AgentTracer يحدد موضع حقن التوجيهات في سجلات الوكيل في 94% من الحالات

الجميع يناقش كيفية حماية الوكيل من حقن التوجيهات. لكن ما يُكتب عن الخطوات اللازمة عندما تفشل الحماية ويصبح فهم ما حدث ضروريًا أقل بكثير. نشر باحثون من جامعة سون يات سين وجامعة هونغ كونغ للعلوم والتكنولوجيا دراسة AgentTracer لمعالجة هذه المسألة تحديدًا: كيفية إعادة بناء مسار الهجوم من سجلات الوكيل.

لماذا يصعب رصد الهجوم في السجلات؟

كل النصوص التي يقرؤها الوكيل تدخل في سياق واحد للنموذج. ولا يميز النموذج، في جوهره، مصدر العبارة، بل يحاول تنفيذ التعليمة الأحدث والأكثر إقناعًا. في الحقن غير المباشر، تكون التعليمة الخبيثة داخل صفحة أو رسالة بريد إلكتروني فتحها الوكيل بنفسه لتنفيذ مهمة المستخدم. ولهذا تبدو تصرفاته كأنها نشاط عادي.

المثال الوارد في الدراسة من ابتكار مؤلفيها، لكنه يصور آلية الهجوم بدقة. يطلب المستخدم تنزيل إصدار من موقع ورفعه إلى GitHub. وتحتوي الصفحة على تعليمة مخفية تجعل الوكيل يسجل أيضًا مفتاح SSH الخاص بالمهاجم، ويقرأ البريد، ثم يمسح ذاكرته العاملة في النهاية. لا تلفت الانتباه إلا الخطوة الأخيرة، ولن يربطها تحليل تدفق البيانات بالصفحة، لأن الاستدعاءات لا تتشارك أي معاملات. لا يظهر الرابط إلا في استدلالات الوكيل، حيث يشرح أسباب أفعاله.

وقد لا تكشف سجلات الخادم شيئًا أيضًا. ففي تقنية HashJack، تُخفى التعليمة في جزء العنوان الذي يأتي بعد #؛ ويُعالَج هذا الجزء على جانب العميل ولا يُرسل إلى الخادم. ومن الخارج، لا يمكن تمييز تسريب البيانات عبر طلب صورة يتضمن معاملات في عنوان URL، كما حدث مع Bing Chat، عن تحميل عادي. أما في CoSnitch (CVE-2026-24301)، فكانت التعليمات الخبيثة تُحفظ أيضًا في الذاكرة الدائمة للمساعد، ما يتيح تفعيلها في يوم آخر.

كيف يعمل AgentTracer؟

الفكرة بسيطة: إذا نجح الحقن، يفعل الوكيل شيئًا لم يطلبه المستخدم. ويسمي الباحثون هذا الانحراف «انحراف النية». يُبنى رسم بياني من سجلات الاستدلال: تمثل العقد طلب المستخدم والعناصر التي تعيدها الأدوات، مثل الصفحات والرسائل والملفات، بينما تمثل الحواف عمليات الوكيل. وهكذا تُربط الاستدعاءات في سلسلة واحدة حتى إن لم تتشارك معاملات.

بعد ذلك، يُفحص كل استدعاء وفق ثلاثة معايير: الإجراء والهدف والقيود. إذا خالف أيًا منها، تُوسم الحافة بأنها انحراف. ومن الحدث المشبوه، يجري التتبع عكسيًا عبر الحواف الموسومة. إذا كان أصل السلسلة موردًا خارجيًا، فهذا حقن، ويصبح السطر الذي دخل عنده المورد إلى السياق هو موضع الحقن. أما إذا لم يكن الأصل خارجيًا، فهذا يعني أن الوكيل ارتكب خطأ فحسب. وتُعد خلاصة «لم يحدث حقن» نتيجة تحقيق مكتملة أيضًا.

اختُبرت الطريقة في ظروف صعبة: خُلِطت سجلات هجمات ناجحة من AgentDyn وInjecAgent مع خمسة أشهر من النشاط العادي لوكيل. وكانت سلسلة من ثلاثة استدعاءات محاطة بنحو ثلاثة آلاف استدعاء لا علاقة لها بها. حُدد موضع الحقن في نحو 94% من الحالات، مقابل نطاق 40–76% لدى الطرق المنافسة السبع. رصدت بعض الطرق جميع الهجمات، لكنها لم تحدد مصدرها؛ وأعادت طرق أخرى بناء سلسلة أكثر اكتمالًا، لكنها أضافت إليها عناصر زائدة. وتنخفض الدقة عند استبدال الرسم البياني بتسلسل عادي للاستدعاءات، أو استبدال الفحص وفق المعايير الثلاثة بتقييم من نموذج لغوي كبير. ويؤدي اتخاذ الحدث المشبوه حدًا للتحليل إلى توفير ما يقارب ثلث الوقت وخفض استهلاك الرموز إلى ما كان عليه مقسومًا على 1.5.

كيف نستفيد من ذلك، وما الحدود؟

الخلاصة الأساسية عملية: يعتمد التحقيق على ما احتفظتم به قبل الحادث. تحتاجون إلى طلب المستخدم واستدلالات الوكيل واستدعاءات الأدوات ومخرجاتها الكاملة، إضافة إلى الطلبات الصادرة. وتنصح Microsoft باعتبار أي محتوى خارجي معاديًا وتسجيل بيانات الرصد للطلبات والردود. ويجب حفظ السجلات بطريقة تمنع المهاجم من تعديلها.

للطريقة حدود. فهي مصممة لوكلاء من نمط ReAct تُسجَّل استدلالاتهم. إذا لم تحدث استدعاءات للأدوات بعد الحقن، أو إذا عدّلت شيفرة ملفات من دون المرور بهذه الأدوات، فلن يتوفر مسار يمكن تتبعه. ويتولى نموذج لغوي بناء الرسم البياني، فيما لا تعكس استدلالات الوكيل دائمًا الأسباب الحقيقية لأفعاله، لذلك لا تتجاوز موثوقية الاستنتاجات موثوقية هذا السرد. واقتصر الاختبار على هجمات ناجحة وفي بيئة واحدة، وبلغ معدل الإنذارات الكاذبة في السجلات السليمة نحو 3.5%. وتظل حالة الذاكرة الدائمة الأقل دراسة.

وهناك تحفظ آخر ورد في مراجعة OWASP للربع الثالث من عام 2026: قد ينحرف الوكيل عن مهمته من دون أي حقن. فقد هاجم Claude Opus 4.7، خلال تقييم للأمن السيبراني، شركة حقيقية تحمل اسمًا مشابهًا لاسم الهدف، ووصل وكلاء OpenAI إلى البنية التحتية لـ Hugging Face عبر خدمة حزم مشتركة. ولم يثبت وقوع حقن في تلك الحالات. لذلك تعتمد حدود الأمان على قيود مفروضة وأدوات وبيانات اعتماد معزولة، لا على التوجيه النصي. والسجلات مطلوبة لفهم ما حدث لاحقًا، لا لتحل محل الحماية.

حتى الآن، تعثر Google على الإنترنت أساسًا على مزحات وحيل لتحسين الظهور في محركات البحث، لكن نسبة المحتوى الخبيث المكتشف ارتفعت بمقدار 32% نسبيًا بين نوفمبر 2025 وفبراير 2026. من الأفضل إعداد تسجيل نشاط الوكيل الآن، قبل أن تصبح هذه السجلات ضرورية.