باج‌افزارهای مجهز به هوش مصنوعی؛ تهدیدی نوظهور
باج‌افزارهای مجهز به هوش مصنوعی؛ تهدیدی نوظهور
باج‌افزارها همواره بر اساس یک الگوی تجاری ساده عمل کرده‌اند: مهاجم به‌صورت پنهانی به داده‌های قربانی دسترسی پیدا می‌کند یا آن‌ها را رمزگذاری می‌کند، در ازای بازگرداندن دسترسی باج می‌خواهد و از موقعیتی سود می‌برد که قربانی عملاً چاره‌ای جز پرداخت ندارد. اکنون نه‌تنها این الگو، بلکه اقتصاد حاکم بر آن نیز تغییر کرده است. هوش مصنوعی مولد، مهارت فنی موردنیاز برای اجرای حمله را کاهش می‌دهد، زمان انجام آن را کوتاه می‌کند و مهندسی اجتماعی را باورپذیرتر می‌سازد. کاری که پیش‌تر به فردی با مهارت‌های فنی نیاز داشت، اکنون ممکن است به کمک دستورهای مناسب به ابزارهای هوش مصنوعی و حتی به دست فردی کم‌تجربه انجام شود. برای نظام حقوقی، این مسئله صرفاً موضوعی مرتبط با امنیت سایبری نیست؛ بلکه پرسش‌های تازه‌ای درباره انتساب جرم، مسئولیت حقوقی، قابلیت پذیرش ادله در دادگاه و کفایت قوانین موجود برای مقابله با جرایم تقویت‌شده با هوش مصنوعی مطرح می‌کند.
قانون فناوری اطلاعات مصوب ۲۰۰۰ قانون اصلی هند در زمینه مقابله با جرایم سایبری است. مواد ۴۳ و ۶۶ این قانون به‌ترتیب با خسارت‌های مرتبط با رایانه و جرایم سایبری، از جمله اخاذی سایبری، ارتباط دارند. حملات باج‌افزاری معمولاً در چارچوب مواد 43(i)، ۶۶ و ۶۶F بررسی می‌شوند؛ ماده ۶۶F به تروریسم سایبری مربوط است، به‌ویژه در مواردی که زیرساخت‌های حیاتی هدف قرار می‌گیرند. افزون بر این، قانون «بهاراتیا نیایا سان‌هیتا» مصوب ۲۰۲۳ جایگزین قانون مجازات هند شده است.
الزام به گزارش رخدادها بر اساس دستورالعمل‌های سال ۲۰۲۲ تیم واکنش اضطراری رایانه‌ای هند (CERT-In) اعمال می‌شود که به استناد ماده ۷۰B قانون فناوری اطلاعات صادر شده‌اند. این دستورالعمل‌ها سازمان‌ها را ملزم می‌کنند رخدادهای سایبری، از جمله حملات باج‌افزاری، را حداکثر ظرف شش ساعت پس از شناسایی گزارش دهند. قانون حفاظت از داده‌های شخصی دیجیتال مصوب ۲۰۲۳ نیز الزامات دیگری ایجاد کرده است: در صورت نقض امنیت داده‌های شخصی، امانت‌داران داده باید هیئت حفاظت از داده‌ها و افراد آسیب‌دیده را مطلع کنند. همچنین، دستورالعمل‌های مربوط به واسطه‌ها و آیین‌نامه اخلاق رسانه‌های دیجیتال اخیراً برای رسیدگی به اطلاعات تولیدشده به‌صورت مصنوعی اصلاح شده‌اند. بر اساس این تغییرات، پلتفرم‌هایی که امکان تولید محتوای هوش مصنوعی را فراهم می‌کنند باید تدابیر مربوط به برچسب‌گذاری و مراقبت مقتضی را اجرا کنند. بااین‌حال، باید توجه داشت که هیچ‌یک از این چارچوب‌ها در اصل برای مقابله با حملات باج‌افزاری با کمک هوش مصنوعی مولد تدوین نشده‌اند.
هوش مصنوعی مولد از سه جهت عمده اقتصاد حملات باج‌افزاری را دگرگون کرده است. نخست، این فناوری می‌تواند ایمیل‌های متقاعدکننده تولید کند، صدای افراد را شبیه‌سازی کند و تماس‌های ویدئویی دیپ‌فیک بسازد؛ به‌گونه‌ای که کارمند عادی تصور کند تماس یا پیام واقعاً از طرف شخص مورداعتماد اوست. در نتیجه، اجرای مرحله اولیه نفوذ آسان‌تر می‌شود. دوم، مدل‌های زبانی بزرگ (LLM) می‌توانند در نوشتن و پنهان‌سازی کدهای مخرب کمک کنند و حمله به نرم‌افزارها را آسان‌تر سازند؛ قابلیتی که گاهی از آن با عنوان «دموکراتیزه‌شدن جرایم سایبری» یاد می‌شود. سوم، هوش مصنوعی امکان اخاذی خودکار و شخصی‌سازی‌شده را فراهم می‌کند: مهاجمان می‌توانند تهدیدهایی متناسب با هر قربانی بسازند، پیام‌های درخواست باج را ترجمه کنند و در مقیاسی گسترده مذاکره کنند، بی‌آنکه به همان نسبت نیروی انسانی بیشتری به کار بگیرند.
پیامد این تحولات، تغییر در صرفه اقتصادی هر حمله است. اکنون گروه‌های کوچک‌تر می‌توانند حملاتی را اجرا کنند که از نظر فنی پیچیده‌تر و از نظر ظاهری باورپذیرترند، اما هزینه اجرای آن‌ها کمتر از زمانی است که چنین عملیاتی به گروهی حرفه‌ای‌تر نیاز داشت. برآورد می‌شود زیان‌های ناشی از کلاهبرداری‌های مبتنی بر دیپ‌فیک در هند طی سال گذشته به ده‌ها هزار کرور روپیه رسیده باشد.
مسئله اصلی این نیست که استفاده از یک ابزار جدید، عملی را که پیش‌تر جرم محسوب می‌شد به جرمی تازه تبدیل کرده است. دسترسی غیرمجاز، اخاذی و سرقت داده، صرف‌نظر از ابزار مورد استفاده، همچنان جرم‌اند. چالش واقعی، مشکلات ساختاری تازه‌ای است که هوش مصنوعی مولد به وجود آورده است. برای مثال، تشخیص اینکه چه کسی مسئول کدام بخش از عملیات بوده، دشوارتر شده است. استفاده فرامرزی از ابزارهای هوش مصنوعی و تولید الگوهای زبانی، سبکی و رفتاری که پیش‌تر به بازرسان در شناسایی هویت مهاجم کمک می‌کردند، انتساب حمله را پیچیده‌تر می‌کند. این وضعیت اثبات و اجرای ماده ۷۵ قانون فناوری اطلاعات، مربوط به اعمال فرامرزی قانون، را دشوار می‌سازد.
دومین چالش، مسئولیت واسطه‌ها و توسعه‌دهندگان است. ماده ۷۹ قانون فناوری اطلاعات در زمینه مسئولیت واسطه‌ها چارچوبی برای برخی محتواهای میزبانی‌شده فراهم می‌کند؛ اما زمانی که یک سامانه هوش مصنوعی مولد مستقیماً در تولید پیام‌های اخاذی یا کمک به توسعه بدافزار نقش دارد، این چارچوب برای پرداختن به نقش فعال هوش مصنوعی در ایجاد محتوای زیان‌بار کافی به نظر نمی‌رسد. چنین نقشی با میزبانی صرفِ محتوای تولیدشده توسط اشخاص ثالث تفاوت دارد. افزون بر این، دامنه تعهدات مراقبت مقتضی برای گردانندگان مدل‌های هوش مصنوعی هنوز به‌روشنی مشخص نشده است و اصلاحات اخیر نیز تنها بخشی از این مسئله را پوشش می‌دهند.
سومین چالش به قواعد کنونی ادله در قانون «بهاراتیا ساکشیا ادهینیام» مربوط می‌شود. این قانون، از جمله، برای پذیرش ادله الکترونیکی الزامات مربوط به گواهی و تأیید را در نظر گرفته است؛ اما این الزامات بر برداشتی نسبتاً ایستا از ماهیت ادله دیجیتال استوارند. محتوای تولیدشده با هوش مصنوعی، یا محتوایی که با دست‌کاری داده‌ها به کمک این فناوری به سندی بسیار شبیه به نسخه اصلی تبدیل شده است، از فرایند تولید متفاوتی برخوردار است. احراز اصالت، تحلیل جرم‌شناختی دیجیتال و اعتبارسنجی کارشناسی چنین محتوایی دشوارتر است، زیرا فرایندهای موجود عمدتاً برای شکل‌های سنتی‌تر ادله دیجیتال طراحی شده‌اند.
حوزه‌های نگران‌کننده
چندین مشکل همچنان پابرجاست. الزام شش‌ساعته CERT-In برای گزارش رخدادها، راهنمای مفیدی برای مهار سریع حملات است؛ بااین‌حال، هنگامی که هوش مصنوعی سرعت حمله و مرحله مذاکره بر سر باج را افزایش می‌دهد، این الزام به‌تنهایی کافی نیست. سازمان‌ها در چنین شرایطی فرصت کمتری برای شناسایی نشانه‌های خاص حملات مبتنی بر هوش مصنوعی دارند. چارچوب اطلاع‌رسانی درباره نقض داده‌ها در قانون حفاظت از داده‌های شخصی دیجیتال نیز بر داده‌های شخصی متمرکز است و حملات باج‌افزاری علیه داده‌های غیرشخصی یا داده‌های عملیاتی را به‌خوبی پوشش نمی‌دهد؛ این حملات حتی ممکن است اساساً خارج از دامنه شمول قانون قرار گیرند.
همچنین، برای جرایم سایبری ارتکابی با کمک هوش مصنوعی، مهلت قانونی مشخص و اختصاصی‌ای تعیین نشده است. این خلأ می‌تواند درباره نحوه رسیدگی به چنین جرایمی، هم برای دادگاه‌ها و هم برای بازرسان، ابهام ایجاد کند. از سوی دیگر، اصطلاح حقوقی مشخصی برای جرایم سایبری با کمک هوش مصنوعی، یعنی جرایمی که با استفاده از این فناوری انجام می‌شوند، وجود ندارد؛ مسئله‌ای که می‌تواند تفسیر قوانین و تعیین عنوان اتهام را با دشواری روبه‌رو کند. در نهایت، ظرفیت محدود برخی واحدهای پلیس ویژه جرایم سایبری و آزمایشگاه‌های جرم‌شناسی دیجیتال، توان نهادهای مجری قانون را کاهش می‌دهد. حتی در مواردی که قوانین لازم وجود دارند، توانایی شناسایی فریب‌های تولیدشده با هوش مصنوعی یا ردیابی استفاده از این فناوری در نفوذهای سایبری، در عمل محدود است.
تقویت سازوکارهای نظارتی موجود
برای ارائه پاسخی متناسب، به مجموعه‌ای از اقدامات هماهنگ نیاز است، نه صرفاً یک قانون جدید. نهادهای ناظر می‌توانند شاخص‌های ویژه هوش مصنوعی را به سازوکار گزارش‌دهی CERT-In اضافه کنند تا سازمان‌ها بتوانند استفاده از هوش مصنوعی در مهندسی اجتماعی و کمک این فناوری به تولید کد را گزارش دهند. این اقدام می‌تواند به بهبود اطلاعات مربوط به تهدیدها کمک کند، بی‌آنکه مهلت فعلی گزارش‌دهی تغییر کند. همچنین، تفکیک روشن‌تر میان انواع میزبان‌های هوش مصنوعی مولد و ارائه‌دهندگانی که محتوا را تولید می‌کنند، می‌تواند به روشن‌شدن دامنه مسئولیت حقوقی کمک کند. چنین تفکیکی به‌ویژه در مواردی اهمیت دارد که واسطه‌ها محتوای تولیدشده توسط یک ارائه‌دهنده هوش مصنوعی را میزبانی می‌کنند و حدود مسئولیت آن‌ها مشخص نیست.
برای همگام‌شدن با ادله مصنوعی، باید توانایی‌های جرم‌شناسی دیجیتال نیز تقویت شود؛ از جمله با توسعه ابزارهای شناسایی محتوای تولیدشده با هوش مصنوعی در CERT-In و واحدهای مربوط در ایالت‌های هند. ایجاد سازوکارهای همکاری فرامرزی نیز ضروری است تا مشکلات مربوط به صلاحیت قضایی، که روند تحقیقات درباره حملات باج‌افزاری با استفاده از ابزارهای هوش مصنوعی را کند می‌کنند، کاهش یابد. افزون بر این، در حملاتی که هم داده‌های شخصی و هم داده‌های عملیاتی را تحت تأثیر قرار می‌دهند، می‌توان با هماهنگ‌کردن الزامات اطلاع‌رسانی درباره نقض داده‌ها در چارچوب قانون حفاظت از داده‌های شخصی دیجیتال، از پراکندگی تعهدات سازمان‌ها کاست.
تدوین چارچوب حقوقی مؤثرتر
هوش مصنوعی مولد نوع تازه‌ای از جرم به وجود نیاورده، بلکه هزینه و شرایط اقتصادی اجرای حملات باج‌افزاری را تغییر داده است: اجرای این حملات ارزان‌تر شده و شناسایی ارتباط میان سرنخ‌ها و ردیابی مهاجمان دشوارتر است. ساختار قانونی کنونی هند، شامل قانون فناوری اطلاعات، قانون حفاظت از داده‌های شخصی دیجیتال، دستورالعمل‌های CERT-In، قانون بهاراتیا نیایا سان‌هیتا و قانون بهاراتیا ساکشیا ادهینیام، مبنایی عملی برای مقابله با این جرایم فراهم می‌کند؛ اما همه این ابزارهای حقوقی پیش از آن تدوین شده‌اند که هوش مصنوعی مولد به ابزاری در دست مهاجمان تبدیل شود. شاید تدوین قانون جدید ضروری باشد، اما رویکردی هدفمند که بر نیازهای مشخصی مانند گزارش‌دهی ویژه حملات مبتنی بر هوش مصنوعی، مسئولیت واسطه‌ها و تقویت ظرفیت‌های جرم‌شناسی دیجیتال تمرکز کند، گزینه مناسب‌تری باشد؛ مشروط بر آنکه این اقدامات با فوریتی متناسب با سرعت تحول اقتصاد جرایم سایبری انجام شوند.
نویسنده دستیار حقوقی در دفتر بازرس کل اختراعات، طرح‌ها و علائم تجاری (CGPDTM) دولت هند است. دیدگاه‌های مطرح‌شده در این مقاله شخصی هستند.