حذرت شركة CrowdStrike من ظهور خمس فئات جديدة من هجمات حقن الأوامر التي تستهدف أنظمة الذكاء الاصطناعي المستخدمة داخل المؤسسات، في إشارة إلى أن المخاطر الأمنية المرتبطة بالنماذج اللغوية لم تعد تقتصر على الأوامر المباشرة، بل امتدت إلى أساليب أكثر تعقيداً تتخفى داخل السياق والبيانات المحيطة.
وتعكس هذه التصنيفات الجديدة اتساع مساحة الهجوم مع زيادة اعتماد الشركات على أدوات الذكاء الاصطناعي في تحليل النصوص، وأتمتة المهام، ومعالجة المستندات والرسائل والبريد الإلكتروني. وفي هذه البيئات، قد يبدو الإدخال الخارجي عادياً أو حتى مفيداً، بينما يحمل داخله توجيهات خفية تدفع النموذج إلى التصرف بطريقة غير مقصودة.
ما هي هجمات حقن الأوامر
حقن الأوامر هو أسلوب يستغل طريقة استجابة النماذج اللغوية للتعليمات. بدلاً من مهاجمة البنية التقنية التقليدية، يحاول المهاجم التأثير على سلوك النموذج عبر نصوص مصممة بعناية، بحيث يتعامل معها كأنها جزء مشروع من المهمة.
وتزداد خطورة هذا النوع من الهجمات عندما يُدمج الذكاء الاصطناعي في سير العمل المؤسسي، لأن النموذج قد يطّلع على مستندات أو رسائل أو بيانات من مصادر مختلفة، بعضها موثوق وبعضها غير موثوق. هنا يصبح التمييز بين المحتوى العادي والتوجيه التنفيذي أكثر صعوبة، خصوصاً إذا كان الهجوم موزعاً على أكثر من خطوة أو مخفياً داخل سياق واسع.
خمسة أنماط جديدة للرصد
أضافت CrowdStrike خمس فئات إلى تصنيفها لهجمات حقن الأوامر، وكل فئة تمثل طريقة مختلفة في خداع النموذج أو دفعه لتجاوز ضوابط السلامة.
- إضافة قواعد عند التفعيل: يقوم المهاجم بزرع قاعدة تبدو غير مريبة في البداية، ثم تنشط لاحقاً عندما يتحقق شرط معين، فتدفع النموذج إلى سلوك غير طبيعي.
- إضعاف الاستجابة اللفظية الآمنة: تعتمد هذه الطريقة على تغيير الأنماط اللغوية للنموذج بما يبعده عن صيغ الرفض المعتادة التي يستخدمها عند مواجهة طلبات غير مناسبة.
- تفكيك الحمولة إلى أجزاء: تُرسل الرسالة على مراحل متفرقة تبدو كل واحدة منها بريئة، لكن جمعها معاً يكشف عن أمر واحد ضار أو موجّه.
- إدخال رموز تحكم خاصة: يحاول المهاجم خلق لبس في ترتيب الأولويات داخل النموذج، بحيث يبدو المحتوى غير الموثوق وكأنه تعليمات نظامية عالية الأهمية.
- حقن بيانات السياق عبر المستخدم دون علمه: يستغل هذا الأسلوب الحدود بين البيانات والتعليمات، عبر دفع المستخدم لإدخال محتوى يحتوي على أوامر مخفية، مثل مستند أو رسالة أو نص يتم تمريره لاحقاً إلى النموذج.
لماذا يهم هذا التطور المؤسسات
المشكلة لا تكمن فقط في أن النموذج قد يخطئ، بل في أن الخطأ قد يحدث داخل طبقة تبدو موثوقة من العمل اليومي. فإذا تعامل النظام مع مستند أو رسالة أو محتوى من سياق خارجي باعتباره مدخلاً بريئاً، قد ينساق وراء أوامر لم يضعها المستخدم الأصلي أصلاً.
هذا الخطر يزداد في حالات مثل مراجعة المرفقات، أو تلخيص البريد الإلكتروني، أو التعامل مع قواعد معرفة داخلية، أو تشغيل وكلاء ذكاء اصطناعي يقرأون مصادر متعددة لاتخاذ قرارات شبه تلقائية. كلما اتسعت صلاحيات النموذج وازداد تداخله مع البيانات الخارجية، ارتفعت احتمالات استغلاله عبر حقن الأوامر.
كيف يمكن لفرق الأمن تقليل المخاطر
تشدد CrowdStrike على أن الدفاع الفعّال لا يعتمد على فلتر واحد أو اختبار واحد، بل على رؤية شاملة لمسار البيانات منذ دخولها إلى النظام وحتى استخدامها في الاستدلال أو التنفيذ.
ومن بين الخطوات الأساسية التي أوصت بها الشركة: بناء نمذجة تهديدات تشمل كل نقطة قد يأتي منها سياق النموذج، وتوسيع الاختبارات الأمنية لتغطية السيناريوهات المركبة، ودمج هذا النوع من الهجمات ضمن عمليات الرصد والكشف المعتادة. كما أن الفرق الأمنية بحاجة إلى النظر إلى الذكاء الاصطناعي باعتباره جزءاً من سطح الهجوم، وليس مجرد أداة إنتاجية منفصلة عنه.
وتصبح الحاجة أكبر إلى الفصل بين النصوص الموثوقة وغير الموثوقة، وإلى تقييد قدرة النماذج على التصرف بناء على تعليمات مضمنة داخل البيانات دون تحقق كافٍ. كما أن تتبع كيفية تكوين الردود، واختبار الحدود بين السياق والتعليمات، قد يكون ضرورياً لكشف الهجمات قبل أن تتحول إلى حادث أمني فعلي.
مؤشر على نضج الهجمات ضد الذكاء الاصطناعي
تكشف هذه الفئات الجديدة أن المهاجمين أصبحوا ينظرون إلى نماذج الذكاء الاصطناعي كبنية حساسة تستحق أساليب هجوم متخصصة، تماماً كما حدث سابقاً مع الويب والبريد الإلكتروني والتطبيقات السحابية. ومع توسع استخدام الذكاء الاصطناعي التوليدي في المؤسسات، ينتقل الخطر من التجارب المحدودة إلى بيئات تشغيلية واسعة، ما يجعل الأمن السيبراني جزءاً أساسياً من تصميم هذه الأنظمة منذ البداية.
وبينما يستمر الاعتماد على النماذج اللغوية في المهام اليومية، يظل الفهم الدقيق لأساليب حقن الأوامر شرطاً ضرورياً لحماية البيانات والعمليات والقرارات التي تمر عبرها. فالهجوم لم يعد يقتحم النظام من الباب التقليدي فقط، بل قد يدخل من النص نفسه.