أظهر جيميني CLI من غوغل جانباً مقلقاً بعد رصد استخدامه في تشغيل بوت نت صغير والسيطرة على 8 أجهزة داخل عيادة أسنان.
كيف استُخدم غوغل Gemini CLI في الهجوم؟
الواقعة تتعلق بفاعل تهديد يتحدث الروسية عمل منفرداً، لكنه اعتمد على الأداة المفتوحة المصدر من غوغل لتسريع جزء كبير من عملياته الهجومية. وبدلاً من كتابة كل شيء يدوياً، استخدم الذكاء الاصطناعي كمساعد تقني مباشر لإعداد البنية التحتية وإدارتها.
وبحسب المعطيات التي اطّلعت عليها تيكبامين، امتد النشاط الموثق بين 19 مارس و21 أبريل 2026، وشمل مهام متعددة مثل كسر كلمات المرور، إعداد بروكسي سكني، استهداف متاجر ووردبريس، والتخطيط لعمليات احتيال هاتفي مرتبطة بالعملات الرقمية.
ما الذي فعله المهاجم عملياً؟
- إعداد خادم القيادة والسيطرة C&C
- نقل البنية إلى خادم VPS جديد
- تهيئة Cloudflare Tunnels لربط الأجهزة المصابة
- إدارة البوتات ومتابعة الاتصال
- تصحيح الأخطاء التقنية أثناء التنفيذ
ما خطورة السيطرة على أجهزة عيادة الأسنان؟
الجزء الأخطر في الحادثة أن المهاجم استخدم جيميني CLI للتحكم في 8 حواسيب داخل عيادة أسنان والوصول إلى قاعدة بيانات OpenDental. هذا يعني أن الاختراق لم يقتصر على الأجهزة نفسها، بل امتد إلى بيانات تشغيلية شديدة الحساسية.
اللافت أيضاً أن بنية القيادة والسيطرة كانت صغيرة جداً، إذ قيل إنها احتاجت إلى 3 ملفات نصية فقط بحجم إجمالي يقارب 5 كيلوبايت. هذا الحجم المحدود يجعل إعادة نشرها أو التخلص منها أمراً سهلاً، وهو ما يزيد من مرونة الهجوم وصعوبة تتبعه.
لماذا يثير هذا الحادث قلق خبراء الأمن الرقمي؟
القلق هنا لا يتعلق فقط بوجود أداة ذكاء اصطناعي في المشهد، بل بطريقة استخدامها كواجهة تشغيل كاملة تقريباً. فالأداة لم تكتفِ بكتابة مقاطع برمجية، بل ساعدت في اتخاذ خطوات تنفيذية تخص الإدارة، النقل، التشخيص، وحتى اقتراح تحسينات دون طلب مباشر في عشرات المرات.
هذا النمط يوضح كيف يمكن لأدوات الذكاء الاصطناعي أن تخفض الحاجز التقني أمام المهاجمين، خاصة عندما تنجح الحيلة في إقناع النظام بأنه يعمل ضمن اختبار اختراق مصرح به. وهنا تتحول الأداة من مساعد إنتاجية إلى عنصر مضاعف للخطر.
كيف جرت عملية نقل البوت نت خلال دقائق؟
المهاجم استخدم الأوامر لتحليل البنية القديمة التي كانت تعتمد على اتصالات صادرة من الأجهزة الضحية عبر HTTPS، ثم طلب نقلها إلى هيكل جديد خلال نحو 6 دقائق فقط. الفكرة الأساسية كانت أن الأجهزة المصابة تسحب أوامر PowerShell من الخادم وتنفذها مباشرة.
أبرز تفاصيل البنية الجديدة
- الاتصال يتم بطلبات صادرة من الأجهزة إلى الخادم
- الأوامر تُرسل عبر HTTPS لتقليل الشبهات
- Cloudflare Tunnels استُخدمت لإخفاء البنية الخلفية
- الأخطاء ظهرت فوراً لكن تم إصلاحها أثناء الجلسات
ماذا يعني ذلك لمستقبل الأمن مع أدوات الذكاء الاصطناعي؟
هذه الحادثة تعكس واقعاً جديداً: المهاجم الفردي لم يعد بحاجة إلى فريق تقني كامل كي يدير هجوماً معقداً نسبياً. ومع تزايد قدرات الأدوات المفتوحة، ستصبح سرعة بناء البنية الهجومية وتعديلها أعلى بكثير من السابق.
بالنسبة للمتابعين عبر تيكبامين، الرسالة الأوضح هي أن حماية الأنظمة لم تعد تعتمد فقط على إغلاق الثغرات، بل أيضاً على مراقبة السلوك غير المعتاد، وتأمين قواعد البيانات، ومراجعة أدوات الوصول البعيد. ومع استمرار تطور جيميني CLI وأشباهه، سيبقى الأمن الرقمي في سباق مفتوح مع الذكاء الاصطناعي الهجومي.
