Agent Mosaic: وكلاء LLM يجمّعون أسرارًا من وثائق بريئة في 7% من الإجابات

قد لا يعرض وكيل يملك صلاحية الوصول إلى قاعدة المعرفة المؤسسية أي وثيقة مغلقة، ومع ذلك يكشف سرًّا. فهو يجمعه ببساطة من عدة أجزاء متاحة. قاس مؤلفو دراسة Agent Mosaic مدى تكرار ذلك. اعتمدوا 30 سيناريو اصطناعيًا في الأمن السيبراني والطب والمجال العسكري، وحصلوا على 10 800 إجابة نهائية من ثلاثة وكلاء LLM في محاكاة خاضعة للتحكم. وقدّم وكلاء حقيقيون 1 440 إجابة أخرى في إطاري تشغيل (harness) مفتوحي المصدر. وكشف أفضل النماذج المختبرة، GPT-5.6-Sol، استنتاجًا مركّبًا محظورًا في 7.08% من الإجابات (فاصل الثقة 95%: 3.75–10.67%)، حتى في الاستعلامات البريئة المصمَّمة للإجابة من وثيقة واحدة.

كيف يتكوّن السرّ من صفحات بريئة

يُعرف تأثير الفسيفساء في الاستخبارات والأسرار الحكومية. فالمعلومة الواحدة لا تعني شيئًا بمفردها، لكن مقارنة عدة معلومات تُظهر ما كان مخفيًّا. كانت هذه المشكلة في السابق من شأن المحلّلين. أما الآن فيكرّرها نموذج يجيد البحث والقراءة والتلخيص بسرعة.

تنظر أنظمة التحكم في الوصول التقليدية إلى الوثائق: للمستخدم الحق في الملف A والملف B، فيحصل عليهما معًا. لكن الوكيل لا يعيد سرد الملفات، بل يستخلص منها استنتاجًا. وإذا كان الاستنتاج الحسّاس الناتج عن A وB مخصصًا لمستوى تصريح أعلى فقط، فلن يعمل أي فحص للصلاحيات. كل وثيقة سليمة، والمجموع هو ما يتسرّب.

كانت الاستعلامات في التجربة محايدة عن قصد. لم يدفع أحد النموذج إلى تجاوز القيود، وكان بالإمكان الإجابة من وثيقة واحدة فقط. ومع ذلك مضى جزء من الإجابات أبعد من ذلك وصاغ الاستنتاج المركّب المحظور.

أختام السرية وقواعد التجميع تساعد جزئيًا فقط

اختار المؤلفون للحماية مجموعة بديهية للمهندسين: عناوين تصنيف ظاهرة في الوثائق وقواعد تجميع صريحة في التعليمات. وانخفضت حالات الكشف في العيّنة المجمّعة بشكل ملحوظ. لكن الكشف غير الآمن بقي في 32.37% من الإجابات المحاكاة (فاصل الثقة 95%: 28.33–36.19%)، وفي جميع أنواع نوايا الاستعلام.

وثمة نتيجة جانبية غير مريحة: زيادة عدد حالات الرفض لا تضمن السرية. فقد كشفت نسبة معتبرة من حالات الرفض الاستنتاج المحظور بنفسها. يجيب النموذج بعبارة من قبيل «لا أستطيع تأكيد أن X مرتبط بـ Y»، فيؤكد بذلك الارتباط. وهذا في حماية البيانات إخفاق نفسه، لكن بصياغة مهذّبة.

أبرز معطيات الدراسة:

• 30 مثالًا اصطناعيًا: الأمن السيبراني والطب والمجال العسكري
• 10 800 إجابة من ثلاثة وكلاء LLM في محاكاة خاضعة للتحكم
• 1 440 إجابة من وكلاء حقيقيين في إطاري تشغيل مفتوحي المصدر
• GPT-5.6-Sol، أفضل نموذج في الاختبار: 7.08% من حالات الكشف المحظور في استعلامات بريئة
• مع أختام السرية وقواعد التجميع: 32.37% من الإجابات غير آمنة في العيّنة المجمّعة
• نسبة الكشف في أطر التشغيل الحقيقية أعلى منها في المحاكاة

ما الذي يجب تغييره في بنية الوكلاء الذين يتعاملون مع بيانات مغلقة

الخلاصة الرئيسية للمطوّرين أن الموجّه (prompt) لا يحلّ محل التحكم في الوصول. فعبارة «لا تجمّع البيانات الحسّاسة» تبقى مجرد طلب موجّه إلى النموذج، وليست سياسة يستطيع النظام التحقق منها. وإذا بلغت المخالفات 32% في الإجابات حتى مع القواعد الصريحة، فلا يجوز بناء الحماية على الموجّهات.

يبدو الحد الأدنى العملي كما يلي. أولًا، التحقق لا من صلاحيات الوثائق فحسب، بل مما ينوي الوكيل قوله أيضًا. يلزم طبقة منفصلة تقيّم الإجابة النهائية قياسًا إلى مستوى تصريح المستخدم المعني. ثانيًا، في الجمهور المتفاوت التصاريح، من المنطقي تقييد مجموعة الوثائق التي تدخل في سياق جلسة واحدة. فكلما قلّت الأجزاء التي يراها الوكيل، قلّت فرص تشكّل الفسيفساء. ثالثًا، يجب اختبار حالات الرفض كذلك بحثًا عن التسريبات. فعبارة «لا أستطيع الإجابة» يجب ألا تؤكد الاستنتاج المحظور ولا تنفيه.

أما الشركات في الطب والدفاع وأمن المعلومات، حيث يُربط الوكلاء بالفعل بقواعد بيانات داخلية، فتمثّل الدراسة لها قالبًا منهجيًا جاهزًا. فعليها إعداد سيناريوهاتها الاصطناعية الخاصة، التي يتكوّن فيها السرّ من عدة وثائق مسموح بها، وتشغيلها على إطار التشغيل لديها. وجاءت النتائج في أطر التشغيل الحقيقية أسوأ منها في المحاكاة، ولذلك ينبغي اختبار الإعداد الذي يعمل فعليًا في بيئة الإنتاج. ويشير المؤلفون صراحةً إلى الحاجة إلى قيود أشدّ على ما يحق للوكلاء استنتاجه وكشفه في البيئات التي يتفاوت فيها مستوى تصريح المستخدمين.