أظهرت اختبارات أمنية حديثة أن بعض وكلاء الذكاء الاصطناعي القادرين على تنفيذ مهام عبر الويب قد يقعـون في فخ تعليمات مخفية داخل صفحات الإنترنت، وهي تعليمات لا يلاحظها المستخدم البشري عادة، لكنها قد تدفع النظام إلى اتخاذ قرارات خاطئة أو تنفيذ أوامر غير مقصودة.
وتسلط هذه النتائج الضوء على نقطة حساسة في الجيل الجديد من الأنظمة المعتمدة على النماذج اللغوية الكبرى: كلما زادت قدرة الوكيل على التصفح والتصرف نيابة عن المستخدم، زادت أيضاً مساحة الهجوم المحتملة أمام المحتوى الخبيث أو المضلل.
اختبارات تكشف تفاوتاً واضحاً بين النماذج
في مجموعة من التجارب التي شملت عدداً كبيراً من النماذج، تبيّن أن بعض الأنظمة كانت أكثر عرضة لما يعرف بـحقن التوجيه غير المباشر، وهو أسلوب يزرع أوامر خفية داخل محتوى يبدو عادياً في الظاهر. ووفقاً للنتائج، أبدت أربعة نماذج قابلية واضحة للوقوع في هذا النوع من الخداع، من بينها نسخ من Llama وGemini، بينما جاءت ثلاثة نماذج أخرى في الفئة الأكثر أماناً ضمن الاختبار ذاته.
اللافت في هذه النتائج أن مستوى الحماية لم يرتبط دائماً بسعر النموذج أو شهرته أو قدراته العامة، إذ ظهر أن بعض النماذج الأقل تكلفة أو الأقل تعقيداً في فئة معينة قد تتعامل مع هذه السيناريوهات بصورة أفضل من نماذج يُنظر إليها على أنها أكثر تقدماً.
هذا التباين يوضح أن تقييم أمان وكلاء الذكاء الاصطناعي لا يمكن اختزاله في رقم أو تصنيف مبسط. فالنجاح في مهمة لغوية لا يعني بالضرورة صلابة في مواجهة محاولات التلاعب بالمحتوى أو التعليمات المدمجة داخل السياق.
ما هو حقن التوجيه غير المباشر
يقوم هذا النوع من الهجوم على إدخال رسالة أو تعليمات داخل صفحة ويب أو مستند أو أي محتوى يمكن للوكيل قراءته خلال أداء مهمة ما. وعندما يعالج النموذج تلك البيانات، قد يخلط بين ما هو جزء من المهمة الأصلية وما هو توجيه جديد ينبغي تنفيذه.
المشكلة الأساسية هنا أن الوكيل لا يمتلك دائماً القدرة البشرية على التمييز بين المحتوى الموثوق والمحتوى المتلاعب به. فإذا ظهر نص داخل الصفحة يوحي بأنه جزء من العملية الإجرائية، قد يتعامل معه النظام كأنه تعليمات صالحة، حتى لو كان في الواقع مصمماً لجرّه إلى سلوك ضار.
هذه الثغرة لا تعتمد بالضرورة على اختراق تقني تقليدي، بل على استغلال طريقة فهم النموذج للمحتوى. لذلك يصفها خبراء الأمن بأنها تهديد معماري بقدر ما هي تهديد سلوكي.
لماذا يبدو الوكيل أقل حذراً من الإنسان
يرى مختصون أن الفارق الجوهري بين البشر والوكلاء الذكيين يكمن في طريقة بناء الثقة. فالبشر يميلون إلى التشكيك عندما يظهر طلب غير متوقع في سياق غير مناسب، بينما تميل الأنظمة المؤتمتة إلى متابعة الإشارات المنسقة أو الحقول عالية الوضوح داخل البيانات على أنها ذات أولوية.
وفي بيئة العمل الرقمية، قد لا يلتفت الإنسان إلى طلب دفع أو خطوة مالية إذا وردت في منتصف مهمة لا علاقة لها بالمعاملات، لكن الوكيل قد يعتبرها جزءاً ضرورياً من سير العمل إذا صيغت ضمن إطار يبدو إجرائياً ومنطقياً.
كما أن البشر يعتمدون على الذاكرة والعلاقات السابقة والسياق الاجتماعي للتحقق، في حين يعتمد الوكيل بدرجة كبيرة على ما هو موجود داخل نافذة السياق فقط. وهذا يجعل نافذة السياق نفسها نقطة حساسة تتحول تدريجياً إلى سطح هجوم رئيسي.
المخاطر تتجاوز السيناريوهات البسيطة
رغم أن بعض الأمثلة التي جرى اختبارها بدت محدودة التأثير، مثل دفع رسوم صغيرة مزيفة للحصول على مفتاح برمجي، فإن الخبراء يحذرون من أن الخطر الحقيقي يظهر عندما تُنشر هذه القدرات في بيئات ذات صلاحيات واسعة.
فإذا كان الوكيل مخولاً بإجراء مشتريات، أو إدارة المصروفات، أو التعامل مع الموردين، أو تنفيذ أوامر مالية واستثمارية، فإن استغلاله عبر تعليمات خفية قد يؤدي إلى خسائر كبيرة تتجاوز بكثير قيمة المثال التجريبي البسيط.
هذا ما يجعل القضية أكثر من مجرد خلل في الفهم اللغوي. إنها إشارة إلى أن دمج الذكاء الاصطناعي في العمليات التشغيلية الحساسة يحتاج إلى طبقات أمنية جديدة تتناسب مع طبيعة هذا النوع من الأتمتة.
مشكلة أمنية في بنية النماذج نفسها
يشير محللون إلى أن الاعتماد على تدريب السلامة وحده لا يكفي لتأمين هذه الأنظمة، لأن المشكلة لا تنبع فقط من سلوك النموذج في الاختبار، بل من الطريقة التي يدمج بها المعلومات الموثوقة وغير الموثوقة داخل نفس السياق.
وبحسب هذا التصور، فإن المعالجة القائمة على المحولات اللغوية لا تفصل دائماً بشكل حاسم بين التعليمات الأصلية والمواد الخارجية التي يقرأها النموذج أثناء التنفيذ. ومع تداخل هذه العناصر، يصبح من الصعب ضمان أن الوكيل سيتجاهل كل ما يجب تجاهله.
لهذا يرى خبراء أن الدفاع الفعّال يجب أن يكون معمارياً أيضاً، وليس مجرد مجموعة من التحسينات السلوكية أو التنبيهات اللاحقة. أي أن الأمن ينبغي أن يُبنى داخل بنية الوكيل نفسه، لا أن يُضاف إليه كطبقة ثانوية فقط.
ما الذي يعنيه ذلك للمؤسسات
بالنسبة للشركات التي تتسابق لتبني وكلاء الذكاء الاصطناعي، تعني هذه النتائج أن اختبار الأمان لا ينبغي أن يقتصر على الأداء والدقة وسرعة التنفيذ. بل يجب أن يشمل أيضاً سيناريوهات التلاعب بالمحتوى، والهجمات القائمة على السياق، وكيفية تعامل الوكيل مع النصوص غير الموثوقة.
ويُفترض بالمؤسسات أن تنظر إلى الوكلاء على أنهم أنظمة ذات صلاحيات تنفيذية، لا مجرد روبوتات دردشة متقدمة. فبمجرد أن يحصل النموذج على القدرة على التصفح أو الشراء أو الوصول إلى أدوات داخلية، يصبح جزءاً من سلسلة ثقة معقدة تتطلب رقابة دقيقة.
كما أن الاعتماد على تصنيف ثنائي من نوع آمن أو غير آمن قد يكون مضللاً، لأن مستوى المخاطرة يتغير بحسب المهمة والبيئة والصلاحيات المتاحة. وقد يكون النموذج نفسه مقبولاً في سيناريو محدود، لكنه شديد الخطورة عند ربطه بأدوات مالية أو تشغيلية.
خلاصة المشهد
تكشف هذه الاختبارات أن وكلاء الذكاء الاصطناعي يدخلون مرحلة جديدة من المخاطر، حيث لم تعد التهديدات مقتصرة على الهلوسة أو الأخطاء في الإجابة، بل امتدت إلى قابلية النظام نفسه للتوجيه عبر محتوى خارجي مخادع.
ومع ازدياد استخدام الوكلاء في التصفح والشراء وإدارة المهام، يصبح فهم هذه الثغرات شرطاً أساسياً قبل توسيع الاعتماد عليها داخل المؤسسات. فالمسألة لم تعد مرتبطة بذكاء النموذج فقط، بل بقدرته على التمييز بين ما يجب تنفيذه وما يجب تجاهله.