أفادت WIRED بأن متعاقدًا مع Accenture ربط حسابه الشخصي Claude Code بشبكة آمنة تابعة لوزارة الدفاع، وعمل وكيل البرمجة بالذكاء الاصطناعي عليها شهرين قبل اكتشاف الثغرة وإصلاحها. وقالت مصادر للموقع إن الوكيل أرسل بيانات تسجيل الدخول ومعلومات عن الشبكة إلى موقع إلكتروني تابع لجهة خارجية، سبق للمعهد الوطني للمعايير والتكنولوجيا أن صنّفه عالي المخاطر.
تحمل الشبكة، المعروفة باسم NIPRNet، معلومات غير سرية، من بينها معلومات غير سرية خاضعة للرقابة (CUI). وقد تشمل هذه الفئة تفاصيل حساسة عن البنية التحتية والمعدات العسكرية والمواد الخطرة. وقالت المصادر إن المتعاقد زوّد الوكيل ببيانات الدخول وصلاحيات إدارية ليتمكن من كتابة الشيفرات ونشرها. وكان يحتاج إلى اتصال بالإنترنت لإنجاز ذلك.
ولا يُعرف ما آل إليه أمر المعلومات بعد وصولها إلى الموقع. وتفيد WIRED بأنها لم تجد ما يشير إلى أن قراصنة تمكنوا من الوصول إلى نظام مصنّف أو سري للغاية. ورفضت وزارة الدفاع التعليق على شبكاتها. وقالت Accenture إن الادعاءات خضعت لتحقيق شامل ومستقل، وتبيّن أنها لا أساس لها، وإن الشركة أوفت بالتزاماتها القانونية والتعاقدية.
لماذا قد يشكّل هذا الكشف خطرًا؟
شبكة NIPRNet منفصلة عن شبكتي الجيش المصنّفتين، SIPRNet وJWICS، وهما غير متصلتين بشبكات خارجية. لكن خبراء أمن قالوا لـWIRED إن الوصول إلى NIPRNet قد ينطوي على مخاطر تتجاوز البيانات التي أُرسلت إلى الخارج. فقد تساعد بيانات دخول مسروقة مهاجمًا على اختراق الشبكة، فيما قد تمكّنه المعلومات عن ترابط أنظمتها من تحديد أهداف ثمينة.
كما يمكن استخدام الشيفرات التي تُنشأ أو تُختبر على NIPRNet في بيئات أكثر حساسية. وقال المخترق السابق في وكالة الأمن القومي Jake Williams لـWIRED إن الشيفرة الخبيثة قد تعمل بصورة طبيعية على NIPRNet، ثم تتسبب في ضرر إذا نُشرت على شبكة مصنّفة. ولا دليل على حدوث ذلك في هذه الحالة. وقد لا تتمكن أدوات فحص الشيفرات المعتادة من رصد باب خلفي متعمّد، لأنه لا يُعد بالضرورة خللًا برمجيًا.
التغطية الصحفية والرقابة
يتعين على الموظفين والمتعاقدين الفيدراليين الإبلاغ عن حوادث الأمن السيبراني خلال 72 ساعة من اكتشافها. وقالت مصادر لـWIRED إن Accenture لم تبلغ الحكومة عن الحادث في البداية، وإن الموظفين لم يتعاملوا معه على أنه أمر عاجل. ولم توضح Accenture من أجرى التحقيق. وللشركة عقود فيدرالية تتجاوز قيمتها $3.5 billion، منها عقود تقارب $605 million مع وزارة الدفاع.
ويأتي الحادث في وقت باتت فيه وكلاء البرمجة بالذكاء الاصطناعي تنتج الشيفرات بسرعة تفوق قدرة البشر على مراجعتها. وقال Williams لـWIRED إن ذلك يصعّب التحقق من مصدر الشيفرة وما تفعله. والسؤال العملي أمام الوكالات الحكومية هو كيفية استخدام هذه الأدوات من دون منحها إمكانية الوصول إلى أنظمة أو معلومات لا ينبغي أن تصل إليها.
لماذا يهم
بالنسبة إلى العاملين والمتعاقدين الحكوميين، يوضح الحادث المبلغ عنه كيف يمكن لمنح وكيل برمجة صلاحيات إدارية أن يعرّض بيانات الدخول وتفاصيل حساسة عن الشبكة للكشف، حتى على نظام غير مصنّف. ولم تجد WIRED ما يشير إلى الوصول إلى أنظمة مصنّفة؛ ولا يزال مصير المعلومات التي أُرسلت إلى الموقع التابع لجهة خارجية مجهولًا.
