Unit 42 تجد 13,229 عنوانا خبيثا في دراسة نطاقات ذكاء اصطناعي وهمية
قالت Unit 42 إن بحثها حول phantom squatting ولد 685,339 مطالبة عبر 913 علامة وأنتج 2.1 مليون عنوان URL فريد، بينها 13,229 عنوانا خبيثا ونحو 250,000 نطاق وهمي فريد. ولم يكشف بحث الشركة قائمة العلامات أو أسماء العملاء المتضررين أو نطاقات مسماة مرتبطة بفقدان بيانات.
Unit 42 ترسم نطاقات هلوسة الذكاء الاصطناعي
تصف دراسة Unit 42 ما تسميه phantom squatting بأنه مشكلة أمنية تظهر عندما تولد نماذج اللغة الكبيرة نطاقات تبدو معقولة لكنها غير موجودة. وقال بحث الشركة إن المهاجمين يستطيعون تسجيل تلك النطاقات قبل أن يتبع مستخدم أو مطور أو وكيل ذكاء اصطناعي توصية النموذج.
تصنف المادة المصدر بوصفه بحثا من شركة أمنية، لا تحقيقا مستقلا في حادثة. وقالت Unit 42 إن القياسات لديها تظهر أن هذا المسار نشط في الواقع، لكن النص العام لا يسمي منظمات ضحية أو عملاء تضرروا من نطاق محدد.
عرضت Unit 42 الخطر حول مخرجات ذكاء اصطناعي موثوقة. قد يخترع مساعد برمجة بوابة مزايا، أو يقترح وكيل بحث بوابة مصرفية مزيفة، أو يضع مطور نقطة API ولّدها الذكاء الاصطناعي داخل الكود ثم ترسل بيانات إلى بنية يتحكم بها مهاجم.
دورة الهجوم تتكون من أربع مراحل
تقسم Unit 42 دورة phantom squatting إلى أربع مراحل: الاكتشاف، والتنفيذ، والاستدراج، والتجاوز. يبدأ المهاجمون بفحص سطح هلوسة العلامة المستهدفة عبر أسئلة واقعية قد تنتج عناوين URL وهمية.
تبدأ مرحلة التنفيذ عندما يسجل المهاجمون النطاقات المهلوسة الأكثر فائدة. وقالت Unit 42 إن نطاقات المستوى الأعلى العامة يمكن تسجيلها بسرعة وبتكلفة منخفضة، وإن نطاقات مرصودة انتقلت من التسجيل الأولي إلى محتوى خبيث خلال ساعات.
تستخدم مرحلة الاستدراج النموذج نفسه قناة للتسليم. يتلقى مستخدم أو وكيل ذكاء اصطناعي مستقل توصية واثقة من مساعد معتمد، ثم يزور بنية يتحكم بها مهاجم من دون رسالة تصيد أو إعلان تقليدي.
النطاقات بلا سمعة تتجاوز قوائم الحظر
قالت Unit 42 إن دفاعات عناوين URL التقليدية تعتمد غالبا على سمعة سابقة أو تاريخ استخبارات تهديدات أو إدخالات في قوائم الحظر. ويمكن أن تبدأ النطاقات المهلوسة المسجلة حديثا من دون أي من تلك الإشارات.
وأضاف البحث أن بعض المهاجمين يستطيعون تمديد نافذة النظافة هذه عبر إخفاء إعادة التوجيه، وتقديم محتوى سليم للزواحف الآلية، واستخدام بنية محمية بـCAPTCHA. تجعل هذه التقنيات تصنيف النطاق الجديد أصعب قبل أن يصل إليه مستخدم أو وكيل.
خط البحث اختبر 913 علامة
قالت Unit 42 إن منهجيتها ولدت 685,339 مطالبة عبر 913 علامة عالمية في التكنولوجيا والتمويل والرعاية الصحية والتجارة الإلكترونية والحكومة والمقامرة والخدمات اللوجستية. واستخدمت مرحلة توليد عناوين URL عائلتين من النماذج باسم LLM1 وLLM2 عبر ثلاث إعدادات للحرارة.
أنتج الخط 2.1 مليون عنوان URL فريد. وقالت Unit 42 إن أنظمة استخبارات التهديدات صنفت 13,229 من تلك العناوين، أو 0.61%، على أنها خبيثة وقت التحليل. وصنفت 41,313 عنوانا آخر، أو 1.90%، على أنها عالية المخاطر.
وقالت الشركة أيضا إن 809,455 عنوانا مولدا، أو 37.28%، حلّت إلى نطاقات غير موجودة. وبعد التطبيع، تحولت تلك النقاط الوهمية إلى نحو 250,000 نطاق وهمي فريد.
لم تكشف Unit 42 قائمة العلامات، أو أسماء العملاء المتضررين، أو أسماء النطاقات الخبيثة المسجلة، أو نتائج المعالجة، أو دليلا على أن أي مؤسسة مسماة فقدت بيانات عبر phantom squatting.
Summary version for Medium
Unit 42 Finds 13,229 Malicious URLs In AI Phantom-Domain Study
What the announcement means beyond the headline
Quick Summary: Unit 42 said its phantom-squatting research generated 685,339 prompts across 913 brands and produced 2.1 million unique URLs, including 13,229 malicious URLs and about 250,000 unique phantom domains. The vendor research did not disclose the brand list, affected customer names or named domains tied to data loss.
Unit 42 Maps AI-Hallucinated Domains
Unit 42's research article describes phantom squatting as a security problem created when large language models generate plausible but nonexistent domains. The vendor research said attackers can register those domains before a user, developer or AI agent follows the model's recommendation.
The Attack Lifecycle Has Four Phases
Unit 42 divides the phantom-squatting lifecycle into four phases: discover, act, lure and bypass.
- Point 1: The central topic is cybersecurity, with the announcement framed around concrete operating detail.
- Point 2: Attackers first probe a target brand's hallucination surface by asking models realistic questions that may produce fictitious URLs.
The important shift is not the AI label, but the operating boundary it creates for teams.
Zero-Reputation Domains Evade Blocklists
Unit 42 said conventional URL defenses often depend on prior reputation, threat-intelligence history or blocklist entries. Newly registered hallucinated domains can begin with none of those signals.
Read the Full Deep Dive
Want to explore the complete technical analysis, enterprise trade-offs, and detailed metrics?
Read the full article originally published at SendTech Times
