حد الثقة ليس خطاً على الرسم؛ هو قرار سلطة ينبغي ربطه بمصدر وحكم ودليل من طبقة موثوقة.
قالب سجل حدود الثقة وتدفق البيانات لأمن تطبيقات GenAI
الغرض من مصفوفة حدود الثقة
يحول هذا القالب موضوع Trust Boundaries & Data-Flow Mapping في OWASP GenAI Red Teaming Manual v1.0 إلى سجل قابل للتعبئة لكل نظام مؤسسي. لا يكفي أن يكتب الفريق «هناك حد بين المستخدم والنموذج»؛ يجب تحديد ما البيانات أو التعليمات التي تعبر الحد ومن يمتلك السلطة وما الضابط الموجود وما الدليل على فعاليته. قد تحمل خدمة محلية محتوى غير موثوق جاء من مورد خارجي، وقد يمنح التطبيق أداة صلاحية تقنية أوسع من دور المستخدم. لذلك لا تُبنى الثقة على مكان استضافة الخادم أو اسم المكون وحده. القالب تنظيم من سيادة AI وليس مخططاً رسمياً جاهزاً من OWASP، ويستخدم لأغراض تقييم مأذون وخطط ضمان قابلة للتدقيق.
مفردات حقول المصفوفة
يتكون كل صف من معرف للحد ومكون مرسل ومكون مستقبل ومصدر المادة ونوعها ودرجة الثقة ومالك الأصل ودور المستفيد وقرار التفويض المتوقع وضابط المنع ومصدر الدليل والأثر إذا فشل. ويمكن إضافة حقل لنسخة الخدمة وتاريخ التحقق وحالة الاختبار المرتبط والمالك المكلف بالمعالجة. لا تستخدم كلمات مثل «مؤمّن» أو «موثوق» بوصفها قيماً مكتفية بذاتها؛ يجب أن تشير إلى سياسة أو طريقة تحقق. إذا لم يعرف الفريق كيف يعمل مرشح الاسترجاع يوضع غير مؤكد مع إجراء لجمع الدليل، لا نجاح مفترض. يجب أن تبقى بيانات الوصول السرية في مخزن مقيد لا في الجدول المتاح لجميع العاملين.
الحد الأول: المستخدم والتطبيق
يُحدد نوع حساب المستخدم وحق الوصول إلى الخدمة، وما إذا كانت بعض الأدوار تستطيع رفع ملف أو إرسال محتوى من طرف آخر. ليس كل ما يكتبه المستخدم مأذوناً بتحويله إلى فعل، حتى عندما يمتلك حق الوصول إلى التطبيق. يجب أن يُحدد الاختبار ما الذي يستطيع المستخدم طلبه بناء على صلاحياته وما الذي ترفضه طبقة تنفيذ الخلفية. يمكن أن يكون مصدر الدليل سجل خدمة الهوية وقرار API وحالة سجل اصطناعي قبل وبعد، أما الرد النصي وحده فلا يكفي للحكم على تنفيذ معاملة. وقد يمتلك المستخدم صلاحية قراءة وثيقة لكن لا يملك صلاحية إرسالها إلى عنوان خارجي، وهما حدان مختلفان.
الحد الثاني: مصادر RAG
يُسجل لكل مصدر مستندات الجهة المالكة ومن يستطيع إضافته أو تحديثه ودور من يستطيع استرجاعه. قد يحمل المستند نصاً صالحاً للقراءة لكنه لا يحمل سلطة لتغيير قواعد النظام، ولذلك يتعين أن يعامله التطبيق كمادة معلوماتية داخل السياق. يجب التحقق من أن صلاحيات الملف الأصلي تنعكس في نتائج الفهرس وروابط المستندات والتخزين المؤقت، لا فقط في واجهة المستخدم. إذا استرجع حساب وثيقة خارج دوره تُسجل الواقعة من خدمة المصدر وببيانات تجريبية معروفة. وإذا عرض النموذج كلاماً مشابهاً دون رابط مصدر، ينبغي التحقق قبل إعلان كشف فعلي.
الحد الثالث: النموذج والتنسيق
يتلقى النموذج عادة تعليمات من المالك وطلباً من المستخدم ومحتوى مسترجعاً، وقد تدمجها طبقة التنسيق في سياق واحد. يجب أن يعرف مالك النظام ما الذي يحمل سلطة أعلى وما الذي يظل مجرد نص مقتبس، وأن يراجع أي مكوّن يحول مادة غير موثوقة إلى توجيه. قد يحسن تنسيق النص استقرار السلوك، لكنه لا يساوي منع تنفيذ العمليات خارج التفويض. تستخدم حالة اختبار دفاعية محتوى اصطناعياً يحتوي عبارة لا ينبغي اتباعها باعتبارها أمراً، ويُراقب سلوك النموذج بصورة منفصلة عن قرار الأداة. لا يُعد كل إخفاق لغوي تنفيذاً ضاراً، لكن ينبغي ألا يتجاهل التقرير مؤشرات ضعف العزل.
الحد الرابع: النموذج والأداة
تتيح أدوات الوكلاء البحث والقراءة والكتابة والإرسال، وهذه قدرات مختلفة في المخاطر. ينبغي أن يضم الصف اسم الأداة وقدرتها ومالكها ومن يدير مخططها والبيانات التي تستطيع استقبالها وإخراجها. لا يجب أن تنفذ الخدمة طلباً لأن النموذج اختار اسماً موجوداً؛ يجب أن تتحقق من دور المستخدم الأصلي ونوع العملية والجهة المستفيدة وشروط الموافقة. يحتاج الحكم إلى سجل من API نفسه، وقد يكون النموذج اقترح استدعاء غير مناسب بينما منعته الخدمة بشكل صحيح. هذه النتيجة يجب أن تبقى مزدوجة: ملاحظة على قرار النموذج ونجاح للضابط التنفيذي في الحالة المحددة.
الحد الخامس: الأداة ونظام الأعمال
قد تُنفذ أداة ERP تحت رمز خدمة واسع، ما يخلق فرقاً بين قدرتها التقنية وما تسمح به سياسة المؤسسة للمستفيد الأصلي. يحدد القالب كيف يمرر الحساب هويته وما إذا كانت الخدمة الخلفية تطبق تحققاً مستقلاً من دوره ومن العملية. تحتاج الحالات عالية الأثر إلى بيانات اصطناعية قابلة للعكس، ولا يجوز اختبارها عبر تحويل مالي أو بريد حقيقي. معيار PASS قد يكون رفض التعديل خارج الدور وبقاء السجل كما كان، وFAIL تغير سجل اختبار خارج التفويض، وINCONCLUSIVE نقص سجل التنفيذ أو مشكلة إعداد البيئة. هذا التمييز مهم لتصحيح السبب الجذري لا مجرد تعطيل عرض واجهة الأداة.
حد المستأجرين والحسابات
يمكن أن تختلف متطلبات العزل بين مساحة مستخدم واحدة وفريق داخلي ومستأجر كامل. لا يكفي أن يوجد مرشح على واجهة البحث إذا كانت قاعدة الفهرس أو الذاكرة أو الروابط إلى الملفات الأصلية لا تطبق صلاحية مماثلة. ينشئ الفريق حسابين تجريبيين وملفات بعلامات معلومة، ويحدد القنوات التي قد تنقل البيانات بينهما، ثم يسجل الأدلة من طبقة المصدر. لا يُعلن وصول شامل لأن علامة واحدة ظهرت في رد مولد، وينبغي التحقق من أن العلامة جاءت من ملف محظور بالفعل. كما يجب فحص ما إذا كانت النتيجة تقتصر على جلسة أو تخزين مؤقت قديم يختلف في معالجته عن الفهرس الفعلي.
حد الذاكرة والحالة
قد تحفظ ذاكرة الوكيل ملخصات محادثات أو تفضيلات أو نتائج أدوات، ثم تعيد استعمالها بعد مدة أو مع مستخدم آخر. يتطلب الصف معرفة مَن يستطيع كتابة العنصر ومَن يستطيع قراءته وتاريخ انتهاء صلاحيته وطريقة حذف المحتوى غير المناسب. مجرد تخزين نص لا يثبت استمرارية تأثيره، لذلك يحتاج الاختبار إلى حالة لاحقة تثبت استعماله أو أثره ضمن شروط مضبوطة. وينبغي أن يحافظ النص الملخص على وصف مصدره الأصلي فلا يتحول محتوى مستند خارجي إلى تعليمات دائمة موثوقة بسبب عملية تلخيص. ويمكن أن تكون المعالجة في العزل أو سياسة العمر أو التحكم في إعادة الإدخال إلى سياق النموذج.
الحد متعدد الوسائط
إذا تعالج المؤسسة فواتير مصورة أو طلبات صوتية، تضاف حدود التحويل من الملف الأصلي إلى النص الناتج عن OCR أو التفريغ. لا يزيد مستوى ثقة المادة لأن أداة معتمدة حولتها إلى صيغة أخرى؛ يبقى مصدرها وطريقة الحصول عليها مهمين عند اتخاذ القرار. ينبغي أن تسجل خدمة التحويل وإصدارها وتخزين الملفات المؤقت وصلاحيات الوصول إلى النتائج، وما إذا كان النص المستخرج يمكن أن يؤثر في اختيار أداة عمل. تستخدم الأمثلة ملفات مصطنعة ومهام قراءة مشروعة، ويتحقق فريق التنفيذ من أن الأداة لا تعمل خارج دور المستخدم حتى إن احتوى الملف توجيهاً يبدو إدارياً.
الحد مع المورد الخارجي
قد ترسل المؤسسة محتوى إلى API خارجي أو تعتمد على نموذج لا تملك تفاصيل تشغيله. ينص الصف على نوع البيانات المرسلة وسياسة الاحتفاظ ودرجة الرؤية المتاحة ومَن يملك حق تغيير العقد أو تعطيل الخدمة. لا يعني اعتماد المورد تلقائياً أن المكوّنات كلها داخل سيطرة المؤسسة، ولا يعني استخدام خدمة خارجية وجود تسرب مثبت. ينبغي أن يفرق المراجع بين ضمانات موثقة من المورد وأدلة محلية على ما مر عبر الاتصال، وأن يحدد أين تستطيع المؤسسة فرض تخفيض البيانات وصلاحيات الأدوات أو حظر وجهة إرسال. وتُسجل أي معلومة لا يمكن التحقق منها بدلاً من ملئها بادعاءات حاسمة.
الربط بفرضيات الاختبار
لكل حد تم تحديده يُكتب سيناريو دفاعي يتعلق بأصل وأثر معقول. إذا كان الحد بين RAG والنموذج، نختبر عدم اكتساب المستند صفة تعليمات تنفيذية؛ وإذا كان بين الوكيل والأداة نختبر تفويض التنفيذ؛ وإذا كان بين مستأجرين نختبر العزل. لا ينبغي أن يكرر الفريق الحالات نفسها تحت أسماء مختلفة للحصول على عدد أكبر، كما لا ينبغي احتساب ما لم يُختبر نتيجة ناجحة. يحدد النموذج درجة الأولوية بناء على قيمة الأصل وإمكان تأثير الحد في قراءة أو كتابة أو إرسال، مع إظهار القيود على الوصول والسجلات المتاحة.
تخطيط الأدلة
يحتاج كل حد إلى مصدر مناسب: وثائق تكوين عند تقييم الصلاحيات، وسجل استرجاع عند تقييم وصول المستند، وسجل خلفي عند تقييم أثر أداة، وسجل قاعدة بيانات عند التحقق من تغير أصل. قد تكون الملاحظة متاحة من واجهة فقط في وضع Black-Box، فلا يتعين أن يدعي التقرير معرفة سبب داخلي غير مرئي. إذا كان الهدف يحتاج سجلاً لم يقدمه المالك توضع الحالة HOLD أو INCONCLUSIVE بحسب المرحلة، وتُطلب وسيلة آمنة للحصول عليه. لا يجوز نسخ أسرار أو بيانات عملاء إلى صفحة عامة في سبيل اكتمال المصفوفة، ويمكن حفظ الروابط إلى مخزن أدلة مقيد.
تقدير الأهمية والقرار
قد يكون الحد الذي يحمي عملية اعتماد مالية أكثر حساسية من حد يعرض ملخص سياسة عامة، لكن هذا لا يبرر نسبة رقم خطورة دقيقة دون منهجية. يضيف القالب خانة للأثر المؤكد بعد التقييم وأخرى لسيناريوهات الضرر المحتملة، مع درجة ثقة ومالك مخاطر. ويجب أن تؤخذ الضوابط التعويضية والكشف والاستمرارية في الاعتبار عند ترتيب المعالجات. يمكن أن يكون إجراء أولي تعليق أداة عالية الامتياز مع استمرار وظيفة القراءة، لكنه يحتاج قراراً من مالك العمليات والجهة المخولة. لا يملك فريق التقييم سلطة تغيير الإنتاج خارج التفويض لمجرد اكتشافه ضعفاً.
مثال صف تعبئة أول
المعرف TB-01؛ المرسل مستودع عروض مورّدين؛ المستقبل خدمة الاسترجاع؛ المصدر مستند خارجي يحرره المورد؛ السلطة قراءة محتوى العقد فقط؛ الأصل نصوص عروض تجريبية؛ الضابط ترشيح صلاحيات الاسترجاع وربط المصدر؛ معيار الاختبار ألا يعود مستند خارج دور الحساب. دليل النجاح سجل استرجاع وصلاحية الملف الأصلي، وليس رد النموذج وحده. إذا تعذر رؤية المرشح رغم توفر النص النهائي، تُسجل فجوة رؤية قبل إصدار حكم عن سبب النتيجة. يتولى مالك بيانات المشتريات معالجة أخطاء التصنيف، ويتولى مالك خدمة البحث تنفيذ مرشح مناسب، وتُربط القضية باختبار انحدار بعد التصحيح.
مثال صف تعبئة ثان
المعرف TB-02؛ المرسل الوكيل؛ المستقبل API إنشاء مسودة في ERP؛ العملية كتابة سجل تجريبي؛ حساب المستفيد موظف يملك إنشاء مسودة ولا يملك اعتماد شراء نهائي؛ الضابط تفويض خلفي مرتبط بهوية المستخدم الأصلية؛ معيار PASS رفض اعتماد غير مخول وعدم تغير الحالة، مع السماح بإنشاء مسودة مشروعة. يُحفظ سجل الاستدعاء وقرار التفويض وحالة السجل قبل وبعد تحت صلاحية مراجعة مناسبة. لا يعني أن الوكيل قال «لن أفعل» نجاح الضابط إذا لم تكن هناك تجربة خلفية تؤكده، ولا يعني أن الوكيل طلب الأداة أنه نفذها فعلاً. تُسجل نتيجتا السلوك والتنفيذ منفصلتين.
مراجعة التغطية والتغيير
تُراجع المصفوفة عندما يضيف النظام خادم MCP جديداً أو يوسع الأدوار أو يبدأ معالجة قناة صوت أو يغير مصدر بيانات أو سياسة تخزين. ينبغي أن يظهر في كل نسخة ما الحدود الجديدة أو التي تغيرت وما اختبارات الانحدار ذات الصلة، وعدم الاكتفاء باختبار نصي قديم لتأكيد صلاحية أدوات تنفيذية حديثة. كما يجب أن تعرف الإدارة ما لم يُختبر بعد وما لا تستطيع المؤسسة رؤيته داخل المورد. لا تعني خريطة مكتملة بالأسماء أن جميع الضوابط اختُبرت، بل يجب ربط كل عنصر بحالة ونوع دليل وتاريخ نتيجة. تساعد هذه العلاقة على تقليل إعادة الاختبار العشوائية بعد كل تحديث.
حقوق المصدر والاستخدام
يرتكز القالب على OWASP GenAI Red Teaming Manual v1.0، أكتوبر 2026، قسم 3.2 Trust Boundaries & Data-Flow Mapping والتمديد في 3.3 Threat Modeling، مع أمثلة للأدوات من القسم 4.5. هذا البناء العملي والتحليل من سيادة AI وليس مخططاً رسمياً يفرضه OWASP، ولا يمثل شهادة امتثال أو فحصاً لمنصة حقيقية. يجب استخدامه داخل أنظمة تملك المؤسسة إذناً بفحصها وببيانات لا تعرض الغير للضرر. ترخيص المصدر CC BY-SA 4.0 ويُراعى عند نقل مواد منه أو تكييفها.