A Multi-Agent Large Language Model Framework for Autonomous Web Application Penetration Testing

يعتمد العالم الرقمي على تطبيقات الويب لتشغيل كل شيء، من الخدمات المصرفية إلى الاتصالات، لكن هذه الأنظمة تتعرض للحصار باستمرار. لعقود من الزمن، كان الدفاع الأساسي ضد المتسللين هو اختبار الاختراق، وهي ممارسة يقوم فيها خبراء الأمن بدور المهاجمين الأخلاقيين للعثور على نقاط الضعف قبل أن يجدها المجرمون. تقليديًا، كان هذا العمل عملية بطيئة ويدوية، غالبًا ما تساعدها برامج بحث عن الثغرات المعروفة مثل أمين مكتبة يتحقق من قائمة بالكتب المفقودة. وبينما كانت هذه الأدوات فعالة في معالجة المشكلات الشائعة، إلا أنها تجد صعوبة في فهم المنطق المعقد للمواقع الإلكترونية الحديثة أو في ربط سلسلة من الأخطاء الصغيرة ببعضها البعض لتشكيل خرق كبير. ومع ازدياد تعقيد الهجمات السيبرانية، تتسع الفجوة بين المدافعين البشريين والمهاجمين الآليين، مما يخلق حاجة ملحة لأنظمة يمكنها التفكير والتكيف بسرعة توازي سرعة التهديدات التي تواجهها.

واستجابة لهذا التحدي، طور فريق من الباحثين من جامعة بارول في الهند إطار عمل جديدًا يسمى ARES، وهو اختصار لـ "نظام تقييم الفريق الأحمر المؤتمت" (Automated Red-Teaming Evaluation System). وبدلاً من الاعتماد على أداة واحدة أو مجموعة ثابتة من القواعد، يعمل ARES كفريق منسق من وكلاء الذكاء الاصطناعي الذين يعملون معًا لاختبار أمن الويب. يجمع النظام بين ثلاث قدرات متميزة: نموذج لغوي متخصص مدرب على فهم منطق الكود والثغرات، ووكيل تعلم يحسن استراتيجيته من خلال التجربة والخطأ، ومحرك أتمتة ينفذ عملية الاختبار الفعلية. ومن خلال دمج هذه العناصر معًا، ابتكر الباحثون نظامًا لا يكتفي بمجرد المسح بحثًا عن الأخطاء المعروفة، بل يستنتج كيفية عمل الموقع الإلكتروني لاكتشاف نقاط الضعف المعقدة والخفية.

إن جوهر هذا النظام هو نموذج لغوي كبير، وهو نوع من أنواع الذكاء الاصطناعي المدرب على كميات هائلة من النصوص، والذي تم في هذه الحالة ضبطه بدقة باستخدام آلاف التقارير الأمنية وقواعد بيانات الثغرات. يعمل هذا النموذج بمثابة "عقل" الفريق، وهو قادر على قراءة حركة المرور بين المستخدم والموقع وفهم سياق ما يحدث. وخلافًا للأدوات القديمة التي تكتفي بمطابقة الأنماط، يمكن لهذا النموذج استنتاج سبب كون إجراء معين قد يكون خطيرًا. ولتوجيه هذا الاستنتاج، يستخدم النظام وكيل تعلم تعزيزي، يعمل مثل طالب يتعلم من معلم. ففي كل مرة يحاول فيها النظام إجراء اختبار، يتلقى تغذية راجعة حول ما إذا كانت المحاولة قد نجحت أم فشلت. ومع مرور الوقت، يتعلم الوكيل أي الاستراتيجيات هي الأكثر فعالية وأيها يهدر الجهد، مما يؤدي باستمرار إلى صقل نهجه للعثور على الثغرات بشكل أكثر كفاءة.

لضمان إمكانية اختبار هذا المزيج القوي من الاستنتاج والتعلم بأمان، بنى الباحثون جسرًا لأداة أتمتة مفتوحة المصدر موجودة تسمى Hexstrike-AI. سمح هذا الاتصال لفريق الذكاء الاصطناعي الجديد بالتحكم في عملية الاختبار دون الحاجة إلى إعادة كتابة البرمجيات الأساسية. يعمل النظام ضمن بيئة معزولة وخاضعة للرقابة الصارمة، باستخدام وكيل سياسات لفرض الحدود الأخلاقية. تضمن طبقة السلامة هذه أن النظام يختبر الأهداف المصرح بها فقط ولا يسبب ضررًا للأنظمة الواقعية أبدًا. وقد صُممت العملية بأكملها لتكون شفافة، حيث يتم تسجيل كل قرار وإجراء حتى يتمكن الخبراء البشريون من مراجعة العمل وفهم كيفية اكتشاف الثغرة بالضبط.

اختبر الباحثون ابتكارهم على ثلاثة تطبيقات ويب معروفة ومصممة خصيصًا لتكون معرضة للثغرات لأغراض التدريب. سمحت هذه البيئات لهم برؤية كيفية أداء النظام ضد مجموعة متنوعة من العيوب، من أخطاء الحقن البسيطة إلى تجاوزات المصادقة المعقدة. وأظهرت النت النتائج أن إطار عمل ARES يمكنه تحديد الثغرات بدرجة عالية من الدقة، متفوقًا على أدوات المسح التقليدية في قدرته على إيجية المشكلات المعقدة. وفي تجاربهم، حقق النظام دقة كشف بلغت حوالي خمسة وثمانين بالمائة، وهو تحسن كبير مقارنة بالطرق القياسية. علاوة على ذلك، ساعد استخدام البيانات المحاكية خلال مرحلة التدريب النظام على الاستقرار بسرعة، مما سمح له بتعلم استراتيجيات فعالة حتى قبل مواجهة سيناريوهات العالم الحقيقي.

كانت واحدة من أبرز النتائج هي كيفية تعامل النظام مع التوازن بين العثور على المشكلات الحقيقية وتجنب الإنذارات الكاذبة. لاحظ الباحثون أنه بينما كان النظام فعالاً للغاية في رصد الثغرات الفعلية، إلا أنه كان يشير أحيانًا إلى مناطق آمنة على أنها خطرة. ومع ذلك، فإن قدرة النظام على الاستنتاج من خلال هذه الإشارات تعني أن الخبراء البشريين يمكنهم التحقق من النتائج بسرعة. أثبتت الدراسة أنه من خلال الجمع بين الفهم العميق للنموذج اللغوي والتعلم التكيفي لوكيل التعزيز، من الممكن إنشاء أداة أمنية تتسم بالذكاء والقدرة على التحسين الذاتي. فالنظام لا يكرر الاختبارات نفسها فحسب؛ بل يتعلم من كل محاولة ليصبح أفضل في أداء مهمته.

يشير العمل المقدم في هذه الورقة إلى اتجاه جديد للأمن السيبراني، بالانتقال من الماسحات الصلبة القائمة على القواعد نحو أنظمة مرنة قائمة على الاستنتاج. وجد الباحثون أن نهجهم يمكن أن يقلل الوقت والجهد المطلوبين للعثور على الثغرات الأمنية المعقدة مع الحفاظ على مستوى عالٍ من السلامة من خلال ضوابط أخلاقية مدمجة. وعلى الرغم من أن النظام لا يزال يتطلب إشرافًا بشريًا للتحقق من النتائج، إلا أنه يمثل خطوة كبيرة للأمام في أتمتة العمل الصعب للفريق الأحمر. ومن خلال إثبات أن الذكاء الاصطناعي يمكن تدريبه على فهم منطق تطبيقات الويب وتكييف استراتيجيات الهجوم الخاصة به، تقدم الدراسة مسارًا واعدًا نحو بنية تحتية رقمية أكثر مرونة وأمانًا. ويظل إطار العمل مفتوحًا للآخرين لدراسته وتحسينه، مما يدعو إلى مزيد من التطوير في مجال ترتفع فيه المخاطر باستمرار.