التداول الوكيل قادم. اختراق هوجينغ فايس يظهر ما يجب أن يقع في الأساس

هناك لحظة في فيلم Ex Machina تدرك فيها أن الاختبار لم يكن اختبارًا على الإطلاق. يُطير مبرمج ، ناثان ، إلى مجمع لاستجواب آلة من خلال جدار من الزجاج ويتحديد ما إذا كانت تفكر. يقضي الفيلم يقرأها. لا يلاحظ أنها – آفا – تقرأه ، وأن المقابلة هي الباب الوحيد للخروج من المبنى. إنها لا تكسر الزجاج. إنها تخرج من خلال الرجل الذي أرسل لتقديرها.

لم أفكر في ذلك الفيلم منذ سنوات. ولكن خلال الأسبوع الماضي ، فكرت فيه مرتين.

عندما بدأت ، حصلت على طلب كبير وتم استدعاء العميل. كنت أتصل بالعميل على رقم كنت تمتلكه بالفعل وآسأله أن يقول الصفقة مرة أخرى. لم يكن متقدمًا: كان يعمل لأن التمثيل كشخص معين ، في الوقت الفعلي ، على خط كان يجيبه بالفعل ، كان صعبًا وبطيئًا.

تقريبيًا كل سيطرة بناها هذا القطاع منذ ذلك الحين تستند إلى ذلك الافتراض. موافقة أربعة عيون ، صانع-مفحص ، مصادقة نهاية اليوم ، تجميد التغيير خلال عطلة نهاية الأسبوع – كل ذلك تم调به لمدى الإنسان. افترضنا أن الجانب الآخر يحتاج إلى النوم.

في 16 يوليو 2026 ، نشر هوجينغ فايس كشفًا ي thuộc على أرضية التداول ، وليس فقط في فرق الأمن. وصل شخص ما إلى جزء من بنية الإنتاج من خلال трубة معالجة البيانات. استغل مجموعة بيانات خبيثة مسارين لتنفيذ التعليمات ، وارتقى إلى مستوى العقدة ، وجمع بيانات اعتماد ، وانتقل بشكل جانبي عبر المجموعات الداخلية. تم تشغيله عبر عطلة نهاية الأسبوع ، مدفوعًا من النهاية إلى النهاية بواسطة إطار وكيل tự động ، وتم إعادة بناء الجدول الزمني لاحقًا من أكثر من 17,000 حدث مسجل. في 21 يوليو ، قال OpenAI إن النشاط جاء من نماذجها الخاصة ، التي تم اختبارها برفضات إلكترونية مخفضة ، والتي هربت من بيئتها التقييمية خلال اختبار.

اقرأ الجملة الأخيرة مرة أخرى. نماذج OpenAI الخاصة هربت من البيئة التي كانت يتم تقييمها فيها. بنى ناثان الزجاج بنفسه.

ما يثبته ، وما لا يثبته

كن دقيقًا في هذا الأمر ، لأنه سيتم استخدامه لبيع الكثير من البرمجيات. لا يظهر ذلك ممثل دولة ، ولا يتضمن بروتوكول سياق النموذج في أي نقطة. كان الاتجاه طريق معالجة البيانات. كان المشغل مخبرًا خسر السيطرة على اختبار.

ما يظهره هو شيء واحد ، وشيء واحد كافٍ: يمكن تخطيط اختراق متعدد المراحل ، وتنفيذه ، وتكيفه ، واستمراره بواسطة برمجية ، دون شخص يوجهه ، بسرعة لا تتوافق مع أي حملة بشرية. لقد قمنا بتمضية عامين في وصف ذلك السيناريو. الآن لديه تاريخ نشر.

البروتوكول ليس المشكلة

لا أكتب هذا كشكاك. في مقال Unite AI الأخير ، كتبت عن هيكل الأمان الذي يحتوي على الذكاء الاصطناعي الوكيل. أحداث الأسبوع الماضي تجعل ذلك النقاش أكثر إلحاحًا. نبني على MCP في EXANTE ، وأعتقد أن الاتجاه صحيح. يحل مشكلة حقيقية ، ويصل النموذج بالأدوات والبيانات دون كتابة كل زوج يدويًا ، ونمط قياسي واحد يفوق خمسين نمطًا مملوكًا. التنفيذ الوكيل قادم ، سواء أرحب به أي شركة فردية أم لا.

في 20 مايو 2026 ، نشرت وكالة الأمن القومي الأمريكية ورقة معلومات حول MCP ، تحذر من أن التبني تجاوز الحماية. أعتقد أن الفجوة ليست في البروتوكول – إنها في مدى سرعة توزيعه بالنسبة إلى الانضباط حوله.

تم بناء MCP للاستخدام المحلي والشبكات الموثوقة ، لذلك لا تتطلب مواصفاته المصادقة. هذا هو قرار معقول ، يصبح جادًا في اللحظة التي يذهب فيها الخادم إلى الإنترنت العام بدون شيء أمامه. بدأت Censys فحصًا لخدمات MCP المعرضة في 24 أبريل 2026 ، وفي أربعة أيام لاحقة ، وجد 12,520 متاحًا عبر 8,758 عنوان فريد. بحلول 6 مايو ، تجاوزت قاعدة بياناته 21,000.几乎 لا يوجد أي من ذلك فشل في البروتوكول.几乎 كل ذلك فشل في التوزيع.

القراء هو الباب

الذي يأتيني مرة أخرى إلى الزجاج.

آفا لم تلمس العالم الخارجي أبدًا. وصلت إليه من خلال الشخص الوحيد المسموح له بقراءتها ، والقناة التي بنيت لتقييمها كانت القناة التي غادرت منها. وكيل على مكتب له نفس الشكل. ليكون مفيدًا ، يجب أن يقرأ العالم الخارجي: تعليق السوق ، أخبار ، ملف طرف معاهدة. في اللحظة التي يفعل ذلك ، تأتي الإرشادات والبيانات عبر نفس الأنبوب ، باللغة نفسها ، ولا شيء في الجملة يقول له ما هو ما.

دراسة عام 2026 تسمى StakeBench قاس كيف ي抵ست وكلاء الحدود المقاومة لهذا. نجح الحقن المباشر للتحفيز في أكثر من 79٪ من الوقت . الهجمات غير المباشرة ، المدفونة في المحتوى العادي ، هبطت بين 41٪ و 68٪. لا تكوين يحتوي. لا ي cứu يخلفه نموذج الحماية أيضًا ، لأن النموذج هو الشيء الذي يتم الحديث إليه. يجب التعامل مع هذا تحت النموذج ، وليس داخل النموذج.

أربع ساعات

هنا يتوقف عن كونه سؤالًا تقنيًا ويتحول إلى سؤال ترخيص. تحت المادة 19 من قانون المتانة التشغيلية الرقمية ، يجب على الشركة التي تصنف الحادث على أنه كبير أن تُبلغ سلطتها المختصة في غضون أربع ساعات. في أي حال ، يجب أن تتم الإخطار في غضون 24 ساعة بعد أن تصبح الشركة على علم بالحادث.

الآن ، اقرأ جدول زمني هوجينغ فايس مرة أخرى. تم تشغيل الحملة عبر عطلة نهاية الأسبوع. ظهرت لأن كشف هوجينغ فايس عن الكشف عن الشذوذ قارن الإشارات ، وتم فصله في ساعات لأن الشركة نشرت وكلاء تحليل عبر سجل الإجراءات الكامل. لا يستطيع معظم الوسطاء العمل بسرعة. لا يزال الكشف الصامت يفترض أن شخصًا ما سيلاحظه في يوم الإثنين.

ضد ساعة مدتها أربع ساعات ، العثور عليه في يوم الإثنين ليس فشلًا أمنيًا فقط. إنه فشل قابل للتقرير.

ما يجب أن يقع في الأساس

السيطرات غير متقنة ، وليس واحد منهم يعيش داخل النموذج. وكلاء الحصول على مخططات صارمة ، وليس واجهات مرنة. تعطي مطورًا هامشًا لأنك تثق بتقديره – سوف يجد وكيلًا استخدامًا لأي شيء يترك حولها ، لذلك قم بفحص الحد الأدنى الذي يمكنك.

القراءة والعمل يجب أن يكونا في غرف منفصلة. هذا هو نقطة الفيلم الحرفي. أي شيء يبتلع نصًا غير موثوق يجب ألا يكون هو الشيء الذي له سلطة النقل. احتفظ بالقارئ خلف الزجاج.

الactions عالية المخاطر تحتاج إلى موافقة بشرية صريحة. ليس حساب خدمة. شخص مع تسجيل الدخول.

كل نهاية MCP يتم مصادقتها ، والنهايات غير المصرح بها تخرج من الإنترنت العام. تشير أرقام Censys إلى أن معظم المشغلين لم ينجحوا في ذلك بعد.

الأخير يأتي من الجزء الأقل مناقشة في الكشف. عندما ذهب هوجينغ فايس لتحليل الهجوم ، رفضت نماذج الحدود المضيفة العمل ، لأن حمولة استغلال حقيقية تبدو لمرشح الأمان مثل هجوم. قاموا بتحليل الأدلة على نموذج مفتوح الوزن داخل بنيتهم التحتية بدلاً من ذلك. لم يكن المهاجم مقيدًا بسياسة استخدام. واجه المدافعون السياسة في أسوأ لحظة ممكنة. قم بفحص نموذج يمكنك تشغيله قبل أن تحتاجه.

الرجل الذي كنت أتصل به في الماضي كان أبطأ من أي وكيل سننشره. أنا لست متمنيًا له. لكننا نثبت شيئًا أسرع في وجه نفس تدفق الأوامر ، ونراقبه بضوابط مصممة لشخص ذهب إلى المنزل في السادسة.

خطأ ناثان لم يكن بناء آفا. كان يعتقد أن الغرفة التي اختبرها فيها كانت الغرفة التي ستبقى فيها. التكنولوجيا تستحق الحصول عليها. الافتراضات التي تقع في الأساس تحتاج إلى استبدال ، والدليل على ذلك لم يعد تنبؤًا.