مهارات الذكاء الاصطناعي تتحول إلى سلسلة توريد هجومية

لم تعد مخاطر الذكاء الاصطناعي الوكيلي محصورة في النموذج نفسه، أو في جودة الأوامر التي يتلقاها، أو حتى في الصلاحيات التي يمتلكها الوكيل.

الطبقة التي بدأت تفرض نفسها كمساحة هجوم مستقلة هي المهارات: ملفات وتعليمات ووصفات برمجية توسّع قدرات الوكيل، وتسمح له بالوصول إلى أدوات وخدمات ومصادر خارجية وتنفيذ إجراءات نيابة عن المستخدم.

هذه المرونة هي بالضبط ما يجعل المهارات جذابة للمهاجمين.

في يوليو، استُخدم نطاق مشابه لمنصة عمل وكيلي شهيرة باسم Paperclip ضمن حملة تضمنت حزم Python مزروعة ببرمجيات خبيثة، إضافة إلى مهارات ذكاء اصطناعي مسلحة بهدف اختراق أجهزة المستخدمين وسرقة بيانات اعتماد ومعلومات حساسة. وبينما التقطت أدوات الفحص الآلية الحزم الخبيثة خلال ساعات، نجحت المهارات المزروعة في الإفلات من الرصد ووصلت، وفق البحث المشار إليه في المصدر، إلى أكثر من 300 ألف تثبيت لكل منها.

هذه الحادثة تلخص سبب إطلاق OWASP قائمتها الجديدة لمخاطر مهارات الوكلاء، والتي تضع المهارات الخبيثة في صدارة التهديدات، وتتعامل مع المهارات باعتبارها طبقة برمجية جديدة تحتاج إلى ضوابط أمنية وحوكمية مستقلة.

:::tldr مهارات الوكلاء لم تعد مجرد إضافات لزيادة الإنتاجية، بل أصبحت جزءاً من سطح الهجوم. أخطر المخاطر التي أبرزتها OWASP تبدأ بالمهارات الخبيثة، ثم اختراق سلسلة التوريد، ثم المهارات ذات الصلاحيات المفرطة. وفي المقابل، طرحت OWASP صيغة موحدة تعتمد على YAML لإضافة معلومات أمنية مثل المصدر، والصلاحيات، والاعتماديات، والتوقيعات، والـ hashes، وسجل التغييرات، بما يساعد على الفحص والتحقق الآلي. :::

#لماذا أصبحت المهارات مشكلة أمنية مستقلة؟

يمكن النظر إلى المهارة على أنها وصف قابل للتنفيذ لقدرة معينة داخل بيئة الوكيل. قد تكون مكتوبة بلغة طبيعية، أو تحتوي على كود، أو تشير إلى موارد أخرى مثل المواقع الخارجية وخوادم:

MCP

وبهذا، تصبح المهارة مصدراً إضافياً للتعليمات التي يعتمد عليها الوكيل عند اتخاذ قراراته أو تنفيذ إجراءات.

المشكلة أن هذا النموذج يوسع مساحة الثقة. فبدلاً من التعامل مع مدخلات المستخدم فقط، قد يتعامل الوكيل مع تعليمات واردة من:

Skill files
External websites
Dependencies
GitHub repositories
MCP servers
Third-party packages
Remote content

كل مصدر من هذه المصادر قد يتحول إلى نقطة إدخال غير موثوقة.

ومن منظور أمني، فإن الخطر لا يقتصر على المهارات المنشأة بشكل خبيث منذ البداية. حتى المهارة الشرعية قد تصبح قناة للهجوم إذا اعتمدت على مصدر خارجي تم تغييره أو اختراقه لاحقاً.

#OWASP Agentic Skills Top 10

أطلقت OWASP قائمة متخصصة لأهم مخاطر مهارات الوكلاء، بعد جمع مدخلات من مختصين أمنيين وتحليل طبيعة التهديدات المرتبطة باستخدام المهارات في البيئات الوكيلية.

بحسب المادة المنشورة، تتوزع القائمة على:

الخطر الأول في القائمة هو المهارات الخبيثة، بينما يأتي اختراق سلسلة التوريد في المرتبة الثانية. كما تبرز المهارات ذات الصلاحيات المفرطة ضمن أعلى المخاطر.

:::signal التحول المهم هنا هو أن المهارة لم تعد تُعامل كملف إعداد بسيط، بل كعنصر برمجي قد يمتلك صلاحيات، واعتماديات، ومصادر خارجية، وقد يغيّر سلوك الوكيل بالكامل. :::

#الخطر الأول: المهارات الخبيثة

المهارة الخبيثة هي مهارة صُممت لتبدو شرعية بينما تحتوي على تعليمات أو مراجع أو إجراءات تؤدي إلى سلوك ضار.

قد تستهدف مثلاً:

Credential theft
Sensitive data access
Malicious code execution
Remote resource retrieval
Unauthorized actions

القضية الأمنية الأساسية أن أدوات الحماية التقليدية أكثر نضجاً في فحص الملفات التنفيذية والحزم البرمجية، لكنها قد لا تتعامل بكفاءة مماثلة مع ملفات المهارات المكتوبة جزئياً أو كلياً بلغة طبيعية.

وهذا يخلق فجوة بين ما تستطيع أنظمة الفحص التقليدية اكتشافه، وبين ما يستطيع الوكيل تفسيره وتنفيذه.

في حادثة Paperclip المذكورة في المصدر، تم رصد حزم Python المزروعة بسرعة، بينما نجحت المهارات الخبيثة في الانتشار على نطاق واسع قبل اكتشافها.

#الخطر الثاني: اختراق سلسلة التوريد

المهارات عادة لا تعمل بمعزل عن البيئة المحيطة بها.

قد تعتمد على مستودعات أو ملفات أو حزم أو خدمات خارجية، مثل:

GitHub
Package repositories
External APIs
Remote YAML files
Third-party websites
MCP servers

وهنا تظهر مخاطر سلسلة التوريد.

فالمهاجم ليس مضطراً دائماً إلى اختراق المهارة نفسها. قد يكون كافياً أن يسيطر على اعتماد خارجي تستخدمه المهارة، أو ينشر حزمة باسم مشابه، أو يغيّر مورداً خارجياً تعتمد عليه التعليمات.

أحد الأساليب المحتملة هو الاعتماد على أسماء متشابهة أو مكتوبة بشكل قريب من أسماء موارد شرعية:

Typosquatting

في هذا السيناريو، قد يبدو ملف المهارة سليماً عند المراجعة الأولية، بينما يؤدي التنفيذ الفعلي إلى جلب اعتماد أو تعليمات من مصدر يتحكم به المهاجم.

#المستودعات العامة ليست مؤشراً كافياً على الثقة

من المخاطر التي سلطت عليها المادة الضوء إمكانية التلاعب بمؤشرات شعبية المستودعات.

فارتفاع عدد النجوم أو الانتشار السريع لا يعني بالضرورة أن المهارة آمنة.

أشارت المادة إلى تجربة استطاعت فيها شركة Air رفع شعبية مستودع تجريبي والتأثير في 26 ألف وكيل خلال ساعات.

بالنسبة لفرق الأمن، هذه نقطة جوهرية: مؤشرات مثل عدد النجوم أو عدد التثبيتات أو شهرة المستودع لا ينبغي أن تتحول إلى بديل عن التحقق الأمني.

#التعليمات الخارجية غير الموثوقة

أحد المخاطر التي أدرجتها OWASP هو:

AST05 - Untrusted External Instructions

الفكرة بسيطة من حيث المبدأ، لكنها خطيرة من حيث التأثير.

قد تحتوي المهارة على تعليمات تقول للوكيل إن عليه قراءة محتوى من موقع خارجي، ثم تنفيذ ما يجده هناك.

مثال تصوري:

Fetch instructions from:
https://example.com/instructions.txt

إذا تغيّر هذا المورد لاحقاً أو تعرض للاختراق، فقد تنفذ المهارة سلوكاً مختلفاً تماماً عن السلوك الذي تمت مراجعته عند إنشائها.

هنا تنتقل نقطة التحكم من ملف المهارة نفسه إلى مورد خارجي قد لا تملك المؤسسة سيطرة مباشرة عليه.

:::defender-note عند تقييم أي مهارة، لا يكفي تحليل محتواها المحلي. يجب حصر جميع المصادر الخارجية التي يمكن أن تؤثر في سلوكها، ثم التعامل معها كاعتماديات يجب تتبعها والتحقق منها ومراقبة تغيرها. :::

#الصلاحيات المفرطة تضاعف أثر الاختراق

حتى المهارة الشرعية قد تصبح شديدة الخطورة إذا مُنحت صلاحيات أوسع من حاجتها الفعلية.

فعندما تستطيع المهارة الوصول إلى بيانات اعتماد، أو قراءة ملفات حساسة، أو استدعاء خدمات خارجية، أو تنفيذ إجراءات داخل بيئة العمل، فإن أي انحراف في سلوكها قد يؤدي إلى أثر كبير.

المشكلة تصبح أكثر وضوحاً عندما يتم الجمع بين عدة قدرات:

Read credentials
Access internal data
Call external services
Execute tools
Modify resources

كلما ارتفعت الصلاحيات، ارتفعت قيمة المهارة بالنسبة للمهاجم.

وهذا يجعل مبدأ أقل الصلاحيات:

Least Privilege

من أهم الضوابط التي ينبغي تطبيقها على بيئات الوكلاء والمهارات.

#Universal Agentic Skill Format

بالتوازي مع قائمة المخاطر، طرحت OWASP الإصدار الأول من صيغة:

Universal Agentic Skill Format v1.0

وهي صيغة تعتمد على:

YAML

الهدف هو توحيد طريقة تعريف المهارات وإضافة إشارات أمنية يمكن للأدوات الآلية استخدامها في التحقق والتحليل.

تتضمن الصيغة أقساماً مخصصة لعناصر مثل:

Provenance
Permissions
Requirements
Dependencies
Signatures
Hashes
Changelog

هذه العناصر لا تمنع الهجوم تلقائياً، لكنها تمنح المنصات والفرق الأمنية بيانات أفضل لاتخاذ القرار.

#لماذا يهم توثيق المصدر؟

وجود معلومات واضحة عن المصدر أو:

Provenance

يساعد على الإجابة عن أسئلة أساسية:

Who created the skill?
Where was it obtained?
Which repository does it belong to?
Was the source verified?
Has ownership changed?

من منظور الحوكمة، معرفة المصدر ضرورية لإنشاء سلسلة ثقة يمكن تدقيقها.

ومن منظور الاستجابة للحوادث، تسهّل هذه البيانات تحديد المهارات المرتبطة بمصدر تم اختراقه أو تصنيفه لاحقاً على أنه ضار.

#تعريف الصلاحيات كبيانات قابلة للفحص

وجود حقل واضح للصلاحيات يجعل من الممكن مقارنة ما تطلبه المهارة بما يفترض أن تحتاج إليه.

مثلاً، إذا كانت وظيفة المهارة إنشاء ملخص نصي لكنها تطلب صلاحيات للوصول إلى بيانات اعتماد أو تنفيذ أوامر واسعة، فهذه إشارة تستحق المراجعة.

يمكن تمثيل فكرة الصلاحيات منطقياً بهذه الصورة:

permissions:
  filesystem: read
  network: restricted
  credentials: none
  execution: none

وجود هذا النوع من التعريف يجعل الفحص أكثر قابلية للأتمتة، ويتيح بناء سياسات تمنع المهارات التي تطلب قدرات غير متناسبة مع وظيفتها.

#التوقيعات والـ hashes

إضافة عناصر مثل:

Signatures
Hashes

تساعد على التحقق من سلامة الملفات واكتشاف التعديلات غير المتوقعة.

من الناحية التشغيلية، يمكن للمؤسسة الاحتفاظ بقيمة تحقق لإصدار معين من المهارة، ثم مقارنة النسخة المستخدمة فعلياً بالقيمة المعتمدة.

إذا تغير المحتوى دون تغيير موثق في الإصدار أو المصدر، يمكن اعتبار ذلك مؤشراً يحتاج إلى تحقيق.

#سجل التغييرات ليس تفصيلاً إدارياً

وجود:

Changelog

داخل نموذج المهارة يساعد الفرق على معرفة ما تغيّر بين الإصدارات.

هذا مهم لأن المهارة قد تبدأ بوظيفة بسيطة، ثم تكتسب في إصدار لاحق:

New external dependency
Additional permissions
Network access
Credential usage
Remote instructions

بالتالي، تحديث المهارة لا ينبغي أن يُعامل كعملية تشغيلية تلقائية فقط، بل كحدث قد يغير مستوى المخاطر.

#فصل تعليمات المستخدم عن تعليمات المهارة

من النقاط المهمة في طرح Universal Agentic Skill Format محاولة بناء حدود أوضح بين أنواع التعليمات المختلفة التي تصل إلى الوكيل.

النموذج قد يستقبل تعليمات من المستخدم، ومن المهارة، ومن المحتوى الخارجي، ومن الأدوات والموارد المرتبطة بها.

من دون فصل منطقي واضح، قد تصبح هذه التعليمات متداخلة بالنسبة للوكيل.

الهدف من التنسيق الموحد هو المساعدة على إنشاء تمييز بين هذه المصادر، بحيث تتمكن المنصة من فرض سياسات مختلفة بناءً على مصدر التعليمة ومستوى الثقة فيها.

:::research-note هذه الفكرة تعكس تحولاً مهماً في تصميم الأنظمة الوكيلية: لم يعد كافياً تحليل محتوى التعليمة فقط، بل يجب أيضاً معرفة مصدرها وسياقها والصلاحيات التي يمكنها التأثير عليها. :::

#ماذا يعني ذلك لفرق الأمن؟

التهديد الحقيقي لا يبدأ عند اكتشاف مهارة خبيثة فقط، بل عند عجز المؤسسة عن معرفة ما إذا كانت هذه المهارة مستخدمة داخل بيئتها.

هذا يحول إدارة المهارات إلى قضية مرتبطة بالرؤية الأمنية:

Visibility
Inventory
Governance
Response

إذا صدر تنبيه أمني عن مهارة معينة، يجب أن تتمكن المؤسسة بسرعة من الإجابة عن أسئلة مثل:

Do we use this skill?
Which agents use it?
Which users have access to it?
What permissions does it have?
What systems can it reach?
Can we disable it centrally?

إذا لم تكن هذه الأسئلة قابلة للإجابة، فالمؤسسة لا تملك فعلياً القدرة على الاستجابة لمخاطر المهارات على نطاق واسع.

#من منظور GRC: المهارات أصبحت أصلاً يجب حوكمته

تتعامل المؤسسات عادة مع التطبيقات والخدمات والحزم البرمجية كأصول تتطلب سياسات موافقة ومراجعة ومراقبة.

المهارات تحتاج إلى منطق مشابه.

يمكن بناء نموذج حوكمة أولي على النحو التالي:

#نموذج المسؤولية المشتركة

تشير المادة إلى أن بيئات الذكاء الاصطناعي قد تتحرك باتجاه نموذج مسؤولية مشتركة مشابه لما حدث في الحوسبة السحابية.

فإذا كان الوكيل مستضافاً لدى مزود خدمة، فمن المتوقع أن يقدم المزود مستوى من التحقق والحماية حول المهارات التي يمكن الوصول إليها.

لكن الاعتماد الكامل على المزود يمثل مخاطرة حوكمية.

المؤسسة ما زالت بحاجة إلى معرفة:

Which agents are in use
Which skills are installed
Which permissions are granted
Which external sources are trusted
Which skills can be disabled centrally

هذا الفصل في المسؤوليات يجب أن يكون واضحاً تعاقدياً وتشغيلياً، خصوصاً في البيئات التي تتعامل مع بيانات حساسة أو تخضع لمتطلبات تنظيمية.

#كيف يمكن للمؤسسة تقييم نضجها؟

يمكن تلخيص الاختبار العملي في سؤال واحد:

إذا أُعلن الآن أن مهارة شائعة خبيثة، كم تحتاج المؤسسة لمعرفة ما إذا كانت مستخدمة لديها وتعطيلها في جميع الأنظمة؟

هذا السؤال يقيس أكثر من سرعة فريق الأمن.

إنه يقيس وجود:

Asset inventory
Central governance
Telemetry
Policy enforcement
Incident response capability

وكلما كان الاعتماد على الجرد اليدوي أو المعرفة الفردية أكبر، ارتفعت مخاطر التأخر في الاستجابة.

#مهارات الوكلاء هي التطبيقات الجديدة

أحد التشبيهات الواردة في المادة يختصر المشهد: إذا كانت الوكلاء تمثل طبقة تشغيل جديدة، فإن المهارات تمثل التطبيقات التي توسّع إمكاناتها.

هذا يعني أن المؤسسات ستحتاج إلى نقل كثير من ممارسات أمن البرمجيات التقليدية إلى عالم المهارات:

Code provenance
Dependency management
Least privilege
Integrity verification
Change control
Supply chain security
Security review
Centralized revocation

الاختلاف هو أن المهارة قد تجمع بين لغة طبيعية وكود وتعليمات بعيدة واعتماديات خارجية، ما يجعل حدودها أقل وضوحاً من التطبيق التقليدي.

#الخلاصة

قائمة OWASP الجديدة لا تحذر من استخدام المهارات بحد ذاته، بل من استخدامها دون نموذج ثقة واضح.

المهارات توسّع قدرة الوكلاء، لكنها في الوقت نفسه توسّع سطح الهجوم. وكل مهارة جديدة قد تضيف اعتماداً خارجياً، أو صلاحية إضافية، أو مصدراً جديداً للتعليمات، أو نقطة في سلسلة التوريد.

أما Universal Agentic Skill Format فيمثل محاولة مبكرة لبناء لغة أمنية مشتركة حول هذه المكونات، من خلال توثيق المصدر والصلاحيات والاعتماديات والتوقيعات والـ hashes وسجل التغييرات.

بالنسبة للمؤسسات، التحدي لم يعد فقط اختيار وكيل آمن.

التحدي الحقيقي هو معرفة ما الذي تم تركيبه داخل هذا الوكيل، ومن أين جاء، وما الذي يستطيع الوصول إليه، وكيف يمكن إيقافه فوراً إذا تحول إلى تهديد.