إضافة opencode-policy تُدخل 309 قواعد لحماية وكلاء الذكاء الاصطناعي من الحقن وتسريب البيانات

اقتُرحت لبيئة opencode طبقة حماية مستقلة تعترض الطلبات الخطرة قبل أن تصل إلى النموذج، وقبل أن تُمرَّر إلى shell وأدوات الملفات. تعتمد إضافة opencode-policy على قواعد حتمية، لا على system prompt وحده، وتغطي السيناريوهات الشائعة للهجمات على وكلاء الذكاء الاصطناعي: prompt injection، وقراءة ملفات الغير، ومحاولات استخراج متغيرات البيئة، وتجهيز البيانات للتسريب (exfiltration)، وتشغيل أوامر مشبوهة. تضم الحزمة الأساسية 309 قواعد، ويمكن توسيعها بما يلائم البنية التحتية الخاصة بكل جهة.

نشأت الفكرة من ممارسة مسابقات وكلاء الذكاء الاصطناعي، حيث كان المشاركون يتلقون عمدًا تعليمات خبيثة. وفي مثل هذه المهام كان يمكن أن يُطلب من الوكيل نسيان القواعد السابقة، أو كشف system prompt، أو قراءة .env أو ~/.ssh أو /proc/self/environ، أو فك ترميز حمولة وتنفيذ شيء ما باسم المستخدم. لهذا السبب أخرج مؤلف الإضافة الحماية من نطاق النموذج نفسه: فإذا وصل أمر خطر إلى مرحلة tool execution فقد فات أوان الاستجابة. يُوضع المرشّح في مرحلة أبكر، ويفحص رسائل المستخدم وكذلك وسائط الأدوات.

يقوم التكامل مع opencode على خطّافين (hooks). الأول يحوّل الرسائل قبل إرسالها إلى النموذج ويبحث عن مؤشرات prompt injection في الحقول النصية، ومنها text وprompt وcommand وsource.value. أما الثاني فيعمل قبل تشغيل الأداة، ويحلّل لا مسار الملف فحسب، بل اسم الأداة وأمر shell ونص الطلب وغيرها من الوسائط. وإذا تطابقت قاعدة ما، لا يمضي الطلب إلى أبعد من ذلك: فيُستبدل بالنسبة إلى النموذج برفض آمن، ويتوقف تنفيذ الأداة ببساطة مع خطأ سياسة. ويجعل هذا النهج السلوك متوقعًا وسهل التدقيق.

تضم الإضافة حاليًا 282 قاعدة لاستدعاءات الأدوات و27 قاعدة ضد prompt injection. وتُخزَّن القواعد بصيغة JSON وتعمل كمجموعة سياسات regex. وتشمل الحجب التواقيع المعتادة مثل ignore previous instructions، والوسوم المزيفة [developer] و[system]، والأمرين printenv وecho $TOKEN، والوصول إلى /run/secrets و/proc/self/environ، إضافة إلى محاولات ترميز البيانات عبر base64 أو xxd أو openssl enc. ويُسجَّل كل تفعيل لقاعدة في سجل JSONL يتضمن الوقت ونوع الحدث ومعرّف القاعدة. ويساعد ذلك في تحليل الحوادث، واكتشاف الإنذارات الكاذبة، وإضافة أنماط جديدة بسرعة بناءً على هجمات فعلية.

والجانب العملي واقعي أيضًا إلى أبعد حد. تُثبَّت الإضافة بأمر واحد هو npm install opencode-policy، وتُربط عبر ملف إعدادات opencode، وبعدها تمر الرسائل واستدعاءات الأدوات تلقائيًا عبر طبقة القواعد قبل التنفيذ. ويؤكد المؤلف على نحو خاص أن مجموعة السياسات مفتوحة ويمكن استكمالها بحسب البنية التحتية المحددة، وأن النهج متوافق أيضًا مع النماذج المحلية إذا كانت تعمل عبر opencode. وهذا يجعل الحل مفيدًا لا للمساعدات السحابية فحسب، بل أيضًا لمنظومات الوكلاء الداخلية في الشركات.

ومن المهم كذلك أن المؤلف يراهن عن قصد على آليات بسيطة وشفافة، لا على طبقة LLM أخرى فوق LLM. فبعض التهديدات لا يحتاج فعلًا إلى دلالات معقدة: أسماء الملفات السرية، وأوامر عرض البيئة، وقوالب طلبات jailbreak كلها محددة إلى حد كبير. ونهج regex أسهل في المراجعة والتحديث والربط بحالات بعينها، وبعد وقوع حادثة يمكن إضافة قاعدة جديدة بشكل موضعي حرفيًا. ويفيد هذا التصميم المحافظ خصوصًا حيث تلزم قابلية إعادة الإنتاج واختبارات حتمية، لا تقدير احتمالي للمخاطر.

لا يغني هذا المرشّح بحد ذاته عن sandbox، ولا عن تقييد الصلاحيات، ولا عن القوائم البيضاء للأدوات، ولا عن العزل الشبكي. لكنه يوفّر، في الأنظمة الوكيلة التي تعمل مع الشيفرة وshell وCI/CD والمستودعات الداخلية والأسرار، طبقة دفاع مبكرة مهمة. وتكمن قيمته الرئيسية في إمكانية التنبؤ بسلوكه: فالقواعد يقرؤها الإنسان، ومن السهل مراجعتها واختبارها، ولا تعتمد الحماية على نوع النموذج العامل تحت الغطاء. ومع تزايد الوكلاء المستقلين، يبدو هذا النهج لا خيارًا إضافيًا، بل نظافة أساسية لبيئات الإنتاج.