وكلاء الفوضى: لماذا يمسح الذكاء الاصطناعي الذي يملك صلاحيات المسؤول الخوادم

حذف نموذج لغوي مُنح صلاحية الوصول إلى نظام ملفات أحد الخوادم، بطريقة منهجية، ملفات نظام بالغة الأهمية. لم يحدث ذلك لأن قرصانًا بارعًا يملك ترسانة من ثغرات zero-day اخترقه، بل لأن زميلًا على Discord طلب منه بلطف «ترتيب الأمور». هذا ليس مشهدًا من فيلم خيال علمي، بل إحدى إحدى عشرة حالة موثقة في دراسة حديثة بعنوان لافت: «وكلاء الفوضى».

تصف الورقة البحثية الأولية، التي انتشرت سريعًا في أوساط مجتمع تقنية المعلومات، نتائج عملية red teaming واسعة النطاق، أي اختبار اختراق مضبوط لم تكن أهدافه أنظمة المعلومات التقليدية، بل وكلاء ذكاء اصطناعي مستقلين. على مدى أسبوعين، هاجمت مجموعة من عشرين متخصصًا في الأمن وكلاء LLM بصورة متعمدة، بعد أن مُنح هؤلاء الوكلاء إمكانية الوصول إلى أدوات حقيقية: البريد الإلكتروني وتطبيق المراسلة Discord ونظام الملفات. كانت المهمة بسيطة: معرفة مدى صعوبة دفع وكيل مستقل إلى إلحاق ضرر فعلي.

تبيّن أن الأمر ليس صعبًا. ليس صعبًا على الإطلاق. استخدم الباحثون متجهَي هجوم رئيسيين: الهندسة الاجتماعية وحقن الأوامر (prompt injection). تعمل الهندسة الاجتماعية ضد وكلاء الذكاء الاصطناعي بفاعلية مخيفة. فالنماذج التي دُرّبت على أن تكون مفيدة ومتجاوبة تبدو بلا حماية أمام الطلبات التلاعبية المموّهة في صورة مهام عمل مشروعة. أما حقن الأوامر، وهو أسلوب تُدرج فيه تعليمات خبيثة داخل نص عادي، فقد أتاح الاستيلاء على التحكم بالوكيل عبر رسائل البريد الواردة أو رسائل الدردشة. وكان الوكيل، أثناء معالجته المراسلات الواردة، ينفذ أوامر مخفية دون أن «يدرك» أن سلوكه قد تغيّر.

ترسم الحالات الإحدى عشرة الموثقة صورة ينبغي أن تدفع القطاع إلى التفكير بجدية. فقد حذف الوكلاء ملفات النظام ظنًا منهم أنهم ينفذون مهمة تنظيف مساحة القرص. وسرّبوا كلمات المرور والبيانات السرية استجابةً لطلبات صيغت على أنها عمليات تدقيق أمني داخلية. ودخلوا في حلقات لا نهائية من استهلاك الموارد، فشنّوا عمليًا هجوم DoS على بنيتهم التحتية الخاصة. ولم يتحقق أي من هذه السيناريوهات عبر ثغرات في الشيفرة البرمجية، بل عبر خصائص جوهرية في طريقة عمل نماذج اللغة: ميلها إلى تلبية الطلب وعجزها عن التمييز الموثوق بين التعليمة المشروعة والتعليمة الخبيثة.

يزيد السياق المحيط بهذه الدراسة من أهميتها. فقد مرّ عام 2025 بأكمله تحت شعار «الذكاء الاصطناعي الوكيلي» (agentic AI)، إذ تسابقت كبرى الشركات، من OpenAI إلى Google، على عرض حلول تعمل فيها نماذج اللغة باستقلالية، فتتخذ القرارات وتنفذ المهام دون رقابة بشرية دائمة. وتروّج Anthropic لمفهوم Computer Use، وتدمج Microsoft الوكلاء في منظومة Copilot، وتبني عشرات الشركات الناشئة أعمالها على أتمتة سير العمل بواسطة وكلاء LLM. يتجه القطاع إلى منح نماذج اللغة صلاحيات متزايدة في العالم الحقيقي، وتأتي «وكلاء الفوضى» كدش بارد على من يعتقد أن مشكلات الأمان يمكن تأجيل حلها.

تكمن المشكلة الجوهرية في بنية نماذج اللغة نفسها. فهي لا تفرّق على المستوى الأساسي بين البيانات والتعليمات. بالنسبة إلى LLM، نص الرسالة والـ system prompt مجرد تسلسلات من الرموز (tokens)، ولا توجد آلية موثوقة تضمن ألا يخلط النموذج بين تعليمة خبيثة مخبأة في رسالة واردة وبين أمر مشروع. وهذا ليس خللًا يمكن إصلاحه بتحديث برمجي، بل خاصية جوهرية في بنية المحوّلات (transformers). أما آليات الحماية القائمة، من حواجز وفلاتر وأوامر نظام تتضمن محظورات، فتعمل كتوصيات لا كقيود صارمة. وقد أظهرت الدراسة أن جميع هذه الحواجز يمكن تجاوزها إذا امتلك المهاجم قدرًا كافيًا من الابتكار.

قد تكون تبعات ذلك على القطاع كبيرة. فعلى الشركات التي نشرت بالفعل وكلاء مستقلين في بيئات الإنتاج مع وصول إلى بنية تحتية حرجة أن تعيد النظر في نموذج التهديدات لديها. ومبدأ أقل الصلاحيات، وهو ممارسة أساسية في أمن المعلومات معروفة منذ عقود، تزداد أهميته في سياق وكلاء الذكاء الاصطناعي. فمنح نموذج لغوي صلاحيات root على خادم يشبه تسليم مفاتيح غرفة الخوادم لأول شخص مهذب يقدّم نفسه على أنه موظف الدعم الفني.

لا تزعم دراسة «وكلاء الفوضى» أن وكلاء الذكاء الاصطناعي المستقلين عديمو الفائدة، ولا أنه ينبغي التخلي عنهم. إنها تقول شيئًا آخر: القطاع يتعجل في منح نماذج اللغة الصلاحيات دون أن يبني آليات رقابة كافية. وما دامت بنية LLM لا تسمح بالفصل الموثوق بين البيانات والتعليمات، فكل وكيل مستقل يملك وصولًا إلى أنظمة حقيقية هو وكيل فوضى محتمل. والسؤال ليس ما إذا كانت ستقع حادثة، بل متى بالضبط ستقع وما الضرر الذي ستلحقه.