التهديد الأكبر للذكاء الاصطناعي ينبع من الداخل: كيف تحمي مؤسستك

عندما يفكر مديرو الشركات في التهديدات السيبرانية المرتبطة بالذكاء الاصطناعي، يرسم الخيال عادةً خصمًا خارجيًا: مجموعة قرصنة مسلّحة بالشبكات العصبية لتوليد رسائل التصيد الاحتيالي أو اختراق كلمات المرور. لكن الواقع أقل إثارة سينمائية بكثير، وأكثر إثارة للقلق. فأخطر تهديدات الذكاء الاصطناعي للأعمال لا تولد خارج محيط الشبكة المؤسسية، بل داخله، في المكاتب وقاعات الاجتماعات وعلى أجهزة الموظفين المحمولة.

أصبحت ظاهرة ما يُسمى «الذكاء الاصطناعي الخفي» (Shadow AI) إحدى أبرز مشكلات الأمن السيبراني المؤسسي في الفترة 2025–2026. والفكرة بسيطة: يستخدم الموظفون على نطاق واسع أدوات الذكاء الاصطناعي التوليدي، مثل ChatGPT وClaude وGemini وCopilot وعشرات الخدمات الأقل شهرة، لتسريع سير العمل. فيرفعون إلى هذه الأنظمة وثائق داخلية وبيانات عملاء ومقاطع من الشيفرة البرمجية وتقارير مالية. وهم لا يفعلون ذلك بسوء نية، بل رغبةً في العمل بكفاءة أكبر. لكن كل طلب من هذا النوع يمثل تسريبًا محتملًا لمعلومات سرية لا يراها فريق الأمن ولا يتحكم بها. وتشير تقديرات متفاوتة إلى أن ما بين 50 و70 في المئة من استخدام أدوات الذكاء الاصطناعي في المؤسسات الكبرى يجري دون علم أقسام تقنية المعلومات.

وتتفاقم المشكلة لأن الشركات نفسها تُدخل الذكاء الاصطناعي بنشاط في عملياتها التجارية، دون أن تبني دائمًا نظامًا كافيًا لإدارة المخاطر. فروبوتات الدردشة المؤسسية تحصل على صلاحية الوصول إلى قواعد البيانات الداخلية. ويجري دمج مساعدات الذكاء الاصطناعي في أنظمة إدارة علاقات العملاء (CRM) وأدوات التطوير. وتُدرَّب نماذج التعلم الآلي على بيانات مملوكة للشركة. وكل نقطة من نقاط التكامل هذه قد تكون ناقل هجوم أو مصدر تسرب غير مقصود. وفي الوقت نفسه، صُممت وسائل الحماية التقليدية، من جدران الحماية ومضادات الفيروسات وأنظمة كشف التسلل، لمشهد تهديدات مختلف تمامًا، ولذلك لا ترى هذه المخاطر الجديدة ببساطة.

يحدد الخبراء عدة محاور رئيسية للحماية الداخلية ينبغي للمؤسسات بناؤها بصورة منهجية. أولها، وهو الأساس، تدقيق شامل لأدوات الذكاء الاصطناعي المستخدمة في الشركة، بما فيها غير الرسمية. فلا يمكن حماية ما لا تعلم بوجوده. وثانيها وضع سياسات واضحة للاستخدام المقبول للذكاء الاصطناعي، تحدد البيانات التي يجوز تمريرها إلى خدمات الذكاء الاصطناعي الخارجية وتلك التي يُحظر تمريرها قطعيًا. وثالثها تطبيق وسائل رقابة تقنية: أنظمة منع فقدان البيانات (DLP) من الجيل الجديد القادرة على تتبع تفاعل الموظفين مع منصات الذكاء الاصطناعي، وحلول الوكيل (proxy) التي تصفّي حركة البيانات الصادرة إلى خدمات الذكاء الاصطناعي.

ويتناول محور مستقل من التوصيات إدارة نماذج الذكاء الاصطناعي التي تطورها الشركة أو تستخدمها داخليًا. ويكتسب هنا التحكم في الوصول وفق مبدأ الحد الأدنى من الصلاحيات أهمية بالغة: ينبغي أن يقتصر وصول نظام الذكاء الاصطناعي على البيانات اللازمة لأداء مهمة محددة، ولا شيء سواها. ويلزم كذلك تدقيق دوري للبيانات المستخدمة في تدريب النماذج وإعادة تدريبها، إضافة إلى مراقبة سلوكها في بيئة الإنتاج بحثًا عن الحالات الشاذة، وهو ما يُعرف بـ«قابلية مراقبة الذكاء الاصطناعي» (AI observability). ولا تقل أهمية الحماية من الهجمات على النماذج ذاتها: فحقن الأوامر (prompt injection)، وتسميم بيانات التدريب، واستخراج المعلومات السرية عبر استعلامات مصممة خصيصًا، صارت تهديدات حقيقية وموثقة.

ويظل العامل البشري عنصرًا محوريًا في أي استراتيجية حماية. يجب ألا يقتصر تدريب الموظفين على العمل مع الذكاء الاصطناعي على رفع الإنتاجية، بل أن يشمل فهم المخاطر أيضًا. فعلى الناس أن يعرفوا لماذا لا يجوز رفع عقد سري إلى روبوت دردشة عام يعمل بالذكاء الاصطناعي، حتى لو سرّع ذلك إعداد ملخص الصفقة ثلاث مرات. وتشكيل ثقافة الاستخدام المسؤول للذكاء الاصطناعي مهمة لا تقل أهمية عن تطبيق وسائل الرقابة التقنية. أما الشركات التي تكتفي بالحظر دون تفسير فتخسر حتمًا، إذ يجد الموظفون ببساطة طرقًا للالتفاف عليه.

وللمؤسسات الروسية بُعد إضافي في هذه المسألة. فقانون البيانات الشخصية ومتطلبات الجهات التنظيمية تفرض قيودًا صارمة على نقل المعلومات عبر الحدود، في حين تستضيف معظم خدمات الذكاء الاصطناعي الشائعة خوادمها في الخارج. وكل موظف يرسل بيانات العملاء إلى خدمة ذكاء اصطناعي أجنبية قد يخلق خطرًا سيبرانيًا وخطرًا تنظيميًا في آن واحد. وهذا يجعل مراقبة الاستخدام الداخلي للذكاء الاصطناعي مسألة امتثال قانوني، لا مسألة أمنية فحسب.

ويتلخص جوهر ما يجري في مفارقة تواجهها كل مؤسسة ناضجة تقنيًا: فالذكاء الاصطناعي أداة لرفع الكفاءة ومصدر لمخاطر جديدة جذريًا في آن واحد. ولا يمكن حظر استخدامه، فذلك يعادل التخلي عن الكهرباء. وتجاهل المخاطر تصرف غير مسؤول. والطريق العملي الوحيد هو الإدارة المنهجية، بحيث تعمل وسائل الرقابة التقنية والسياسات التنظيمية وتثقيف الموظفين كآلية واحدة متكاملة. والشركات التي تبني هذا النظام قبل غيرها لن تحصل على الحماية فحسب، بل على ميزة تنافسية أيضًا: إمكانية استخدام الذكاء الاصطناعي بجرأة وبأمان في الوقت نفسه.