اختراق «أوبر» من الباب الخلفي للذكاء الاصطناعي.. آلاف رخص القيادة في أيدي القراصنة وفضيحة تكشف أسرار الشركات التي نأتمنها على بياناتنا

اختراق «أوبر» من الباب الخلفي للذكاء الاصطناعي.. آلاف رخص القيادة في أيدي القراصنة وفضيحة تكشف أسرار الشركات التي نأتمنها على بياناتنا

الهجوم لم يبدأ من خوادم Uber، بل من شركة Fireworks AI التي تقدم خدمات الذكاء الاصطناعي.. والضحايا يمتدون إلى مستخدمي Notion، وسط تحذيرات من تحوّل مزودي التكنولوجيا الخارجيين إلى أخطر نقاط الضعف في الأمن السيبراني العالمي.

كتب ا. د. وائل بدوى

لم يعد من الضروري أن ينجح القراصنة في اقتحام الأنظمة الرئيسية لشركة عالمية حتى يتمكنوا من سرقة بيانات عملائها أو العاملين لديها. فقد أصبح بالإمكان الوصول إلى هذه المعلومات من خلال شركة تكنولوجية أصغر، تتولى تقديم خدمات محددة للشركة الكبرى، وتمتلك بحكم عملها مفاتيح الوصول إلى بعض بياناتها.

هذا ما كشفته واقعة الاختراق التي أعلنت عنها شركة Uber الأمريكية، بعدما بدأت إخطار آلاف السائقين بأن معلوماتهم الشخصية وبيانات رخص القيادة الخاصة بهم تعرضت للسرقة نتيجة هجوم استهدف أحد مزوديها الخارجيين لخدمات الذكاء الاصطناعي.

والمفاجأة أن الجهة التي انطلق منها الاختراق ليست منصة نقل أو شركة متخصصة في إدارة السائقين، بل شركة Fireworks AI، التي توفر بنية تحتية تسمح للمطورين والمؤسسات بتشغيل نماذج الذكاء الاصطناعي وتخصيصها واستخدامها عبر الخدمات السحابية.

وأكدت تحقيقات نشرتها TechCrunch يوم 13 نوفمبر 2026 أن المهاجمين استولوا على بيانات اعتماد داخلية، ثم استخدموها للوصول إلى معلومات مرتبطة بأوبر. وأكد متحدث باسم الشركة أن الحادث يتعلق بمزودها Fireworks AI، الذي كانت لديه صلاحية الوصول إلى بعض بياناتها. TechCrunch +1

ولم تكن أوبر الضحية الوحيدة، فقد تأثرت شركة Notion، المعروفة بمنصتها لإدارة المستندات والملاحظات والعمل التعاوني، بعدما كشف التحقيق عن وصول المهاجمين إلى بعض سجلات محادثات مستخدمي Notion AI.

وهنا يتحول الحادث من خبر عن تسريب بيانات آلاف السائقين إلى قضية تتعلق بمستقبل الخصوصية الرقمية: هل يعرف المستخدم أصلًا عدد الشركات التي تصل إليها بياناته عندما يتعامل مع تطبيق واحد؟

أولًا: التحقق من الخبر.. ماذا حدث ومتى؟

الخبر صحيح، وتؤكده ثلاثة أنواع من الأدلة: إخطارات رسمية قدمتها أوبر إلى سلطات الولايات الأمريكية، وتصريحات للشركات المعنية، ونشرات أمنية منشورة من Fireworks AI وNotion.

لكن هناك تفصيلًا مهمًا أغفلته بعض الأخبار المتداولة: لم تكن جميع الأحداث الأمنية المتعلقة بـFireworks عملية اختراق واحدة بسيطة.

فقد أعلنت الشركة اكتشاف استخدام غير مصرح به لبيانات اعتماد داخلية في 6 أكتوبر 2026، ثم كشفت لاحقًا عن حادث آخر يتعلق بمزود سحابي خارجي استهدف بيئة البحث والتطوير لديها يومي 23 و24 أكتوبر.

وبالتالي فإن الأدق هو الحديث عن سلسلة من الحوادث الأمنية المرتبطة ببيئة Fireworks، مع تجنب الجزم بأن جميع أنواع البيانات المسروقة جاءت من نقطة الاختراق نفسها.

ووفقًا لإخطار أوبر الرسمي، أبلغها المزود يوم 9 أكتوبر بأن بيانات اعتماد مخترقة استُخدمت للوصول إلى معلومات مرتبطة بها. وفي 13 أكتوبر، أكد التحقيق أن معلومات شخصية للأفراد الذين بدأت الشركة إخطارهم كانت ضمن البيانات التي وصل إليها المهاجم. Investing.com +2

التسلسل الزمني للحادث

• 6 أكتوبر 2026
  Fireworks AI تكتشف استخدامًا غير مصرح به لبيانات اعتماد داخلية وتبدأ احتواء الحادث.
• 9 أكتوبر
  إبلاغ أوبر بالاختراق، ثم فصل اتصالات البيانات المرتبطة بالمزود وبدء التحقيق.
• 13 أكتوبر
  تأكيد وصول المهاجم إلى بيانات شخصية مرتبطة بأوبر.
• 23–24 أكتوبر
  تعرض مزود سحابي يستضيف أنظمة بحث وتطوير لـFireworks لحادث أمني إضافي، مع وصول غير مصرح به إلى أنظمة تطوير.
• 2–9 نوفمبر
  تحقيق Notion في أثر التسريب، وفصل اتصالاتها بالمزود، ثم إخطار العملاء الذين ثبت تأثرهم.
• 10–13 نوفمبر
  إصدار إخطارات أوبر الرسمية وظهور تفاصيل أعداد رخص القيادة المسروقة في التقارير الصحفية.

المصادر: إخطارات أوبر ونشرات Fireworks وNotion الرسمية. Investing.com +2

ثانيًا: الأرقام.. كم شخصًا تعرضت بياناته للسرقة؟

تكشف إخطارات التسريب التي اطلعت عليها TechCrunch أن البيانات المسروقة شملت معلومات رخص قيادة لآلاف الأشخاص في ولايات أمريكية متعددة.

ماساتشوستس

2,567

شخصًا

ساوث كارولاينا

3,430

شخصًا

رود آيلاند

1,873

شخصًا

الإجمالي الجزئي المعلن

7,870

شخصًا في الولايات الثلاث

المصدر: TechCrunch، 13 نوفمبر 2026. الإجمالي جزئي وليس عدد الضحايا النهائي. TechCrunch

والأهم أن هذه الأرقام لا تمثل بالضرورة كل المتضررين.

فقد أُرسلت إخطارات أيضًا إلى أفراد في كاليفورنيا، بينما لم يتحدد العدد النهائي في إلينوي ضمن المعلومات التي نشرتها TechCrunch. كما وردت إشارات إلى ولايات أخرى في إخطارات الإبلاغ.

ولذلك فإن إجمالي 7870 شخصًا يمثل الحد الأدنى الموثق من الولايات الثلاث المذكورة، وليس التقدير النهائي على المستوى الأمريكي.

ومن المهم كذلك ألا نخلط بين عدد السائقين الذين تعرضت بياناتهم للتسريب، وعدد ركاب أوبر، أو عدد جميع مستخدمي الشركة؛ إذ لم تعلن أوبر رقمًا إجماليًا نهائيًا يتيح إجراء هذه المقارنة.

ثالثًا: لماذا أصبحت رخص القيادة هدفًا للقراصنة؟

قد يتصور البعض أن اختراق حساب مصرفي أو سرقة بطاقة ائتمان يمثل خطرًا أكبر من تسريب رخصة القيادة، لكن الواقع أن وثائق الهوية يمكن أن تكون ذات قيمة كبيرة للمجرمين الإلكترونيين.

فرخصة القيادة ليست مجرد تصريح قانوني بقيادة السيارة، بل وثيقة تعريف رسمية تتضمن بيانات شخصية يمكن استخدامها في محاولات انتحال الهوية أو الاحتيال.

وتزداد الخطورة إذا اجتمعت بيانات الرخصة مع معلومات أخرى مثل الاسم الكامل والعنوان وتاريخ الميلاد وأرقام الاتصال.

فبعض الخدمات الرقمية تعتمد على مطابقة المعلومات الشخصية للتحقق من الهوية، وقد يحاول المهاجمون استخدام البيانات المسروقة في تجاوز إجراءات ضعيفة للتحقق، أو في تنفيذ عمليات احتيال تتطلب تقديم وثائق تعريفية.

كما قد تُستخدم المعلومات في رسائل احتيال موجهة تبدو أكثر مصداقية، لأن المهاجم أصبح يمتلك تفاصيل حقيقية عن الشخص المستهدف.

ومن هنا لا ينبغي قياس الضرر بعدد الملفات المسروقة فقط، بل بطبيعة المعلومات التي تحتوي عليها، وإمكانية دمجها مع بيانات أخرى، والفترة الزمنية التي تظل فيها صالحة للاستخدام.

فكلمة المرور يمكن تغييرها، لكن بعض بيانات الهوية الشخصية لا يمكن استبدالها بالسهولة نفسها.

ومع ذلك، أكدت أوبر أنها لم تجد حتى وقت نشر إخطارها دليلًا على إساءة استخدام المعلومات المتأثرة. وهذا لا ينفي احتمال استخدامها مستقبلًا، لكنه يمنع التعامل مع إساءة الاستخدام باعتبارها واقعة مثبتة بالفعل. Reuters

رابعًا: كيف وصل المهاجمون إلى بيانات أوبر دون اختراق أنظمتها الأساسية؟

تكمن الخطورة التقنية للحادث في استخدام بيانات اعتماد صحيحة، لكنها وصلت إلى أيدي أشخاص غير مصرح لهم باستخدامها.

فالشركات الكبرى لا تطور جميع الخدمات التي تحتاج إليها داخليًا، بل تعتمد على مزودين خارجيين للذكاء الاصطناعي والتخزين والتحليلات وإدارة البيانات.

ولتنفيذ هذه الخدمات، قد تمنح الشركة أحد مزوديها صلاحيات للوصول إلى بيانات محددة، أو تسمح له باستخدام حسابات أو رموز وصول مرتبطة ببيئات سحابية.

وفي حالة أوبر، أكدت الشركة أن المهاجمين استخدموا بيانات اعتماد مخترقة تخص مزود الخدمة للوصول إلى بياناتها، وأنها قطعت اتصالاتها بالمزود فور علمها بالحادث.

وتضيف المعلومات الواردة في إخطار لولاية آيوا، نقلته تغطيات أمنية، أن البيانات كانت موجودة في بيئة تخزين سحابية أُنشئت خصيصًا لعمل المزود، وخاضعة لإدارة أوبر الأمنية. ووفق الإخطار، لم تُطلق أنظمة التنبيه إنذارًا لأن المهاجم استخدم بيانات اعتماد صالحة ضمن مسارات وصول متاحة للمزود. كما أوضحت الشركة أن تلك البيانات لم تمنح وصولًا إلى أنظمة أوبر الأخرى. CiVL

وهذه نقطة بالغة الأهمية في هندسة الأمن السيبراني.

فالنظام قد يكون مصممًا لمنع المستخدمين غير المصرح لهم من الدخول، لكنه يظل معرضًا للخطر إذا سُرقت هوية رقمية تتمتع بصلاحيات مشروعة.

وهنا يصبح السؤال الأمني ليس فقط: هل يمتلك المستخدم تصريحًا بالدخول؟ بل أيضًا: هل الشخص أو البرنامج الذي يستخدم هذا التصريح هو صاحبه الحقيقي؟ وهل يتناسب سلوكه مع المهمة التي مُنح التصريح من أجلها؟

وهذا ما يجعل إدارة الهويات والصلاحيات عنصرًا محوريًا في الأمن السيبراني الحديث.

خامسًا: لماذا كانت Fireworks AI تحتفظ بهذه البيانات أصلًا؟

تقدم Fireworks AI خدمات تشغيل نماذج الذكاء الاصطناعي، وتتيح للمطورين والمؤسسات استخدام نماذج مفتوحة الأوزان (Open-Weight Models) وتخصيصها والاستفادة من قدراتها عبر واجهات برمجة.

وتعتمد مؤسسات عديدة على هذا النوع من الخدمات بدلًا من تشغيل جميع النماذج على خوادمها الخاصة، لأن إدارة أنظمة الذكاء الاصطناعي المتقدمة تتطلب أجهزة مرتفعة التكلفة، وقدرات حوسبية متخصصة، وخبرات هندسية لتطوير بيئات التشغيل ومراقبتها.

لكن استخدام هذه الخدمات قد يتطلب نقل بيانات إلى المزود، أو منحه حق الوصول إلى بيانات محددة، أو السماح له بمعالجتها داخل بيئة سحابية.

ومن الضروري هنا التمييز بين استخدام مزود ذكاء اصطناعي لمعالجة البيانات، وبين تدريب نموذج ذكاء اصطناعي على تلك البيانات.

فلا توجد في المعلومات المنشورة أدلة تثبت أن رخص قيادة سائقي أوبر استُخدمت لتدريب نماذج Fireworks. ولم تكشف الشركة بصورة تفصيلية عن جميع الأغراض التشغيلية التي استدعت وصول المزود إلى تلك البيانات.

ولذلك يظل السؤال مشروعًا: لماذا كانت هذه المعلومات متاحة للمزود؟ وهل كان الوصول إليها ضروريًا لتنفيذ الخدمة المتعاقد عليها؟ وهل كان بالإمكان تقديم الخدمة باستخدام بيانات أقل حساسية أو باستخدام معرفات مجهولة الهوية؟

هذه ليست اتهامات جديدة، بل أسئلة أساسية في حوكمة البيانات ينبغي أن تجيب عنها الشركات عند تقييم العلاقة بين حجم البيانات المشتركة والغرض من معالجتها.

سادسًا: Notion تكشف الوجه الآخر للأزمة.. محادثات الذكاء الاصطناعي ليست دائمًا خاصة كما نتخيل

لم تتوقف تداعيات الاختراق عند أوبر. فقد أكدت شركة Notion أن الحادث الذي أصاب Fireworks AI أدى إلى كشف بعض سجلات محادثات العملاء الذين استخدموا وظيفة Insights المرتبطة بخدمات Notion AI.

وأوضحت الشركة أن النطاق المتأثر شمل أقل من 1% من مساحات العمل لديها، وأن الغالبية العظمى من المحادثات المسربة لم تكن مرتبطة ببيانات تعريف مباشرة للمستخدم أو المؤسسة. Notion

لكن هذا التفصيل لا يعني أن كل البيانات المسروقة أصبحت غير حساسة.

فقد تحتوي المحادثة نفسها على أسماء أو معلومات تجارية أو تفاصيل داخلية أو كلمات مرور أو رموز وصول أدخلها المستخدم أثناء طلب المساعدة من الذكاء الاصطناعي.

وحتى عندما لا تحتوي سجلات المحادثات على اسم صاحبها أو رقم حسابه، قد تسمح المعلومات الواردة داخل النص باستنتاج هويته أو طبيعة المؤسسة التي يعمل فيها.

وتكشف هذه الواقعة عن مشكلة مهمة تواجه استخدام الذكاء الاصطناعي في المؤسسات، وهي أن المستخدم قد يتعامل مع نافذة المحادثة باعتبارها مساحة خاصة، بينما تُعالج بعض البيانات فعليًا بواسطة مزودين خارجيين لا تظهر أسماؤهم بالضرورة في واجهة التطبيق.

وقد أعلنت Notion أنها قطعت اتصالها بـFireworks في 3 نوفمبر، وحذفت البيانات المخزنة لديها في اليوم التالي، ثم أخطرت العملاء المتأثرين بعد تأكيد طبيعة البيانات في 8 نوفمبر.

وفي تحديث لاحق، أعلنت الشركة إلغاء مفاتيح Notion API التي اكتشفت تعرضها للكشف داخل الرسائل، وإبلاغ مزودي الخدمات الآخرين بوجود مفاتيح تابعة لهم ضمن البيانات المتأثرة. Notion

وتكشف هذه التفاصيل أن محادثة واحدة قد تحتوي على أسرار تتيح الوصول إلى أنظمة أخرى، حتى لو كان الهدف الأصلي من استخدامها مجرد تلخيص مستند أو تحليل بيانات.

سابعًا: ماذا اعترفت به Fireworks AI؟

في نشرتها الأمنية المحدثة يوم 9 نوفمبر 2026، أوضحت Fireworks أنها استعانت بفريق Unit 42 التابع لشركة Palo Alto Networks للتحقيق في الحادث.

وأقرت بأن البيانات التي أمكن الوصول إليها شملت معلومات تعريفية عن بعض الموارد الحسابية، وبيانات فواتير وعناوين مرتبطة بحسابات العملاء، وفي حالات محدودة أسرارًا رقمية ومجموعات بيانات وأجزاء غير مكتملة من أوزان نماذج الذكاء الاصطناعي.

وأكدت أن أرقام بطاقات الدفع لم تكن مخزنة لديها، ولذلك لم تكن ضمن البيانات المتأثرة التي حددها التحقيق.

كما ذكرت أنها لم ترصد تأثيرًا على بعض خدماتها التي تعمل وفق سياسة عدم الاحتفاظ بالبيانات افتراضيًا، مع استمرار التحقيق في نطاق الحادث. Fireworks AI

وهنا يظهر جانب آخر من القضية يتعلق بدرجة الثقة في الوعود الفنية والتعاقدية المتعلقة بحفظ البيانات.

فقد تعتمد المؤسسة على التزام من مزود الخدمة بعدم الاحتفاظ بنوع معين من المعلومات، لكنها تحتاج أيضًا إلى فهم كيفية معالجة السجلات المؤقتة والبيانات التحليلية وملفات الاختبار وبيانات التشغيل.

فعدم الاحتفاظ بالمحادثات داخل خدمة معينة لا يعني بالضرورة عدم وجود بيانات مشتقة أو معلومات وصفية في جميع الخدمات المرتبطة بها.

كما أن سياسة عدم الاحتفاظ بالبيانات لا يمكن اعتبارها ضمانًا شاملًا ضد الاختراق، لأن بعض الهجمات قد تستهدف بيانات الحسابات أو الصلاحيات أو الأنظمة الإدارية، لا محتوى المحادثات نفسه.

ثامنًا: ما علاقة الحادث بظاهرة LLMJacking؟

من التفاصيل اللافتة أن Fireworks ربطت نشاط المهاجمين بمجموعة إجرامية تسعى إلى الاستفادة المالية من بيع رموز وصول مسروقة إلى نماذج اللغة الكبيرة، في نشاط يعرف باسم LLMJacking.

ويشير المصطلح إلى الاستيلاء غير المصرح به على موارد خدمات الذكاء الاصطناعي أو مفاتيح الوصول إليها، ثم استغلال هذه الموارد أو إعادة بيع القدرة على استخدامها.

فبدلًا من دفع تكلفة تشغيل النماذج، قد يحاول المهاجم استخدام حسابات تابعة لشركات أخرى لديها اشتراكات مدفوعة أو أرصدة تشغيلية.

وبذلك يمكن أن تتحول سرقة مفاتيح خدمات الذكاء الاصطناعي إلى نشاط اقتصادي إجرامي قائم بذاته.

وهذه الظاهرة تختلف عن سرقة بيانات المستخدمين، لكنها قد تحدث ضمن العملية نفسها إذا وصل المهاجم إلى أنظمة تحتوي على أسرار تشغيلية وبيانات عملاء.

وقد ذكرت Fireworks وجود مؤشرات تربط النشاط بجهة إجرامية ذات دوافع مالية، دون أن تكون هناك مجموعة معلومة أعلنت مسؤوليتها علنًا عن سرقة بيانات أوبر. Fireworks AI +1

وهنا لا ينبغي أن نفترض أن المهاجمين استخدموا الذكاء الاصطناعي لتنفيذ كل مراحل الهجوم؛ فالأدلة المنشورة تثبت استهداف بنية تحتية للذكاء الاصطناعي ورموز الوصول إليها، لكنها لا تثبت استخدام نماذج ذكاء اصطناعي بعينها لشن الاختراق.

تاسعًا: ثاني حادث لأوبر في عام واحد.. هل المشكلة أكبر من مزود واحد؟

أشارت TechCrunch إلى أن تسريب بيانات السائقين يمثل ثاني حادث اختراق معروف مرتبط بأوبر خلال عام 2026، بعد واقعة سابقة طالت وحدة Uber Freight المتخصصة في خدمات الشحن والنقل.

وفي الحادث السابق، أعلنت مجموعة ابتزاز إلكتروني مسؤوليتها عن سرقة بيانات، وفق التغطيات الصحفية.

لكن لا توجد أدلة منشورة تشير إلى أن الجهة التي نفذت الحادث الأول هي نفسها التي استهدفت Fireworks، أو أن العمليتين مرتبطتان فنيًا.

وتكرار الحوادث لا يكفي وحده للحكم على كفاءة برنامج الأمن السيبراني الخاص بشركة بعينها، لكنه يؤكد حجم التحديات التي تواجه المؤسسات الكبيرة ذات سلاسل التوريد التكنولوجية المعقدة.

فقد تكون الشركة قادرة على حماية خوادمها المباشرة، لكنها تعتمد في عملياتها اليومية على عدد كبير من الشركات التي تمتلك أنظمة وصلاحيات وموظفين ومزودين آخرين.

وكل علاقة جديدة بين هذه الأطراف قد تنشئ مسارًا محتملًا لانتقال المخاطر، إذا لم تُحدد الصلاحيات وتُراقب بصورة مناسبة.

عاشرًا: الخطر الذي لا يراه المستخدم.. سلسلة التوريد الرقمية

يمكن تشبيه العلاقة بين أوبر وFireworks AI بعلاقة شركة صناعية كبرى بأحد موردي مكوناتها.

فالمصنع قد يكون شديد الانضباط، لكنه قد يتعرض إلى اضطراب إذا قدم له مورد خارجي مكونات معيبة أو تعرضت سلسلة الإمداد للاختراق.

وفي العالم الرقمي، لا تنتقل المكونات المادية فقط، بل تنتقل البيانات والأذونات والملفات وأوامر التشغيل وحقوق الوصول.

وقد لا يعرف المستخدم أن بياناته تمر بين عدة مؤسسات، لأن تعاقده المباشر يكون مع شركة واحدة.

وهنا ينشأ ما يسمى مخاطر الطرف الثالث (Third-Party Risk)، التي تتمثل في تعرض المؤسسة إلى أضرار نتيجة ضعف الحماية لدى مزود خارجي.

لكن في أنظمة الذكاء الاصطناعي، تتداخل هذه المخاطر مع تحديات إضافية؛ فقد يعتمد تطبيق واحد على مزود للنموذج اللغوي، ومزود للاستضافة، وآخر للتخزين، ورابع لتحليل الاستخدام، وخامس لإدارة الهويات.

وكلما ازدادت العلاقات بين هذه الأنظمة، أصبح من الضروري رسم خريطة واضحة لمسارات البيانات والصلاحيات، والتأكد من أن كل طرف يمتلك الحد الأدنى من الوصول اللازم لأداء وظيفته.

كما ينبغي عدم الاكتفاء بتقييم أمان المورد وقت توقيع العقد، بل استمرار المراجعة طوال مدة التعامل معه، لأن سياساته وأنظمته ومزوديه قد تتغير.

الحادي عشر: هل كانت أوبر مسؤولة رغم أن الهجوم وقع لدى مزود خارجي؟

من الناحية التقنية، يمكن أن يكون الاختراق قد بدأ خارج أنظمة الشركة الرئيسية، لكن ذلك لا يلغي تلقائيًا مسؤولياتها المتعلقة بحماية البيانات التي تجمعها أو تشاركها.

وفي كثير من الأطر التنظيمية، تظل المؤسسة التي تحدد أغراض معالجة البيانات مسؤولة عن وضع شروط وضوابط مناسبة عند التعامل مع المعالجين الخارجيين، وإن اختلف نطاق المسؤولية القانونية بحسب الدولة والعقود وطبيعة الواقعة.

ولا يعني ذلك أن مسؤولية أوبر القانونية قد ثبتت في هذه القضية؛ فمثل هذا الحكم يحتاج إلى تحقيق تنظيمي أو قضائي مستقل.

لكن الواقعة تطرح أسئلة جدية بشأن حجم البيانات التي كانت متاحة للمزود، ومدة صلاحية مفاتيح الوصول، وآليات المراقبة، ومدى قدرة أنظمة الحماية على اكتشاف استخدام البيانات خارج النطاق المعتاد.

وهناك سؤال أكثر أهمية: هل كان من الممكن تقديم الخدمة دون إتاحة بيانات رخص القيادة بشكلها القابل للتعريف؟

فمبدأ تقليل البيانات (Data Minimization) يقوم على عدم مشاركة أو الاحتفاظ بمعلومات أكثر مما تتطلبه المهمة.

كما يمكن في بعض الحالات استخدام معرفات بديلة، أو فصل البيانات الحساسة عن البيانات التشغيلية، أو تنفيذ المعالجة داخل بيئة يسيطر عليها العميل دون نقل البيانات الأصلية إلى مقدم الخدمة.

وكلما أمكن تقليل حجم المعلومات الحساسة المتاحة للمورد، انخفضت مساحة الضرر المحتمل عند تعرضه للاختراق.

الثاني عشر: ماذا ينبغي أن يفعل السائقون المتضررون؟

أعلنت أوبر توفير خدمة مراقبة ائتمانية ومساعدة في التعامل مع الاحتيال المرتبط بالهوية، من خلال Cyberscout التابعة لـTransUnion، للأشخاص الذين تلقوا إخطارات بالتأثر.

وتوضح الإخطارات أن لدى المستفيدين مهلة 90 يومًا من تاريخ الخطاب للاشتراك في الخدمة المعروضة. Reuters

ومن المهم أن يتحقق السائق الذي تلقى إخطارًا من مصدره الرسمي، وأن يراجع حساباته وتقاريره الائتمانية، ويتعامل بحذر مع أي رسالة تطلب منه إرسال صورة أخرى من رخصته أو إدخال بياناته في موقع غير معروف.

فحوادث التسريب الكبرى قد تستغل لاحقًا في حملات تصيد تنتحل هوية الشركة المتضررة وتزعم أنها تقدم إجراءات حماية أو تعويضات.

أما المستخدمون المتأثرون في Notion، فينبغي لهم مراجعة المعلومات التي أدخلوها في محادثات الذكاء الاصطناعي، وتغيير كلمات المرور أو مفاتيح الخدمات التي ظهرت داخل المحادثات المسربة، مع الاعتماد على الإرشادات المرسلة من الشركة مباشرة.

الثالث عشر: ماذا يعني هذا الاختراق لمصر والعالم العربي؟

تزداد أهمية هذه الواقعة مع توسع المؤسسات العربية في استخدام خدمات الذكاء الاصطناعي السحابية.

فقد تعتمد شركة مالية أو جامعة أو مؤسسة حكومية أو مستشفى على نموذج ذكاء اصطناعي مقدم من جهة خارجية لتحليل المستندات، أو معالجة بيانات العملاء، أو إدارة عمليات داخلية.

وقد يكون ذلك منطقيًا من الناحية الاقتصادية والتقنية، لأنه يقلل تكلفة بناء وتشغيل الأنظمة من الصفر.

لكن الخطر يبدأ عندما تنتقل البيانات الحساسة إلى بيئات لا تمتلك المؤسسة فهمًا كافيًا لطريقة تشغيلها أو تخزين المعلومات داخلها.

ففي القطاع الصحي، قد تحتوي البيانات على معلومات طبية سرية. وفي الجامعات، قد تشمل درجات الطلاب وملفاتهم الأكاديمية أو نتائج أبحاث غير منشورة. وفي المؤسسات المالية، قد تتعلق بحسابات العملاء وسلوكهم الاقتصادي.

ومن هنا ينبغي أن تكون حوكمة البيانات شرطًا أساسيًا قبل التوسع في نشر تطبيقات الذكاء الاصطناعي، لا إجراءً ثانويًا يُناقش بعد وقوع التسريب.

ويحتاج ذلك إلى تقييم المخاطر، وتصنيف البيانات، ومراجعة العقود، وتحديد مواقع التخزين والمعالجة، واستخدام التشفير وإدارة المفاتيح والصلاحيات بصورة مستقلة، وإعداد خطط لاستمرارية العمل إذا تعرض المورد لحادث أمني.

كما ينبغي الاهتمام بالقدرات المحلية لتشغيل بعض النماذج داخل المؤسسات عندما تقتضي حساسية البيانات ذلك، مع الإقرار بأن التشغيل المحلي لا يضمن الأمان تلقائيًا، بل يحتاج هو الآخر إلى إدارة أمنية متخصصة.

الخاتمة.. من المسؤول عن بياناتك عندما تنتقل إلى شركة لا تعرف اسمها؟

تكشف واقعة أوبر وFireworks AI عن تحول عميق في مفهوم الثقة الرقمية.

فالمستخدم الذي يمنح بياناته لشركة عالمية يعتقد غالبًا أنه يتعامل مع منظومة واحدة، لكنه قد يكون في الحقيقة جزءًا من شبكة معقدة من مزودي الخدمات السحابية والذكاء الاصطناعي والتحليلات والتخزين.

وقد تكون الحلقة الأضعف في هذه الشبكة بعيدة تمامًا عن الشركة التي يعرفها المستخدم ويتعامل معها.

لقد أظهرت الإخطارات المعلنة سرقة معلومات رخص قيادة لآلاف الأشخاص، بينما كشفت Notion تعرض بعض سجلات المحادثات المرتبطة بخدمات الذكاء الاصطناعي لديها.

ولا يثبت ذلك أن جميع خدمات الذكاء الاصطناعي غير آمنة، أو أن مشاركة البيانات مع مزود خارجي تمثل خطأً في جميع الأحوال. لكنه يثبت أن القرارات المتعلقة بإتاحة المعلومات للموردين لا يمكن فصلها عن المسؤولية عن حمايتها.

إن المشكلة لم تعد فقط في قدرة الشركة على حماية بياناتك داخل خوادمها، بل في قدرتها على معرفة أين تذهب هذه البيانات، ومن يستطيع الوصول إليها، وكيف تُحمى لدى الأطراف التي تتعامل معها.

وإذا كانت شركات التكنولوجيا تتنافس اليوم على دمج الذكاء الاصطناعي في أكبر عدد من الخدمات، فإن عليها أن تتنافس بالقدر نفسه على تقليل البيانات التي تجمعها، وتوضيح مسارات معالجتها، وإثبات قدرتها على حماية خصوصية المستخدمين.

فالذكاء الاصطناعي لا ينبغي أن يصبح مبررًا لتوسيع مشاركة المعلومات دون ضوابط، ولا أن يتحول التطور التكنولوجي إلى عملية نقل مستمرة للمخاطر من شركة إلى أخرى.

وربما يكون السؤال الأهم الذي تتركه هذه الواقعة أمام كل مستخدم هو:

عندما تمنح شركة ما بياناتك الشخصية، هل تعرف كم شركة أخرى تستطيع الوصول إليها دون أن تكون قد سمعت بأسمائها من قبل؟