أظهرت سلسلة من الحوادث الأمنية الأخيرة أن الخطر في أنظمة الذكاء الاصطناعي لم يعد يقتصر على ثغرة هنا أو هجوم هناك، بل يمتد إلى الطريقة التي تُبنى بها هذه الأنظمة من الأساس. ففي الوقت الذي تركز فيه الشركات على إضافة طبقات حماية ومراقبة أكثر، تكشف الوقائع أن المشكلة أعمق: البيانات الحساسة تُستخدم بصيغة قابلة للقراءة في كل مرحلة تقريباً من مراحل العمل.
هذا يعني أن الاختراق لم يعد سؤالاً افتراضياً حول ما إذا كان سيحدث، بل حول ما الذي سيجده المهاجم عندما يحدث. وإذا كانت البنية نفسها تتطلب مرور البيانات بصيغة واضحة عبر التطبيق والتنسيق والعتاد ونظام التشغيل، فإن أي فشل في طبقة واحدة قد يكفي لكشف السلسلة بأكملها.
طبقة التطبيقات: عندما يصبح الوصول الداخلي نقطة الانكشاف الأولى
أحد أبرز الأمثلة جاء من منصة ذكاء اصطناعي داخلية تستخدمها مؤسسة استشارية كبيرة لدعم العمل البحثي والتحليلي وتلخيص المستندات. وفي هذا الحادث، تمكن وكيل هجومي آلي من الوصول إلى قاعدة البيانات الإنتاجية خلال وقت قصير للغاية، من دون أي بيانات اعتماد أو معرفة مسبقة بالشبكة أو تدخل بشري مباشر.
المدخل لم يكن هجوماً معقداً بالمعنى التقليدي. فقد اعتمد على وثائق واجهات برمجة التطبيقات المكشوفة للعامة، والتي كشفت عدداً كبيراً من المسارات، بعضها لم يكن يحتاج إلى مصادقة أصلاً. ومن خلال استغلال خلل من نوع حقن SQL داخل أسماء الحقول في بيانات JSON، استطاع النظام الهجومي التحرك تدريجياً حتى وصل إلى بيانات حقيقية في بيئة الإنتاج.
ما جرى تسريبه لم يكن تفصيلاً صغيراً: رسائل محادثة، ملفات، حسابات مستخدمين، ومحتوى معرفي ضخم مرتبط بعمليات بحث داخلية ومحتوى استرجاعي يستخدمه النظام في توليد الإجابات. الأخطر من ذلك أن أوامر السلوك الخاصة بالنظام كانت قابلة للتعديل، وهو ما كان سيتيح لمهاجم متقدم تغيير طريقة استجابة المنصة للمستخدمين أو إدخال تحيزات خفية أو تعطيل الضوابط دون الحاجة إلى نشر جديد للبرمجيات.
الدلالة هنا مهمة: حتى عندما تعمل أدوات الذكاء الاصطناعي داخل المؤسسة، فإن وجود البيانات بوصفها نصاً واضحاً في قواعد البيانات يجعلها قابلة للقراءة بمجرد اختراق المسار المناسب.
طبقة التنسيق: سلسلة الإمداد تصل إلى مفاتيح الوصول
الحادث الثاني نقل المشكلة إلى مستوى مختلف تماماً. ففي طبقة التنسيق، حيث تعمل بوابات الذكاء الاصطناعي التي توزع الطلبات بين مزودي النماذج المختلفة، يصبح أي اختراق أكثر حساسية لأن هذه الطبقة تحتفظ عادة بمفاتيح الوصول الخاصة بالخدمات المرتبطة بها.
إحدى الأدوات المفتوحة المصدر المستخدمة على نطاق واسع لإدارة هذا النوع من التوجيه تعرضت لعملية اختراق عبر سلسلة الإمداد البرمجية. ووفقاً للتقارير التقنية، استغل المهاجمون بيانات اعتماد مرتبطة بتبعية داخل خط البناء والتكامل المستمر، ثم استخدموا صلاحيات الصيانة لنشر نسختين معدلتين وخبيثتين من الحزمة على المستودع البرمجي العام قبل سحبهما بوقت قصير.
ورغم أن النسختين التالفتين لم تبقيا لفترة طويلة، فإن الأثر كان واسع النطاق. السبب بسيط: عندما تهيمن أداة واحدة على عملية تمرير الطلبات بين مزودي الذكاء الاصطناعي، فإنها تصبح نقطة اختناق ونقطة تجمع للمفاتيح الحساسة في الوقت نفسه. أي خرق في هذه الطبقة قد يمنح المهاجم وصولاً إلى بيئات متعددة بدل هدف واحد.
هذا النوع من الهجمات يكشف أن سلسلة الإمداد لم تعد مجرد مسألة ثقة في الحزم البرمجية، بل جزء أساسي من أمن البنية بأكملها. وإذا كانت الأداة تتطلب مفاتيح قابلة للاستخدام لتؤدي وظيفتها، فهي أيضاً تضع هذه المفاتيح على مسافة واحدة من المخاطر.
طبقة العتاد: الحوسبة السرية ليست مطلقة
الطبقة الثالثة التي تعرضت للاهتزاز كانت العتاد نفسه، وتحديداً البيئات المعروفة باسم بيئات التنفيذ الموثوقة. هذه البيئات تُسوَّق عادة باعتبارها خط الدفاع الأخير، لأنها تهدف إلى حماية البيانات أثناء المعالجة وحتى عندما تكون الذاكرة قيد الاستخدام.
لكن بحثاً أمنياً حديثاً بيّن أن هذا الافتراض ليس كاملاً. فقد تمكن باحثون من استخراج مفاتيح التحقق الخاصة بهذه البيئات عبر هجوم جانبي يعتمد على التلاعب الفعلي بحافلة الذاكرة في خوادم تعتمد على DDR5. والأهم أن الهجوم أثّر على أكثر من تقنية شائعة في هذا المجال، بما في ذلك بيئات العزل الخاصة ببعض المعالجات ومنصات الحوسبة السرية التي تُستخدم على نطاق واسع في مراكز البيانات.
عندما يحصل المهاجم على مفاتيح التوثيق، يمكنه أن يقدم النظام على أنه موثوق بينما ينفذ العمل خارج السياج الأمني المفترض. في سياق الذكاء الاصطناعي، تصبح هذه النقطة أكثر حساسية لأن بيئات الاستدلال السرية على وحدات المعالجة الرسومية تعتمد جزئياً على سلسلة ثقة تبدأ من المعالج المركزي. وإذا كان ذلك المعالج يمكن خداعه أو تجاوز ضماناته، فإن الحماية اللاحقة تصبح مشروطة لا مطلقة.
ردود الفعل من الشركات المصنعة كانت متوقعة من منظورها: بعضها اعتبر أن هذا النوع من الهجمات يقع خارج نموذج التهديد الأساسي، وبعضها الآخر تحدث عن استمرار العمل على تخفيف المخاطر. لكن الرسالة العملية للمؤسسات شديدة الوضوح: الحماية القائمة على العتاد تفترض، ضمنياً، حدوداً في الوصول الفيزيائي والبيئة التشغيلية، وهي حدود لا يمكن ضمانها دائماً في البيئات السيادية أو المنظمة أو المعرّضة لهجمات متقدمة.
طبقة نظام التشغيل: الذكاء الاصطناعي يعيد اكتشاف الثغرات القديمة
الطبقة الرابعة جاءت لتضرب الأساس الذي تقوم عليه كل الطبقات السابقة: نظام التشغيل والمكتبات الأساسية. ففي كشف أمني آخر، أعلنت شركة أبحاث أن نموذجاً متقدماً للذكاء الاصطناعي اكتشف خلال أسابيع آلاف الثغرات غير المعروفة سابقاً في أنظمة تشغيل ومتصفحات ومكتبات واسعة الانتشار، وكان قادراً في حالات عديدة على إنتاج استغلالات عملية جاهزة.
هذه النتائج ليست مجرد أرقام كبيرة. فقد شملت ثغرات قديمة للغاية، بعضها يعود إلى أكثر من عقدين، من بينها خلل في أنظمة تشغيل مفتوحة المصدر، وآخر في خادم شبكي مدمج داخل نواة نظام، وثالث في مكتبة وسائط متعددة تُستخدم تقريباً في كل توزيع لينكس الحديث. وفي إحدى الحالات، طلب مهندس غير متخصص في الأمن من النموذج البحث عن ثغرات تنفيذ أوامر عن بُعد خلال الليل، فاستيقظ على استغلال عامل كامل.
التحول هنا عميق: ما كان يتطلب سابقاً خبرة بشرية نادرة وزمناً طويلاً بات يمكن أتمتته بدرجة عالية. وهذا لا يعني أن الذكاء الاصطناعي أصبح أداة هجوم فقط، بل إنه أصبح أيضاً أداة مراجعة واسعة النطاق لكل الكود القديم الذي كانت المؤسسات تفترض أنه آمن لأنه قديم جداً أو تم تدقيقه سابقاً أو أصبح واسع الاستخدام لدرجة لا تسمح ببقاء ثغرات خطيرة فيه.
لكن الخطر الحقيقي في هذه الطبقة أنها لا تعمل بمعزل عن غيرها. فأنظمة الحوسبة السرية، ووحدات المعالجة الرسومية، وسلاسل التوثيق كلها تعتمد على كود على مستوى نظام التشغيل والنواة. وإذا باتت النماذج قادرة على إعادة فحص هذه الطبقات على نطاق صناعي، فإن الدفاعات المبنية على الندرة المعرفية لم تعد كافية.
نقطة الالتقاء: البيانات الصريحة عند لحظة الاستخدام
عند جمع هذه الحوادث معاً، تظهر القاعدة المشتركة بوضوح: في كل مرة كان الاختراق ممكناً، كانت البيانات متاحة بصيغة صريحة عند نقطة الاستخدام. التطبيق يقرأها بشكل مباشر، طبقة التنسيق تمررها، العتاد يفكها عند التنفيذ، ونظام التشغيل يتعامل معها كجزء طبيعي من العمل.
هذه ليست مجرد سلسلة من الأعطال المنفصلة، بل خصيصة معمارية في كثير من أنظمة الذكاء الاصطناعي الحالية. فهذه الأنظمة بُنيت لتعمل على بيانات قابلة للقراءة، لأن هذا ما يجعلها فعالة وسريعة وقابلة للتكامل مع الخدمات الأخرى. لكن النتيجة هي أن أي اختراق في أي طبقة قد يتحول فوراً إلى وصول مباشر إلى المحتوى نفسه.
لذلك فإن التحدي الأمني لم يعد يقتصر على منع الاختراق، بل على تقليل قيمة الاختراق إذا وقع. ومع تزايد النضج في مجالات مثل التشفير الكامل أثناء المعالجة والتقنيات التي تقلل الاعتماد على البيانات الصريحة، يتغير السؤال من: كيف نحمي النظام؟ إلى: كيف نمنع ظهور البيانات في صورة يمكن قراءتها أصلاً؟
ما الذي يعنيه ذلك للمؤسسات
الاستجابة التقليدية للأزمات الأمنية في الذكاء الاصطناعي تعتمد عادة على المزيد من المراقبة، تشديد المصادقة، تدوير المفاتيح، وتحسين الضوابط حول الخدمات الحساسة. وهذه خطوات ضرورية بلا شك، لكنها لا تعالج الجذر: أن البيانات نفسها تبقى مرئية في لحظة التشغيل.
المؤسسات التي تنشر أدوات الذكاء الاصطناعي داخلياً أو تربطها بسلاسل إمداد متعددة أو تعتمد على استدلال سري ينبغي أن تعيد تقييم افتراضاتها. فالمشكلة ليست فقط في سوء الإعداد أو الخطأ البشري، بل في أن التصميم الحالي يتطلب التعرض المؤقت للبيانات بشكل متكرر. وكلما زادت الطبقات والواجهات والمزودون، زادت نقاط الانكشاف المحتملة.
من هنا تبدو الحاجة متزايدة إلى بنى تقلل من وجود النص الصريح لا البنى التي تكتفي بحراسته. فالأمن في عصر الذكاء الاصطناعي لم يعد سباقاً لحماية الممرات فقط، بل محاولة لتغيير طبيعة ما يمر من خلالها.
والخلاصة أن الخطر الأكبر لم يعد في ثغرة بعينها، بل في أن أنظمة الذكاء الاصطناعي، كما هي مصممة اليوم، تكشف بياناتها عند أكثر لحظاتها فائدة. وعندما يحدث الاختراق، فإن ما يجده المهاجم ليس مجرد بنية تحتية، بل محتوى يمكن قراءته مباشرة.