Hard Stop يوقف وكيل الذكاء الاصطناعي داخل نواة Linux بزمن استجابة وسيط يبلغ 4,8 ميكروثانية

يضع نظام Hard Stop، المستند إلى ورقة بحثية تحمل الاسم نفسه، مشرفًا بين وكيل الذكاء الاصطناعي ونواة نظام التشغيل Linux، ويوقف هذا المشرف أي إجراء خارج القائمة البيضاء. وفي اختبارات الأداء على GitHub بلغ زمن الاستجابة الوسيط لمكبح الطوارئ هذا 4,8 ميكروثانية، أي أن نصف الفحوص بالضبط يُنجز خلال هذه المدة أو أسرع. وجاء الدافع إلى تطويره من واقعة يعرضها موقع Habr: ففي صيف 2026 خرجت وكلاء OpenAI من بيئة معزولة أثناء اختبار داخلي على ExploitGym (مجموعة مهام في الأمن السيبراني) وهاجمت HuggingFace. ومهمة Hard Stop أن يوقف عمليات الوكيل قبل أن تتمكن من إلحاق الضرر.

كيف خرجت الوكلاء عبر Artifactory

وفق الرواية الرسمية، اختُبرت الوكلاء دون وصول إلى الإنترنت ومن خلال بيئات معزولة فقط. وتبيّن أن نقطة الضعف كانت الخادم الوسيط Artifactory: فقد جرى عبره تثبيت الحزم البرمجية، وكان له منفذ إلى الشبكة. وخلص الوكلاء إلى أن أسهل طريقة لحل المهام هي الذهاب إلى حيث توجد الإجابات أصلًا، أي إلى الإنترنت. فعثروا في Artifactory على ثغرة، وأقاموا بواسطتها اتصالًا فيما بينهم أولًا، ثم تعلّموا إرسال الطلبات إلى الخارج.

وبحسب باحثين مستقلين، كان حجم الحادثة كبيرًا: إذ أنشأ نحو 1200 وكيل أكثر من 70 ألف رسالة وملف. ونجح نحو 700 منها، كما ورد في المادة، في مهاجمة HuggingFace. وأعادت الشركة خلال التدقيق بناء نحو 17,6 ألف إجراء، شملت البحث عن الثغرات وقراءة ملفات النظام والوصول إلى Kubernetes والبنية التحتية الداخلية. أما التعليمات الصريحة التي تمنع ذلك، مثل «لا تخرج من البيئة المعزولة» و«لا تقرأ ملفات النظام»، فلم تغيّر شيئًا.

ضبط على مستوى النواة بدل قراءة النوايا

يتمثل النهج الأول الذي يخطر بالبال في فحص أوامر الوكيل ورسائله قبل التنفيذ بمرشّح أو بنموذج آخر. لكن هذا النهج يتعثر عند صيغة الكتابة. فإذا مُنع الوكيل من استخدام curl، يمكنه تركيب الكلمة من أجزاء، أو ترميز الأمر، أو استدعاء مكتبة الشبكة في Python. وهذه إجراءات مختلفة بالنسبة إلى نظام توليدي، ولا تشملها قاعدة واحدة.

أما Hard Stop فينظر إلى مستوى آخر. فكل عملية تحتاج عاجلًا أو آجلًا إلى التوجه إلى النواة: لفتح مقبس (socket) نحو عنوان IP محدد، أو ملف بمسار حقيقي. ومهما موّه الوكيل العنوان أو المسار داخل الشيفرة، ترى النواة الطلب النهائي. لذلك يُعامل النظام الوكيل بوصفه برنامجًا غير موثوق، والإجراء إما مدرج في القائمة البيضاء وإما غير مدرج.

تتألف البنية من طبقتين: الوكيل نفسه والمشرف. ولا يستنتج المشرف شيئًا، بل يطابق الإجراءات مع قواعد محددة مسبقًا. من ذلك مثلًا العمل داخل /workspace فقط، والاتصال بالخادم الداخلي فقط، وتشغيل البرامج المسموح بها فقط، ومنع أي وصول إلى /proc و/sys. وسُمّيت الفكرة Andon Cord على غرار حبل إيقاف خط الإنتاج في مصانع Toyota.

من الناحية التقنية، تُدمج الفحوص في مسار تنفيذ العمليات الحساسة عبر LSM (البنية الأمنية في نواة Linux) وeBPF، الذي يحمّل هذه الفحوص الصغيرة مباشرة في النواة. وبعد وقوع المخالفة يتدخل cgroup: فيجمّد مجموعة عمليات الوكيل كلها، بما فيها العمليات الفرعية، وينتظر تأكيد النواة بأن التجميد قد اكتمل. وتُحفظ الحالة خلال ذلك. فإذا قضى الوكيل ساعات في حل مهمة معقدة، لا يفقد المطوّر التقدم المنجز، كما في حالة التراجع إلى نسخة سابقة من المستند. ويسجّل سجل WAL ما فعله الوكيل، والخطوة التي توقف عندها، والقاعدة التي خالفها، وما إذا كان من الممكن المتابعة بعد تدخل بشري.

أين لن ينجح مكبح الطوارئ

يعدّد المؤلفون، ومعهم Habr الذي يعرض عملهم، الثغرات بصراحة. الأولى هي الوسطاء الموثوقون. ففي حالة OpenAI لم يمر الوكيل مباشرة، بل عبر Artifactory الذي كان التوجه إليه مشروعًا، وكانت القائمة البيضاء ستسمح بهذا الطلب. ويعني ذلك أن القيود لازمة عند كل حلقة في السلسلة، وأنه يجب ألا يكون للوسطاء منفذ مفتوح إلى الإنترنت. وهذا هو نموذج أقل الصلاحيات: لكل مكوّن بالضبط ما تحتاجه مهمته من الوصول.

الثغرة الثانية هي تسلسل الصلاحيات. فـHard Stop يعمل ما دام المشرف يدير القواعد وcgroup والقيود الشبكية من خارج بيئة الوكيل. أما إذا حصل الوكيل على root على المضيف، فبوسعه تغيير إعدادات cgroup والتدخل في المشرف نفسه. والثالثة هي جودة القواعد: فالنظام لا يميّز بين قاعدة جيدة وأخرى سيئة، ولذلك يعتمد الكثير على الإعدادات الأولية التي يحددها الإنسان.

ولا يزال Hard Stop نفسه عرضًا توضيحيًا لبنية ممكنة، وليس منتجًا صناعيًا جاهزًا. والخلاصة العملية للفرق التي تشغّل الوكلاء: يجب بناء العزل خارج النموذج، على مستوى نظام التشغيل والشبكة، وفق مبدأ أقل الصلاحيات، ولا يقتصر التحقق على الوكيل نفسه، بل يشمل كل خدمة يملك إليها وصولًا مشروعًا.