A ModernBERT-Based Web Application Firewall for Multi-Class HTTP Attack Detection

إن الإنترنت عبارة عن شبكة واسعة من المحادثات الرقمية، حيث تعمل تطبيقات الويب كبوابات لكل شيء، بدءاً من الخدمات المصرفية عبر الإنترنت وصولاً إلى وسائل التواصل الاجتماعي. وللحفاظ على سلامة هذه البوابات، تقف أنظمة أمنية تُعرف باسم جدران حماية تطبيقات الويب (WAF) كحراس، حيث تقوم بفحص كل رسالة تحاول الدخول. ولعقود من الزمن، اعتمدت هذه الحراس على طريقة بسيطة: فحص الرسائل الواردة مقابل قائمة طويلة من الأنماط السيئة المعروفة، تماماً مثل حارس الأمن الذي يتحقق من قائمة الضيوف مقابل بطاقة الهوية الشخصية. وبينما تنجح هذه الطريقة مع التهديدات المألوفة، إلا أنها تواجه صعوبة عندما يحاول المهاجمون تمويه أكوادهم الخبيثة باستخدام حيل معقدة أو عندما يبتكرون طرقاً جديدة تماماً للاختراق. وفي السنوات الأخيرة، لجأ العلماء إلى الذكاء الاصطناعي لمساعدة هؤلاء الحراس على تعلم الفروق الدقيقة بين الطلب غير الضار والطلب الخطير، آملين في رصد التهديدات التي لا يمكن لأي كتاب قواعد أن يتنبأ بها. ومع ذلك، كشفت دراسة جديدة أن الأدوات التي صُممت لتعليم هذه الأنظمة الذكية كانت تخفي عيباً سرياً، مما دفع الباحثين للتساؤل عن مدى كون هذا "الذكاء" حقيقياً في الواقع.

لقد وضع فريق من الباحثين من كلية سري كريشنا للهندسة والتكنولوجيا في الهند نصب أعينهم بناء جدار حماية أكثر ذكاءً، لكنهم كان عليهم أولاً حل لغز كان يشوه نتائج التجارب السابقة. بدأ الفريق بفحص مجموعة ضخمة تضم ما يقرب من مائتي ألف طلب ويب مصنف، وهي مجموعة بيانات استخدمها الكثيرون لتدريب نماذج الذكاء الاصطناعي للكشف عن الهجمات الشائعة مثل حقن SQL، والبرمجة عبر المواقع (XSS)، وحقن الأوامر (Command Injection). وهذه أنواع محددة من التسللات الرقمية حيث يحاول المهاجمون سرقة البيانات، أو اختطاف جلسات المستخدمين، أو السيطرة على الخوادم. وبينما تعمق الفريق في البيانات، اكتشفوا طريقاً مختصراً مذهلاً؛ إذ لم تكن التصنيفات التي تشير إلى ما إذا كان الطلب هجوماً أم آمناً تعتمد على المحتوى الفعلي للرسالة، بل على العنوان الذي أُرسلت إليه الرسالة. ففي هذه المجموعة من البيانات، إذا أُرسلت رسالة إلى صفحة تسجيل دخول، فكانت تُصنف دائماً تقريباً على أنها هجوم، بينما كانت الرسائل المرسلة إلى صفحة رفع الملفات تُصنف دائماً تقريباً على أنها آمنة. لم يكن نموذج الذكاء الاصطناعي المدرب على هذه البيانات يتعلم التعرف على الكود الخطير، بل كان ببساطة يحفظ الصفحات الويب المرتبطة بالمشاكل، وهي خدعة تُعرف باسم "تسرب الملصقات" (Label Leakage).

ولإصلاح ذلك، طور الباحثون طريقة جديدة لإعداد البيانات، حيث قاموا بتجريد معلومات العنوان حتى يُجبر الذكاء الاصطناعي على النظر فقط في محتوى الرسالة نفسه. كما أضافوا خطوات لفك رموز طبقات النص المخفية التي يستخدمها المهاجمون لتمويه أوامرهم، مما يضمن رؤية الذكاء الاصطناعي للطبيعة الحقيقية للطلب. ومع هذه البيانات المنقحة، قاموا بتدريب نموذج لغوي حديث، وهو نوع من الذكاء الاصطناعي المصمم لفهم السياق والفروق الدقيقة، ليعمل كجدار حماية جديد. وبخلاف النماذج القديمة التي لم تكن تستطيع سوى قراءة مقتطفات قصيرة من النص، استطاع هذا النظام الجديد معالجة رسائل أطول وأكثر تعقيداً دون فقدان التفاصيل المهمة. ثم اختبر الباحثون هذا النظام الجديد على مجموعة اختبار خالية من التسرب مكونة من 19,896 طلباً، تم إنشاؤها عبر تقسيم طبقي مجموعاتي لضمان عدم وجود أي اختصارات قائمة على العنوان.

كانت النتائج مذهلة. فقد حدد جدار الحماية الجديد طبيعة كل رسالة فحصها بدقة تقارب كل الرسائل، محققاً معدل دقة بلغ 99.74 بالمائة. وقد نجح في التمييز بين حركة المرور غير الضارة والهجمات الخطيرة مثل حقن SQL، والبرمجة عبر المواقع، وحقن الأوامر بمستوى من الدقة يتجاوز الطرق التقليدية بكثير. والأمر الأكثر إثارة للإعجاب هو سرعته؛ إذ استطاع النظام تحليل طلب ويب واحد في غضون 12 ميلي ثانية فقط، وهي سرعة كافية لحماية المواقع الإلكترونية المباشرة دون إبطائها. كما أظهرت الدراسة أنه عندما أزال الباحثون الاختصارات القائمة على العنوان، انخفض أداء نماذج تعلم الآلة القديمة بشكل كبير، مما أثبت أنها كانت تعتمد على نفس الأنماط المعيبة. وفي المق المقابل، حافظ النظام الجديد على دقته العالية، مما أثبت أنه تعلم حقاً التعرف على هيكل الهجوم بدلاً من مجرد التخمين بناءً على الوجهة.

إن هذا العمل لا يكتفي بتحسين أداة أمنية فحسب، بل يغير كيفية تقييم العلماء لسلامة تطبيقات الويب. فمن خلال إثبات أن الدرجات المرتفلة السابقة كانت غالباً نتيجة لخلل في البيانات وليس ذكاءً حقيقياً، وضع الباحثون معياراً جديداً وأكثر صرامة للاختبار. لقد أظهروا أنه لكي يكون الذكاء الاصطناعي موثوقاً حقاً، يجب تدريبه على تجاهل سياق المكان الذي تذهب إليه الرسالة والتركيز تماماً على ما تقوله الرسالة بالفعل. وقد بنى الفريق بالفعل نموذجاً أولياً يعمل لهذا النظام، حيث يجمع بين الفحوصات السريعة القائمة على القواعد ونموذج التعلم العميق الخاص بهم لإنشاء دفاع هجين يمكنه التعامل مع التهديدات المعقدة والمتطورة للويب الحديث. وتشير نتائجهم إلى أن مستقبل أمن الويب لا يكمن في قوائم أكبر من القواعد، بل في الأنظمة التي يمكنها فهم اللغة المتغيرة والدقيقة للهجمات الرقمية، بشرط أن يتم تعليمها الدروس الصحيحة منذ البداية.