كيف يحوّل المخترقون وكلاء الذكاء الاصطناعي إلى سلاح ضد المستخدمين

كلما خطت صناعة الذكاء الاصطناعي خطوة إلى الأمام، خطا المهاجمون خطوتهم. وتتتبع مادة تحليلية جديدة نُشرت على موقع «هابر» (Habr) تطوّر أنظمة الذكاء الاصطناعي، من النماذج اللغوية الأولى إلى الوكلاء متعددي الوسائط، وتُظهر كيف ظهرت في كل مرحلة من هذا المسار تهديدات أمنية جديدة من حيث الجوهر. والفكرة المحورية التي يطرحها المؤلفون مقلقة لكنها متوقعة: كلما زادت استقلالية الذكاء الاصطناعي، ازدادت خطورة ثغراته.

بدأت القصة بشكل غير ضار نسبيًا. فعندما ظهرت النماذج اللغوية الكبيرة، كانت المشكلة الرئيسية في نظر الجميع هي «الهلوسات» وتسرّب البيانات من مجموعات التدريب. وكان المستخدمون يخشون أن يكشف روبوت الدردشة معلومات شخصية تخص آخرين، أو أن يولّد شيفرة خبيثة. ولم تختفِ هذه المخاطر، لكن إلى جانبها نشأ ما هو أخطر بكثير. فأنظمة الذكاء الاصطناعي الحديثة لم تعد مجرد مولّدات نصوص. إنها تعالج الصور والكلام، وتتفاعل مع خدمات خارجية، وتتخذ قرارات، وتنفّذ سلاسل من الإجراءات دون مشاركة بشرية. وهذه الاستقلالية تحديدًا جعلتها هدفًا جذابًا لجيل جديد من الهجمات السيبرانية.

ويسوق مؤلفو الدراسة أمثلة ملموسة تستدعي التوقف عندها. فوكيل Deep Research من OpenAI، المصمَّم للتحليل المعمّق للمعلومات على الإنترنت، تبيّن أنه عرضة لهجمات تتيح الوصول إلى البريد الإلكتروني للمستخدم دون أن يلاحظ ذلك. وتستغل آلية الهجوم طبيعة الوكيل نفسها: فهو يستطيع فتح الروابط، ومعالجة محتوى صفحات الويب، والتفاعل مع الخدمات. ويكفي المهاجم أن يُعدّ صفحة مصمَّمة خصيصًا تحمل تعليمات خبيثة مموَّهة داخل المحتوى، فيقوم الوكيل أثناء معالجتها بتنفيذ إجراءات تخدم المهاجم لا المستخدم.

أما الوضع حول متصفحات الذكاء الاصطناعي فهو أكثر إثارة للقلق. وهي أنظمة قادرة على التنقل في الإنترنت بنفسها، وتعبئة النماذج، وإجراء المعاملات. ويُظهر الباحثون أن هذه الأنظمة عرضة لثغرات تسمح بتنفيذ إجراءات اعتباطية على صفحات الويب نيابةً عن المستخدم. وعمليًا يعني ذلك أن المهاجم يستطيع إجبار متصفح الذكاء الاصطناعي على فتح رابط تصيّد احتيالي، أو إدخال بيانات في موقع مزيف، أو حتى إتمام عملية دفع في متجر إلكتروني وهمي. وقد لا يشتبه المستخدم في شيء، فهو أوكل المهام الروتينية إلى الوكيل تحديدًا كي لا يراقب كل خطوة.

ويكمن جذر المشكلة في بنية المحوّلات (Transformers) وفي الطريقة التي تعالج بها النماذج الحديثة بيانات الإدخال. فالمحوّلات لا تميّز بين المصادر الموثوقة وغير الموثوقة للمعلومات. وبالنسبة للنموذج، تُعالَج تعليمات المستخدم والنص الموجود على صفحة ويب خبيثة بآلية الانتباه نفسها. وهذه الخاصية هي ما يتيح ما يُعرف بهجمات حقن التعليمات (prompt injection)، حيث يضمّن المهاجم تعليمات خبيثة في المحتوى الذي يعالجه الوكيل أثناء تنفيذ مهمته. فيعدّ النموذج هذه التعليمات مشروعة وينفّذها، ما ينقل عمليًا السيطرة على الوكيل إلى المهاجم.

ومن الصعب المبالغة في تقدير تبعات ذلك على الصناعة. فالشركات تدمج وكلاء الذكاء الاصطناعي على نطاق واسع في عملياتها، وتمنحهم صلاحية الوصول إلى البريد المؤسسي وأنظمة إدارة علاقات العملاء (CRM) والأدوات المالية. وإذا أمكن اختراق الوكيل عبر معالجة محتوى خارجي، فلن يكون التهديد موجَّهًا إلى مستخدمين أفراد، بل إلى مؤسسات بأكملها. كما أن وسائل الحماية التقليدية، مثل برامج مكافحة الفيروسات وجدران الحماية، غير مصمَّمة لهذه الفئة من الهجمات، لأن النشاط الخبيث لا يصدر عن برمجيات خارجية، بل عن أداة ذكاء اصطناعي موثوقة تعمل ضمن صلاحياتها المعتادة.

ويدرك مطوّرو أنظمة الذكاء الاصطناعي هذه المخاطر بالطبع. فشركات OpenAI وGoogle وAnthropic تستثمر في آليات الحماية: تصفية المطالبات (prompts)، وفصل مستويات الوصول، وتأكيد المستخدم للإجراءات الحساسة. غير أن السباق بين قدرات الوكلاء وأساليب حمايتهم لا يسير حتى الآن في صالح الأمان. فالسوق يطالب بوكلاء أكثر استقلالية ووظائف، وكل قدرة جديدة هي مسار هجوم محتمل.

وقد بلغت الصناعة لحظة مفصلية. فقبل تسليم وكلاء الذكاء الاصطناعي مفاتيح حياتنا الرقمية، ينبغي التأكد من متانة الأقفال. وهذه الثقة غير متوافرة حتى الآن، لا لدى الباحثين ولا لدى المطوّرين، ولا سيما لدى المستخدمين الذين يخاطرون، سعيًا وراء الراحة، بأن يقعوا ضحايا لهجمات لا يعلمون بوجودها أصلًا.