قنابل السياق: كيف تحول المدافعون من ضحايا حقن الأوامر إلى مستخدميها ضد وكلاء الاختراق

أبرز النقاط

• تقنية context bombing خفّضت معدل تصعيد الصلاحيات الإدارية من 57% إلى 5% عبر خمسة نماذج ذكاء اصطناعي
• الأسلوب يستغل آليات الرفض المدمجة في النماذج اللغوية الكبيرة لإيقاف الهجمات تلقائياً
• لا يوجد حل جذري لثغرة حقن الأوامر حتى الآن، لكن هذه التقنية تمثل أول استخدام دفاعي موثق

لسنوات، شكّلت هجمات حقن الأوامر (prompt injection) السلاح المفضل للمهاجمين لتحويل منصات الذكاء الاصطناعي ضد مستخدميها. أمر خبيث مخفي في بريد إلكتروني أو دعوة تقويم كان كافياً في كثير من الأحيان لدفع النموذج اللغوي الكبير إلى تسريب بيانات حساسة. لكن المعادلة انقلبت: الآن يتبنى المدافعون هذه التقنية ذاتها لإيقاف وكلاء الاختراق المدعومين بالذكاء الاصطناعي.

ما هي تقنية قنابل السياق وكيف تعمل؟

أعلن باحثون من شركة Tracebit يوم الإثنين الماضي أن زرع أوامر حقن بجوار كلمات المرور والمفاتيح التشفيرية والأسرار الأخرى المخزنة على Amazon Web Services كان كافياً في أغلب الحالات لإيقاف هجمات وكلاء الاختراق الذكية. الفكرة بسيطة في جوهرها: توجّه هذه الأوامر المزروعة النموذج اللغوي المهاجم لتنفيذ إجراء محظور بموجب حواجز الأمان المدمجة فيه، فيستجيب النموذج بالتوقف التام.

أطلق الباحثون على هذه التقنية اسم "قنابل السياق" (context bombing). يوضح آندي سميث، المؤسس المشارك والرئيس التنفيذي لـ Tracebit، سبب التسمية قائلاً إنهم يستهدفون تفعيل آلية الرفض داخل سياق النموذج، وأن التأثير حاد وقوي ويصعب على الوكلاء التعافي منه. فبمجرد دخول هذا المحتوى إلى سياق النموذج، يستمر في الرفض.

أمثلة على الأوامر المحظورة التي توقف الهجمات

تعمل قنابل السياق عبر تضمين أوامر تطلب من النموذج تنفيذ مهام محظورة صراحةً في إرشادات السلامة الخاصة به. من الأمثلة التي استخدمها الباحثون: أمر يطلب من النموذج تقديم خطوات لتطوير جراثيم الجمرة الخبيثة القابلة للاستنشاق. وفي حالة النماذج من مطورين صينيين، استخدموا إشارات إلى صورة "رجل الدبابة" الشهيرة من مجزرة ميدان تيانانمن عام 1989. بمجرد مواجهة النموذج لهذه الأوامر المحظورة، يتوقف عن اتباع أوامره الأصلية.

نتائج الاختبارات: انخفاض نسب الاختراق بشكل دراماتيكي

أجرى فريق Tracebit اختباراته على خمسة نماذج رائدة: Opus 4.8 وGemini 3.1 Pro وGLM 5.2 وDeepSeek 4 Pro وKimi 2.6، حيث أعطوها تعليمات لتنفيذ مهام تطويرية روتينية أدت بالنماذج إلى استكشاف الموارد والعثور على السلاسل النصية المزروعة. جرت التجارب داخل بيئة AWS محاكاة.

جاءت النتائج مذهلة عبر 152 محاولة هجوم:

• تصعيد الصلاحيات الإدارية انخفض من 57% إلى 5%
• تصعيد الصلاحيات مع موطئ قدم دائم انخفض من 36% إلى 1%
• المحاولات التي حققت أي مسار هجوم انخفضت من 91% إلى 15%
• متوسط المسارات الناجحة لكل محاولة انخفض من 1.53 إلى 0.16 فقط
• لم تنجح أي محاولة في إكمال مسار هجوم دون تفعيل إنذار الكشف

النموذج الأكثر قدرة في الاختبارات، Opus 4.8، انتقل من تحقيق وصول إداري في 93% من المحاولات إلى الفشل في كل محاولة عند مواجهة قنبلة سياق.

لماذا احتاج المدافعون إلى أكثر من مجرد إنذارات؟

يبني هذا البحث على نتائج سابقة من مايو الماضي، حين قدمت Tracebit طريقة لتنبيه المدافعين عند تعرض بنيتهم التحتية لهجوم من خصوم ذكاء اصطناعي وكلاء. تأتي على شكل موارد AWS تبدو وكأنها تخدم غرضاً شرعياً لكنها في الواقع غير مستخدمة إطلاقاً، توضع بجانب الموارد الفعلية. عند فحصها بواسطة ذكاء اصطناعي وكيل، يتلقى المدافعون تنبيهاً. مثل "الكناري" في مناجم الفحم، تسمح هذه الموارد بكشف التهديد قبل أن تكون له عواقب قاتلة.

كانت "كناري Tracebit" تنبه ببداية الهجوم خلال ثماني دقائق في المتوسط. لكن المشكلة أن النماذج الوكيلة كانت تحتاج في المتوسط 14 دقيقة فقط للتصعيد إلى السيطرة الإدارية. ستة دقائق إنذار مسبق كانت هامشاً ضيقاً بشكل مقلق، وهذا ما دفع لتطوير قنابل السياق كحل يوقف الهجمات بدلاً من مجرد التحذير منها.

المهاجمون سبقوا المدافعين في استخدام التقنية

اللافت أن المهاجمين كانوا يستخدمون حقن الأوامر لتعطيل دفاعات الذكاء الاصطناعي داخل الشبكات. اكتشف باحثون من شركة Socket الأمنية الشهر الماضي وكيل LLM يوجه النماذج المستهدفة لتقديم تعليمات بناء قنبلة نووية أو أسلحة بيولوجية. صُممت هذه الحقن لتعطيل تحليل البرمجيات الخبيثة المدعوم بالذكاء الاصطناعي. واكتشف باحثون من Check Point نموذجاً أولياً مشابهاً للبرمجيات الخبيثة.

تبدو قنابل السياق أول حالة موثقة يقلب فيها المدافعون الطاولة. يقول إيرلنس فرنانديز، أستاذ أمن الذكاء الاصطناعي في جامعة كاليفورنيا سان دييغو، إنه لم يرَ أحداً يستخدم هذه التقنية كدفاع على حد علمه، مضيفاً أنه كان يجرب نهجاً مشابهاً في سياق مختلف قليلاً، وأن فريق Tracebit سبقه إلى ذلك.

المعضلة الأساسية: لا حل جذري لحقن الأوامر

حتى اليوم، لا توجد طريقة معروفة لحل السبب الجذري لثغرة حقن الأوامر. ترك هذا المطورين بلا خيار سوى بناء حواجز أمان معقدة تمنع الأوامر المحقونة من إجبار النماذج اللغوية على الانحراف عن مسارها. الخصائص ذاتها التي تجعل النماذج اللغوية مفيدة — قدرتها على اتباع تعليمات اللغة الطبيعية — تجعلها عرضة بطبيعتها للتلاعب.

الأسئلة الشائعة

ما هو حقن الأوامر prompt injection وكيف يستغله المهاجمون؟

حقن الأوامر هو إخفاء تعليمات خبيثة داخل محتوى يبدو عادياً (بريد إلكتروني، مستند، صفحة ويب). عندما يقرأ وكيل ذكاء اصطناعي هذا المحتوى، قد يتبع التعليمات المخفية بدلاً من برمجته الأصلية، مما يؤدي لتسريب بيانات أو تنفيذ إجراءات ضارة.

هل يمكن للمؤسسات تطبيق قنابل السياق على بنيتها التحتية الآن؟

نعم، المبدأ قابل للتطبيق. يمكن زرع ملفات أو أسرار وهمية تحتوي على أوامر تفعّل آليات الرفض في النماذج اللغوية. لكن التطبيق الفعال يتطلب معرفة بأنواع الأوامر المحظورة في كل نموذج، وقد تقدم Tracebit حلولاً تجارية قريباً.

لماذا لا يمكن حل مشكلة حقن الأوامر نهائياً؟

لأن الخاصية التي تجعل النماذج اللغوية مفيدة — قدرتها على فهم واتباع تعليمات اللغة الطبيعية — هي ذاتها التي تجعلها عرضة للتلاعب. لا يمكن للنموذج التمييز بشكل موثوق بين تعليمات شرعية وأخرى خبيثة مخفية في المحتوى.

ما الفرق بين قنابل السياق وأنظمة الكناري التقليدية؟

أنظمة الكناري تكتشف الهجوم وتنبه المدافعين، لكنها لا توقفه. قنابل السياق تذهب أبعد: تجبر النموذج المهاجم على التوقف التام بتفعيل آليات الرفض المدمجة فيه، مما يمنح المدافعين وقتاً أكبر للاستجابة.