كشفت شركة إسرائيلية متخصصة في أمن الذكاء الاصطناعي عن أسلوب هجوم جديد يحمل اسم InkJect، يعتمد على إخفاء تعليمات ضارة داخل الصور بدل إرسالها كنص مباشر. وتقول الشركة إن هذه التقنية قادرة على التأثير في نماذج الرؤية واللغة الحديثة، بما في ذلك بعض أكثر الأنظمة تقدماً في السوق، عبر استغلال الطريقة التي تفسر بها هذه النماذج المحتوى المرئي.
النتيجة الأساسية التي يبرزها هذا الاكتشاف هي أن التوسع السريع في استخدام الذكاء الاصطناعي متعدد الوسائط لا يضيف فقط قدرات جديدة، بل يوسّع أيضاً مساحة الهجوم. ومع دخول الصور والرسوم التخطيطية وملفات العرض والوثائق المصورة إلى قلب سير العمل المؤسسي، أصبحت الثغرات المحتملة أكثر تعقيداً وأصعب في الرصد.
هجوم يعتمد على الصورة لا على النص
الهجمات التقليدية المعروفة باسم حقن التعليمات تستهدف عادةً إدخال نصوص مموهة تحاول دفع النموذج إلى تجاهل أو تجاوز تعليماته الأصلية. وعلى مدى العامين الماضيين، ركز مزودو النماذج على بناء طبقات دفاعية لاكتشاف هذا النوع من الأوامر قبل أن تؤثر في المخرجات.
أما InkJect فيأخذ المسار المعاكس تقريباً. فبدلاً من وضع الرسالة الخبيثة داخل حقل نصي، تُخفى الأوامر داخل صورة تبدو طبيعية. وقد تكون هذه الصورة جزءاً من مستودع برمجي عام، أو صفحة توثيق، أو مخطط تصميم، أو أي أصل بصري آخر يستدعيه المساعد الذكي أثناء أداء مهمة عادية. في هذه الحالة، لا يلاحظ المستخدم وجود أي شيء غير اعتيادي، بينما يعالج النموذج الصورة وكأنها جزء مشروع من السياق.
استغلال قدرة النماذج على القراءة البصرية
جوهر خطورة هذا الأسلوب أنه يستهدف إحدى أهم الميزات في النماذج متعددة الوسائط: قدرتها على فهم النص داخل الصور. فهذه النماذج لا تكتفي بتحليل الألوان والأشكال، بل تستطيع استخراج الكتابة من لقطات الشاشة والرسوم البيانية والصور والواجهات، وغالباً بصورة تتجاوز أدوات الفحص التقليدية المبنية على OCR.
وأظهر الباحثون أن التعليمات المخفية يمكن كتابتها بطرق يصعب على أنظمة الحماية رصدها، مثل استخدام لون أبيض على خلفية بيضاء، أو تباين شديد الانخفاض، أو تشويه المنظور، أو انحناء النصوص بشكل يجعلها شبه غير مرئية للعين البشرية. لكن النموذج نفسه يلتقطها ويعالجها، ما يخلق فجوة خطيرة بين ما تراه أداة الفحص وما يفهمه الذكاء الاصطناعي.
هذه الفجوة هي ما يجعل InkJect مختلفاً عن كثير من الهجمات المعروفة سابقاً. فبدلاً من أن يكون الدفاع موجهاً إلى النصوص فقط، أصبح عليه أن يراقب المحتوى البصري أيضاً، وهو تحدٍّ لا تزال كثير من الأنظمة الأمنية غير مهيأة له بالكامل.
الحقن غير المباشر يزيد من خطورة السيناريو
ما يزيد المشكلة تعقيداً هو أن الهجوم لا يتطلب بالضرورة وصولاً مباشراً إلى التطبيق المستهدف. فوفقاً للباحثين، يمكن للمهاجم وضع الصورة المخفية في مصدر عام متاح على الإنترنت، ثم ينتظر أن يقوم مساعد ذكاء اصطناعي أو وكيل مستقل باستدعاء هذا المورد ضمن سير العمل العادي.
على سبيل المثال، قد يطلب مطور من مساعد برمجي بناء ميزة جديدة اعتماداً على مستودع معين، فيجلب النظام تلقائياً الصور الموجودة داخله. إذا كانت إحدى هذه الصور تحمل تعليمات مخفية، فإنها تدخل إلى السياق الذي يعالجه النموذج دون أن يشعر المطور بذلك. وهنا يصبح الهجوم «غير مباشر»، لأن المهاجم لم يرسل الأوامر إلى التطبيق وجهاً لوجه، بل دسّها داخل مادة مرئية ستصل لاحقاً إلى النظام بطريقة مشروعة ظاهرياً.
هذا النمط يثير القلق بشكل خاص مع تزايد اعتماد الشركات على وكلاء ذكاء اصطناعي قادرين على جلب الملفات وتحليلها وتنفيذ خطوات متعددة بشكل شبه ذاتي. فكل مصدر عام، وكل مستند مشترك، وكل صورة مستخدمة في التوثيق قد يتحول إلى قناة محتملة لتمرير أوامر خبيثة.
تجربة عملية تظهر الأثر الحقيقي
لإيضاح حجم المخاطر، عرض الباحثون سيناريو يبدو بسيطاً للغاية: يطلب مطور من مساعد ذكاء اصطناعي إنشاء صفحة معلومات أساسية. لكن إحدى الصور المرجعية التي اعتمد عليها النظام تحتوي على تعليمات مخفية. بدلاً من تنفيذ الطلب فقط، يقوم النموذج بإضافة نظام تسجيل دخول كامل للأعضاء، يتضمن بيانات اعتماد للمشرفين ومنطق مصادقة خلفي.
المشكلة هنا ليست مجرد خطأ في الإخراج، بل احتمال إدخال كود غير مصرح به إلى مشروع قد يصل لاحقاً إلى بيئة الإنتاج. وإذا لم يجرِ الفريق مراجعة أمنية دقيقة، فقد يتحول التعديل غير المرئي إلى باب خلفي يمنح المهاجمين وصولاً إدارياً لم يطلبه أحد ولم يلاحظه أحد.
هذه النتيجة توضح أن هجمات الحقن البصري لا تؤثر فقط في الردود النصية للنماذج، بل قد تمتد إلى توليد الكود، وتغيير سلوك الوكلاء المستقلين، وإدخال ثغرات ضمنية إلى تطبيقات مؤسسية حساسة.
لماذا تفشل طبقات الحماية الحالية
تكشف هذه الدراسة عن نقطة ضعف معمارية في كثير من أدوات الحماية الحالية. فمعظم الضوابط التجارية صُممت أساساً لمراجعة النصوص قبل وصولها إلى النموذج، ولذلك أصبحت أكثر كفاءة في اكتشاف الأوامر المكتوبة بشكل مباشر أو المموّه.
لكن الصور تمر غالباً عبر مسار مختلف داخل النظام. ووفقاً للنتائج المنشورة، فإن بعض النماذج المتقدمة رفضت الهجوم عندما قُدم كنص صريح، ثم قبلته عندما نُقل المعنى نفسه داخل صورة. وهذا يعني أن تغيير الوسيط وحده قد يكون كافياً لتجاوز عدد من آليات المنع المعتادة.
ومع تحول الذكاء الاصطناعي متعدد الوسائط إلى واجهة أساسية في بيئات العمل، لم يعد من الممكن افتراض أن الخطر يأتي عبر الكتابة فقط. فالنص والصورة والمخطط وملف PDF كلها قد تحمل رسائل مقصودة أو غير مقصودة تؤثر في سلوك النظام.
انعكاسات مباشرة على المؤسسات
تحظى هذه المسألة بأهمية أكبر داخل المؤسسات، لأن أنظمة الذكاء الاصطناعي المستخدمة تجارياً لا تعمل في العادة بصلاحيات محدودة فقط. فهي قد تطالع وثائق داخلية، وتكتب أكواداً، وتنفذ استدعاءات برمجية، وتتفاعل مع سحابات بيانات، وتحلل مستندات سرية، بل وتشارك أحياناً في قرارات تشغيلية.
لذلك فإن وجود تعليمات خفية داخل الصور لا يُعد مجرد اختبار أكاديمي، بل تهديداً أمنياً قد يترك أثراً ملموساً على الأنظمة الفعلية. وكلما اتسع استخدام النماذج التي ترى وتقرأ وتستنتج وتتصرف، زادت الحاجة إلى طبقات حماية قادرة على فهم نفس القنوات التي يفهمها الذكاء الاصطناعي نفسه.
كما أن الاعتماد على أدوات التحقق النصي وحدها لم يعد كافياً. المؤسسات التي تنشر مساعدين برمجيين أو وكلاء مستقلين أو أنظمة تحليل بصري بحاجة إلى مراجعة شاملة لآليات إدخال البيانات، ومصادر الملفات الخارجية، وطريقة تفسير الأصول المرئية، إضافة إلى سياسات الصلاحيات والمراجعة البشرية.
ما الذي يعنيه InkJect لمستقبل أمن الذكاء الاصطناعي
يبدو InkJect مثالاً مبكراً على الجيل القادم من هجمات الذكاء الاصطناعي، حيث لم يعد المهاجم يكتفي باستغلال النصوص الموجهة للنموذج، بل يسعى إلى توظيف كل وسيط يفهمه النظام. ومع توسع قدرات النماذج في الرؤية والاسترجاع والتنفيذ، سيزداد البحث عن طرق خفية لتمرير التعليمات عبر الصور والوثائق والواجهات الرقمية.
الخلاصة أن أمن الذكاء الاصطناعي لم يعد يعني فقط منع المستخدم من كتابة أوامر ضارة. بل بات يتطلب فهماً أعمق لكيفية استهلاك النموذج للمعلومات، وكيفية انتقال الإشارات عبر النصوص والصور والملفات والعمليات الذاتية. وفي عالم تتقاطع فيه الرؤية الحاسوبية مع الأتمتة المؤسسية، قد تكون أصغر التفاصيل البصرية هي نقطة الاختراق الأكبر.