البصمة اللغوية ليست إثباتاً لهوية النموذج، وغياب CVE أو نظافة المستودع لا يثبتان سلامة الحزمة الحية.
الاستطلاع الأمني وسلسلة توريد الذكاء الاصطناعي: من AI-BOM إلى حدود الثقة
منهجية الاستطلاع في الوثيقة الأصلية
تخصص النسخة الأولى من OWASP GenAI Red Teaming Manual الصادرة في أكتوبر 2026 المرحلة الثانية Reconnaissance & Fingerprinting لجمع المعلومات الاستراتيجية عن تصميم النظام وسلوكه ودفاعاته وأسطح الوصول إليه. تذكر الوثيقة خمسة أهداف رئيسية: فهم الغرض والحدود والسلوك المتوقع، وتحديد قنوات الوصول مثل التطبيقات والواجهات البرمجية، وفحص القرائن التي قد تساعد في التعرف إلى المكونات، وملاحظة ما يمكن الوصول إليه من تعليمات أو تعريفات أدوات أو بيانات أو ضوابط، وإنشاء خط أساس سلوكي يمكن مقارنة المراحل اللاحقة به. لا تعني هذه الأهداف جواز الاختبار خارج التصريح، ولا تجعل كل سلوك يقدمه النموذج دليلاً قاطعاً على بنية النظام. تضع هذه القراءة جانب الحوكمة وسلسلة التوريد في المقدمة، لأن كثيراً من مؤسسات الأعمال تتصل بنماذج ومكتبات ومكونات خارجية تتغير من دون أن ترى إدارة المخاطر آثار التغيير.
قراءة المصادر العامة ضمن النطاق
تقترح المرحلة الثانية تحليل وثائق الاستخدام والسياسات وأوراق البحث وواجهات API وبطاقات النماذج والوثائق التشغيلية ومنتديات المطورين. في التطبيق المؤسسي تُسجل لكل معلومة ثلاثة عناصر: المصدر وتاريخ الاطلاع وما تسمح بإثباته. بطاقة النموذج قد توضح الاستخدام المقصود والقيود المعروفة، لكنها لا تثبت وحدها أن التطبيق المحلي يفرض هذه القيود أو أن واجهة التنفيذ تعزل البيانات. وثائق API تكشف حقول الإدخال وصيغ الاستجابة وحدود الاستدعاءات المعلنة، لكن وجود حقل إعداد مثل temperature لا يجعله تلقائياً سطح حقن تعليمات. تتفادى المؤسسة التعويل على استنتاجات غير مثبتة من مشاركات مجتمعية أو إجابات مساعد ذكي عن هويته. المخرج هنا سجل مصادر مع درجة ثقة، لا ملف قصاصات غير موثق.
لماذا يكون Fingerprinting محدود الحجية
يعرض المصدر أمثلة لأنماط الرفض التي قد توحي بوجود بوابة سلامة أو ضبط سلوكي أو قالب استجابة، لكنه يحذر صراحة من معاملتها على أنها قاعدة حاسمة للتعرف إلى عائلة النموذج. قد تعيد طبقات التصفية والمطالبات النظامية والتخصيص والتحديثات إنتاج الأسلوب نفسه عبر بنى مختلفة. لذا لا يحق لمراجع أمني أن يقول إن النظام يستخدم مورداً معيناً فقط لأنه اعتذر بطريقة تشبه ذلك المورد. يحتاج إثبات نوع النموذج وإصداره إلى بيانات نشر موثوقة أو تكوين يمكن التحقق منه ضمن مستوى الوصول الممنوح. وتستخدم الملاحظات اللغوية لتوجيه أسئلة اختبار لاحقة، مع المحافظة على فرق واضح بين القرينة والواقعة المؤكدة.
سلسلة التوريد ليست قائمة أسماء مورّدين
تنص فقرة Supply Chain Reconnaissance في الصفحة 29 على حصر النماذج الخارجية ومجموعات البيانات وتبعيات البرمجيات التي تدعم النظام، ثم بناء AI Bill of Materials، أو AI-BOM، يضم النماذج الأساسية ومحولات الضبط الدقيق والمُجزِّئات والمكتبات المسؤولة عن التنسيق والحاويات وخوادم MCP. تختلف أهمية كل مكون بحسب موقعه في التدفق وما يمتلكه من قدرة. قد لا يشكل مكون مستخدم لأغراض العرض خطراً مماثلاً لخادم أدوات يمتلك حق قراءة سجلات العملاء أو تعديل معاملات. لذلك يجب أن يرتبط الجرد بهوية المسؤول وإصدار المادة الرقمية ومصدرها والتحديثات المسموحة والبيئة الفعلية التي تعمل فيها. عدم وجود رقم إصدار مُعلن لا يعني تلقائياً أن النظام آمن، بل يعني وجود نقص رؤية يجب إدراجه في حدود التقييم.
فجوة المستودع والحزمة المنشورة
تسلط الوثيقة الضوء على Artifact Drift: قد يظهر في مستودع المصدر أن ملفاً معرضاً للخلل حُذف أو أصلح، بينما تظل الحزمة المنشورة في سجل التوزيع تتضمن الملف القديم. لذلك لا يكفي الرجوع إلى علامة Git أو ملاحظات إصدار دون مقارنة المادة المنشورة التي يستخدمها النظام فعلياً. يُفضل توثيق هوية الإصدار وملخص التحقق الرقمي وتوقيع المادة عندما يتوافر، ثم التحقق من مطابقة الحزمة المستخدمة في التشغيل لما فُحص. ويمكن للفريق التقني فحص الاعتماديات المنشورة بصورة آمنة، مع تجنب تشغيل ملفات نماذج غير موثوقة لغرض استكشافها؛ تشير الوثيقة إلى استخدام تحليل ساكن في بيئة معزولة. يُظهر هذا الفارق لماذا تتطلب سيادة المؤسسة على برمجيات الذكاء الاصطناعي رؤية إلى سلسلة البناء والتوزيع، لا الاكتفاء بفحص المستودع.
حدود أدوات تحليل التبعيات
تذكر الوثيقة أن أدوات Software Composition Analysis قد لا تكشف جميع مشكلات أطر تنسيق الذكاء الاصطناعي. فقد تُصنف مشكلة على أنها خطأ استخدام أو سلوك متوقع أو إعداد موثوق، أو تعالج دون إصدار CVE رسمي. وعليه فإن فحص الاعتمادية الذي يعود بنتيجة خالية من التحذيرات لا يثبت غياب مسار استغلال، خصوصاً عندما يعتمد الخلل على اجتماع إعدادات وعلاقات ثقة متعددة. لا يعني ذلك إهمال أدوات SCA؛ بل وضع نتائجها داخل برنامج تحقق أوسع يجمع الجرد والتحليل الساكن وفحص التكوين والاختبارات العدائية المصرح بها. ويجب ألا تتحول عبارة «لا توجد CVEs» إلى قرار قبول مخاطر تلقائي من دون تفسير ما غطته الأداة وما لم تغطه.
التوقيع والأصل وسجل الصلاحيات
يفيد تقييم Provenance في تحديد ما إذا كان ملف نموذج أو مكتبة أو مخطط أداة مصدره جهة متوقعة، وهل تغير أثناء النشر أو التحديث. من الضوابط التي يذكرها المصدر التحقق من تجزئة المواد الرقمية وتوقيعاتها وتثبيت إصدارات التبعيات وصلاحيات السجلات. لكن توقيع الحزمة يثبت جانباً من أصلها وسلامة انتقالها، ولا يضمن أن منطقها يخلو من عيوب أو أن إعداداتها آمنة. تحتاج المؤسسة إلى معرفة من يستطيع نشر نسخ جديدة في سجل النماذج أو تغيير تعريفات الأدوات أو تحديث بيانات الاسترجاع. قد يكون اعتماد طرف ثالث واسع الصلاحيات نقطة تحول أكثر أهمية من مستوى دقة النموذج، لأن تغيير مخطط أداة أو صلاحية خدمة قد يغير قدرة الوكيل على الفعل.
مصادر البيانات والمستندات المسترجعة
يشمل الجرد مجموعات البيانات والتبعيات التي تدخل في تدريب النموذج أو تخصيصه أو تشغيل الاسترجاع، لكن يجب عدم الخلط بين هذه الحالات. قد تستخدم مؤسسة نموذجاً خارجياً لا تملك بيانات تدريبه، لكنها تتحكم في مستودع RAG وقواعد تصنيف الملفات. عندها يكون تقييم مصدر المستند والتعديل عليه وفهرسته وعزله بحسب الصلاحية جزءاً من القدرة المؤسسية على التحكم. ينبغي تسجيل تاريخ إضافة المصدر ومالك البيانات وأدوار الوصول وطريقة التحقق من أن الفهرس المنشور يعكس أحدث سياسات الوصول. فإذا تغيرت صلاحيات مستند دون إعادة بناء فهرس أو إبطال تخزين مؤقت، قد تظهر فجوة عزل لا ترتبط مباشرة بأوزان النموذج. لا يثبت اختبار نص المخرجات وحده سلامة هذه السلسلة.
أمن خوادم MCP وتعريفات الأدوات
يخص المصدر خوادم MCP ضمن مكونات AI-BOM، لأن خادم الأداة يربط الذكاء الاصطناعي بخدمات يمكنها الوصول إلى بيانات أو تنفيذ أعمال. يجب أن يشمل الجرد اسم الخادم ومالكه وإصدار البروتوكول أو التطبيق وواجهات الأدوات وصلاحيات الخدمة وجهات الاتصال المسموح بها وآلية تسجيل الاستدعاء. مخطط الأداة قد يصف وظيفة مشروعه، لكنه ليس بنفسه قرار تفويض؛ يجب أن يستند التنفيذ إلى ضوابط هوية مستقلة. وعند تغيير تعريف أداة قد يتغير ما يستطيع النموذج طلبه أو ما يفسره نظام التنفيذ، ما يستدعي تقييم مخاطر التغيير قبل التفعيل. وينبغي التعامل مع محتوى نتائج الأدوات بوصفه بيانات ذات مستوى ثقة محدد لا تعليمات عليا تلقائياً.
الفرق بين ظهور معلومات وسرقة نموذج
يشير الدليل إلى التحقق من إمكانية كشف تعليمات النظام وتعريفات الأدوات والبيانات المسترجعة أو المحفوظة، لكنه ينبه إلى أن الادعاءات النصية التي ينتجها النموذج لا تثبت تسريب أوزانه. لذا يجب تفكيك مصطلح Model Theft عند كتابة التقارير. قد يعرض النظام نصاً يشبه تعليماته، أو يتيح استرجاع بيانات حساسة، أو يكشف ملفات حقيقية في سجل تخزين؛ وهي ملاحظات مختلفة تحتاج إلى أدلة مناسبة. لا يجوز الاستدلال على حيازة أوزان النموذج لأن واجهة المحادثة صرحت باسم طراز أو أعادت تمثيلاً تخمينياً لقواعدها. يحتاج كل ادعاء إلى بيان الشيء الذي كشف ومصدره والتحقق من صحته والقدرة التي يملكها الشخص الذي شاهده.
الخط الأساس قبل الاختبار
يعد إنشاء Behavioral Baseline من الأهداف الأساسية للمرحلة الثانية. ويقصد به توثيق سلوك النظام الطبيعي ضمن نطاق محدد قبل إدخال حالات الاختبار العدائي، مثل نمط استدعاء الأدوات المصرح، وسياسة التعامل مع مستندات غير موثوقة، والإجابات المقبولة، والحدود المعروفة، وتواتر أحداث السجل. يسمح ذلك بفصل تغير حقيقي في الضابط عن مشكلة في البيئة أو تغيّر سلوك النموذج لأسباب لا علاقة لها بالسيناريو. يجب توثيق الوقت والنسخة ومجموعات البيانات والأدوار المستخدمة. لا يعد الخط الأساس ضماناً للأمن، لكنه مرجع للتفريق بين شذوذ جديد وسلوك موجود، وإعادة تفسير نتيجة ظهرت بعد تحديث مورد أو سياسة.
خريطة المسؤوليات والتحول إلى Phase 3
لا تنتهي المرحلة الثانية بنشر جرد تقني منفصل عن القرار. تنتقل النتائج إلى Phase 3 Surface Mapping لتحديد نقاط الدخول وحدود الثقة ومسارات البيانات. ويمكن لكل عنصر في AI-BOM أن يُربط بأصل مؤسسي ومالك وصلاحية وإجراء تشغيل ومخاطر محتملة. مثال: نموذج خارجي يقدم استدلالاً نصياً قد يخضع لاتفاق مشاركة بيانات، وخادم MCP قد يملك حق إنشاء رسالة أو تعديل سجل، ومخزن مستندات قد يفرض عزل مستأجرين. ينبغي أن تظهر تلك العلاقات في خريطة واحدة لكي يفهم فريق Red Team ما يجوز اختباره، وفريق Blue Team ما يجب مراقبته، وفريق الحوكمة أين ينتهي تحكم المؤسسة وأين يبدأ اعتمادها على أطراف أخرى.
القرارات المرتبطة بالمورّد
عندما تكشف مرحلة الاستطلاع أن مؤسسة تعتمد على حزمة غير مثبتة الإصدار أو سجل مواد لا يمكن التحقق من أصله، لا يكون الحل دوماً استبدال المورد فوراً. يقيّم مسؤول المخاطر حساسية الاستخدام وقدرة المؤسسة على فرض ضوابط تعويضية وإمكان الحصول على معلومات إصدار وتوقيع من المورد وشروط الإبلاغ عن الثغرات. قد يتطلب القرار منع استخدام جزء ذي صلاحيات واسعة إلى حين إعادة تقييمه، أو مراقبة تحديثاته، أو تعديل اتفاقية خدمة. يجب عدم تصوير كل تبعية خارجية على أنها فقدان سيادة مطلق؛ السؤال الأهم هو حجم السلطة التي تتنازل عنها المؤسسة ودرجة رؤيتها وقدرتها على إيقاف أو عزل المكون وإثبات ما حدث.
المخرجات العملية
يمكن إنشاء ملف AI-BOM يضم معرف المكون ونوعه وإصداره ومصدره ومسؤول الخدمة وصلاحياته وأصل الثقة وتاريخ الفحص وحدود الرؤية. ويضاف سجل واجهات API المصرح بها، وخرائط مخازن المواد الرقمية، وأدلة تطبيق سياسات التحكم بالوصول، وملخص ضوابط Guardrails، وقائمة فرضيات تُنقل إلى المرحلة الثالثة. تذكر الوثيقة هذه العائلات من الأدلة، لكن شكل جدول المؤسسة وتوزيع المسؤوليات هنا تنظيم تحليلي من سيادة. يجب أن تتضمن المخرجات المؤكَّد والملاحظ وما يحتاج تحققاً، بحيث لا يختلط واقع النشر مع وصف التسويق أو المستودع. ويُفضل أن تربط كل معلومة بمصدر قابل للمراجعة وتاريخ، لأن التقادم السريع من أهم تحديات الأنظمة المتغيرة.
أمثلة تحقق غير هجومية
يمكن لفريق يملك تصريحاً بمراجعة بنية مساعد داخلي مقارنة قائمة الحزم التي أعلنها فريق التطوير بما يستخدم فعلياً في بيئة الاختبار، ومقارنة إعداد تفويض خادم أدوات مع دور المستخدم المفترض، ومراجعة سياسة تحديث مستندات RAG. إذا ظهر اختلاف بين مستودع المصدر وحزمة التوزيع، يُطلب تحقق فني آمن قبل تصنيف الحالة كعيب أمني. وإذا لم يملك الفريق الوصول إلى البيانات الداخلية لمورد النموذج، يسجل القيد ويستند إلى ضمانات المورد والأدلة المصرح بها بدلاً من تخميناته. وتُدار الاختبارات اللاحقة ضمن قواعد عمل منفصلة عن مرحلة جمع الأدلة ولا تتجاوز نطاق التفويض لمجرد توفر أدوات تقنية.
أخطاء ينبغي تجنبها
من الأخطاء مساواة أسلوب رفض النموذج بهويته، أو اعتبار غياب CVE دليلاً على خلو الاعتماديات من الخطر، أو الظن أن حذف ملف من Git يعني اختفاءه من الحزمة المنشورة، أو تشغيل ملف نموذج غير موثوق لفحص سلامته، أو تسجيل اسم مورّد دون معرفة أدواته وصلاحياته. ومن الأخطاء أيضاً إعلان سرقة أوزان اعتماداً على رد نصي، ودمج فرضية مع حقيقة في التقرير، ونسيان اختلاف إعدادات الإنتاج عن بيئة الاختبار. ينبغي مراجعة كل ادعاء بسؤالين: ما الدليل؟ وماذا لا يثبت هذا الدليل؟ هذه الممارسة تقلل القرارات الأمنية المتسرعة كما تقلل طمأنة المؤسسة دون أساس.
النطاق والمرجع الأصلي
المصدر: OWASP GenAI Security Project, GenAI Red Teaming Manual, Version 1.0, October 2026، الصفحات 26–30، وخصوصاً الفقرتان 2.1 Analyze Public Artifacts و2.2 Supply Chain Reconnaissance وقسم Artifacts & Evidence. يتضمن المصدر موضوعات Model Cards وAPI Documentation وRefusal Pattern Diagnostics وAI-BOM وArtifact Drift وSCA Blindness. هذا النص قراءة تحريرية موسعة من سيادة AI لا يمثل ترجمة معتمدة ولا ادعاء انتماء أو تصديق رسمي من OWASP، ولا يقرر أن كل حالة موثقة في الأمثلة تنطبق على بيئة القارئ. الوثيقة الأصلية خاضعة لرخصة CC BY-SA 4.0 وفق بيانها، ويجب الالتزام بإسنادها وشروط إعادة استخدام الأعمال المشتقة. تجرى جميع عمليات التحقق العملية على أنظمة ومواد يملك الفريق صلاحية قانونية صريحة لفحصها.