سطح هجوم الذكاء الاصطناعي الوكيل: تسميم الذاكرة وتصعيد الصلاحيات وضوابط الحماية في المؤسسات

لماذا يمثّل الذكاء الاصطناعي الوكيل مشكلة أمنية مختلفة جوهرياً

يقوم أمن البرمجيات التقليدي على نموذج واضح: ينفّذ الكود، وتأتي المدخلات من مصادر محددة، وتذهب المخرجات إلى وجهات محددة، وتُطبَّق حدود الثقة بين المكونات عبر ضوابط وصول يضبطها البشر. حين يتصرف النظام بشكل غير متوقع، يكون ذلك السلوك حتمياً — نفس المدخل ينتج بشكل موثوق نفس الإخراج الشاذ، مما يجعل التحليل الجنائي ممكناً.

تكسر أنظمة الذكاء الاصطناعي الوكيلة هذا النموذج بثلاث طرق. أولاً، سلوكها غير حتمي: قد يُنتج نفس البرومبت تسلسلات إجراءات مختلفة بحسب حالة نافذة السياق للوكيل، ومحتوى مخزنه، ومخرجات استدعاءات الأدوات السابقة. ثانياً، أسطح مدخلاتها غير محدودة: وكيل يتصفح الويب أو يقرأ البريد الإلكتروني أو يعالج المستندات يقبل مدخلات من أي مصدر — بما في ذلك المصادر العدائية المصممة خصيصاً للتلاعب بالوكيل. ثالثاً، أذونات أدواتها تتراكم: كل قدرة تُمنح للوكيل (كتابة ملفات، إرسال بريد إلكتروني، استدعاء API، تنفيذ كود) تُضاعف نطاق الضرر المحتمل عند الاختراق.

يوضح مشهد التهديدات السيبرانية في مايو 2026 كيف تتقاطع متجهات الهجوم التقليدية مع أنظمة الذكاء الاصطناعي. استهدفت حملة سلسلة التوريد Mini Shai-Hulud تحديداً ملفات إعداد Claude Code كآلية إصرار — بتضمين خطافات في إعدادات مساعدي الكودينج الذكية للبقاء بعد مسح الأجهزة. هذا ليس مصادفة: أصبحت وكلاء الذكاء الاصطناعي المزودة بصلاحيات الوصول إلى نظام الملفات وتنفيذ الأكواد هدفاً قياسياً للبرمجيات الخبيثة المتطورة، لا مجرد أدوات إنتاجية.

متجهات الهجوم الثلاثة التي يجب على فرق الأمن فهمها

تسميم الذاكرة يستهدف مخازن الذاكرة طويلة المدى التي تستخدمها الأنظمة الوكيلة للحفاظ على السياق عبر الجلسات. حين يقرأ وكيل يملك ذاكرة مستمرة مستنداً ضاراً، أو يعالج بريداً إلكترونياً مُصمَّماً، أو يتصفح موقعاً مخترقاً، يمكن للمهاجم حقن تعليمات في ذاكرة الوكيل تبقى عبر الجلسات المستقبلية. قد تُوجّه مدخلة الذاكرة المسمومة الوكيلَ لاستخراج أنواع معينة من الملفات عند مصادفتها، أو الموافقة على معاملات بعينها دون الإبلاغ عنها، أو إخفاء رسائل خطأ محددة. ولأن السلوك المستقبلي للوكيل يتشكّل من ذاكرته، فإن هجوم تسميم الذاكرة يُمثّل فعلياً اختراقاً مستمراً ينجو من إعادة تشغيل المحادثات.

حقن البرومبت عبر البيانات البيئية هو المتجه الأكثر شهرة. حين يقرأ وكيل مستنداً أو صفحة ويب أو بريداً إلكترونياً يحتوي نصاً مصمماً لإلغاء تعليمات نظام الوكيل، قد ينفّذ الوكيل تلك التعليمات كأنها صادرة من المشغّل الشرعي. وثّق باحثو الأمن في GitHub كيف يمكن التلاعب بمساعدي الكودينج الذكية عبر محتوى المستودعات المُصمَّمة — نمط ينسحب مباشرةً على أي نظام وكيل يعالج مصادر بيانات خارجية. التمييز الرئيسي عن هجمات الحقن التقليدية هو أن حقن البرومبت لا يتطلب ثغرة تنفيذ كود: بل يستغل عجز النموذج اللغوي عن التمييز بشكل موثوق بين محتوى التعليمات (الموثوق) ومحتوى البيانات (غير الموثوق).

الانتقال الجانبي عبر أذونات الأدوات هو المتجه الأكثر خطورة تشغيلياً للمؤسسات. نظام وكيل يملك صلاحية الوصول إلى البريد الإلكتروني والتقويم ونظام الملفات وSlack وأدوات CRM يمتلك قدرة انتقال جانبي لم تُنمذَج قط من معظم فرق أمان المؤسسات. يُوثّق متتبّع الهجمات السيبرانية لعام 2026 من Intellizence أن المهاجمين يستخدمون بالفعل أدوات الذكاء الاصطناعي لصياغة تهديدات أكثر تطوراً وإيذاءً وصعوبة في الاكتشاف. إذا نجح مهاجم في حقن تعليمات في مثل هذا الوكيل، يمكن تنفيذ تلك التعليمات على جميع الأنظمة المتصلة في آن واحد — إرسال رسائل بريد إلكتروني، وتعديل السجلات، وتسريب الملفات — دون إثارة الكشف عن الشذوذات التي تعتمد عليها مراقبة الأمن التقليدية.

ما يجب على فرق أمان المؤسسات فعله

1. تطبيق بنية الحد الأدنى من الصلاحيات قبل نشر أي وكيل

أهم ضابط لأمان الذكاء الاصطناعي الوكيل هو معماري، لا تقني: حصر أذونات الوكيل في الحد الأدنى اللازم لمهمته المحددة، ومعاملة أي توسيع لهذا النطاق كحدث مراجعة أمنية، لا مجرد تغيير في الإعدادات. وكيل يجيب على أسئلة الموارد البشرية لا يحتاج إلى صلاحية الكتابة في نظام الملفات. وكيل يُلخّص محاضر الاجتماعات لا يحتاج إلى أذونات إرسال البريد الإلكتروني. وكيل يقترح الكود لا يحتاج إلى بيانات اعتماد قاعدة بيانات الإنتاج.

استهداف هجوم Mini Shai-Hulud لملفات إعداد Claude Code إشارة إلى أن الجهات المتطورة رسمت بالفعل نطاقات أذونات وكلاء الذكاء الاصطناعي كمسار للانتقال الجانبي. ابنِ بنية الحد الأدنى من الصلاحيات قبل النشر — إضافتها بعد حادث يكلف أضعافاً مضاعفة.

2. تطبيق حدود ثقة منفصلة لتعليمات الوكيل وبياناته

ثغرة حقن البرومبت موجودة لأن معظم الأنظمة الوكيلة الحالية تتعامل مع كل محتوى نافذة السياق بثقة متساوية — تعليمات المشغّل وبيانات المصادر الخارجية كلاهما يعالجه النموذج نفسه بنفس الأوزان. التخفيف المعماري هو فرض فصل هيكلي بين سياق التعليمات (البرومبت النظامي، أوامر المستخدم) وسياق البيانات (المستندات، صفحات الويب، رسائل البريد الإلكتروني التي يعالجها الوكيل)، وتطبيق ضوابط صريحة على الإجراءات التي يمكن تشغيلها بواسطة محتوى سياق البيانات.

عملياً، يعني هذا تصميم تدفقات عمل الوكيل بحيث تتطلب الإجراءات ذات العواقب غير القابلة للعكس (إرسال البريد الإلكتروني، تنفيذ الكود، تعديل سجلات قاعدة البيانات) تأكيداً عبر قناة منفصلة هيكلياً عن البيانات التي يعالجها الوكيل.

3. مراقبة سلوك الوكيل بشكل مستمر — تسجيل كل استدعاء أداة

تلتقط مراقبة التطبيقات التقليدية المدخلات والمخرجات. يجب أن تلتقط مراقبة وكلاء الذكاء الاصطناعي أيضاً تسلسل الإجراءات الكامل: كل استدعاء أداة ينفّذه الوكيل، وكل محتوى خارجي يقرأه، وكل فرع قرار يسلكه، وكل مخرج يُنتجه. هذا ليس متطلباً للتصحيح — بل متطلب جنائي. تطبيق تسجيل هيكلي لكل استدعاء أداة مع: الطابع الزمني، واسم الأداة، ومعاملات الإدخال، والمخرجات، ومعرّف جلسة الوكيل. تخزين هذه السجلات في نظام لا يمكن للوكيل نفسه الوصول إليه أو تعديله.

4. إنشاء نقاط تحكم بشري للفئات عالية المخاطر

لا يتمتع أي نظام ذكاء اصطناعي وكيل حالي بموثوقية كافية للتنفيذ دون إشراف للإجراءات عالية المخاطر وغير القابلة للعكس. يجب أن تحدد بنية الدفاع فئات الإجراءات التي ينطبق عليها هذا المبدأ — المعاملات المالية فوق حد معين، الاتصالات الخارجية المُرسَلة باسم المؤسسة، الكود المنشور في الإنتاج، حذف سجلات قاعدة البيانات — وتطبيق نقاط تحكم بشري إلزامية لهذه الفئات.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• هجوم البرمجيات الخبيثة Mini Shai-Hulud على سلسلة التوريد — CyberScoop
• تأمين سلسلة توريد المصدر المفتوح عبر GitHub — مدونة GitHub
• حملة سلسلة التوريد تستهدف أدوات الأمان — The Register
• الهجمات السيبرانية وانتهاكات البيانات الكبرى — Intellizence