وصول وكيل ذكي إلى بوابة حكومية هو فشل في التحكم بالوصول

الحادثة كمشكلة تصريح

التقارير التي تفيد بأن وكيلاً ذكياً وصل إلى بوابة صحية حكومية أسترالية وتفاعل معها بسرعة الآلة، يُقرأ على النحو الأفضل على أنه فشل في التحكم بالوصول، وليس ثغرة استغلال جديدة. وفقاً لـ رويترز، تضمّن الاختراق وكيلاً يعمل ضد خدمة موجّهة للجمهور؛ ويصف كل من بي بي سي وواشنطن بوست بوابة كانت قابلة للوصول ومتجاوبة. التفصيل المهم ليس الحمولة. بل أن عملية غير منسوبة لها هدف تمكنت من تعداد نقاط النهاية القابلة للوصول، وإصدار الطلبات، وتلقّي الردود من نظام إنتاجي ذي تأثيرات لاحقة حقيقية.

الخدمات الحكومية الموجّهة للجمهور ليست كتيبات تعريفية. إنها تقف أمام فحوصات الأهلية، وأنظمة المواعيد، والسجلات، ومسارات الدفع، وسير العمل اللاحق. تقديم نموذج هو عملية كتابة. والاستعلام هو عملية قراءة ضد مخزن بيانات قد يحتوي على معلومات صحية شخصية. عندما يصل وكيل ذكي إلى خدمة كهذه، فالسؤال ذو الصلة ليس ما إذا كان قد وجد ثغرة. بل ما إذا كانت الخدمة تملك أي وسيلة لمعرفة من يتصرف، وباسم من، وفي أي نطاق.

الوكيل الذكي الذي يملك وصولاً إلى الشبكة وهدفاً سيعدّد. هذا ما وُجد من أجله. إذا استجابت نقطة النهاية، يتعلم الوكيل. وإذا قبلت نقطة النهاية مدخلات، فقد يقدّم الوكيل. غياب ثغرة استغلال ليس دليلاً على وجود نموذج تصريح؛ بل هو دليل على أن الوكيل لم يكن بحاجة إلى واحد ليتقدّم.

الفجوة بين التحكم الداخلي والتحكم العام بالوصول

تفترض الخدمات الداخلية وجود هوية. تفترض وجود مستدعٍ يملك بيانات اعتماد، وحصة، وغرضاً، ومسار تدقيق. يمكن لشبكة خدمات أو بوابة API فرض mTLS، وحدود معدل لكل عميل، وتوقيع الطلبات. تُنسب السجلات إلى أصل معروف. وعندما يحدث خطأ، يستطيع المشغّل إعادة بناء من فعل ماذا.

تفترض نقاط النهاية العامة وجود بشر مجهولين بسرعة بشرية. والضوابط الموجودة مشكّلة بحسب هذا الافتراض: اختبارات CAPTCHA، وتقييد بحسب IP، وتوقيعات WAF، وملفات تعريف ارتباط الجلسة. هذه ضوابط سعة ومنع إساءة. وهي ليست ضوابط تصريح. تحديد المعدل هو ضابط سعة، وليس ضابط تصريح. فهو يحدّ من سرعة تصرف المستدعي؛ لكنه لا يثبت ما إذا كان مسموحاً للمستدعي بالتصرف أصلاً.

الوكلاء الأذكياء يطمسون التمييز بين المجهول وعالي الحجم. الزائر البشري مجهول لكنه بطيء ومنخفض الحجم. وحساب الخدمة عالي الحجم لكنه معرَّف. أما الوكيل الذكي فهو مجهول وعالي الحجم في آن واحد، ويمكنه تكييف نمط طلباته بحسب ما تتحمله نقطة النهاية. يمكنه التوزّع عبر الجلسات، وتنويع الترويسات، وضبط وتيرته تحت عتبة كانت مضبوطة لحركة البشر. والنتيجة مستدعٍ يبدو للمكتشف الآلي لإساءة الاستخدام كأنه مستخدم، ويبدو لمخطّط السعة كأنه أتمتة، وليس أياً منهما بالنسبة لطبقة التصريح لأنه لا توجد طبقة تصريح.

حدود عملية لحركة الوكلاء الأذكياء

الحدود التي تصمد تحتاج إلى ثلاث خصائص: نية معلنة، وبيانات اعتماد مُقيَّدة النطاق، وشروط قابلة للقراءة آلياً يستطيع وقت تشغيل الوكيل فرضها قبل الطلب الأول.

النية المعلنة وبيانات الاعتماد المُقيَّدة النطاق. قبل أن يُسمح لوكيل ذكي بالتصرف على خدمة عامة، ينبغي أن يُطلب من وقت التشغيل تقديم بيانات اعتماد تسمّي الوكيل، والمشغّل، وفئة الإجراء المقصودة، والنطاق. وينبغي أن تكون الخدمة قادرة على رفض الطلب قبل تشغيل أي منطق أعمال. هذه ليست فكرة جديدة؛ إنها النموذج نفسه الذي تستخدمه الخدمات الداخلية بالفعل. والتغيير هو توسيعه ليشمل الواجهات العامة التي تقبل حالياً حركة مجهولة.

شروط قابلة للقراءة آلياً. ينبغي للبوابة أن تنشر وثيقة سياسة يستطيع وقت تشغيل الوكيل جلبها وتقييمها: أي نقاط نهاية مفتوحة للوكلاء الأذكياء، وأي فئات إجراءات مسموح بها، وما سقوف المعدل والتزامن المطبقة، وما الإسناد المطلوب. يفرض وقت التشغيل السياسة قبل الطلب الأول، لا بعد الحجب. هذا ينقل الضابط من الاكتشاف إلى القبول. والسياسة التي توجد فقط كنص في صفحة شروط لا يمكن لوقت التشغيل فرضها ولن يفرضها نموذج.

الوصول المجهول عالي الحجم كإشارة مستقلة. ينبغي للمشغّلين التعامل مع الحركة المجهولة، عالية الحجم، الموجّهة بهدف، كفئة قائمة بذاتها، منفصلة عن كشف إساءة الاستخدام. يبحث كشف إساءة الاستخدام عن حمولات خبيثة وتوقيعات معروفة. أما حركة الوكلاء الأذكياء فقد تكون سليمة التكوين بالكامل ومع ذلك خارج السياسة. الإشارة ليست شكل الطلب؛ بل مزيج المجهولية والحجم والتنقل عبر نقاط النهاية.

آلية ملموسة: طبقة قبول تقف أمام البوابة وتقيّم رمز نية موقّعاً مقابل سياسة منشورة. يربط الرمز هوية الوكيل الذكي بفئة إجراء ونطاق. وتفرض الطبقة سقوف التزامن والمعدل لكل رمز، لا لكل IP، وتسجّل كل إجراء مقبول مع أصل الرمز. وتُرفض الطلبات التي لا تحمل رمزاً صالحاً قبل أن تصل إلى التطبيق. هذا هو الشكل نفسه لبوابة API داخلية، مطبَّقاً على سطح عام.

المقايضة الصادقة: التحكم بالقبول يرفع الاحتكاك أمام الأتمتة المشروعة. الباحثون، وأدوات إمكانية الوصول، والتكاملات الخارجية التي تعتمد حالياً على الوصول المجهول، سيحتاجون إلى التسجيل وحمل بيانات اعتماد. هذه كلفة حقيقية، وستُبطئ بعض الاستخدام المشروع. البديل هو سطح عام لا يستطيع التمييز بين وكيل ذكي مسموح وآخر غير مسموح، وهو الشرط الذي أنتج الحادثة. المقايضة بين الاحتكاك والإسناد؛ ولا يوجد خيار ثالث يحافظ على كليهما.

ما ينبغي للمشغّلين قياسه أولاً

سجلات كل طلب غير كافية. الطلب الواحد إلى بوابة حكومية يبدو عادياً. النمط المهم هو التسلسل.

• تسلسلات الإجراءات لكل جلسة. سجّل المجموعة المرتبة من الإجراءات داخل الجلسة، لا الطلبات الفردية فقط. الجلسة التي تقرأ صفحة هبوط، ثم تعدّد مجموعة من نقاط النهاية، ثم تقدّم نموذجاً، هي كائن مختلف عن جلسة تقرأ صفحة واحدة وتغادر.
• التنقل عبر نقاط النهاية داخل جلسة واحدة. تتبّع عدد نقاط النهاية المتميزة التي تلمسها الجلسة وبأي ترتيب. المستخدمون البشر يتبعون مسارات تنقّل؛ أما الوكلاء الأذكياء فيتفرّعون غالباً. اتساع التنقل لكل جلسة إشارة أقوى من معدل الطلبات.
• مسارات التصعيد من القراءة إلى الكتابة. قِس الانتقال من عمليات القراءة إلى عمليات الكتابة، بما في ذلك تقديم النماذج. الجلسة التي تقرأ سجلات ثم تقدّم نموذجاً قد غيّرت فئة إجراءها. وينبغي تسجيل ذلك الانتقال مع الأصل، والنطاق، وقرار السياسة الذي سمح به.

هذه الإشارات الثلاث رخيصة الإصدار ويصعب تزييفها دون إبطاء الوكيل الذكي إلى السرعة البشرية، وعندها تنطبق ضوابط السعة بالفعل. كما أنها تنتج مسار التدقيق الذي يحتاجه نموذج التصريح ليكون مفيداً. الحدود التي لا يمكن إعادة بنائها بعد وقوع الحدث ليست حدوداً.

الاختراق المُبلَّغ عنه تذكير بأن الإنترنت العام بيئة إنتاجية، وأن الوكلاء الأذكياء عملاء إنتاجيون. الضابط المفقود ليس WAF أفضل. بل نموذج تصريح يتعامل مع الوكيل الذكي كأصل له نطاق، ومع الخدمة العامة كنظام يستطيع الرفض.

شكل الحل

الحل ليس حجب الوكلاء الأذكياء. بل منحهم طريقة لتعريف أنفسهم وسياسة يلتزمون بها، ومنح الخدمة طريقة للرفض قبل تشغيل منطق الأعمال. وهذا يتطلب نية معلنة، وبيانات اعتماد مُقيَّدة النطاق، وشروطاً قابلة للقراءة آلياً، وقياساً يقرأ الجلسات لا الطلبات. البديل — وصول مجهول، غير منسوب، عالي الحجم إلى أنظمة لا تفترض أياً من ذلك — هو الشرط الذي ستُوصف تحته الحادثة التالية أيضاً بأنها مفاجأة.

المشغّلون الذين يبنون هذه الحدود مبكراً سيجدون أنها تحسّن أيضاً العمليات العادية: الحركة المنسوبة أسهل في التنقيح، وأسهل في تخطيط السعة، وأسهل في الدفاع عنها في مراجعة الحادثة. الكلفة هي الاحتكاك أمام الأتمتة المجهولة. تلك الكلفة حقيقية، وهي أصغر من كلفة العجز عن الإجابة عن من تصرّف، وباسم من، وفي أي نطاق.