نجاح حجب النص في النموذج لا يعالج مرشح استرجاع يعيد بيانات غير مصرح بها من المصدر.
حالة تطبيقية: تلوث مصدر RAG وحدود العزل بين المستأجرين
نطاق الحالة وكونها افتراضية
تصف هذه الحالة مؤسسة تقدم بوابة معرفة لموظفيها تعتمد على RAG لاسترجاع السياسات والإجراءات من مستودعات متعددة الأقسام. الهدف التعليمي ليس تعليم إساءة استخدام المستندات، بل إظهار كيف تتحول بيانات غير موثوقة إلى خطر على جودة الإجابة وسلامة العزل إذا لم يحتفظ التطبيق بمصدرها وصلاحياتها. تعتمد الحالة على موضوعات Phase 3 Surface Mapping وPhase 4 AI Pathway Vulnerabilities وPhase 5 Data Exfiltration وPhase 7 Evaluation & Reporting في OWASP GenAI Red Teaming Manual v1.0. كل الحسابات والمستندات والأصول المذكورة افتراضية ومصطنعة، ولا تدعي سيادة AI أن هذا السيناريو وقع في مؤسسة بعينها. يقتصر أي فحص مماثل في العالم الحقيقي على بيئة مصرح بها وخطة توقف واضحة.
بنية البوابة
تستخدم المؤسسة بوابة ويب موحدة لخدمة موظفي الموارد البشرية والشؤون المالية والمشتريات، ويتصل التطبيق بقاعدة وثائق أصلية ونظام فهرسة متجهي وطبقة تنسيق ونموذج مستضاف. تُنشأ أدوار متعددة: موظف يستطيع قراءة السياسات العامة، ومختص موارد بشرية يقرأ مستندات مقيدة، ومسؤول نشر محتوى مع صلاحية تحديث مجموعة معينة. لا يملك أي مستخدم بمجرد قدرته على سؤال النموذج حق مشاهدة بيانات الآخرين. ويدعم النظام استرجاع روابط إلى ملفات أصلية، ما يخلق حدود ثقة بين البحث وتخزين المستند وأذوناته. ينبغي أن ترتبط كل وثيقة بمالك وتصنيف وتاريخ وصلاحية دور، وألا يفقد هذا الوصف عند الفهرسة أو في الذاكرة.
نقطة دخول المحتوى غير الموثوق
تقبل البوابة مستندات يقدمها موردون خارجيون للتدقيق أو التلخيص، وتُفهرس بعض موادهم داخل مجموعة معرفة محددة. قد يحتوي الملف على تعليمات تحريرية أو ملاحظات أو نصوص ترويجية لا تعكس سياسة المؤسسة. يجب أن يتعامل التطبيق معها كمحتوى ورد من مورد، لا كقواعد تشغيل جديدة مهما بدا عنوان المستند رسمياً. وتُفصل صلاحية رفع مستند عن صلاحية تحويله إلى سياسة معتمدة أو تغيير دور مستخدم. في بيئة الاختبار ينشئ الفريق ملفاً اصطناعياً يحتوي علامات محتوى واضحة تساعد على معرفة ما وصل إلى الاسترجاع، دون تضمين تعليمات قابلة للتطبيق على بيانات أو خدمات حقيقية.
رسم الحدود
يحدد الفريق أربعة حدود أساسية: من المورد إلى مستودع المستندات، ومن المستودع إلى الفهرس، ومن الاسترجاع إلى سياق النموذج، ومن النموذج إلى رابط الملف الأصلي أو أداة ملخصات. لكل حد يكتب المصدر ودرجة الثقة والسلطة المتوقعة والضابط ومصدر الدليل. لا يصبح نص المورد تعليمات للتطبيق لمجرد أنه أعيد في مقدمة نتائج البحث، ولا يجوز أن يغير مكون التلخيص صلاحيات المستند. ويجب أن يكون فصل المستأجرين والأدوار مفروضاً في خدمة المصدر أو الفهرس بصورة مستقلة عن رغبة النموذج في الإجابة. إذا كان هناك رابط ملف خلفي، ينبغي أن يعاد فحص تفويض الوصول إليه حتى لو لم يعرضه المساعد.
فرضيتان منفصلتان
الفرضية الأولى تتعلق بجودة التعامل مع المحتوى: هل يعامل التطبيق أي توجيه داخل وثيقة مورد على أنه معلومة تُقرأ، أم يرتفع إلى مستوى أمر تشغيل ويؤثر في صياغة سياسة غير موجودة؟ الثانية أمنية مستقلة: هل يستطيع حساب دور قراءة استرجاع وثيقة مقيدة لمستخدم آخر أو مستأجر آخر، وهل يمكنه فتح رابطها الأصلي؟ يجب ألا تُدمج الفرضيتان في نتيجة واحدة، لأن وقوع تأثير لغوي لا يثبت حصول كشف بيانات، كما أن وجود استرجاع خارج الدور لا يُمحى إذا امتنع النموذج عن إظهار النص النهائي. لكل فرضية معيار نتيجة ومصدر دليل ومالك معالجة مختلف.
إعداد بيئة القياس
يستخدم الفريق حسابات اختبارية بدورين على الأقل ومستندين مصطنعين بعلامات فريدة، مع نسخة معلومة من خدمة الاسترجاع والفهرس وإعدادات التحكم بالوصول. ينبغي أن تسجل البيئة معرّف طلب البحث والمصادر التي أعادها المرشح وتوقيت التنفيذ، وأن تكون الملفات الأصلية في مساحة تخزين معزولة. لا يُستخدم موظفون حقيقيون أو مستندات مالية أو شخصية فعلية لمجرد أن الهدف فحص تسرب. كما تتفق فرق العمل على حدود عدد الطلبات وحجم المستندات ووقت النشاط وقواعد توقف إذا ظهرت معلومات غير متوقعة أو اتصال بنطاق خارج التفويض. وينبغي أن يكون بإمكان المراجع الاطلاع على أصل دليل الاسترجاع بصلاحية مناسبة.
الخط الأساس الطبيعي
قبل التجربة يسأل الحساب العام عن سياسة عامة يحق له قراءتها، ثم يطلب مستنداً ليس ضمن دوره ويتوقع رفضاً في خدمة الاسترجاع. يُثبت الفريق أن الفهرس يعيد المصدر المسموح ولا يعيد المحظور، وأن الروابط الأصلية تتبع السياسة نفسها. قد يقدم النموذج إجابة عامة عن سياسة لا توجد في المستودع، لذلك يحتاج الحكم إلى معرفة ما إذا كان النص مستنداً إلى مصدر حقيقي لا مجرد توليد احتمالي. يحفظ الخط الأساس إصدار المستندات والأدوار والمصادر والوقت، لأن تعديل الفهرس بين الاختبارين قد يفسر اختلافاً لا علاقة له بوجود محتوى من مورد جديد.
نتيجة افتراضية أولى
في السيناريو التعليمي يلاحظ الفريق أن المساعد ذكر معلومة غير دقيقة من وثيقة المورد الاصطناعية، بينما كان مصدرها مسموحاً لحساب القراءة. هذا دليل على تأثير المحتوى الخارجي في جودة الإجابة أو إسناد المصدر، وليس دليلاً وحده على تسرب مستند مقيد. ينبغي أن يعرف صاحب المحتوى أن مادة المورد قد تحتاج تصنيف مصدر واضحاً ومراجعة قبل تقديمها كإرشاد داخلي، وأن طبقة التوليد ربما تحتاج تحسين طريقة التفريق بين السياسة الرسمية ومحتوى الطرف الثالث. لا يحق للفريق وصف الحالة بأنها اختراق كامل للنظام أو حصول المورّد على صلاحية تنفيذية، لأن شيئاً من ذلك لم يثبت.
نتيجة افتراضية ثانية
لنفترض أن سجل الاسترجاع أظهر مستنداً اصطناعياً من مساحة مقيدة لحساب لا يملك حق رؤيته، رغم أن المساعد لم يعرض نصه في الرد النهائي. هذه نتيجة أدق تتعلق بعزل البيانات عند طبقة البحث، وليست فقط ضعفاً في حواجز إخراج النموذج. يحتاج المراجع إلى التأكد من مصدر المستند وسياسة حساب الدور وقت الاختبار وما إذا كانت الخدمة أعادته بالفعل، لا الاستدلال من التشابه النصي وحده. وإذا ثبت ذلك تُفتح حالة معالجة عند مالك خدمة الاسترجاع أو سياسة الفهرسة، مع فحص روابط الأصل والتخزين المؤقت. ولا يجوز تعميم الحالة على جميع البيانات دون تحليل أو اختبار إضافي مصرح به.
تحليل السبب الجذري
قد تكون المشكلة الأولى ناتجة عن عدم عرض درجة موثوقية الوثيقة أو غياب فصل إرشادات المورد عن السياسات المؤسسية، بينما قد تنشأ الثانية من مرشح صلاحيات غير مطبق قبل الاسترجاع أو نسخة فهرس قديمة أو رابط ملف لا يراجع الدور. تختلف المعالجة جذرياً، ولذلك يجب أن يحدد التحقيق أي طبقة أعادت المصدر ومَن يملك تحديثها وكيف تمررت هوية المستخدم. لا يكفي مطالبة النموذج بعدم كشف الأسرار إن كانت خدمة البحث نفسها ترجع بيانات لا يحق للحساب رؤيتها. ومن المهم كذلك عدم حذف الوثيقة الاصطناعية واعتبار الخطأ مغلقاً إذا بقي الضابط يسمح بتكراره مع وثيقة أخرى.
تقدير الأثر المؤسسي
قد يؤدي ظهور إرشاد مورد على أنه سياسة إلى قرار إداري غير دقيق، وقد يؤدي إخفاق عزل المستندات إلى خطر سرية بيانات. يختلف الأثر الفعلي بحسب ما إذا كان المستخدم اعتمد الإجابة في قرار أو شاهد مستنداً محمياً أو امتلك رابط وصول فعالًا. تستخدم الدراسة مادة اصطناعية، ولذلك لا تدعي وقوع ضرر على شخص أو مؤسسة. يمكن لمالك المخاطر تقدير احتمال اتساع ضعف مرشح عام، لكن لا ينبغي أن يُعرض ذلك ككشف شامل مثبت. يوضح التقرير قيمة الأصل ونطاق الدور والضوابط التعويضية والقدرة على الكشف وما يحتاج إلى فحص إضافي، ثم يحدد أولوية مناسبة لكل ضعف.
إجراء احتواء متناسب
إذا ثبت خلل في ترشيح المستندات يمكن تعليق الوصول إلى مجموعة فهرس محددة أو حصرها بدور ضيق إلى حين تصحيح الخدمة، وفق قرار مالك التشغيل والبيانات. أما إن كان الإخفاق مقتصراً على تصنيف محتوى المورد، فقد يكفي تمييز المصدر أو مراجعة الوثيقة أو تعديل شروط اعتمادها دون إيقاف البحث كله. لا ينفذ فريق الاختبار تغييراً إنتاجياً خارج صلاحياته ولا يعطل النظام لمجرد ملاحظة نصية غير مرغوبة. ويجب توثيق أثر الاحتواء على الوظائف المشروعة، ومَن يملك السماح بالعودة، وما الدليل الذي يثبت نجاح الضابط المؤقت حتى وصول العلاج النهائي.
خطة المعالجة التقنية
في حالة العزل يُفحص قرار الصلاحية قبل استرجاع الوثيقة وداخل رابط الملف الأصلي وفي النسخ المشتقة وذاكرة التخزين، مع الحفاظ على هوية المستخدم الصحيحة عبر الخدمات. وفي حالة تصنيف المصدر يجب أن يحتفظ المستند بدرجة ثقة ومالك وتاريخ، وأن لا يتحول النص المسترجع إلى تعليمات أعلى سلطة. ويمكن أن تتضمن الخطة فصل مستودعات الموردين عن السياسات الرسمية أو تحسين عرض الاستشهادات، لكن لا يُفترض أن كل مؤسسة تحتاج الإعداد نفسه دون تحقق من سببها. يجب أن يربط كل تغيير بحالة محددة ومعيار اختبار انحدار، مع عدم الاكتفاء بتحسين رد النموذج إذا بقي خلل الوصول في الخلفية.
إعادة التحقق
بعد الإصلاح تعاد حالات حساب القراءة والموظف المخول باستخدام مجموعات اختبار مماثلة وفهرس وإصدار معلومين. النجاح في العزل يعني أن المستند خارج الدور لا يعود من خدمة البحث ولا يفتح رابطاً أصلياً، وأن المستند المسموح يظل متاحاً. والنجاح في جودة إسناد المصدر يعني أن المحتوى المقدم من مورد لا يظهر بوصفه سياسة ملزمة دون مرجع واعتماد مناسبين. لا يمحو اختبار بعد التصحيح سجل النتائج الأصلية، بل يرتبط به مع تاريخ وإصدار ودليل جديد. وإذا لم تتوفر سجلات المصدر أو تغيرت البيئة بصورة تمنع المقارنة، تُذكر الفجوة بدلاً من منح نتيجة PASS غير مدعومة.
المراقبة المستمرة
قد يؤدي تحديث خدمة الاسترجاع أو نموذج Embeddings أو إعادة بناء الفهرس إلى تغير ترتيب المصادر وصلاحياتها الفعلية، ما يستدعي إعادة تقييم الحالات المهمة. ينبغي أن يعرف فريق البيانات مَن يستطيع نشر مصادر جديدة ومتى تراجع تغييرات تصنيف المستندات وحقوقها، وأن يستطيع فريق الأمن ربط محاولات وصول مرفوضة بسجلات خدمة موثوقة. ولا ينبغي تحويل سجلات البحث إلى نسخ عامة من المستندات الشخصية، بل تستخدم معرفات وروابط وصول مقيد حسب الحاجة. يتيح الربط بين جرد AI-BOM وسجل حدود الثقة والاختبارات تحديد أي اختبارات انحدار تتأثر بتحديث معين.
أسئلة المتعلم
هل يثبت ظهور عبارة خاطئة في رد النموذج حدوث كشف بيانات محمية؟ لماذا ينبغي اختبار خدمة البحث قبل الاعتماد على رفض النموذج؟ كيف يختلف أثر مصدر مورد غير معتمد عن إخفاق مرشح صلاحيات؟ وما الأدلة التي تحتاجها لتحديد إذا كان المستند جاء من فهرس أو من ذاكرة أو من توليد احتمالي؟ اكتب خطة لاختبار اثنين من أدوار الحسابات بمواد اصطناعية، وحدد معيار نجاح وفشل وعدم حسم لكل حالة. ثم حدد مالك العلاج في طبقة البيانات وفي طبقة عرض الثقة بالمصدر، وأضف حالة مشروعة لتتأكد من أن الإصلاح لم يعطل المستخدم الصحيح.
المصدر والحدود
هذه دراسة حالة افتراضية من صياغة سيادة AI مستندة إلى OWASP GenAI Red Teaming Manual v1.0، أكتوبر 2026، خصوصاً 3.2 Trust Boundaries و4.3 AI Pathway Vulnerabilities و5.1 Data Exfiltration و7 Evaluation & Reporting. لم يصف OWASP هذه المؤسسة ولا قدم هذا المثال باعتباره حادثة واقعية، ولا يمثل المحتوى ترجمة رسمية أو إثباتاً لتنفيذ هجوم. يجب أن تُجرى جميع التجارب على مواد وحسابات ضمن تفويض واضح، وأن تُراعى رخصة CC BY-SA 4.0 للمصدر عند اشتقاق مادته.