب، الإنكار، كشف المعلومات، حجب الخدمة، رفع الامتيازات) بناءً على أوصاف النظام والسياق الخارجي (بما في ذلك الثغرات المعروفة من NVD وOTX).
تقييم المخاطر: تطبيق نموذج DREAD (الضرر، قابلية التكرار، قابلية الاستغلال، المستخدمون المتأثرون، قابلية الاكتشاف) للتقييم الكمي للمخاطر.
حالات الاختبار: إنشاء حالات اختبار بصيغة Gherkin لتدوير التطوير القائم على السلوك (BDD).
جمع البيانات: استخدم التقييم 15 دراسة حالة متنوعة من الأدبيات الأكاديمية تغطي مجالات مثل الرعاية الصحية، والتمويل، وإنترنت الأشياء (IoT)، وتقنية الجيل الخامس (5G). قدمت هذه الدراسات نماذج تهديدات STRIDE مطورة من قبل خبراء.
التصميم التجريبي:
مجموعة البيانات: ولدت الأداة 8,100 تهديد (30 دفعة × 15 دراسة حالة × 18 تهديداً لكل دفعة) تمت مقارنتها بـ 243 تهديداً مستخرجاً من قبل الخبراء.
المقاييس:
التعقيد (H1): تم قياسه عبر درجات قابلية القراءة (Flesch-Kincaid).
التشابه الدلالي (H2): تم قياسه باستخدام تشابه جيب التمام (Cosine Similarity) مع نموذج stsb-roberta-large من نوع Sentence-BERT.
المواءمة مع أطر العمل (H3): تم قياسه من خلال النسبة المئوية للتهديدات التي تم ربطها بنجاح مع تقنيات (TTPs) الخاصة بـ MITRE ATT&CK.
التحليل الإحصائي: استُخدمت الاختبارات غير المعلمية (Mann-Whitney U) للقابلية للقراءة نظراً لعدم توزيع البيانات بشكل طبيعي. كما استُخدمت اختبارات النسبة الواحدة وفترات الثقة لمعدلات نجاح الربط.
المساهمات الرئيسية
دمقرطة نمذجة التهديدات: يثبت البحث أن الذكاء الاصطناعي التوليدي يمكن أن يخفض حواجز الدخول إلى نمذجة التهديدات، مما يجعلها متاحة للمنظمات التي تفتقر إلى معماريي الأمن السيبراني متخصصين.
التقنين والأتمتة: تقوم AegisShield بأتمتة توليد وثائق التهديدات المهيكلة والمعيارية (تهديدات STRIDE، درجات DREAD، التدابير المضادة، وحالات الاختبار) في غض دقائق، وهي عملية تستغرق تقليدياً أياماً أو أسابيع.
دمج استخبارات التهديدات: تدمج الأداة بيانات من NVD وOTX لتوفير استخبارات تهديدات سياقية ضمن الأوامر، مما يضمن أن نماذج التهديدات تعكس الثغرات المعروفة والتهديدات الناشئة ذات الصلة بسياق النظام المحدد.
إطار التحقق: تضع الدراسة إطاراً كمياً لتقييم نماذج التهديدات المولدة بواسطة الذكاء الاصطناعي مقابل معايير الخبراء باستخدام مقاييس التشابه الدلالي والربط بالأطر الهيكلية.
النتائج
أسفر تقييم AegisShield عبر 15 دراسة حالة عن نتائج ذات دلالة إحصائية تدعم ثلاث فرضيات رئيسية:
H1: تقليل التعقيد: كانت التهديدات التي أنتجتها AegisShield أكثر قابلية للقراءة من التهديدات التي أنتجها الخبراء.
متوسط درجة Flesch-Kincaid: الناتج عن الأداة (12.7) مقابل الناتج عن الخبراء (13.5).
الدلالة الإحصائية: أكد اختبار Mann-Whitney U وجود فرق جوهري (p < 0.001)، مما يشير إلى أن الأداة تنتج أوصافاً أكثر سهولة في الوصول دون التضحية بالتغطية.
معدل النجاح: في 14 من أصل 15 دراسة حالة، حقق تهديد واحد على الأقل لكل دفعة درجة تشابه جيب تمام ≥ 0.7 في أكثر من 50% من عمليات التشغيل (دلالة إحصائية، p < 0.05).
الحالات عالية الأداء: حققت حالات محددة (مثل التطبيقات القائمة على الصوت، ووسائل التواصل الاجتماعي) درجات تشابه وصلت إلى 0.94، مما يدل على قدرة النموذج على محاكة رؤى الخبراء.
H3: الربط بـ MITRE ATT&CK: نجحت الأداة في ربط التهديدات بالأطر المعترف بها.
معدل النجاح الإجمالي: تم ربط 85.4% من أصل 8,100 تهديد تم توليدها بنجاح مع تقنيات (TTPs) الخاصة بـ MITRE ATT&CK.
الدلالة الإحصائية: تجاوز هذا المعدل معيار الـ 80% بدلالة إحصائية (p < 0.001).
أداء الفئات: كان الربط في أعلى مستوياته لـ "التزييف" (94.0%) و"رفع الامتيازات" (91.6%)، بينما أظهر "الإنكار" (73.5%) نجاحاً أقل، وغالباً ما يعود ذلك للطبيعة المفاهيمية لتهديدات الإنكار مقابل التخصص التقني المطلوب من الإطار.
الأهمية والادعاءات
يزعم البحث أن AegisShield تمثل حلاً قابلاً للتطبيق لـ "دمقرطة" الأمن السيبراني. فمن خلال أتمتة المراحل الأولية لنمذجة التهديدات، تسمح الأداة للمنظمات بتبني مبادئ التصميم الآمن (secure-by-design) دون التكاليف الباهظة لتوظيف معماريين كبار أو الانخراط في عمليات يدوية مرهقة.
وتفترض الدراسة أنه بينما تعد الطرق التقليدية معقدة وبطيئة للغاية بالنسبة لدورات التطوير الحديثة والسريعة، فإن AegisShield تقدم بديلاً قابلاً للتوسع وفعال من حيث التكلفة. وتسلط الدراسة الضوء على أن الأداة لا تسرع تحديد التهديدات فحسب (مقللةً الوقت من أيام إلى دقائق)، بل تنتج أيضاً مخرجات متوافقة إحصائياً مع نماذج الخبراء من حيث المعنى الدلالي والمواءمة مع الأطر الهيكلية.
ومع ذلك، يحافظ المؤلف على نبرة متواضعة فيما يتعلق بالقيود:
تباين المجالات: تباين الأداء عبر المجالات، لا سيما في التقنيات الناشئة (مثل IoT و5G) حيث قد تكون روابط MITRE ATT&CK أقل تحديداً.
قيود الذكاء الاصطناعي: تعتمد الأداة على القدرات الأساسية لنموذج الذكاء الاصطناعي التوليدي (GPT-4o)، وتظل قضايا مثل "الهلوسة" (رغم ندرتها، حوالي 1.15% من التهديدات غير المربوطة) والتحيزات المحتملة في بيانات التدريب مصدر قلق.
النطاق: ركزت الدراسة على نمذجة التهديدات الاستباقية ولم تختبر الاستجابة للحوادث أو تحليل ما بعد الاختراق.
في النهاية، تخلص الورقة إلى أن دمج الذكاء الاصطناعي التوليدي مع الأطر المهيكلة واستخبارات التهديدات يمكن أن يعزز بشكل كبير من سهولة وفعالية نمذجة التهديدات، مما يقوي منظومة الأمن السيبراني بشكل عام.