تقنية المعلومات الوكيلية عمليًا: ما الذي عرضته ندوة Central IT عن الوكلاء المستقلين في الأمن السيبراني وعمليات تقنية المعلومات

ما هي ندوة «عصر تقنية المعلومات الوكيلية»

جمعت Central IT، في 6 أكتوبر 2026، متخصصين في البنية التحتية وعمليات تقنية المعلومات وإدارة الخدمات والأمن لمناقشة سؤال عملي: كيف تُستخدَم وكلاء الذكاء الاصطناعي المستقلون في عمليات تقنية المعلومات وفي الأمن السيبراني دون خلق مخاطر أكثر مما تُحَل. قدّمت الندوة Paullyanna Gomes، رئيسة التسويق الرقمي في Central IT، وتضمّن البرنامج ثلاث محاضرات، من المشهد العام إلى التطبيق:

• Emauri Gaspar، المدير التقني (CTO) والشريك المؤسس لـCentral IT: مشهد الأمن السيبراني في 2026 وما تتوقعه Gartner.
• Daniel Donda، مخترق أخلاقي، ومتخصص في الأمن السيبراني، ومؤسس Hackers Hive: رحلة الهجوم في عصر الذكاء الاصطناعي، من الوصول الأول إلى الخسارة.
• Vinicius Gravito، مدير الهندسة المعمارية والاستشارات والحوكمة في Central IT: كيف يمكن لعمليات تقنية المعلومات أن تستجيب بوكلاء ذكاء اصطناعي مستقلين، في عرض لـCITSmart Autonomous AI.

ما الذي أظهره استطلاع المسجّلين

قبل الحدث، أجاب المسجّلون عن استطلاع النضج في عمليات تقنية المعلومات والأتمتة بالذكاء الاصطناعي. يعمل معظمهم في البنية التحتية وعمليات تقنية المعلومات (66.8%) وفي إدارة خدمات تقنية المعلومات أو مكتب الخدمة (61.3%). وتبيّن النتائج المعروضة في الافتتاح حجم المسافة بين الخطاب والعمليات:

• 35.4% تعرّضوا بالفعل لهجوم سيبراني. أي أكثر من واحد من كل ثلاثة.
• 9.3% فقط يستخدمون SOAR أو أتمتة الأمن للاستجابة للحوادث. ويظهر EDR أو XDR في 25.5% من الإجابات، وSIEM في 19.6%.
• 7.4% فقط لديهم بالفعل وكلاء ينفّذون إجراءات بشكل مستقل وخاضع للحوكمة. و12.8% آخرون يستخدمون أتمتة أو وكلاء بموافقة بشرية.
• 48.9% يعتزمون المضي قدمًا في مبادرات للذكاء الاصطناعي أو للأتمتة التشغيلية خلال الأشهر الـ6 المقبلة.

ومن بين أكبر تحديات تقنية المعلومات والأمن، تكرر النمط نفسه: الأنشطة اليدوية، والعبء الزائد على الفريق، ونقص المتخصصين. لا يزال عنق الزجاجة هو أناس يعملون عند حدّ طاقتهم.

ولبيان حجم المشكلة، عرض الافتتاح معلومة من FortiGuard Labs التابعة لـFortinet، نشرها IT Forum: في 2025، تلقّت البرازيل 753.8 مليار محاولة هجوم سيبراني. وبقسمتها على 365 يومًا، تكون نحو 2.07 مليار يوميًا، و86 مليونًا في الساعة، و23,903 في الثانية.

Emauri Gaspar: الذكاء الاصطناعي ليس البطل، بل النضج التشغيلي

افتتح Emauri بصورة: في جانبٍ المسرح، حيث يتحدث المصنّعون والمقالات والمؤثرون عن وكلاء ذكاء اصطناعي يحلّون كل شيء بمفردهم؛ وفي الجانب الآخر بيئة الإنتاج، بإرهاق التنبيهات، والإنذارات الكاذبة، وأخطاء الإعداد، والسجلات (logs) التي لا يستطيع أحد قراءتها. وفي المنتصف، على جسر هشّ، يقف مدير تقنية المعلومات.

«الذكاء الاصطناعي ليس بطل هذه القصة. بطل هذه القصة هو النضج التشغيلي.»

Emauri Gaspar، عند 9:50 من الندوة

الأرقام التي عرضها، وكلها من Gartner، تبيّن حجم هذه المسافة. واحدة من كل خمس مؤسسات تفيد بأنها تحصل على قيمة من أدوات الذكاء الاصطناعي لديها، وواحدة من كل 50 تفيد بقيمة تحويلية. وسيُلغى 40% من مشاريع الذكاء الاصطناعي الوكيلي بحلول 2027. ومع ذلك لن يتوقف التبنّي: إذ تتوقع Gartner أن ترتفع نسبة الشركات التي يشغّل فيها الذكاء الاصطناعي الوكيلي البنية التحتية لتقنية المعلومات من أقل من 5% في 2025 إلى 70% في 2029. ويرى Emauri أن السؤال لم يعد «هل» وأصبح «متى»، لأن المهاجم يستخدم الذكاء الاصطناعي بالفعل، والأدوات التي تشتريها الشركات ستأتي بالوكلاء في كل الأحوال. ما يبقى معرفته هو هل ستكون العمليات جاهزة لهم.

لماذا تموت التجارب الأولية؟ لأن الرهان وُضع على ذكاء النموذج، لا على أساس العمليات:

«وضع وكيل فوق عمليات غير منظَّمة لا ينتج استقلالية، بل سينتج حادثًا أسرع.»

Emauri Gaspar، عند 14:05 من الندوة

الأساس، بكلماته، هو معرفة ما تحتويه البنية التحتية، وكيف تعمل، وكيف تتواصل الخدمات فيما بينها، وكيف يعتمد كل منها على كل أصل. وهو أيضًا النظافة الأساسية، التي تميل الهجمات المتطورة إلى صرف الانتباه عنها: إدارة التحديثات الأمنية (patches)، والمصادقة الثنائية، والاستجابة للحوادث، وكلمات المرور الضعيفة، والخوادم غير المحدَّثة. فمن خلال غياب هذه النظافة يدخل معظم برامج الفدية. ينظر مدير البنية التحتية ومدير الأمن إلى البيئة نفسها بنظرتين مختلفتين، ومن دون نظافة أساسية لا ينجح أيٌّ منهما.

العامل البشري والذكاء الاصطناعي الذي لم يوافق عليه أحد

كانت النقطة الثانية لـEmauri أن الإنسان لا يزال في قلب المخاطر. الأرقام التي عرضها مصدرها Data Breach Investigations Report 2025 من Verizon، الذي استشهدت به Gartner، واستطلاع من Gartner حول السلوك الآمن للموظفين:

• 60% من حالات اختراق البيانات تشمل أشخاصًا.
• أكثر من 57% من الموظفين يستخدمون حسابات شخصية للذكاء الاصطناعي التوليدي في العمل.
• 33% يعترفون بأنهم أدخلوا معلومات حساسة في أدوات غير معتمَدة.

المستند الذي يُلصَق في أداة ذكاء اصطناعي يذهب إلى مكان لا تتحكم فيه الشركة، وكثير من الأدوات المشتقة من الأدوات الكبرى لا توضح وجهة البيانات. والاستجابة المقترحة ليست مزيدًا من التدريب العام مرة في السنة، بل برامج للسلوك والثقافة، مع تدريبات قصيرة تُطلَق عندما يظهر خطر حقيقي في العمل اليومي.

قسّم Emauri أمن الذكاء الاصطناعي إلى جبهتين. الذكاء الاصطناعي الذي نستخدمه: معرفة أدوات الأطراف الثالثة التي يستخدمها الموظفون، وهو ما يُعرف بالذكاء الاصطناعي الظلّي (shadow AI)، والتحكم في الوصول، ومنع التسريب. والذكاء الاصطناعي الذي نبنيه: الوكلاء الذين يعملون داخل تطبيقات الشركة نفسها. فحتى من دون منح المستخدم حقلًا لكتابة الأوامر (prompt)، يمكن لنظام يقرأ حقولًا يملؤها أشخاص أن يتلقى حقنًا للأوامر (prompt injection) وأن يوصله إلى معالجة الذكاء الاصطناعي. ولهذا، اختبارات مستمرة وحماية من التلاعب.

وذكّر كذلك بسلسلة التوريد: بحسب Gartner، يضع 59% من مديري أمن المعلومات (CISOs) الهجمات عبر الأطراف الثالثة ضمن التهديدات الخمسة الرئيسية خلال الأشهر الـ12 المقبلة. فالشركاء ومقدّمو الخدمات والموردون المتصلون بالشبكة، عبر البريد الإلكتروني أو عبر API، هم أيضًا جزء من سطح الهجوم.

الأمن الاستباقي والحوسبة الكمّية

في توقعات Gartner التي عرضها Emauri للسنوات المقبلة:

• 2027: تتضاعف الأضرار الناجمة عن الهجمات المعتمدة على الذكاء الاصطناعي.
• 2029: تفقد المنتجات التي تفتقر إلى قدرة استباقية أهميتها.
• من 2029 إلى 2030: تصل الحواسيب الكمّية القادرة على كسر التشفير الحالي إلى أيدي الدول.
• 2030: أكثر من مليون ثغرة سنويًا، ونصف الإنفاق على الأمن يتجه إلى الأمن الاستباقي.

الأمن الاستباقي هو التصرف ضد الهجوم قبل وقوعه، بدلًا من الانتظار لاكتشافه والاستجابة له. والجانب الكمّي بدأ بالفعل: فهجمات من نوع «اجمع الآن، وفُكّ التشفير لاحقًا» جارية. والبيانات المشفّرة المسروقة اليوم قد تُفتَح عندما تصل الحوسبة الكمّية، ما يعني أن هجومًا لن يُكتشَف إلا في 2029 أو 2030 قد يكون جاريًا الآن.

ثلاث أولويات لعمليات تقنية المعلومات في العصر الوكيلي

اختتم Emauri بثلاث أولويات:

وفي الحوكمة، أبرز إدارة التغييرات: فكل انتقال أو إصدار يضيف عناصر إلى البنية التحتية أو يغيّرها قد يُدخل خطرًا على الأمن السيبراني. وهي عمليات ينظّمها نظام ITSM، مثل إدارة التغييرات والحوادث في CITSmart ITSM. ولم يعد الموضوع شأنًا خاصًا بتقنية المعلومات وحدها: إذ يجب أن يقرر الأمن والتقنية والأعمال معًا.

Daniel Donda: كيف يفكر المهاجم

قدّم Daniel Donda نفسه بوصفه مخترقًا أخلاقيًا، أي شخصًا يدرس كيف يتصرف الخصوم لمساعدة الشركات على حماية نفسها. أول تغيير أشار إليه كان في الصورة: فمخترق اليوم ليس المراهق في القبو، بل نشاط إجرامي مربح. وكما يوجد البرنامج كخدمة، توجد الجريمة كخدمة، مع مجموعات تبيع بيانات الاعتماد والأدوات، بل وحتى البنية التحتية للهجوم.

هذه المجموعات لا تختار الهدف بحسب حجم الشركة، بل بحسب الفرصة. فقد تتعرض شركة صغيرة لديها خادم واحد وخمس محطات عمل لبرامج الفدية، دون أن يكون لديها فريق ولا مال لاستعادة البيئة. ومن بين الحالات التي يراها في الاستجابة للحوادث التعدين الخفي (cryptojacking)، أي استخدام المهاجمين لخوادم الشركة لتعدين العملات المشفّرة أو استضافة مواقع، وعلى رأسها برامج الفدية بالابتزاز المزدوج: تُشفَّر البيئة وتُسرَق البيانات، مع التهديد بنشرها. وهنا تدخل LGPD (القانون العام لحماية البيانات في البرازيل)، وقوانين الدول الأخرى التي تعمل فيها الشركة، والضرر الذي يلحق بالسمعة.

وكثير من الشركات لا تعرف حتى ما تملكه. لخّص Daniel ذلك هكذا:

«كيف ستحمي ما لا تعرف أنك تملكه؟»

Daniel Donda، عند 28:25 من الندوة

سرّع الذكاء الاصطناعي كل شيء. فقد أصبحت رسائل التصيد الخالية من الأخطاء اللغوية في البرتغالية أمرًا شائعًا، وبات التمييز بين الحقيقي وغير الحقيقي أصعب فأصعب. ولهذا، كما قال، سيصبح اختراق الإنسان أسهل فأسهل.

مراحل الهجوم بحسب Cyber Kill Chain

لبيان كيف يُنظَّم الهجوم، استخدم Daniel نموذج Cyber Kill Chain، وهو نموذج من Lockheed Martin مقتبَس من مفهوم عسكري لوصف المراحل التي يمر بها المهاجم حتى يسيطر على نظام:

لا يحدث شيء من ذلك دون أن يترك أثرًا. المشكلة عندما لا يراقب أحد هذه الآثار. عرض Daniel موقعًا يتابع ما تنشره مجموعات برامج الفدية، مع حالات لـ500 GB و1 TB و2 TB من البيانات المسروقة، أُخذت خِفيةً. واستنتاجه: كلما انقطعت السلسلة مبكرًا، صغُرت الفاتورة. إيقاف الهجوم عند التسليم هو الأمثل. وإيقافه عند التثبيت لا يزال يتطلب نسخًا احتياطيًا، وتعقّبًا للتهديدات، وتحليلًا جنائيًا، لكنه يتجنب المرحلة الأخيرة.

ما الذي تعلّمه العروض العملية للدفاع

قدّم Daniel عرضين عمليين مباشرين (ابتداءً من 37:31)، بالدرس نفسه: لا تزال نقطة الدخول الأكثر شيوعًا قرارًا يتخذه المستخدم. فجهاز USB يُعثَر عليه في موقف السيارات ويُوصَل بحاسوب الشركة، أو كلمة مرور تسرّبت من موقع ما ولا تزال مطابقة لكلمة مرور البريد الإلكتروني المؤسسي، قد يكونان الخطوة الأولى في هجوم. ومع الذكاء الاصطناعي، يستطيع المهاجم أيضًا توليد كلمات مرور محتملة انطلاقًا مما ينشره الشخص على الشبكات الاجتماعية.

كانت التوصيات من قبيل «الأرز والفاصوليا» كما يقال في البرازيل، أي الأساسيات المنفَّذة جيدًا:

• عدم توصيل أجهزة مجهولة بأجهزة الشركة.
• التحقق مما إذا كان البريد الإلكتروني قد ظهر في تسريبات وتغيير كلمة المرور عند ظهوره، ولا سيما كلمة المرور المؤسسية.
• استخدام عبارات ككلمات مرور، بدلًا من كلمات شائعة يليها رقم، وعدم تكرار كلمة المرور نفسها بين الخدمات.
• تفعيل المصادقة الثنائية كلما أمكن.
• معرفة ما يوجد في البيئة واستخدام الذكاء الاصطناعي لربط المعلومات، لأن أحدًا لا يستطيع القيام بذلك بمفرده.

كل شيء يبدأ من محطة العمل

عاد Vinicius Gravito إلى نقطة Daniel: الهجوم بدأ من محطة العمل. هناك ينقر أحدهم على الرابط، أو ينزّل الملف، أو يوصل الجهاز. أما الخادم، كما قال مازحًا، فلا يفعل شيئًا من ذلك: يبقى هناك، هادئًا.

المشكلة الثانية أن الأدوات لا تتواصل فيما بينها. استشهد Gravito بـCyber Magazine: تستخدم الشركة في المتوسط من 30 إلى 50 تطبيقًا للقيام بالأساسيات. للبنية التحتية أدواتها للمراقبة والجرد؛ وللأمن XDR ومضاد الفيروسات والجدار الناري. الفرق تتواصل فيما بينها، لكن الأدوات لا. وفي العمل اليومي، يصل التنبيه من أداة، فيأخذ أحدهم السجل، ويحمله إلى ذكاء اصطناعي، ويبحث عن السياق، وفي أثناء ذلك يكون المهاجم قد تقدّم.

«اليوم يعمل الذكاء الاصطناعي 24x7. لا أعرف أي فريق أمن يعمل 24x7.»

Vinicius Gravito، عند 1:02:33 من الندوة

كيف يعمل CITSmart Autonomous AI، في العرض

في العرض، قدّم Gravito CITSmart Autonomous AI، الذي طوّرته Central IT، وهو يعمل على حواسيبه. يعمل Autonomous من الأطراف نحو المركز: وكيل مثبَّت على محطات العمل والخوادم، Windows أو Linux، يتولى الجرد وITAM والنشر (deploy) والوصول عن بُعد، ويجمع القياسات عن بُعد (telemetry) من الجهاز.

المقطع الذي يلخّص الفكرة موجود عند 1:04:47 من التسجيل:

«Autonomous يربط. إنه ليس SOAR، وليس XDR، وليس EDR، وليس SIEM، لكنه كل ذلك أيضًا. لماذا؟ لأنه يدمج كل هذه الأدوات باستخدام LLM.»

Vinicius Gravito، عند 1:04:47 من الندوة

عمليًا، يربط Autonomous ما يأتي من أدوات الأمن والمراقبة بما يحدث على الجهاز، ويربط ذلك بقواعد بيانات الثغرات (CVE وCVSS وKEV وEPSS) وبمصادر بلاغات إساءة الاستخدام. وانطلاقًا من ذلك يحسب درجة للمخاطر، ويقدّم لكل حدث ملخصًا لما حدث، وعدد مرات حدوثه، وملف تحقيق مع مستوى الثقة الذي يحدده الـLLM. وتسير الخطوات التالية في أحد مسارين: تذهب إلى المحلل، مع ما يجب فعله، أو إلى وكلاء الذكاء الاصطناعي الذين ينفّذون الإجراء مع إبقاء شخص في الحلقة.

من بين ما أظهرته القياسات عن بُعد لمحطة العمل في العرض:

• مضاد الفيروسات مثبَّت ونشط ومحدَّث، إضافة إلى العتاد والبرمجيات والخدمات.
• العمليات الزومبي، التي قد تكون وصولًا غير مشروع يعمل باسم آخر.
• جدار ناري معطَّل خلافًا للسياسة: يولّد حدثًا، ويمكن لوكلاء الذكاء الاصطناعي إخراج الجهاز من الشبكة.
• الوضع الأمني والنظافة: كلمة مرور لا تنتهي صلاحيتها، وسياسة حسابات ضعيفة، ومستخدم محلي منسيّ بكلمة مرور افتراضية، ومنافذ مفتوحة بلا سبب.
• سلامة السجل وملفات النظام، التي تُعدَّل عادةً أثناء الاختراق.
• رسم خريطة الشبكة، بما في ذلك أجهزة من يعملون عن بُعد، خارج شبكة الشركة، لكن مع تثبيت الوكيل عليها.
• مؤشر الاختراق لكل أصل، لتحديد ما يُعالَج أولًا عندما تصل عشرات الهجمات في الوقت نفسه.
• مصفوفة MITRE ATT&CK، التي تبيّن التقنيات التي تملك البيئة بالفعل إجراءً وقائيًا ما ضدها، وفق السياسات المهيَّأة.

أعطت لوحة مؤشرات بيئة العرض فكرة عن حجم تحديد الأولويات. كانت هناك 22,245 مؤشرًا: 7,518 ثغرة (CVEs) مرتبطة بالبرمجيات المثبَّتة في الجرد، و14,727 مؤشرًا خارجيًا للتهديد. من بينها، كان 820 حرجًا (CVSS 9 أو أكثر)، ودخل 216 منها خلال الساعات الـ24 الأخيرة. لكن 22 ثغرة فقط كان لها استغلال معروف في العالم الحقيقي، بحسب قائمة KEV الصادرة عن CISA، 6 منها استُخدمت في برامج الفدية. «كم كان عليّ أن أعالج؟ 22»، هكذا لخّص Gravito. وعندما تكون الثغرة في حزمة برمجية، يتولى الوكيل نشر التحديث.

يعمل وكلاء الذكاء الاصطناعي في طبقة الأتمتة. لكل وكيل مهاراته، وتأتي موصِّلات MCP جاهزة لأدوات مثل Zabbix ولـWindows، وتُحفَظ بيانات الاعتماد في خزنة كلمات مرور. وذكر Gravito أيضًا أن Central IT تحتفظ بخوادم مزوّدة بوحدات GPU للعمل على نماذج ذكاء اصطناعي متخصصة في الأمن.

ما الذي يتغير في العمليات

في الختام، عرضت Paullyanna Gomes النتائج والفوائد التي تربطها Central IT بـAutonomous، في أربع جبهات:

• الصمود السيبراني والاستجابة بسرعة الآلة: قطع سلسلة الاختراق من مصدرها، وتقليل متوسط زمن الاستجابة (MTTR)، وتحديد الأولويات بحسب المخاطر الفعلية.
• الحوكمة والتحسين المالي لتقنية المعلومات: رؤية موحّدة وإنهاء الصوامع المنعزلة، وتحسين التراخيص (SAM) وتكاليف العتاد (HAM).
• أتمتة العمل الروتيني: النشر والمعالجة الآلية للحزم، وقدرة عمل أكبر دون زيادة الفريق، وفق نموذج human-in-the-loop.
• العائد على الاستثمار والتكلفة الإجمالية للملكية (TCO): توحيد الأدوات، ومنع التوقف عن العمل (downtime) واحتجاز البيانات، والتحسين المستمر.

وروت تجربة متخصصة في الأمن السيبراني من القطاع المالي: التحدي اليومي هو حجم التنبيهات، دون رؤية لكيفية ترتيب أولوياتها. وهذه هي المشكلة التي يعالجها الربط وتحديد الأولويات.

أسئلة الجمهور

• كيف يكون الوضع مع أدوات الجرد والهوية التي تملكها الشركة بالفعل؟ يمكن أن تتكامل. يقدّم Autonomous جردًا للعتاد والبرمجيات وكذلك طبقة الأمن، لذا يمكن أحيانًا تقليل وحدات من أدوات أخرى. الفكرة هي إعادة الاستفادة من الأنظمة القائمة. وهو حل واحد متكامل، والجزء النمطي (modular) الوحيد فيه هو الوصول عن بُعد.
• هل يمكن استخدامه على نقاط النهاية (endpoints) وامتلاك مركز يخدم عدة عملاء؟ نعم. التنفيذ موزَّع، وفق مفهوم الرئيسي والثانوي: تعمل الوحدات الطرفية محليًا وتتواصل مع الخادم الرئيسي. وذكر Gravito أيضًا جرد البيئات متعددة السحابات وKubernetes وVMware وHyper-V، والاكتشاف عبر بروتوكولات مثل CDP وLLDP.
• كم يكلّف؟ يعتمد على الحالة. تُحدَّد القيمة انطلاقًا من البيئة التقنية وحجم الأصول في كل شركة، في محادثة مع فريق المبيعات.

كيف تطلب إثبات القيمة

تقدّم Central IT إثباتًا لقيمة Autonomous: تحليلًا لبيئة الشركة وبنيتها التقنية، وبناء نموذج وفق احتياج كل عملية وروتينها. الخطوة الأولى محادثة مع المتخصصين، يمكن حجزها عبر الرابط أدناه.

ولمواصلة الموضوع، كتب Emauri Gaspar في TI Inside عن العصر الوكيلي في إدارة البنية التحتية لتقنية المعلومات وعملياتها (باللغة البرتغالية).

فصول التسجيل

• 0:00الافتتاح
• 3:18من هي Central IT
• 4:35ما الذي أظهره استطلاع المسجّلين
• 6:47المتحدثون
• 8:30Emauri Gaspar: الذكاء الاصطناعي ليس البطل، بل النضج التشغيلي
• 14:57الإنسان لا يزال في قلب المخاطر
• 16:28الأمن الوقائي والحوسبة الكمّية
• 20:52Daniel Donda: كيف يفكر المهاجم
• 32:12مراحل الهجوم (Cyber Kill Chain)
• 37:31عرض عملي: ذاكرة USB تتنكّر في هيئة لوحة مفاتيح
• 46:51عرض عملي: كلمة مرور مسرّبة وكسر قيمة التجزئة (hash)
• 57:45كل شيء يبدأ من محطة العمل
• 1:00:18Vinicius Gravito: عندما لا تتواصل الأدوات فيما بينها
• 1:02:28عرض CITSmart Autonomous
• 1:17:40ما الذي يتغير في العمليات
• 1:22:07كيف تطلب إثبات القيمة
• 1:25:23أسئلة الجمهور
• 1:31:23الختام

الأسئلة الشائعة

شكرًا لـEmauri Gaspar وDaniel Donda وVinicius Gravito، ولكل من شارك مباشرةً.