من الاختراق إلى الانتشار في 27 ثانية: كيف تتفوق الهجمات المعززة بالذكاء الاصطناعي على المدافعين البشريين

المقياس الزمني الذي يجب أن يُرعب كل مسؤول أمن معلومات

لسنوات، تتبعت صناعة الأمن السيبراني “زمن الانتشار” (Breakout Time) كمعيار حاسم — وهو الفاصل الزمني بين الوصول الأولي للمهاجم إلى نظام ما وحركته الجانبية نحو أصول أخرى داخل الشبكة. إنه في جوهره النافذة المتاحة للمدافع لاكتشاف الاختراق والتحقيق فيه واحتوائه قبل أن يتحول إلى كارثة.

تلك النافذة تُغلق بعنف. يكشف تقرير CrowdStrike للتهديدات العالمية 2026، الصادر في فبراير 2026، أن متوسط زمن انتشار الجرائم الإلكترونية عبر الاختراقات المرصودة انضغط إلى 29 دقيقة في 2025، بتسارع نسبته 65% مقارنة بعام 2024. وقد كان الاتجاه حثيثاً: كان متوسط زمن الانتشار 84 دقيقة في 2022، وانخفض إلى 62 دقيقة في 2023، وتراجع أكثر إلى 48 دقيقة في 2024، ليصل الآن إلى 29 دقيقة. لكن المتوسط يُخفي النقطة الأكثر إثارة للقلق حقاً: أسرع زمن انتشار مسجّل كان 27 ثانية. ليس 27 دقيقة — 27 ثانية من الموطئ الأولي إلى الحركة الجانبية.

وبشكل منفصل، وجد تقرير Unit 42 للاستجابة العالمية للحوادث لعام 2026 الصادر عن Palo Alto Networks أنه في الربع الأسرع من الحوادث المحققة، انتقل المهاجمون من الوصول الأولي إلى تسريب البيانات في 72 دقيقة فقط — بتسارع أربعة أضعاف مقارنة بـ 285 دقيقة في العام السابق لنفس الشريحة. وعبر جميع الحوادث، كان الزمن الوسيط لتسريب البيانات يومين، لكن في حالة من كل خمس حالات، سُرقت البيانات خلال الساعة الأولى.

تمثل هذه الأرقام الحافة الأمامية لتحول هيكلي في مشهد التهديدات، مدفوعاً بتبني المهاجمين للأتمتة والأدوات المعززة بالذكاء الاصطناعي والبنية التحتية المجهزة مسبقاً. والتبعات على الاستراتيجية الدفاعية عميقة: النموذج التقليدي للكشف والاستجابة البشرية يقترب من حدوده التشغيلية.

ما الذي يقود التسارع

تتضافر عدة عوامل لتفسير سبب تحرك المهاجمين بسرعة غير مسبوقة.

البنية التحتية الهجومية المجهزة مسبقاً

لا يبدأ فاعلو التهديد المعاصرون من الصفر مع كل اختراق. تحتفظ المجموعات المتطورة بمكتبات من أدوات الاستغلال المُعدّة مسبقاً وبنية تحتية مهيأة للتحكم والقيادة ونصوص مؤتمتة يمكن نشرها في ثوانٍ بعد الوصول الأولي. تحقق زمن الانتشار البالغ 27 ثانية على يد فاعل أتمت تسلسل ما بعد الاستغلال بالكامل — حصاد بيانات الاعتماد وتصعيد الصلاحيات والحركة الجانبية — في سير عمل نصّي واحد يُنفَّذ لحظة تشغيل الحمولة الأولية.

الاستطلاع والاستغلال بمساعدة الذكاء الاصطناعي

يستخدم فاعلو التهديد بشكل متزايد أدوات الذكاء الاصطناعي لتسريع مرحلة الاستطلاع — رسم خرائط الشبكات وتحديد الأهداف ذات القيمة العالية واختيار مسارات الحركة الجانبية المثلى. وجد تقرير CrowdStrike لعام 2026 أن الهجمات المعززة بالذكاء الاصطناعي ازدادت بنسبة 89% مقارنة بالعام السابق، حيث يسلّح الخصوم الذكاء الاصطناعي في الاستطلاع وسرقة بيانات الاعتماد والتهرب. وبينما تبقى الأدوات المحددة التي تستخدمها المجموعات الإجرامية غامضة نوعاً ما، أثبت باحثو الأمن أن النماذج اللغوية الكبيرة المتاحة تجارياً يمكنها تسريع مهام مثل تحليل هياكل Active Directory وتحديد الخدمات المُعدّة بشكل خاطئ وتوليد شيفرة استغلال مخصصة لبيئات مستهدفة محددة بشكل كبير.

منظومة وسطاء الوصول

نضج سوق وسطاء الوصول الأولي ليصبح سلسلة توريد متطورة تتخصص فيها مجموعات حصرياً في الحصول على مواطئ قدم أولية — عبر التصيد الاحتيالي أو حشو بيانات الاعتماد أو استغلال الثغرات أو شراء بيانات اعتماد مسروقة — ثم بيع هذا الوصول لمشغّلين متخصصين في الحركة الجانبية وتسريب البيانات. رصدت CrowdStrike ارتفاعاً بنسبة 50% مقارنة بالعام السابق في إعلانات وسطاء الوصول. يعني تقسيم العمل هذا أنه بحلول بدء “الانتشار”، يكون فريق الهجوم قد حصل في كثير من الأحيان على إحاطة كاملة حول بنية البيئة المستهدفة، مما يسرّع حركتهم بشكل كبير.

الهجمات القائمة على الهوية

يُبرز تقرير CrowdStrike لعام 2026 أن 82% من الكشوفات في 2025 كانت خالية من البرمجيات الخبيثة — اعتمد المهاجمون على بيانات اعتماد مسروقة واختطاف رموز الجلسات والهندسة الاجتماعية وإساءة استخدام أدوات الوصول عن بُعد المشروعة بدلاً من نشر البرمجيات الخبيثة التقليدية. كانت النسبة في العام السابق 79%. الهجمات القائمة على الهوية أسرع بطبيعتها لأنها تتجاوز آليات الكشف عند نقاط النهاية. مهاجم يستخدم بيانات اعتماد شرعية للمصادقة على وحدة تحكم النطاق يبدو مطابقاً لمسؤول مُخوّل، و”الحركة الجانبية” هي ببساطة تسجيل الدخول إلى نظام آخر ببيانات اعتماد صالحة. لا توجد برمجيات خبيثة يمكن اكتشافها، ولا استغلال يمكن التنبيه عنه، ولا تنفيذ ملف ثنائي شاذ يثير التنبيهات.

يؤكد تقرير Unit 42 لعام 2026 هذا الاتجاه، حيث وجد أن نقاط الضعف في الهوية لعبت دوراً جوهرياً في حوالي 90% من تحقيقاته.

فجوة استجابة مراكز العمليات الأمنية

كشف التسارع في سرعة المهاجمين عن تناقض جوهري مع الوتيرة التشغيلية لمعظم مراكز العمليات الأمنية (SOC). سير العمل التقليدي في SOC — فرز التنبيهات والتحقيق والتصعيد وتفويض الاستجابة وإجراء الاحتواء — صُمم لمشهد تهديدات كان فيه للمدافعين ساعات أو أيام للاستجابة. عندما يُقاس زمن الانتشار بالدقائق أو الثواني، ينهار سير العمل هذا.

فلنتأمل الحسابات. يتلقى محلل المستوى الأول (Tier 1) في SOC تنبيهاً أمنياً ويبدأ الفرز المبدئي. متوسط وقت الفرز عبر المؤسسات هو 15-20 دقيقة لكل تنبيه، مع مراعاة جمع السياق وربط السجلات والتقييم المبدئي. إذا صُعّد التنبيه إلى المستوى الثاني (Tier 2) لتحقيق أعمق، أضف 20-30 دقيقة أخرى. بحلول الوقت الذي يؤكد فيه محلل بشري أن التنبيه يمثل اختراقاً حقيقياً ويبدأ إجراءات الاحتواء، يكون المهاجم قد حظي بـ 30-50 دقيقة من الوصول غير المعوّق — وهو أكثر من كافٍ لتحقيق أهدافه في مشهد التهديدات الحالي.

تتفاقم المشكلة بسبب حجم التنبيهات. وجد استطلاع SANS 2025 لمراكز العمليات الأمنية أن 66% من فرق الأمن لا تستطيع مواكبة حجم التنبيهات الواردة، وأكثر من نصفها يفيد بأن الإنذارات الكاذبة عقبة تشغيلية رئيسية. المحللون يغرقون في الضوضاء، والعبء المعرفي للتمييز بين التهديدات الحقيقية والإنذارات الكاذبة يُبطئ أوقات الاستجابة أكثر. الثمن البشري كبير: 70% من محللي SOC الذين لديهم خمس سنوات أو أقل من الخبرة يتركون الدور خلال ثلاث سنوات.

حتى المؤسسات ذات البرامج الأمنية الناضجة ومراكز العمليات الأمنية المزودة بالكوادر الكافية تعاني. المشكلة ليست قصوراً في الكفاءة أو نقصاً في الاستثمار — إنها تناقض هيكلي بين الوتيرة التشغيلية البشرية وسرعة الهجمات الآلية.

تسارع تسريب البيانات

بينما يقيس زمن الانتشار سرعة الحركة الجانبية، فإن مقياس تسريب البيانات يروي القصة الأكمل لتأثير الهجوم. اكتشاف Unit 42 أن الربع الأسرع من الحوادث وصل إلى التسريب في غضون 72 دقيقة من الاختراق الأولي — وأن حالة من كل خمس حالات شهدت سرقة بيانات خلال الساعة الأولى — يعني أنه في حصة كبيرة من الحوادث، كانت البيانات قد سُرقت بالفعل قبل أن تبدأ معظم عمليات الاستجابة للحوادث.

يعكس تسارع التسريب عدة اتجاهات. أصبح المهاجمون أكثر استهدافاً في جمع البيانات، مستخدمين أدوات مؤتمتة لتحديد البيانات عالية القيمة وتجهيزها بسرعة بدلاً من محاولة تسريب كمّي قد يثير ضوابط منع فقدان البيانات. كما تستفيد تقنيات التسريب الحديثة من خدمات السحابة المشروعة — بتحميل البيانات إلى حسابات تخزين سحابية يتحكم فيها المهاجم عبر واجهات برمجة تطبيقات تبدو مطابقة لحركة الأعمال الطبيعية. وجد Unit 42 أن 23% من الحوادث تضمنت مهاجمين يستفيدون من تطبيقات SaaS خارجية كقنوات تسريب.

يعكس تسارع التسريب أيضاً الانتشار المتزايد لهجمات سرقة البيانات أولاً. أفاد Unit 42 أن الابتزاز القائم على التشفير انخفض بنسبة 15% عن العام السابق، حيث يتخطى مزيد من المهاجمين التشفير بالكامل وينتقلون مباشرة إلى سرقة البيانات والتعطيل. تُسرّب البيانات قبل نشر أي برنامج فدية، مما يضمن للمهاجم وسيلة ضغط حتى لو تمكنت الضحية من الاستعادة من النسخ الاحتياطية.

بالنسبة للمؤسسات الخاضعة لمتطلبات إشعار الاختراق — والتي تشمل الآن معظم المؤسسات العاملة في القطاعات المنظمة أو الأنظمة القضائية ذات قوانين حماية البيانات الشاملة — فإن لسرعة التسريب تبعات تنظيمية. إذا سُرقت البيانات خلال الساعة الأولى، ينزاح الجدول الزمني للحادثة بأكمله: الكشف والتحقيق والإخطار والمعالجة تعمل جميعها ضمن جداول زمنية مضغوطة.

إعادة التفكير في الدفاع ضد تهديدات بسرعة الآلة

يتطلب التكيف مع هذا الواقع الجديد تغييرات جوهرية في كيفية تعامل المؤسسات مع الكشف والاستجابة، وليس تحسينات تدريجية على العمليات القائمة.

الكشف والاستجابة المؤتمتان

أهم تكيف هو الانتقال من الاستجابة الأولية المدفوعة بشرياً إلى المدفوعة آلياً. عندما يُقاس زمن الانتشار بالثواني، يجب أن يكون خط الدفاع الأول أنظمة مؤتمتة يمكنها اكتشاف السلوك الشاذ وبدء إجراءات الاحتواء دون انتظار التحليل البشري. يعني هذا استجابات مؤتمتة مُفوّضة مسبقاً — عزل نقاط النهاية المخترقة وإلغاء الجلسات المشبوهة وحظر محاولات الحركة الجانبية — تُنفَّذ في غضون ثوانٍ من الكشف.

هذا تحوّل ثقافي كبير لكثير من المؤسسات. الاحتواء المؤتمت يحمل خطر الإنذارات الكاذبة التي تعطل العمليات المشروعة، والخوف من “إغلاق الآلة لحاسوب المدير التنفيذي أثناء اجتماع مجلس الإدارة” منع تاريخياً المؤسسات من نشر أتمتة صارمة. لكن حساب المخاطر تغيّر: تكلفة تأخير الاحتواء لمدة 30 دقيقة تتجاوز الآن تكلفة تعطل عرضي بسبب إنذار كاذب. وجد استطلاع SANS 2025 لمراكز العمليات الأمنية أنه بينما لدى 64% من الفرق بعض آليات الاستجابة المؤتمتة، فإن أقل من ربعها أتمت عملياتها بالكامل.

الأمن المرتكز على الهوية

مع استفادة 82% من الاختراقات من تقنيات قائمة على الهوية، انتقل المحيط الأمني بشكل نهائي من حافة الشبكة إلى طبقة الهوية. تحتاج المؤسسات إلى مصادقة وتفويض مستمرين — ليس مجرد التحقق من الهوية عند تسجيل الدخول، بل مراقبة سلوك الجلسات المصادق عليها بحثاً عن شذوذ يشير إلى اختراق بيانات الاعتماد. يشمل ذلك اكتشاف سيناريوهات السفر المستحيل وأنماط الوصول غير المعتادة وتسلسلات تصعيد الصلاحيات وإعادة استخدام رموز الجلسات من عناوين مصدر مختلفة.

بنية “افترض الاختراق”

تدعم بيانات السرعة بقوة بنى “افترض الاختراق” (Assume Breach) التي تحد من قيمة أي بيان اعتماد أو نقطة نهاية مخترقة منفردة. التجزئة الدقيقة للشبكة والوصول القائم على الثقة المعدومة ورفع الصلاحيات في الوقت المناسب والتسجيل الشامل للتدقيق تسهم جميعها في بيئة لا يترجم فيها الوصول الأولي للمهاجم تلقائياً إلى حركة واسعة عبر الشبكة. اكتشاف Unit 42 أن أخطاء التهيئة أو فجوات التغطية الأمنية مكّنت الهجوم بشكل جوهري في أكثر من 90% من الحوادث المحققة يؤكد أن النظافة الأمنية الأساسية تبقى حجر الأساس.

كتيبات الاستجابة المُفوّضة مسبقاً

يجب على المؤسسات تطوير كتيبات استجابة مُفوّضة مسبقاً لسيناريوهات الهجوم الشائعة، مما يلغي عنق الزجاجة في اتخاذ القرار الذي يُبطئ الاستجابة البشرية. عندما يكتشف نظام مؤتمت نمط هجوم قائم على بيانات الاعتماد، يجب أن تُنفَّذ الاستجابة — إنهاء الجلسة وإعادة تعيين بيانات الاعتماد وعزل نقطة النهاية — فوراً بموجب تفويض محدد مسبقاً، مع إجراء المراجعة البشرية بعد الاحتواء لا قبله.

المحاكاة المستمرة للتهديدات

الطريقة الوحيدة للتحقق من أن التدابير الدفاعية يمكنها مواكبة سرعة المهاجمين هي الاختبار المستمر. تساعد تمارين الفريق الأحمر ومنصات محاكاة الاختراق والهجمات وتمارين الطاولة التي تركز على سيناريوهات الاستجابة السريعة المؤسسات في تحديد الاختناقات في سلاسل الكشف والاستجابة قبل أن يستغلها المهاجمون الحقيقيون.

العامل البشري: التعزيز لا الاستبدال

رغم التأكيد على الأتمتة، فإن الهدف ليس إزالة البشر من معادلة الأمن بل إعادة تعريف دورهم. الأنظمة المؤتمتة تتعامل مع إجراءات الكشف والاحتواء الأولية التي يجب أن تحدث في غضون ثوانٍ. المحللون البشريون يركزون على المهام التي تتطلب الحكم والسياق والإبداع: التحقيق في السبب الجذري، وتقييم نطاق الاختراق، واتخاذ قرارات استراتيجية حول الاستعادة، وتكييف الدفاعات بناءً على الدروس المستفادة.

هذا النموذج — الذي يُسمى أحياناً “الإنسان على الحلقة” بدلاً من “الإنسان في الحلقة” — يحافظ على الرقابة البشرية مع الاعتراف بأن أوقات ردّ الفعل البشري لا يمكنها مجاراة الهجمات بسرعة الآلة. يتحول دور الإنسان من حارس بوابة (يُفوّض كل إجراء استجابة) إلى مشرف (يراقب الاستجابات المؤتمتة ويتدخل عند الحاجة للحكم).

التبعات على الكفاءات كبيرة. يحتاج محللو SOC في هذا النموذج إلى مهارات مختلفة عن فرز التنبيهات التقليدي — يحتاجون لفهم منطق الاستجابة المؤتمتة وضبط خوارزميات الكشف وتصميم كتيبات الاستجابة والتحقيق في الاختراقات المعقدة متعددة المراحل التي تُنبّه إليها الأنظمة المؤتمتة لكن لا تستطيع حلها بالكامل. هذا دور أعلى مهارة وأعلى تأثيراً، لكنه يتطلب إعادة تدريب وإعادة تنظيم لم تقم بها كثير من فرق الأمن بعد.

سباق التسلح مستمر

زمن الانتشار البالغ 27 ثانية هو علامة فارقة، وليس حداً أدنى. مع استمرار المهاجمين في تبني الأدوات المعززة بالذكاء الاصطناعي وسلاسل الهجوم المؤتمتة، من المرجح أن تنضغط أزمنة الانتشار أكثر. تحدي المدافعين ليس مجاراة سرعة المهاجمين في سباق خطي — فهذا اقتراح خاسر — بل بناء بُنى معمارية وعمليات تجعل السرعة أقل حسماً.

بيئة يكون فيها كل بيان اعتماد محدود النطاق، وكل إجراء مسجّل، وكل شذوذ يثير احتواءً مؤتمتاً، وكل سيناريو استعادة متمرَّن عليه — هي بيئة يكون فيها زمن انتشار بـ 27 ثانية أقل أهمية لأن حرية حركة المهاجم مقيدة عند كل خطوة. الوصول إلى هناك يتطلب استثماراً وتغييراً تنظيمياً واستعداداً لقبول أن النموذج الدفاعي للعقد الماضي لم يعد كافياً لمشهد تهديدات 2026.

المصادر والقراءات الإضافية

• 2026 CrowdStrike Global Threat Report: AI Accelerates Adversaries and Reshapes the Attack Surface — CrowdStrike
• 2026 Unit 42 Global Incident Response Report: Attacks Now 4x Faster — Palo Alto Networks
• CrowdStrike 2026 Global Threat Report: Evasive Adversary Wields AI — CrowdStrike Blog
• SANS 2025 SOC Survey: SOCs in Slow Motion — SANS Institute / Torq
• Unit 42 Report: AI and Attack Surface Complexity Fuel Majority of Breaches — Palo Alto Networks
• CrowdStrike Says AI Is Officially Supercharging Cyber Attacks — IT Pro