وكلاء الذكاء الاصطناعي يزدادون ذكاءً وتتسع مساحة تعرضهم للهجوم

في اللحظة التي بدأ فيها وكلاء الذكاء الاصطناعي يحجزون الاجتماعات وينفذون الشفرات ويتصفحون الويب نيابةً عنك، تغير النقاش حول الأمن السيبراني. لم يحدث ذلك تدريجيًا، بل بين ليلة وضحاها.

فما كان نظامًا برمجيًا محصور النطاق ويمكن توقع سلوكه أصبح كيانًا يستدل ويخطط ويتخذ إجراءات عبر أدوات وواجهات برمجة تطبيقات لم يكن يكاد يعرف بوجودها قبل عام.

هذا تطور مثير ومخيف في الوقت نفسه، لأن مساحة التعرض للهجوم التي تصاحب هذه الاستقلالية هائلة، ومعظم المؤسسات لم تبدأ إلا مؤخرًا في فهم ما يعنيه السماح للوكلاء بدخول بنيتها التحتية.

من روبوتات المحادثة إلى جهات تنفذ الأعمال

كان الوعد الأول للذكاء الاصطناعي بسيطًا: اطرح سؤالًا تحصل على إجابة. لا يزال هذا صحيحًا في معظم التفاعلات مع المستهلكين، لكنه لم يعد يصف ما يجري في تطبيقات المؤسسات. فوكلاء اليوم يُمنحون بيانات اعتماد ومفاتيح لواجهات برمجة التطبيقات، وقدرة على حذف البيانات وإنشائها وإضافة تعليقات توضيحية إليها، إلى جانب تنفيذ إجراءات فعلية داخل أنظمة تترتب عليها عواقب حقيقية.

حدث التحول سريعًا. ففي أقل من عامين، انتقل وكلاء الذكاء الاصطناعي من توليد النصوص إلى تمكيننا من تشغيل منظومات متعددة الوكلاء بسلاسة. إنهم يقرؤون البريد الإلكتروني، ويشغّلون مسارات العمل، ويستعلمون من قواعد البيانات، ويديرون أحيانًا وكلاء آخرين تحت إشرافهم. كان هذا المستوى من الوصول يتطلب عملية شراء طويلة ومشاركة إنسان في العملية. أما الآن، فيكفي ملف إعدادات وبضعة استدعاءات لواجهات برمجة التطبيقات.

اتساع الوصول يعني اتساع التعرض للمخاطر

للهجمات التقليدية على البرمجيات نمط يمكن توقعه إلى حد ما: نقطة دخول معروفة، وثغرة معروفة، وتحديث تصحيحي معروف. لكن وكلاء الذكاء الاصطناعي يكسرون هذا النموذج، لأنهم ديناميكيون بحكم تصميمهم. فهم لا يتبعون مسارًا ثابتًا لتنفيذ الشفرة، بل يستدلون على الخطوة التالية، وهذا يجعل سلوكهم أصعب في التنبؤ، وأصعب بكثير في التدقيق بعد وقوعه.

يفيد كون السلوك غير قابل للتنبؤ في إنجاز العمل، لكنه يمنح أفضلية أيضًا لمن يسعى إلى استغلال النظام. فعندما يستطيع الوكيل أن يقرر أثناء المهمة استدعاء واجهة خارجية أو الاستعانة بأداة من طرف ثالث، لا يعود هناك حد فاصل واضح يمكن الدفاع عنه.

اعتادت فرق الأمن حماية مساحات التعرض المعروفة ومراقبة تكاليف Kubernetes. لكن الوكلاء يواصلون اكتشاف مساحات جديدة وأساليب استغلال، ولا أحد يرسم خريطتها في الوقت الفعلي. وقبل أن تنتبه، قد يستولي شخص على بيانات الاعتماد ويسيطر على «كائن» الذكاء الاصطناعي بأكمله بخطوة واحدة.

حقن التوجيهات هو حقن SQL الجديد

إذا كان هناك مسار هجوم يعود إليه الباحثون الأمنيون باستمرار، فهو حقن التوجيهات. الفكرة واضحة: بدل استغلال ثغرة في الشفرة، يتلاعب المهاجم بالتعليمات التي تصل إلى الوكيل عبر مدخلاته. ويمكن لتعليمة خبيثة مضمنة في صفحة ويب، أو في مستند، أو حتى في رسالة بريد إلكتروني، أن تغير ما يفعله الوكيل لاحقًا.

وما يجعل هذا الخطر حادًا هو أن الوكلاء غالبًا ما يفعلون بالضبط ما يُطلب منهم. فهم يعالجون محتوى الويب ورسائل المستخدمين ومخرجات أدوات الأطراف الثالثة. وكل ذلك قد يكون منفذًا لحقن التوجيهات. فالوكيل الذي يقرأ مستندًا جرى التلاعب به ثم يجري استدعاءات لواجهات برمجة التطبيقات بناءً على محتواه يكون قد اختُطف، ومن المرجح ألا يسجل شيئًا يوضح سلسلة الأسباب التي أدت إلى ذلك.

توجد دفاعات فعلية، لكنها غير مكتملة. فعزل إجراءات الوكيل في بيئة محصورة، وتقييد الأدوات التي يمكنه استدعاؤها بحسب السياق، وإدخال نقاط مراجعة بشرية في مسارات العمل ذات العواقب الجسيمة، كلها تقلل المخاطر. لكنها لا تزيلها. ومعظم المؤسسات لم تطبق حتى الأساسيات بعد.

مشكلة الثقة داخل الأنظمة متعددة الوكلاء

تضيف الأنظمة متعددة الوكلاء طبقة من التعقيد يسهل التقليل من شأنها. عندما ينسق وكيل واحد عمل عدة وكلاء، يوجد تسلسل هرمي للثقة. فالوكيل المنسق يمرر التعليمات إلى الأسفل ويتبعها الوكلاء الفرعيون. وإذا تعرض ذلك المنسق للاختراق، فإن كل وكيل تابع له يصبح مخترقًا فعليًا أيضًا، ويتسع نطاق الضرر بسرعة كبيرة.

وهناك أيضًا مشكلة الإفراط في منح الصلاحيات. فكثيرًا ما يحصل الوكلاء على وصول يفوق حاجتهم، لأن منح صلاحيات واسعة منذ البداية أسهل من ضبطها تدريجيًا. ولا يحتاج وكيل البحث إلى صلاحية الكتابة في قاعدة بيانات الإنتاج.

ولا يحتاج وكيل الجدولة إلى الوصول إلى السجلات المالية. صحيح أن ترابط كل شيء قد يمنح شعورًا بالاطمئنان، لكن المخاطرة ببساطة أكبر من أن تسمح بالحفاظ على عوائد لا تتناقص. ومع ذلك، تصبح الحدود ضبابية عمليًا، وتُهجر بصمت مبادئ الحد الأدنى من الصلاحيات، التي تبدو سليمة نظريًا، في خضم الاستعجال لإطلاق المنتجات.

كيف يبدو الأمن المعقول في هذا السياق؟

لا يوجد حل واحد يجعل نشر الوكلاء آمنًا. فالمشكلة متعددة الطبقات، وتحتاج إلى استجابة متعددة الطبقات. والمؤسسات التي تحسن التعامل معها تبدأ عادةً بضوابط الوصول: تحدد لكل وكيل نطاقًا واضحًا وضيقًا، وتضيف خطوات مراجعة إلى أي إجراء يمس أنظمة حساسة أو خدمات خارجية.

وقابلية رصد ما يجري لا تقل أهمية عن الوقاية. فإذا فعل وكيل شيئًا غير متوقع، فإن الفرق تحتاج إلى سجل تتبع كامل للتعليمات التي تلقاها، والأدوات التي استدعاها، والنتائج التي أعادها. ولم تُصمم معظم أنظمة التسجيل لهذا المستوى من التفصيل، وإضافته لاحقًا أمر شاق. لذا يستحق دمجه منذ البداية ما قد يسببه من احتكاك في العمل.

كما أن الاختبارات التي تحاكي الخصم لا تُستخدم بما يكفي. فاختبار الوكلاء بأسلوب الفريق الأحمر، ولا سيما محاولة حقن تعليمات خبيثة ومراقبة النتائج، يكشف ثغرات لن تكتشفها المراجعة الساكنة للشفرة أبدًا. قد يكون التفكير في ذلك مزعجًا، لكن من سيحاولون استغلال هذه الأنظمة يفعلونه بالفعل. وسبقهم إلى اكتشاف الثغرات هو التصرف المنطقي الوحيد.

أفكار ختامية

سيؤدي وكلاء الذكاء الاصطناعي دورًا أكبر في عمل المؤسسات، وهذا التحول قطع بالفعل شوطًا كبيرًا. وعلى النقاش الأمني أن يلحق به سريعًا. فالمخاطر حقيقية، ومسارات الهجوم جديدة، والفرصة المتاحة لاستباقها تضيق.

لم يعد فهم مشهد التهديدات للأنظمة المستقلة القائمة على الذكاء الاصطناعي أمرًا اختياريًا. إنه أحد أهم ما تستطيع فرق الأمن والهندسة العمل عليه الآن، وقد بدأ بالفعل الوقت المتاح لمعالجته على الوجه الصحيح بالنفاد.