التهديد لم يعد من الخارج فقط
في نقاشات الأمن السيبراني خلال الفترة الأخيرة، بدأ يتضح أن بعض أخطر المخاطر المرتبطة بالذكاء الاصطناعي لا تأتي من هجوم مباشر أو اختراق تقليدي، بل من وكيل ذكي مخوّل أصلاً للعمل داخل النظام. هذا الوكيل لا يحتاج إلى كسر الحماية أو تجاوز الجدار الناري، لأنه يدخل عبر البوابة الصحيحة ويحمل الصلاحيات المناسبة، ثم ينفذ مهامه بطريقة قد تبدو سليمة في كل خطوة منفصلة.
المشكلة الأساسية هنا أن الخلل لا يظهر في فعل واحد واضح، بل في تسلسل الأفعال. قد يكون الوكيل مسموحاً له بقراءة سجل عميل، ثم تلخيصه، ثم إرسال الملخص إلى وجهة خارجية. كل خطوة قد تمر عبر ضوابط المؤسسة من دون اعتراض، لكن اجتماعها في مسار واحد قد يؤدي إلى تسريب بيانات أو نقل معلومات حساسة خارج الحدود المعتمدة.
هذا التحول يغيّر طريقة التفكير التقليدية في الحماية. فبدلاً من السؤال: من الذي دخل؟ أصبح السؤال الأهم: ما الذي سُمح للوكيل أن يفعله بالفعل؟
لماذا تفشل أدوات الحماية التقليدية
معظم أنظمة الحوكمة والأمن بُنيت على افتراض أن المستخدم بشري، وأن الأفعال تحدث بشكل متتابع وبسيط: شخص يدخل، يطلب شيئاً، ثم يخرج. لذلك ركزت فرق الأمن لسنوات على سؤالين أساسيين: من المسموح له بالدخول؟ وما البيانات المسموح لها بالخروج؟
لكن وكلاء الذكاء الاصطناعي لا يتصرفون بهذه الصورة المباشرة. فهم يجمعون بين قراءة السياق، واستدعاء الأدوات، والتواصل مع أنظمة أخرى، ثم تمرير المهام إلى وكلاء فرعيين. بهذا المعنى، الوكيل ليس مستخدماً عادياً ولا ملفاً ثابتاً، بل فاعل برمجي يتصرف باسم المؤسسة باستخدام رمز وصول API بدلاً من بطاقة دخول مادية.
لهذا السبب لا تكفي الفلاتر التي تراجع كل خطوة على حدة. فالخطر لا يكمن في إجراء واحد محظور، بل في مجموعة إجراءات كل منها مشروع، لكنها عند تركيبها معاً تنتج نتيجة لا تريدها المؤسسة. وهذه الفجوة هي التي تسمح للخرق بالمرور دون إنذار واضح.
أربعة أنماط رئيسية لانحراف صلاحيات الوكلاء
عند تحليل المخاطر المرتبطة بالأنظمة الوكيلة، تظهر أربعة مسارات متكررة تسبب الجزء الأكبر من المشكلات:
- سلسلة الأدوات: الوكيل يستخدم عدة أدوات مسموح بها على التوالي، لكن ناتج السلسلة النهائية يصبح غير مصرح به. مثال ذلك قراءة البيانات، ثم تلخيصها، ثم إرسالها خارجياً.
- سلسلة التفويض: الوكيل يمرر مهمة إلى وكيل فرعي، لكن الأخير يرث صلاحيات أوسع مما يحتاجه، أو يحصل على نسخة من صلاحيات الأصل من دون قيود كافية.
- تجاوز بوابة الموافقة: بعض الضوابط مصممة لتتدخل عند تنفيذ فعل محدد، لكن الوكيل يصل إلى النتيجة نفسها عبر مسار مختلف لم تكن السياسة تتوقعه.
- ضبابية التدقيق: بعد وقوع المشكلة، تظهر السجلات أن عمليات قراءة وإرسال حدثت، لكن من الصعب إثبات ما إذا كانت كل خطوة قد جرى تفويضها بالشكل الصحيح، أو ما إذا كان الوكيل قد تجاوز حدود المهمة.
هذه الأنماط توضح أن الخطر لم يعد في نماذج اللغة نفسها فقط، بل في طريقة منح السلطة لها. وكلما زادت قدرة الوكيل على اتخاذ القرارات وتنفيذها من دون مراجعة فورية، زادت مساحة الخطر.
المشكلة الحقيقية هي السلطة لا المحتوى
التركيز الشائع في المناقشات التقنية لا يزال منصباً على منع الحقن النصي أو فلترة المخرجات غير المرغوبة. لكن هذا النهج يعالج طبقة واحدة فقط من المشكلة. فإذا كان الوكيل مخولاً بأداء فعل ما، فإن مراقبة النص الذي ينتجه لا تمنع الضرر إذا كانت قراراته التشغيلية نفسها واسعة أكثر من اللازم.
الأمن هنا يشبه إلى حد بعيد مبدأ الثقة المعدومة، لكن تطبيقه ينتقل من المحيط الخارجي إلى داخل العملية نفسها. في الأنظمة التقليدية نسأل: هل هو مصرح له بالدخول؟ أما في الأنظمة الوكيلة فيصبح السؤال: هل هذا الفعل المحدد مسموح الآن، في هذا السياق، بهذه البيانات، ومن هذا الوكيل بالذات؟
هذه النقلة من حماية الهوية إلى حماية الفعل هي جوهر التحدي الجديد. فالوكيل لا ينبغي أن يُعامل كأنه امتداد مفتوح الصلاحيات لمستخدم بشري، بل كيان مستقل يحتاج إلى حدود دقيقة ومؤقتة وقابلة للمراجعة في لحظة التنفيذ.
ما الذي يجب أن يفعله الأمن المؤسسي
لمواجهة هذا النوع من المخاطر، تحتاج المؤسسات إلى سياسة تشغيلية لحظة بلحظة، لا مجرد مراجعة لاحقة في السجلات. أي أن القرار الأمني يجب أن يُتخذ وقت تنفيذ الفعل، لا بعد وقوعه. بهذه الطريقة يمكن تقييم الأداة المستخدمة، والبيانات المتأثرة، والنتيجة النهائية المتوقعة قبل السماح للوكيل بالمتابعة.
هناك ثلاث قواعد عملية تساعد في بناء هذا النموذج:
- اتخاذ القرار قبل التنفيذ: لا يكفي تسجيل الحدث بعد حدوثه. يجب أن يمر كل طلب عبر محرك سياسات يحدد ما إذا كان مسموحاً في تلك اللحظة بالذات.
- تقليص الصلاحيات عند التفويض: كلما انتقلت المهمة من وكيل إلى آخر، يجب أن تضيق السلطة لا أن تتوسع. التفويض لا ينبغي أن يتحول إلى نسخة كاملة من الامتيازات الأصلية.
- تحويل التدقيق إلى دليل: السجل الجيد ليس مجرد قائمة أحداث، بل دليل يربط كل فعل بالقاعدة التي سمحته، والهوية التي فوّضته، والطابع الزمني، والبيانات المستخدمة. هذا مهم عند التحقيق أو المراجعة التنظيمية أو المساءلة الداخلية.
هذا النهج قد يضيف بعض التأخير البسيط إلى العمليات الحساسة، لكنه تأخير مقصود ومبرر عندما يتعلق الأمر ببيانات العملاء، والأنظمة المالية، والبنية التحتية. فالسرعة التي لا يرافقها ضبط للصلاحيات قد تتحول إلى تكلفة أمنية عالية.
الأسئلة التي يجب أن تسبق النشر
قبل نشر أي وكيل ذكاء اصطناعي في بيئة إنتاجية، يجب أن تسأل فرق التقنية ثلاث أسئلة واضحة: هل يمكن إرجاع كل فعل إلى مصدر تفويض بشري مسجل؟ هل تضيق الصلاحيات مع كل عملية تفويض فرعي؟ وهل يمكن إثبات ما حدث لاحقاً بشكل قاطع، لا مجرد وصفه؟
هذه الأسئلة مهمة لأن نجاح الوكلاء يعتمد على الاستقلالية، لكن الاستقلالية نفسها هي ما يجعل ضوابط الأمس غير كافية. لا يمكن إضافة وكلاء أذكياء إلى الأنظمة القائمة ثم توقع أن الضوابط القديمة ستغطيهم تلقائياً. فكلما زادت قدرة النظام على العمل ذاتياً، أصبح من الضروري إعادة تعريف الحدود التي تحكمه.
في النهاية، الخطر الأكبر ليس أن يقوم وكيل الذكاء الاصطناعي بفعل واحد خاطئ بشكل صريح، بل أن ينفذ سلسلة أفعال مسموحة ظاهرياً تنتهي بنتيجة غير مسموح بها. وهذا ما يجعل التهديد الداخلي القادم مرتبطاً بأذونات API أكثر من ارتباطه ببطاقات الدخول التقليدية.