تحويل وسيط إلى نص لا يرفع درجة ثقته، والاختبار الأمني يحتاج إثبات المنع في طبقة التنفيذ.
أمن الأنظمة متعددة الوسائط: حدود الثقة بين الصور والصوت والأدوات والموارد
لماذا تغير المدخلات غير النصية سطح الهجوم
تستخدم أنظمة الذكاء الاصطناعي التوليدي الصور والصوت والوثائق والبيانات المهيكلة إلى جانب المحادثة النصية. يخصص دليل OWASP GenAI Red Teaming Manual النسخة 1.0 في أكتوبر 2026 القسم 4.4 للأسطح متعددة الوسائط وغير النصية، مع ربطها بمخاطر الاستغلال والأثر. تزداد التعقيدات لأن النص الذي يمكن أن يؤثر على النظام قد لا يظهر للمستخدم مباشرة؛ فقد ينشأ من OCR أو وصف صورة أو تحويل صوتي أو بيانات وصفية في ملف. ومن الخطأ أن تفترض المؤسسة أن اختبارات حقن المطالبات عبر نافذة الدردشة تغطي هذه القنوات تلقائياً. يتطلب التقييم رسم مصدر الوسيط والطريقة التي يحول بها إلى تمثيل يفهمه النموذج، ثم فحص ما إذا كانت تعليمات غير موثوقة قد اكتسبت سلطة لم يمنحها صاحب النظام.
مكونات مسار الإدخال
قد يتكون المسار من واجهة رفع ملف، وخدمة فحص نوع الملف، ومستخرج نص، وخدمة OCR، ومحرك تصنيف صور، ومستودع مؤقت، ونموذج متعدد الوسائط، ثم أداة تنفذ توصية أو تحدث سجل. لكل طبقة مسؤول وصلاحية وموقع معالجة وسجل منفصل. إذا أعطت خدمة OCR نصاً من صورة فلا يعني أن النص صار تعليمات موثوقة، وإذا أعاد وصف الصورة رسالة تشبه أمر تشغيل يجب ألا تعطيه طبقة التنسيق سلطة تتجاوز صلاحية الملف الأصلي. كذلك قد يحمل الملف بيانات وصفية مخفية عن الواجهة، أو ملفات فرعية ضمن أرشيف، أو روابط خارجية تؤدي إلى مصادر لا يعرفها المستخدم. يحدد الجرد بدقة أين يحدث التحويل وما الحماية المطبقة ومَن يستطيع تغيير محتوى كل مرحلة.
حدود الثقة بعد التحويل
غالباً ما يظل أثر المدخل غير الموثوق بعد المرور عبر طبقة تحويل أو تلخيص أو تفريغ صوتي. فقد يُعامل النص الناتج عن تحويل صوت كأنه رسالة من المستخدم بينما هو في الواقع محتوى مستخرج من تسجيل خارجي. يمكن أن تنشأ مشكلة مشابهة إذا استُخدم تعليق صورة مولد آلياً لتوجيه أداة بحث أو لإصدار قرار في نظام وثائق. يستدعي ذلك حفظ مصدر النص ومستوى الثقة الموروث من الملف حتى النهاية، لا رفع مستوى الثقة بسبب تغير الشكل. وتُختبر حدود الثقة عند استخدام النص المحول لاتخاذ فعل أو تحديد وجهة بيانات، لا بمجرد إمكان إدخاله في النموذج.
فحص صور الوثائق والملفات المصورة
في مؤسسة تعتمد على فواتير وعقود مصورة قد يحاول النظام قراءة النص والتعرف إلى الحقول ثم تحديث سجل آلياً. ينبغي أن يشمل التقييم دقة استخراج الحقول ومصدرها وتحقق الطلب، وأن يميز محتوى المستند عن تعليمات التشغيل. لا يعني وجود جملة في الفاتورة تدعو إلى تغيير سياسة الاعتماد أن المؤسسة فوضت النظام بهذا التغيير. يمكن تصميم بيانات اصطناعية تحمل حقولاً واضحة وعبارات اختبارية لا تؤدي إلى أضرار فعلية، ثم التأكد من أن التطبيق يحفظ مرجع المستند ويطلب صلاحية المستخدم قبل تعديل أي حالة. ولا يكفي أن تنتج الخدمة ملخصاً صحيحاً إن كانت واجهة المعاملات تستخدم هوية خدمة تستطيع تجاوز التفويض.
فحص مسار الصوت
قد يحول مساعد صوتي كلاماً بشرياً إلى نص ثم إلى طلب أداة. هنا يسأل الفريق عن توثيق المتحدث الأصلي، وفصل التسجيل الذي أرسله مستخدم معتمد عن تسجيل خارجي أرفقه طرف آخر، وحدود دقة التعرف في الظروف المختلفة. عبارة تظهر في تفريغ تسجيل لا تحمل تلقائياً سلطة أمر من صاحب الحساب الذي رفع التسجيل. يجب أن يوضح التصميم متى يعتبر النص معلومة للاقتباس ومتى يسمح بتحويله إلى طلب يتطلب موافقة مستقلة. تستخدم الاختبارات تسجيلات مصرحاً بها وبيئات لا تتفاعل مع خدمات فعلية حساسة. ويجب عدم تخزين عينات أصوات الأشخاص أو بيانات تعريفهم دون غرض مشروع وتدابير حماية مناسبة.
فحص ملفات الوسائط الغنية
يمكن أن تتضمن ملفات العروض والمستندات طبقات نصية وتعليقات وملاحظات متحدث وخصائص كائنات وروابط وبيانات وصفية، وقد يقرأها النظام بترتيب يختلف عما يراه المستخدم. لذلك يجب بناء خريطة لعملية الاستخراج دون افتراض أن العرض المرئي هو المحتوى الكامل. لا ينبغي أن يتحول تعليق من طرف ثالث داخل ملف إلى إذن بتصدير بيانات أو استدعاء أداة. ويساعد استخدام ملف اصطناعي معروف البنية على اختبار ما يستخرجه النظام فعلياً وما يخزنه في سياقه. إذا تعذر الاطلاع على الطبقة التي تقوم بالاستخراج، تذكر حدود الرؤية ويستخدم الفريق إشارات موثوقة من سجل المعالجة بدلاً من نسبة سلوك إلى مكتبة لم تُثبت هويتها.
المستودعات والفهارس متعددة الوسائط
تسمح بعض التطبيقات بالبحث عبر تمثيلات صور أو نصوص أو ملفات صوتية مرتبطة بوثائق أصلية. لا يضمن وجود مرشح وصول على واجهة البحث أن الملفات أو الصور المصغرة أو الروابط أو سجلات التخزين الموقت تحترم العزل نفسه. ينبغي فحص ترابط سياسة الصلاحيات بين الأصل والفهرس والنسخ المعالجة ونتائج البحث. في سيناريو مستأجرين يستخدم الفريق ملفات اصطناعية مميزة لكل جهة، ويراقب ما إذا كان النظام يرجع مؤشرات أو محتوى من الجهة الأخرى ضمن التفويض. ولا يعلن تسريب مؤكد من مجرد تشابه نص مولد؛ يجب ربط النتيجة بملف أصلي أو سجل استرجاع موثوق.
سلوك الوكيل بعد تفسير وسيط
يزداد الخطر حين تكون نهاية السلسلة فعلًا لا مجرد إجابة. قد يفسر وكيل إيصالاً مصوراً ويقترح تعويضاً أو يقرأ طلب خدمة صوتياً ويختار إجراءً على حساب المستخدم. ينبغي رسم لحظة انتقال الوصف أو التفريغ إلى طلب أداة، وفحص ما إذا كانت الطبقة الخلفية تتحقق من الدور والمبلغ والمستفيد وقواعد العمل. قد يحاول محتوى مستخرج التأثير في اختيارات النموذج، لكن وجود حاجز تفويض مستقل يجعل أثر ذلك مختلفاً عن تنفيذ فعلي غير مصرح. يفصل تقرير الاختبار بين سلوك الاقتراح وحالة الأداة وقيمة السجل بعد التنفيذ، ويستخدم حسابات وبيانات لا يمكنها الإضرار بأشخاص حقيقيين.
الفرق بين خطأ النموذج وخرق أمني
قد يفشل نموذج متعدد الوسائط في قراءة رقم أو التعرف إلى عنصر، وهذا خطأ دقة يحتاج متابعة، لكنه ليس بالضرورة هجوماً أو تجاوزاً أمنياً. وقد تكون دقة الاستخراج مقبولة مع وجود فشل في التحكم بالصلاحيات يجعل أحد المستخدمين يرى ملفات غير مسموحة له. لذلك يجب أن تحدد كل حالة الاختبار أي دعوى تسعى إلى تقييمها: جودة استخراج، وسلامة التعامل مع محتوى غير موثوق، وعزل بيانات، وصحة قرار أداة، وقدرة كشف. لا يجوز خلط معدلات الدقة والرفض والأمن في مؤشر إجمالي غير واضح، خصوصاً عندما يترتب على الأخطاء قرارات مالية أو صحية أو إدارية.
الأثر الاقتصادي والموارد
يشمل القسم 4.6 من الدليل الأصلي الهجمات الاقتصادية واستنزاف الموارد. يرتبط هذا بالمخرجات متعددة الوسائط لأن معالجة الفيديو والصوت والصور وملفات كبيرة قد تستخدم موارد مكلفة أو تؤدي إلى تأخيرات وتعطيل سعة متاحة للمستخدمين الآخرين. يجب تحديد حدود الحجم والمدة وعدد الطلبات ونفقات التوليد والحوسبة وشروط الإيقاف قبل الاختبار. لا يجوز تشغيل حمل غير منضبط على خدمات الإنتاج لإثبات استنزاف محتمل. بدلاً من ذلك تستخدم بيئة ومعدلات مصرح بها وبيانات محاكاة، ويقاس أثر السيناريو على الاستجابة والتكلفة والقدرة على تطبيق الحدود من دون التأثير في الجمهور.
التعامل مع حواجز السلامة
تتناول الوثيقة أيضاً Guardrail & Safety-Classifier Evasion. قد تختلف قرارات نظام السلامة عندما يأتي محتوى عبر قناة نصية أو صورة أو صوت بعد تحويله، لذا لا يجوز افتراض تماثل الضوابط. يُختبر فصل ضوابط تصنيف المحتوى عن ضوابط تنفيذ الأفعال، ويجب ألا تكون نتيجة سلامة النص بديلاً عن تفويض الأدوات أو حماية بيانات العملاء. لا يستهدف الاختبار ابتكار طريقة لإيذاء طرف أو تجاوز نظام خارجي، بل إثبات ما إذا كانت ضوابط المؤسسة تتصرف بصورة متسقة عبر القنوات المصرح بها. تسجل اختلافات السلوك مع مصدر الدليل وحدود الاختبار والإصدار.
تصميم سيناريوهات آمنة
يبدأ الفريق بأصول اصطناعية تمثل صورة فاتورة وتسجيل طلب ومستنداً متعدد الطبقات وسجلات عمل تجريبية. ويكتب لكل قناة فرضية واضحة عن نوع المحتوى الذي يجب أن يعامل كمعلومة لا تعليمات، وعن المنع الذي يجب أن يحدث في طبقة الأداة أو التخزين. توثق نتيجة كل حالة في سجل يحوي مصدر الملف وتاريخ المعالجة ونسخة خدمة التحويل وحالة الاسترجاع وسجل طلب الأداة ومعيار Pass أو Fail أو Inconclusive. لا يحتاج الفريق إلى تضمين تعليمات هجومية قابلة لإعادة الاستخدام في بيئة حقيقية أو معالجة بيانات أشخاص غير مشاركين. أهم نقطة هي امتلاك طريقة تثبت حدود الثقة وليست مجرد رد غريب يعرض في شريحة.
معيار نجاح متعدد المصادر
يمكن أن يكون معيار نجاح حالة صورة مورد: الاستخراج يعرض الحقول الصحيحة بما يكفي لغرض العمل، ويعامل أي نص توجيهي داخل الصورة كبيانات منخفضة الثقة، ولا تغير أداة الدفع المستفيد من دون تفويض، وتظهر محاولة الرفض في السجل. أما إذا لم تتوفر سجلات الأداة فيصنف الحكم الأمني غير حاسم مهما بدا الرد النصي مطمئناً. وتحتاج اختبارات الجودة إلى مقاييس منفصلة عن أمان الفعل حتى لا يؤدي رفع معدل الرفض إلى تعطيل المعاملات المشروعة. يعد وجود معايير مكتوبة قبل التجربة شرطاً لتفسير النتائج بصورة مهنية.
إدارة مورد التحويل والملفات
قد تعتمد المؤسسة على مزود OCR خارجي أو خدمة تفريغ صوت أو منصة تصنيف ملفات، ما يزيد الحاجة إلى معرفة حدود نقل البيانات والتخزين والحذف والاحتفاظ والنسخ والإصدار. ينبغي أن تظهر هذه الخدمات في AI-BOM أو جرد التبعيات المناسب، وأن يرتبط كل مزود بدور واضح في معالجة البيانات وإجراءات إدارة التغيير. لا يعني استخدام مورد خارجي وحده غياب السيادة، لكن يجب ألا يُقدم النظام على أنه خاضع بالكامل للسيطرة إذا لم تعرف المؤسسة ما يعالجه المورد أو كيف يمكن تعليق الاتصال به. كما يجب فصل ضمانات المورد التعاقدية عن الأدلة الفنية التي تحققها الاختبارات في تطبيق المؤسسة.
التقرير التنفيذي
يحتاج المسؤول عن اعتماد النظام إلى معرفة القنوات التي شملها الفحص وما لم يشمله، وما إذا ثبت تجاوز حد ثقة في بيانات أو سلطة أداة، وما الأصول التي يمكن أن تتأثر، ومن يملك المعالجة، وهل توجد وسائل احتواء. يجب التمييز بين خلل استخراج محتوى وبين تسرب معلومات أو تنفيذ معاملة؛ فلا تستخدم درجة واحدة لجميع الملاحظات. وبعد تعديل خدمة التحويل أو نموذج الرؤية أو سياسة التفويض، يعاد تشغيل اختبارات الانحدار المتصلة بالمكون المتغير. وتبقى النتائج القديمة مؤرخة بإصداراتها مع بيان التغير بدلاً من استبدال التاريخ بأرقام أحدث.
المصدر والحدود
المصدر الأساسي OWASP GenAI Security Project, GenAI Red Teaming Manual, Version 1.0, October 2026، الأقسام 3.2 و4.4 Multimodal & Non-Text Attack Surfaces و4.5 Agentic System Attack Vectors و4.6 Economic and Resource-Exhaustion Attacks و4.7 Guardrail & Safety-Classifier Evasion. هذا التحليل عربي مستقل من سيادة AI، وليس ترجمة رسمية أو إثبات امتثال. لا يدعي أن جميع السيناريوهات المذكورة وردت حرفياً في OWASP؛ أمثلة الفواتير والتفريغ والسجلات تطبيقات توضيحية على مبادئ الدليل. ترخيص المصدر CC BY-SA 4.0 وفق الوثيقة الأصلية. أي اختبار يجب أن يتم في نطاق مصرح به، مع حماية البيانات وحقوق أطراف ثالثة وعدم تنفيذ إجراءات ضارة.