التهديد الرئيسي المرتبط بـ AI يأتي من الداخل: كيف تحمي مؤسسة

عندما يفكر قادة الشركات بالتهديدات السيبرانية المرتبطة بالذكاء الاصطناعي، عادة ما يتخيلون خصماً خارجياً — مجموعة قراصنة مسلحة بشبكات عصبية لإنشاء رسائل احتيالية أو اختراق كلمات المرور. لكن الواقع يثبت أنه أقل إثارة للأفلام وأكثر إثارة للقلق. لا تنشأ أخطر تهديدات الذكاء الاصطناعي للأعمال خارج محيط الشبكة الداخلية للشركة، بل داخلها — في المكاتب وقاعات الاجتماعات وعلى أجهزة الحاسوب المحمولة لموظفيها.

أصبحت ظاهرة ما يسمى بـ "الذكاء الاصطناعي الظلي" واحدة من المشاكل المحددة لأمن الشركات السيبراني في 2025–2026. والجوهر بسيط: الموظفون يستخدمون بشكل واسع أدوات الذكاء الاصطناعي التوليدية — ChatGPT وClaude وGemini وCopilot وعشرات الخدمات الأقل شهرة — لتسريع عمليات العمل. يقومون بتحميل المستندات الداخلية وبيانات العملاء وشظايا الأكواد والتقارير المالية إلى هذه الأنظمة. يفعلون هذا لا من سوء نية، بل من رغبة في العمل بكفاءة أكبر. لكن كل طلب من هذا النوع يمثل تسريباً محتملاً للمعلومات السرية التي لا يستطيع قسم الأمن رؤيتها أو السيطرة عليها. وفقاً لتقديرات مختلفة، يحدث ما بين 50 و70 بالمائة من استخدام أدوات الذكاء الاصطناعي في المؤسسات الكبيرة بدون علم أقسام تكنولوجيا المعلومات.

يتفاقم المشكلة بسبب حقيقة أن الشركات ذاتها تنفذ بنشاط الذكاء الاصطناعي في العمليات التجارية دون إنشاء نظام ملائم لإدارة المخاطر. تحصل الروبوتات الحوارية للشركات على حق الوصول إلى قواعس البيانات الداخلية. يتم دمج مساعدات الذكاء الاصطناعي في أنظمة إدارة علاقات العملاء وأدوات التطوير. يتم تدريب نماذج التعلم الآلي على البيانات الملكية. كل من هذه نقاط التكامل تمثل متجه هجوم محتملاً أو تسريباً غير مقصود. في الوقت نفسه، تم تصميم وسائل الحماية التقليدية — جدران الحماية والبرامج المضادة للفيروسات وأنظمة كشف الاختراق — لمناظر تهديدات مختلفة تماماً ولا ترى هذه المخاطر الجديدة.

يحدد الخبراء عدة مجالات رئيسية للدفاع الداخلي يجب على المنظمات إنشاؤها بشكل منهجي. الأول والأساسي هو إجراء مراجعة شاملة لأدوات الذكاء الاصطناعي المستخدمة في الشركة، بما فيها الأدوات غير الرسمية. لا يمكن حماية ما لا تعرف بوجوده. الثاني هو وضع سياسات واضحة لاستخدام الذكاء الاصطناعي المقبول تحدد أي البيانات يمكن نقلها بشكل قاطع إلى خدمات الذكاء الاصطناعي الخارجية وأيها لا يمكن. الثالث هو تنفيذ تدابير تحكم تقنية: أنظمة منع فقدان البيانات من الجيل الجديد القادرة على تتبع تفاعلات الموظفين مع منصات الذكاء الاصطناعي وحلول وسيط تصفي حركة المرور الصادرة إلى خدمات الذكاء الاصطناعي.

يتعلق بلوك منفصل من التوصيات بإدارة نماذج الذكاء الاصطناعي التي تطورها الشركة أو تستخدمها داخلياً. الأمر الحاسم هنا هو التحكم في الوصول وفقاً لمبدأ الامتيازات الأدنى — يجب أن يصل نظام الذكاء الاصطناعي فقط إلى البيانات الضرورية لتنفيذ مهمة معينة، ولا شيء أكثر. تعتبر المراجعات الدورية لأي البيانات المستخدمة لتدريب وضبط النماذج ضرورية، وكذلك مراقبة سلوكها في الإنتاج بحثاً عن الحالات الشاذة — ما يسمى بقابلية ملاحظة الذكاء الاصطناعي. بنفس الأهمية الحماية من الهجمات على النماذج نفسها: حقن الفقرات والتسمم بيانات التدريب واستخراج المعلومات السرية من خلال الاستعلامات المصممة خصيصاً أصبحت تهديدات حقيقية وموثقة.

يظل العامل البشري العنصر المركزي في أي استراتيجية دفاع. يجب أن يتضمن تدريب الموظفين على العمل مع الذكاء الاصطناعي ليس فقط زيادة الإنتاجية بل أيضاً فهم المخاطر. يجب أن يعرف الناس لماذا لا يمكنهم تحميل عقد سري إلى روبوت حواري للذكاء الاصطناعي عام، حتى لو سرع ذلك من تحضير ملخص الصفقة ثلاث مرات. إن بناء ثقافة استخدام الذكاء الاصطناعي المسؤول مهمة لا تقل أهمية عن تنفيذ تدابير التحكم التقنية. الشركات التي تقتصر على الحظر بدون تفسير تخسر حتماً: الموظفون ببساطة يجدون طرقاً للالتفاف حول الضوابط.

بالنسبة للمنظمات الروسية، تتمتع هذه المسألة بأبعاد إضافية. تفرض قوانين حماية البيانات والمتطلبات التنظيمية قيوداً صارمة على نقل المعلومات عبر الحدود، وتستضيف معظم خدمات الذكاء الاصطناعي الشهيرة خوادمها بالخارج. كل موظف يرسل بيانات العميل إلى خدمة ذكاء اصطناعي أجنبية يخلق محتملاً ليس فقط خطراً سيبرانياً بل أيضاً خطراً تنظيمياً. هذا يجعل مهمة التحكم في الاستخدام الداخلي للذكاء الاصطناعي ليست مسألة أمان فحسب بل أيضاً مسألة امتثال قانوني.

يتلخص جوهر ما يحدث في مفارقة واجهتها كل منظمة متقدمة تقنياً: الذكاء الاصطناعي هو في نفس الوقت أداة لزيادة الكفاءة ومصدر مخاطر جديدة جذرية. من المستحيل منع استخدامه — سيكون ذلك معادلاً للتخلي عن الكهرباء. تجاهل المخاطر غير مسؤول. الطريق الوحيد الفعال هو الإدارة المنهجية، حيث تعمل تدابير التحكم التقنية والسياسات التنظيمية وتعليم الموظفين كآلية واحدة. الشركات التي ستؤسس هذا النظام قبل الآخرين ستحصل ليس فقط على الحماية بل أيضاً على ميزة تنافسية: القدرة على استخدام الذكاء الاصطناعي بعدوانية والبقاء آمنة.