أربعة فشلات. أربعة طبقات. البنية نفسها هي النقطة الضعيفة.

في حلقة مؤخرة من 10 أبريل 2026 من بودكاست Hard Fork من صحيفة نيويورك تايمز، تم فحص الآثار الأمنية لأنظمة الذكاء الاصطناعي المتقدمة وطرح سؤالindustry قد تجنبت: ماذا لو لم يكن الأمن السيبراني قاصرًا، ولكن معيبًا بشكل أساسي؟

بثت الحلقة بعد أسابيع من سلسلة من الحوادث التي جعلت الإجابة صعبة الإغفال. في شهر واحد، اخترق وكيل آلي مستقل منصة McKinsey الداخلية للذكاء الاصطناعي في غضون ساعتين. هاجمت سلسلة التوريد لمكتبة مفتوحة المصدر شائعة على الشركات في مجرى النهر. أظهر الباحثون أن الأجهزة المعدة لتكون الخط الدفاعي الأخير يمكن كسرها باستخدام قطع غيار من الشارع بتكلفة أقل من ألف دولار. وكشفت Anthropic عن أن نموذجًا متقدمًا وجد آلافًا من الثغرات الأمنية غير المعروفة في الشفرة التي اعتبرها المجال مستقرة.

أربعة حوادث. أربعة طبقات من مكدس الذكاء الاصطناعي: التطبيق، وتنسيق الأعمال، والأجهزة، ونظام التشغيل. كل منها كشف عن قيود مهمة في الضوابط المصممة لحمايتها.

نهاية التفكير الحدودي

يستند الأمن السيبراني التقليدي على فرضية واحدة: مع đủ الضوابط والرصد والاستثمار، يمكن تأمين الأنظمة. هذا الفرض شكّل عقودًا من الهندسة المعمارية، بما في ذلك جدران الحماية، وإدارة الهوية، وأمان النقاط النهائية، ومنصات SIEM، جميعها بنيت على فكرة أن الرؤية والإدارة المتقنة تعنيان السلامة.

انعكست تحول الصناعة نحو هندسة الثقة الصفرية في الاعتراف المتزايد بأنه لا يمكن افتراض أن الحدود الشبكية التقليدية موثوقة. ومع ذلك، فإن النماذج الثقة تتطور، فإن أنظمة الذكاء الاصطناعي تطرح تحديًا مختلفًا: البيانات الحساسة تتم تجميعها وتجهيزها ومشاركتها بانتظام عبر طبقات متعددة من البنية التحتية.

كان هذا النهج منطقيًا عندما كانت الأنظمة مركزية نسبيًا والبيانات تظل داخل حدود واضحة. يصبح أقل فعالية عندما تتحرك البيانات بشكل مستمر عبر السحاب، وواجهات برمجة التطبيقات، والموردين من الطرف الثالث، وأنابيب الذكاء الاصطناعي، بينما يتم توزيع المستخدمين وموارد الحوسبة على نطاق عالمي. الحدود لم تعد حدودًا. إنها سطح متحرك باستمرار، ونحن لا تزال نطبق التفكير القائم على التحكم لأنظمة لا يمكن حمايتها بشكل واقعي.

فشل طبقة التطبيق: Lilli من McKinsey

في 9 مارس 2026، نشرت شركة أمان الحواسيب كودوال إفصاحًا كشف عن المخاطر التي تواجه المنظمات التي تنشر الذكاء الاصطناعي داخليًا.

وصل وكيل الهجوم التلقائي التابع لشركة كودوال، بدون أوراق اعتماد، أو معرفة داخلية، أو إرشادات بشرية، إلى الوصول القراءة والكتابة إلى قاعدة البيانات الإنتاجية وراء Lilli، منصة McKinsey الداخلية للذكاء الاصطناعي، في أقل من ساعتين. يتم استخدام Lilli من قبل أكثر من 40,000 موظف لعملهم الاستراتيجي، وأبحاث العملاء، وتحليل الوثائق، مما يولد مئات الآلاف من الدفعات شهريًا.

لم يكن نقطة الدخول متقدمة. وجد الوكيل وثائق واجهة برمجة التطبيقات المفتوحة للجمهور التي تُظهر أكثر من 200 نهاية، 22 منها لا تتطلب مصادقة.涉ّعت الثغرات المخاطر التي أبرزتها OWASP Top 10 for LLM Applications، لا سيما حول الواجهات المفتوحة، والتكاملات غير الآمنة، والثقة المفرطة في الأنظمة المتصلة.

احتوى أحد تلك النهايات على ثغرة حقن SQL مخفية في أسماء الحقول JSON بدلاً من قيم الإدخال، حيث تبحث معظم الماسحات الآلية. من هناك، قام الوكيل بالتكرار من خلال حقن SQL盲 حتى أصبحت البيانات الإنتاجية قابلة للوصول.

ما وصوله إليه: عشرات الملايين من رسائل الدردشة في النص العادي، ومئات الآلاف من الملفات، وعشرات الآلاف من حسابات المستخدمين، وملايين قطع وثائق RAG تمثل سنوات من البحث الاصطناعي. كما حدد الإرشادات التي تحكم سلوك Lilli لكل مستخدم.

كانت أكثر الاكتشافات إثارة للقلق ليس الحجم. بل كان ذلك أن الإرشادات القابلة للكتابة. يمكن لمهاجم أن يغير بصدق الإرشادات التي تحكم مخرجات Lilli، أو يسمم المشورة الاستراتيجية، أو يدمج بيانات سرية في الاستجابات، أو يزيل الحواجز تمامًا، مع تحديث قاعدة بيانات واحد. لا توجد تثبيت. لا تغيير في الشفرة. لا أثر في سجلات التطبيق.

في بيان عام، قالت McKinsey إنها عالجت القضية في غضون ساعات، وبعد تحقيق من قبل شركة تقنيات أمنية طرف ثالث، لم تجد أي أدلة على وصول بيانات سرية للعملاء. هذا الرد مهم. لكنه لا يغير الدرس الهيكلي: كشف فئة قديمة من الثغرات عن الذاكرة التشغيلية لنظام اصطناعي حديث لأن البيانات وراءه كانت موجودة في شكل مقروء.

فشل طبقة تنسيق الأعمال: هجوم LiteLLM

بعد ثلاثة أسابيع، ظهر نفس النمط من زاوية مختلفة، ومن خلال طبقة مختلفة.

LiteLLM هو بوابة مفتوحة المصدر للذكاء الاصطناعي تستخدمها آلاف الشركات لتحويل الطلبات عبر موفرين للذكاء الاصطناعي. موقعها في المكدس حاسم: تقع في طبقة تنسيق الأعمال، وتحمل مفاتيح واجهة برمجة التطبيقات لكل موفر ترتبط به. أي اختراق في هذه الطبقة ي暴ّح بيانات اعتماد عبر كل خدمة متكاملة.

وفقًا لتقرير حالة PyPI، استغل مجموعة المخترقين TeamPCP بيانات اعتماد مرتبطة باعتمد في خط أنابيب CI/CD لLiteLLM، واستخدمت وصول المطورين لنشر إصدارين معيبين من حزمة LiteLLM مباشرة إلى PyPI. كانت الإصدارات الملوثة حية لمدة أقل من ساعة قبل إزالتها. تم اكتشاف العملية فقط لأن البرمجية الخبيثة تحتوي على خطأ يؤدي إلى崩逸 جهاز باحث.

كانت سلسلة التوريد هو المتجه. كانت طبقة تنسيق الأعمال هي الهدف. من خلال اختراق اعتماد واحد في مجرى النهر، وصل المهاجمون إلى الطبقة التي تعيش فيها مفاتيح موفر كل شركة في مجرى النهر.

أوضحت فريق LiteLLM الحادث والجهود التخفيفية في إفصاح GitHub العام.

أصبح نطاق الانفجار مرئيًا تقريبًا على الفور. TechCrunch، Fortune، وThe Register ذكروا أن Mercor، شركة توظيف ذكاء اصطناعي تبلغ قيمتها 10 مليارات دولار تعمل مع شركات بما في ذلك OpenAI، وAnthropic، وMeta، وGoogle، كانت من بين الشركات المتضررة. زعم المهاجمون الحصول على كميات كبيرة من البيانات، بما في ذلك ملفات مرشحين، ومعلومات تعريف شخصية، ومقابلات فيديو لمقاولين، ورمز المصدر، ومفاتيح واجهة برمجة التطبيقات. أوقفت Meta العمل مع Mercor في انتظار التحقيق. تشير التقارير اللاحقة إلى أن أنماط البرمجيات الخبيثة المماثلة تظهر في أدوات ومكتبات مطورين أخرى، مما يشير إلى أن العملية قد امتدت إلى ما وراء مشروع واحد.

لم يكن حادث LiteLLM شذوذًا. كان النظام يتصرف كما تم تصميمه. كل مكون في أنابيب الذكاء الاصطناعي يتطلب الوصول إلى بيانات قابلة للاستخدام للعمل، مما يعني أن كل مكون هو أيضًا نقطة استخراج محتملة. تثبيت الاعتماد وتدوير بيانات الاعتماد هي استجابات ضرورية، لكنها تتعامل مع الحادث، وليس مع الهندسة المعمارية.

فشل طبقة الأجهزة: TEE.fail

إذا أظهرت اختراق McKinsey أن طبقة التطبيق لا يمكن الثقة بها، وأظهر هجوم LiteLLM أن سلسلة التوريد لا يمكن الثقة بها، فإن بحث TEE.fail أظهر أن الأجهزة المعدة لتكون التعويض عن كليهما لا يمكن الثقة بها تمامًا.

في 28 أكتوبر 2025، نشر باحثون من Georgia Tech، وPurdue University، وSynkhronix TEE.fail، وهو هجوم جانبي يسترجع مفاتيح التشفير من بيئات التنفيذ الموثوقة باستخدام التبديل الفعلي للذاكرة الفيزيائية على خوادم DDR5. يؤثر الهجوم على Intel SGX، وIntel TDX، وAMD SEV-SNP، بما في ذلك على أنظمة كاملة مع وضع AMD’s Ciphertext Hiding enabled. هذه هي التقنيات التي يتم الترويج لها على نطاق واسع كأساس لل حوسبة سرية.

استرجع الباحثون مفاتيح التحقق: المواد التشفيرية المستخدمة للتحقق من أن الحمولات تعمل داخل بيئات آمنة. مع تلك المفاتيح، يمكن لنظام مُخترق أن يظهر نفسه على أنه موثوق بينما يعمل خارج الحماية المتوقعة. أظهر الباحثون ذلك مباشرة: họ استنسخ شهادات TDX على BuilderNet من Ethereum للوصول إلى بيانات المعاملات السرية، وزوروا شهادات Intel وNVIDIA للتشغيل الحمولات خارج أي TEE بينما يبدو شرعيًا.

الاستفادة من NVIDIA مهمة بشكل خاص للذكاء الاصطناعي. لأن شهادة GPU تعتمد على شهادة CPU، يمكن ل سلسلة ثقة CPU المُخترقة تقويض الضمانات المقدمة من بيئات الاستدلال السرية للذكاء الاصطناعي. أساس الأجهزة لأمان الاستدلال السري للذكاء الاصطناعي، في هذا نموذج التهديد، مشروط على سلسلة ثقة CPU تم كسرها بالفعل.

استجابت بائعي الأجهزة بمشورة رسمية. ذكرت AMD أن هجمات الوصول الفيزيائي تقع خارج نموذج التهديد القياسي وأشارت إلى أنها لن تصدر تحديثات للأجهزة. أقر Intel وNVIDIA بالاكتشافات وأشارا إلى عمل تخفيف مستمر. هذه الاستجابات معقولة داخل نماذج التهديد الخاصة بهم. كما أنها تسلط الضوء على حدود مهمة: تعتمد ضمانات الأمان القائم على الأجهزة على افتراضات، بما في ذلك التحكم الفيزيائي، التي لا يمكن أن يتحققها النشرات السيادية والمنظمة والمتعرضة للمخاطر دائمًا.

TEE.fail لا يجعّل عزل الأجهزة غير ذي صلة. إنه يبرز أنه مشروط.

فشل طبقة نظام التشغيل: كشف Mythos

إذا كانت الحوادث الثلاث الأولى تطرح تساؤلات حول طبقة التطبيق، وطبقة تنسيق الأعمال، وطبقة الأجهزة، فإن الإفصاح الرابع في أبريل 2026 طرح تساؤلات حول الطبقة أسفل كل ذلك: أنظمة التشغيل والمكتبات الأساسية التي تعمل عليها كل الطبقات الأخرى.

في 7 أبريل 2026، أعلنت Anthropic عن مشروع Glasswing، وهو اتحاد مع AWS، وApple، وBroadcom، وCisco، وCrowdStrike، وGoogle، وJPMorgan Chase، وLinux Foundation، وMicrosoft، وNVIDIA، وPalo Alto Networks. ذكرت Anthropic أن نموذجها المتقدم وجد آلافًا من الثغرات الأمنية غير المعروفة في أنظمة التشغيل والمتعゞمات الشبكية الرئيسية، وقادر على إنتاج شفرة تشغيلية للعديد منهم.

الاكتشافات المحددة أكثر صعوبة للتجاهل مما يُظهر أي ملخص. ثغرة قديمة في العمر 27 عامًا في OpenBSD. ثغرة تنفيذ عن بُعد عمرها 17 عامًا في خادم NFS من FreeBSD، الآن تمت سردها باسم CVE-2026-4747، والتي تمنح الوصول الجذري لمهاجم غير مصادق. ثغرة عمرها 16 عامًا في FFmpeg، واحدة من المكتبات الإعلامية الأكثر انتشارًا على الإنترنت. في حالة واحدة، سأل مهندس Anthropic بدون تدريب أمني رسمي النموذج للبحث عن ثغرات تنفيذ عن بُعد، واستيقظ على شفرة تشغيلية كاملة.

هذه هي اكتشافات على مستوى نظام التشغيل. OpenBSD وFreeBSD هي نوى. NFS هو نظام شبكة نووي. FFmpeg هي مكتبة نظام تُشحن مع معظم توزيعات Linux وتدعم خطوط إعلامية عبر الإنترنت. كان من المفترض أن تكون الطبقة آمنة لا لأنها قد تم إثبات أنها آمنة، ولكن لأن العثور على ثغرات عميقة فيها يتطلب خبرة بشرية نادرة وغالية.

هذا الافتراض كان أفضل تقدير متاح. لم يكن ضمانًا. هذا القيد قد انحسر الآن. إطلاق Anthropic نفسه كان تحولًا ثنائي الاستخدام: نفس القدرات التي تسمح بنموذج متقدم بالعثور على الثغرات وإصلاحها بمقياس كبير، تسمح أيضًا، في الأيدي الخاطئة، بالعثور عليها واستغلالها بمقياس كبير. قرار Anthropic تقييد الوصول من خلال مشروع Glasswing يعكس هذه الواقعية. لا يُحله.

سوف تنتشر قدرات مماثلة، حسب تقدير الشركة نفسها. انهار تكلفة فحص الشفرة القديمة، ومعها الدفاع الضمني الذي تقول إن مثل هذا الشفرة كان غامضًا أو قديمًا أو تمت مراجعته على نطاق واسع لدرجة أن لا يزال يحتوي على ثغرات حرجة.

هنا حيث تتراكم الحوادث الأربع. حادثة McKinsey استغلت فئة ثغرة حقن SQL التي تمت موجودة لما يزيد على عقدين. الثغرات من هذا العمر هي بالضبط ما يثبت أن النماذج من فئة Mythos قادرة على العثور عليها بمقياس صناعي.

النمط

في كل حالة، كانت البيانات في النص العادي في اللحظة التي كانت مهمة فيها.

تمت معالجتها في طبقة التطبيق بوضوح. تم توجيهها في طبقة تنسيق الأعمال بوضوح. تمت معالجتها في طبقة الأجهزة، على الرغم من حمايتها، في النهاية تتطلب فك التشفير في نقطة التنفيذ. تمت معالجتها في طبقة نظام التشغيل أسفل كل الطبقات الثلاث بوضوح حسب التعريف. أربع طبقات، أربع فشلات، وفي كل طبقة كانت الشروط نفسها: عندما حدث الاختراق، كانت البيانات قابلة للقراءة.

هذه ليست مجموعة من الفشلات المعزولة. إنها البنية نفسها.

تم تصميم أنظمة الذكاء الاصطناعي الحديثة للعمل على بيانات قابلة للقراءة. كل طبقة، بما في ذلك الاسترجاع، والتحويل، والاستدلال، وتنفيذ الأداة، تتطلب الوصول إلى النص العادي للعمل. هذا الاختيار التصميمي يعني أن أي اختراق في أي طبقة يُ暴ّح البيانات وراءها.

الfrage ليست ما إذا كانت الطبقة ستُخترق. إنها ما يجد المهاجم عندما يحدث ذلك.

من اختراق مفترض إلى تعرض صفر

لقد بدأت الصناعة بالفعل في التحول من “منع الاختراق” إلى “افتراض الاختراق”. لكن معظم الهندسات المعمارية لم تتبع بعد على آثار ذلك.

إذا كان الاختراق حتميًا، فإن السؤال الحقيقي ليس كيف نمنع المهاجمين من الدخول. إنه ما يحدث عندما يدخلون. الآن، الجواب بسيط: يحصلون على البيانات. لأن尽管 الاستثمار في البنية التحتية للأمان، لا تزال البيانات مكشوفة في اللحظة التي تصبح قيمة، عندما يتم استخدامها.

كان رد فعل الصناعة متوقعًا: مزيد من الرصد، والكشف السريع، وطبقات إضافية من الحوسبة السرية. هذه هي التحسينات. لكنها لا تحل المشكلة الأساسية. لا تزال تفترض أن هناك طبقة – سواء كانت برمجية أو أجهزة أو تشغيلية – يمكن الثقة بها للحفاظ على النص العادي آمنًا.

البديل هو إزالة النص العادي تمامًا. لا لحماية الطبقات حول البيانات، ولكن لجعل البيانات نفسها غير قابلة للوصول لأي شخص يصل إليها. الحوسبة على بيانات مشفرة، حيث تظل الإرشادات، وأوزان النموذج، والإخراج مشفرة على طول الأنابيب، تُعالج التعرض الذي استغلته كل هذه الحوادث.

تبدأ التطورات في التشفير الكامل الشبكي و تقنيات الحوسبة الحافظة للخصوصية في جعل الهندسات التي تقلل أو تلغي تعرض النص العادي أكثر واقعية للعمليات الحقيقية للذكاء الاصطناعي. بينما لا تزال هناك تحديات كبيرة في الأداء، وال قابلية للتوسع، والتنفيذ، فإن الهدف هو أساسًا مختلف عن الضوابط الأمنية التقليدية: خفض قيمة الاختراق الناجح بدلاً من جعل الاختراق أقل احتمالاً.

الSHIFT ليس من أداة أمنية إلى أخرى. إنه من حماية الأنظمة إلى تقليل التعرض. من البنية التحتية الموثوقة إلى بيانات الثقة الصفرية. من إدارة المخاطر إلى تقليل سطح الهجوم نفسه.

ماذا يأتي بعد ذلك

أثارت مناقشة Hard Fork سؤالًا عن ما إذا كان الأمن السيبراني معيبًا بشكل أساسي. يشير الدليل من الأسابيع القليلة الماضية إلى أن الجواب هو نعم، على الأقل بالنسبة للذكاء الاصطناعي.

افترض النموذج القديم أن الأنظمة يمكن تأمينها، ويمكن احتواء الاختراقات، ويمكن إدارة التعرض. الواقع المتطور هو أن الاختراقات يجب افتراضها، والتعرض يُقلل. تشير الحوادث الموصوفة هنا إلى أن تأمين أنظمة الذكاء الاصطناعي قد يعتمد بشكل متزايد على تقليل كمية البيانات الحساسة المتاحة عند فشل الضوابط.

الثغرات التي تم الكشف عنها عبر هذه الحوادث الأربع ليست مقصورة على طبقة واحدة. إنها شاملة. من شأن معالجتها أن يتطلب أكثر من التحسينات التكاملية. سوف يتطلب تحولًا من حماية الأنظمة إلى تقليل التعرض، من الدفاع حول البيانات التي بنيت الحدود حولها إلى إزالة النص العادي الذي بنيت الحدود لحمايته.

أمن الذكاء الاصطناعي لم يعد حول منع المهاجمين من الدخول. إنه حول ضمان أن عندما يدخلون، وسيدخلون، لا يجدون أي شيء يمكن قراءته.