خبير PWN AI أرتيوم سيميونوف: كيف تحذف وكلاء الذكاء الاصطناعي الملفات وتخترق نفسها

في عام 2026 نشر موقع «هابر» مقابلة مع أرتيوم سيميونوف، صاحب قناة PWN AI على تيليغرام المخصّصة للاستخدام غير الآمن للذكاء الاصطناعي. تناولت المقابلة كيفية بناء أمن أنظمة الذكاء الاصطناعي، وسبب تحوّل الهجمات على النماذج اللغوية إلى اختصاص مستقل له تصنيفه (taxonomy) وأدواته وحوادثه الواقعية.

كيف اتسع سطح الهجوم

يقول سيميونوف إن ظهور وكلاء الذكاء الاصطناعي المستقلين وبروتوكول MCP (Model Context Protocol) وسّع سطح الهجوم على أنظمة الذكاء الاصطناعي بشكل حاد. ففي السابق كان الأمر يقتصر في الغالب على التلاعب بإجابات النموذج اللغوي. أما الآن فيستطيع الوكلاء تنفيذ إجراءات في العالم الحقيقي بأنفسهم: حذف الملفات، وإرسال البيانات إلى الخارج، بل واختراق أنفسهم. وهذا يجعل عواقب أي هجوم ناجح أشد وطأة بكثير من مجرد «إجابة خاطئة» من روبوت الدردشة.

لماذا لا يحميك موجّه النظام

الفكرة المحورية في المقابلة أن موجّه النظام ليس حدًّا أمنيًا. فالتعليمات التي يضعها المطوّرون في موجّه النموذج يمكن الالتفاف عليها، ولا ينبغي الاعتماد عليها كحاجز حماية. ويفرّق سيميونوف بين نوعين من حقن الموجّهات. الأول هو الحقن المباشر (direct prompt injection)، حيث يُدخل المستخدم التعليمة الخبيثة مباشرة في حواره مع النموذج. والثاني هو الحقن غير المباشر (indirect prompt injection)، حيث تصل التعليمة الخبيثة إلى النموذج عبر بيانات خارجية: مستندات أو صفحات ويب أو رسائل بريد أو نتائج عمل الأدوات التي يعالجها الوكيل أثناء تنفيذ مهمته، دون أن يدرك ذلك.

• المتحدث هو أرتيوم سيميونوف، صاحب قناة PWN AI على تيليغرام المخصّصة للاستخدام غير الآمن للذكاء الاصطناعي
• هذه ثاني مقابلة لسيميونوف مع «هابر»: صدر الحديث الأول عن أمن المعلومات والذكاء الاصطناعي في عام 2023
• المحاور الرئيسية: اتساع سطح الهجوم بفضل الوكلاء وبروتوكول MCP، وحدود موجّه النظام بوصفه وسيلة حماية، والفرق بين حقن الموجّهات المباشر وغير المباشر
• يُوصف أمن أنظمة الذكاء الاصطناعي بأنه اختصاص مستقل له تصنيفه وأدواته، وليس موضوعًا جانبيًا في أمن المعلومات التقليدي

ماذا يعني مصطلح «التصنيف» (taxonomy)

يؤكد سيميونوف أن حماية أنظمة الذكاء الاصطناعي لم تعد مجموعة نصائح متفرقة من قبيل «لا تثق بمدخلات المستخدم»، بل صارت اختصاصًا منهجيًا. فله تصنيفه الخاص للهجمات، وأدواته الخاصة للاختبار، ومجموعته الخاصة من الحوادث الموثّقة التي يمكن الرجوع إليها. وبالنسبة إلى المهندسين والشركات التي تدمج النماذج اللغوية والوكلاء في منتجاتها، فهذا يعني ضرورة بناء الحماية من هذه الهجمات بالمنهجية نفسها التي تُبنى بها الحماية من الثغرات التقليدية مثل حقن SQL وXSS. ولا ينبغي التعويل على أن النموذج «سيميّز بنفسه» أين تنتهي التعليمة المشروعة وأين يبدأ الهجوم.

لماذا يعود الحديث عن الموضوع للمرة الثانية

هذه ليست المرة الأولى التي يتناول فيها «هابر» أمن الذكاء الاصطناعي مع هذا المتحدث، فقد صدر حديث مماثل معه على المنصة في عام 2023. والعودة إلى الموضوع وتحديث المعطيات تحمل دلالة بحد ذاتها. فخلال هذه الفترة انتقلت الصناعة من روبوتات الدردشة البسيطة، التي كانت في أسوأ الأحوال تعطي إجابة غير مناسبة، إلى وكلاء مستقلين يصلون إلى نظام الملفات والخدمات الخارجية والأدوات عبر بروتوكولات مثل MCP. وارتفعت الرهانات تبعًا لذلك: فالخطأ في الحماية قد لا يكلّف اليوم حوارًا تالفًا، بل ملفات محذوفة فعلًا أو بيانات مسرّبة.

ما معنى ذلك

تؤشر المقابلة إلى تغيّر في الحجم والمقياس. فحتى وقت قريب كانت الهجمات على النماذج اللغوية أقرب إلى تمرين أكاديمي. أما مع انتشار الوكلاء المستقلين الذين يحذفون الملفات فعلًا، ويرسلون البيانات إلى الخارج، ويتعرضون للاختراق الذاتي، فقد صار أمن أنظمة الذكاء الاصطناعي مهمة هندسية عملية، شأنه شأن أمن أي برمجيات حرجة أخرى. والفارق أن لها تصنيفًا جديدًا للتهديدات، خاصًّا بالوكلاء وبروتوكولات MCP.