باحثو جامعة تشجيانغ يحذرون من تهديد AudioHijack للذكاء الاصطناعي الصوتي والمحافظ المشفرة

كشف باحثون من جامعة تشجيانغ عن طريقة جديدة مذهلة للاستيلاء على أنظمة الصوت المدعومة بالذكاء الاصطناعي: إشارات صوتية غير مسموعة وقابلة للقراءة آليًا تغيّر سلوك النماذج دون أن يسمعها البشر. وقد عُرضت هذه التقنية، التي أطلق عليها اسم AudioHijack، في الندوة السنوية الـ47 للجمعية الأمريكية للهندسة الكهربائية والإلكترونية (IEEE) حول الأمن والخصوصية في سان فرانسيسكو، حيث أفاد الفريق أنها قادرة على تغيير نماذج الصوت-اللغة الكبيرة (LALMs) بنسبة نجاح تصل إلى 96%. ما تفعله الهجوم: - يُدمج AudioHijack أوامر مخفية مباشرة في موجة صوتية رقمية من خلال تعديل القيم الرقمية بطرق لا يستطيع البشر سماعها، لكن النماذج LALM تفسرها كتعليمات. - الإشارة المُعادية لا تعتمد على السياق: بعد حوالي نصف ساعة من التدريب، يمكن إعادة تشغيل نفس الإشارة مع أي كلام شرعي وتحافظ على توجيه سلوك النموذج، حسبما قال المؤلف الرئيسي مينغ تشين. - وبما أنها تستغل تعديل الصوت نفسه وليس الترجمة النصية، فإنها تتجنب العديد من الدفاعات المصممة لاكتشاف أوامر النصوص الخبيثة. ما أظهره الباحثون: - اختبر الفريق AudioHijack على 13 نموذجًا صوتيًا مفتوح المصدر وعلى أنظمة صوت تجارية من مايكروسوفت وMistral تستخدم هياكل مشابهة. - يمكن للصوت المُعدل أن يجعل النماذج ترفض الطلبات، أو تنشر معلومات خاطئة، أو تُدرج روابط ضارة، أو تغيّر الشخصية، أو تنفذ إجراءات لم يطلبها المستخدم أبدًا — ومن الأمثلة على ذلك عمليات بحث على الويب، وتنزيل الملفات، وإرسال رسائل بريد إلكتروني تُسرّب بيانات شخصية. - لاحظ الباحثون أن الهجوم يمكن تسليمه عبر قنوات شائعة مثل مقاطع الفيديو عبر الإنترنت، وملفات الموسيقى، وملاحظات الصوت، أو الصوت المُلتقط من مكالمات Zoom ورفعه إلى خدمات التحويل الصوتي الآلي. وتشير أعمال متابعة غير منشورة إلى أن هجمات مشابهة تعمل أيضًا في المحادثات الصوتية الحية المدعومة بالذكاء الاصطناعي. لماذا هذا الهجوم مختلف وأصعب في إيقافه: - الهجمات التقليدية "بالحقن عبر الأوامر" (prompt injection) تغيّر ما يقوله المستخدم أو تُدخل نصوصًا خبيثة. أما AudioHijack فغيرّ من الإشارة الصوتية التناظرية/الرقمية نفسها، مما يجعل التلاعب غير مرئي أمام مرشحات النصوص والعديد من الضوابط الحالية. - كان مراقبة آليات الانتباه الداخلية للنموذج هو أكثر الدفاعات فعالية التي اختبرها الفريق، لكن المهاجمين المتكيفين يمكنهم تقليل قوة تلاعباتهم لتجنب هذا التدبير الدفاعي مع الحفاظ على جزء كبير من فعالية الهجوم. وقال تشين: "تواجه هذه الدفاعات النقطية صعوبة في مقاومة هجومنا لأننا وجدنا أنه من الصعب جدًا على هذه النماذج التمييز بين نية المستخدم العادية وهجوم الخصم". لماذا يجب على منصات التشفير أن تهتم: - مع تصاعد تجارب خدمات التشفير مع ميزات قائمة على الصوت — مثل الوصول الصوتي إلى المحافظ، ومساعدي التداول، وسير العمل لدعم العملاء، أو المصادقة الصوتية — يسلط AudioHijack الضوء على سطح هجوم جديد يمكن استغلاله للتصيد الاحتيالي أو الهندسة الاجتماعية أو تحفيز إجراءات غير مرغوب فيها في الأنظمة المتصلة. - وعلى الرغم من أن الدراسة لم تُظهر سرقة مرتبطة بالتشفير، إلا أن أي خدمة تقبل أوامر مسموعة أو تستهلك صوتًا قد تكون عرضة للخطر إذا تم الاعتماد على واجهات الصوت في العمليات الحساسة. وتشمل قنوات التسليم مثل الفيديوهات والموسيقى أو تسجيلات المكالمات جميع القنوات المستخدمة عادة في عمليات الاحتيال. الاستنتاجات العملية: - يجب على البائعين والمشغلين الذين يستخدمون نماذج صوتية بالذكاء الاصطناعي ألا يعتمدو فقط على مرشحات النصوص لاكتشاف الاستخدام الضار؛ بل يُوصى باستخدام دفاعات تفحص داخل النموذج وتحقق متعدد العوامل للإجراءات الحساسة. - بالنسبة للشركات والمستخدمين في مجال التشفير، لا يُنصح بالاعتماد فقط على الصوت كوسيلة للمصادقة أو التفويض؛ بل يجب طلب تحقق إضافي للتحويلات والإجراءات الحرجة المتعلقة بالحساب، والانتباه إلى الصوت القادم من مصادر غير موثوقة. - تؤكد الدراسة الحاجة إلى نمذجة تهديد أوسع والتعاون بين فرق الذكاء الاصطناعي والأمن والتشفير مع إطلاق الميزات القائمة على الصوت. تم عرض الهجوم الكامل والتجارب من قبل باحثي جامعة تشجيانغ في ندوة IEEE؛ وترفع هذه الأبحاث أسئلة عاجلة حول كيفية تأمين أنظمة الذكاء الاصطناعي القائمة على الصوت قبل أن تصبح قناة للاستغلال الواسع النطاق.