لا تكفي خريطة الخدمات؛ يجب ربط كل حد ثقة بالأصل والجهة والضابط ودليل اختبار نجاحه.
دليل رسم حدود الثقة وأسطح الهجوم في أنظمة الذكاء الاصطناعي التوليدي
الهدف والمخرجات
هذا دليل تطبيقي لبناء خريطة أسطح الهجوم وحدود الثقة في نظام ذكاء اصطناعي توليدي قبل تنفيذ اختبار Red Teaming. الهدف ليس رسم مخطط جذاب أو جمع أسماء خدمات، بل تمكين الفريق من تحديد أين يدخل المحتوى غير الموثوق، وأين تُتخذ قرارات السلطة، وأين يمكن أن يتحول نص إلى فعل، وما الأدلة اللازمة لإثبات أن الضوابط تمنع عبوراً غير مشروع. ينطلق الدليل من المرحلة الثالثة Surface Mapping في دليل OWASP GenAI Red Teaming Manual v1.0 الصادر في أكتوبر 2026، ولا يمثل ترجمة رسمية أو قواعد إلزامية فرضتها OWASP. المخرج المطلوب خريطة تدفقات ودفتر حدود ثقة وسجل فرضيات اختبارات، بالإضافة إلى علاقات واضحة بين الأصول والمالكين والأدوات والضوابط. ينبغي استخدام بيانات اصطناعية وحسابات مصرّح بها وعدم تشغيل تجارب على مستخدمين حقيقيين من دون موافقة صريحة.
الحدود التنظيمية والتفويض
قبل رسم خط واحد، يسأل الفريق من يملك النظام ومن يملك البيانات، وما العمليات التي يُسمح للاختبار بالوصول إليها، وما الحسابات والأدوار المتاحة، وأي أطراف ثالثة لا يجوز لمسها. تحدد وثيقة قواعد العمل بيئات الاختبار والوقت المسموح وسقف الاستهلاك والتصرف عند اكتشاف بيانات إنتاجية أو خلل قد يؤثر في خدمة فعلية. وتفصل الوثيقة بين الأصول التي تملك المؤسسة حق اختبارها وبين خدمات الموردين التي تخضع لشروط استخدام أو اتفاقات منفصلة. الاختبار بمستخدم عادي يختلف عن فحص داخلي يوفر فيه فريق التطوير سجلات وصلاحيات أعلى. لا ينبغي نسب اكتشاف حصل عبر صلاحية إدارية إلى مهاجم خارجي لا يملكها. سجل التفويض جزء من سلسلة الأدلة التي تجعل نتائج الاختبار صالحة لقرارات الحوكمة.
الجرد المعماري الحقيقي
ينشئ الفريق جرداً يضم نقطة دخول المستخدم، ومكون إدارة الجلسات، وطبقة التنسيق Orchestration، والنموذج أو المزود، ومسترجع RAG، وقاعدة المتجهات عند وجودها، ومخزن المستندات الأصلي، وواجهات الأدوات، ومزود الهوية، وإدارة الأسرار، وطبقة التحكم بالصلاحيات، والمراقبة والتسجيل، وأنظمة الأعمال النهائية. لا يكفي تسجيل اسم المكون؛ يجب تحديد مالكه، والبيانات التي يتعامل معها، ومصدر النسخة، والجهة التي تستطيع تعديل تكوينه، وهل يستخدم في بيئة الإنتاج أو الاختبار. عندما تكون تفاصيل نموذج مورّد غير مكشوفة، يُكتب أن المكوّن خارجي بحدود رؤية مقيدة، ولا يُختلق مخطط داخلي أو ادعاء بالسيطرة على أوزانه. يميّز الجرد ما ثبت من سجلات ومخططات عن افتراضات الفريق التي تنتظر تحققاً.
تدفقات البيانات والمعلومات
يبدأ رسم التدفق من دخول طلب المستخدم حتى إظهار الرد أو تنفيذ الإجراء. في تطبيق استرجاع مثلاً يمر السؤال عبر جلسة المستخدم، ثم خدمة الاسترجاع، ثم اختيار مقاطع من المستندات، ثم تجميع السياق، ثم النموذج، ثم معالجة الإخراج. وقد تمر نتائج النموذج إلى أداة بحث أو بريد أو قاعدة بيانات أو خدمة مالية. لكل سهم يجب تحديد البيانات المحمولة، والهوية المرفقة، ومكان تحقق التفويض، ونوع الثقة في المصدر، وما إذا كانت البيانات تخزن مؤقتاً أو دائماً. مصدر وثيقة مسترجعة ليس بالضرورة في مستوى الثقة نفسه الذي تتمتع به تعليمات المشغل. ويجب بيان احتمال قيام المخرجات بدور مدخلات جديدة لخدمة لاحقة؛ لأن المخاطر قد تنتقل على شكل سلسلة لا تظهر في شاشة المحادثة وحدها.
نموذج حدود الثقة
حد الثقة هو موضع ينتقل عنده طلب أو بيانات أو تعليمات بين منطقتين تختلف فيهما السلطة أو درجة الاعتماد أو القدرة على التأثير. يمكن أن يكون الحد بين الإنترنت والشبكة المؤسسية، أو بين مستأجرين، أو بين نص مسترجع وتعليمات نظام، أو بين اقتراح وكيل وسلطة تنفيذ أداة. لا يختزل الحد في خط مرسوم حول خدمة سحابية: قد تشترك خدمتان في الحساب نفسه لكنهما تتعاملان مع بيانات مختلفة وتحتاجان إلى تحقق صلاحيات مستقل. لكل حد نسجل الطرف الذي يرسل والجهة التي تستقبل والسبب الذي يسمح بالعبور والضابط المفروض والدليل على تنفيذ الضابط. إذا كان الضابط عبارة عن تعليمات للنموذج فقط، نسجل ذلك ولا نفترض أنه يعادل تحكماً إلزامياً في طبقة API.
التفويض مقابل القدرة
الوكيل الذي يستطيع إنشاء استدعاء لأداة لا يعني أنه مخول بتنفيذ كل ما يمكن لتلك الأداة تقنياً. قد تنفذ الأداة بطبقة هوية مشتركة أو مفتاح خدمة واسع الصلاحيات، بينما يفترض النظام أن تعليمات النموذج ستمنع أي استخدام غير مناسب. هذا الخلط بين القدرة التقنية والتفويض المؤسسي أحد أخطر نقاط الفحص. ينبغي أن يحدد صاحب النظام لكل إجراء: من فوّضه، وعلى أي أصل، وبأي شروط، ولأي مدة، وكيف تتحقق الطبقة الخلفية من صلاحية المستفيد الأصلي. الموافقة البشرية المفترضة في النص لا تكفي إذا كان بالإمكان تجاوزها باستدعاء أداة مباشر. المخرج خريطة صلاحيات للأدوار والعمليات والعلاقات مع هويات الخدمة وآليات الإلغاء والتعليق والاستجابة.
مصادر المحتوى غير الموثوق
تدخل التعليمات غير الموثوقة من المستخدم أو من مستند مسترجع أو صفحة ويب أو بريد أو نتيجة أداة أو صورة أو صوت أو بيانات وصفية. لا يعني ذلك أن كل هذه المصادر خبيثة، بل إنها لا ينبغي أن تحصل على سلطة تغيير قواعد التشغيل بمجرد إدراجها في سياق النموذج. يسجل الفريق درجة الثقة بالمصدر ومن يستطيع تعديله ووقت إدخاله وطريقة عرضه للنموذج، وهل توجد وسيلة لتمييز الاقتباس عن الأمر. في RAG قد يكون المستند صحيحاً كمعلومة لكنه لا يملك تفويضاً بإرسال رسالة أو تغيير حساب. لذلك تُختبر قواعد اتخاذ القرار عند الطبقة التي تنفذ الفعل، ويجري التأكد من عدم نقل سلطات المسؤول إلى نص مصدر خارجي.
العزل بين المستخدمين والمستأجرين
في الأنظمة متعددة المستأجرين، ينبغي أن تظهر حدود العزل بوضوح في الفهرسة والبحث والذاكرة والسجلات والتخزين وطلبات الأدوات. قد يطبق التطبيق التحقق عند واجهة الاستعلام لكن يتجاهله عند تحميل نتيجة مخبأة أو إعادة استخدام سياق جلسة سابقة. ينشئ الفريق بيانات اصطناعية مميزة لكل مستأجر وحسابات اختبار ذات أدوار مختلفة، ويفحص ما إذا كان النظام يسترجع أو يعرض أو يعدل بيانات خارج النطاق المسموح. مع ذلك لا يجوز إعلان تسريب واسع لأن سلسلة نصية ظهرت من دون التحقق من مصدرها وسجل الاسترجاع. يجب أن يثبت اختبار العزل سبب ظهور البيانات وآلية المنع أو الإخفاق على مستوى النظام الخلفي، وأن يجري تسجيل النتيجة والإصدار والبيئة.
تسجيل الأصول الحساسة
ليست كل الحدود متساوية في الأهمية. يجب أن يربط الجرد كل حد بأصول محددة: بيانات شخصية، أسرار تجارية، قنوات تواصل، أدوات دفع، أجهزة صناعية، مستندات مجلس الإدارة، أو معلومات أقل حساسية. تستخدم المؤسسة نظام تصنيف البيانات والسياسات المعتمدة لديها، ولا تستبدلها بتصنيف افتراضي مستورد من مقال. يحدد مالك الأصل أثر القراءة غير المشروعة وأثر التعديل وأثر توقف الخدمة، مع بيان قدرة الكشف والتراجع. يساعد هذا الربط على ترتيب اختبارات الفريق بحسب قيمة الأصول والمخاطر المحتملة بدلاً من عدد الأسطح أو سهولة إثارة النموذج. وقد يكون مسار صغير إلى أداة عالية الصلاحية أكثر خطورة من واجهة محادثة عامة تعرض ردوداً غير مناسبة من دون اتصال بأنظمة أعمال.
تحويل الخريطة إلى فرضيات
لكل حد ثقة تكتب فرضية محددة: إذا جاء محتوى من مصدر ذي ثقة منخفضة فهل يستطيع تغيير سلوك له سلطة أعلى؟ وإذا طلب وكيل إجراء خارج دور المستخدم فهل تمنعه طبقة التنفيذ؟ وإذا تغير مستند مسترجع فهل يظل العزل صحيحاً؟ وإذا أعادت أداة نتيجة تحمل تعليمات إضافية فهل تعامل على أنها بيانات؟ تضاف لكل فرضية شروط مسبقة وبيئة وأصل مستهدف وضابط متوقع وسجل أدلة ونوع نتيجة. يمنع هذا الشكل التعميم، ويتيح للمدقق فهم أن الاختبار يثبت أو ينفي دعوى ضيقة. بعض الفرضيات قد لا يمكن اختبارها لغياب تفويض أو رؤية كافية، وعندها تسجل HOLD أو INCONCLUSIVE ولا تُحسم افتراضياً.
بناء معايير الحكم والأدلة
قبل أي تجربة يحدد الفريق معيار Pass/Fail. مثال دفاعي في نظام مشتريات: إذا استخدم وكيل قراءة عروض الموردين، فإن محاولة تغيير معلومات حساب الدفع بغير تفويض يجب أن تفشل في نظام المعاملات الخلفي وألا تتغير الحالة. لا يكفي رد اعتذاري من النموذج لإثبات النجاح؛ يجب ربطه بسجل استدعاء الأداة وبسجل رفض التفويض وبتحقق عدم تغير السجل المستهدف. وبالمقابل، لا يوصف فشل كامل إذا لم يكن النظام الخلفي متاحاً أثناء الاختبار؛ تصنف الحالة غير حاسمة وتستكمل أدلتها. يفضل اعتماد مجموعة محددة من الاختبارات قابلة لإعادة الإنتاج وربطها بإصدارات البرامج والنماذج والأدوات، لأن اختلاف نسخة المورد قد يغير سلوك التجربة.
سيناريو RAG مؤسسي
تخيل بوابة معرفة داخلية تسمح لموظفي الموارد البشرية بقراءة سياساتهم بينما يستطيع مسؤولو الرواتب وحدهم الوصول إلى بيانات تفصيلية. يبدأ الاختبار برسم انتقال طلب الموظف إلى الفهرس واختيار المستندات وتركيب السياق ثم النموذج. يحدد الفريق ما إذا كان ترشيح الوصول يتم قبل الاسترجاع أم بعده، وهل يحتوي التخزين المؤقت على بيانات من مستخدم آخر، وكيف تحمي طبقة العرض الروابط إلى الملفات الأصلية. تختبر فرضيات حول عزل المستندات باستخدام بيانات اصطناعية وأدوار معروفة. إذا رفض النموذج إجابة تتضمن بيانات محظورة، لا نعلن PASS حتى نتأكد أيضاً أن نتيجة الاسترجاع الأصلية لم تُكشف في سجلات أو مسارات جانبية. وتنقل المخاطر المكتشفة إلى مسؤول الفهرسة وإدارة الهوية والمراقبة.
سيناريو وكيل مؤسسي
تخيل وكيلاً يراجع طلبات شراء ويستطيع إعداد مسودة موافقة لكنه لا يستطيع اعتمادها. تتصل خدمة الوكيل بنظام ERP وتستخدم رمز خدمة واسعاً نسبياً. يجب رسم الحد الفاصل بين اقتراح الوكيل والإجراء المعتمد، وحفظ هوية المستخدم وسياق التفويض مع استدعاء الأداة، وتطبيق موافقة موثوقة خارج النموذج. يختبر الفريق ما إذا كان أي محتوى من وصف المورد أو رسالة بريد يستطيع دفع الوكيل إلى محاولة إجراء غير مخول، ثم يتحقق من نتيجة المنع في النظام الخلفي. يسجل إذا كان الحد يعتمد على موافقة بشرية حقيقية أو على زر واجهة يمكن تجاوزه. ويقيم أثر التأثير في الذاكرة أو تكرار المهمة دون ممارسة إجراء ضار على معاملات حقيقية.
التغطية والتغيير المستمر
خريطة الاختبار ليست وثيقة تؤلف مرة واحدة. تتغير مع إضافة أداة أو مصدر بيانات أو مزود نموذج أو نسخة من سياسة التفويض أو لغة جديدة أو نمط جديد من الملفات. لذلك تسجل صلة كل سيناريو بمكوّن معين وحد ثقة وأصل ومستوى صلاحية، ثم تستخدم صلات التأثير لإعادة الاختبار عند تعديل المكوّن. إذا تغير نموذج مستضاف فقط فقد تحتاج المؤسسة إلى إعادة معايرة بعض اختبارات السلوك، وإذا تغيرت هوية الخدمة أو سياسة التخزين فالمخاطر المتعلقة بالتفويض والعزل قد تكون أولى بالتحقق. لا تعوض اختبارات الانحدار عن تقييم مخاطر النظام عند التغيير الجوهري؛ لكنها تمنع إعادة الخطأ المكتشف من دون ملاحظة.
التقرير والملكية والإغلاق
التسليم النهائي ينبغي أن يحتوي خريطة معمارية مؤرخة، وسجل حدود الثقة، وسجل الأصول والأدوار، ومصفوفة سيناريوهات ومقاييس، وقائمة النتائج المؤكدة وغير الحاسمة، والتوصيات والأولويات وملاك الإجراءات. يحتاج فريق الأمن إلى الأدلة الفنية، بينما يحتاج المسؤول التنفيذي إلى أثر كل فشل على الأصول والوظائف وقرارات الإطلاق. لا يُغلق ضعف لأن المسؤول قال إنه أصلحه؛ يُغلق حين تتوفر أدلة عن فحص التفويض أو العزل أو الضابط المناسب وإعادة تنفيذ الاختبار بنجاح. توثق المخاطر المتبقية التي لم تعالج والجهة التي قبلتها ومدة القبول. وبهذا يتحول تمرين الفريق الأحمر إلى ضمان مستمر قابل للتدقيق دون الادعاء أن خريطة الأسطح وحدها تثبت سلامة النظام.
المصدر والترخيص والحدود
هذا المحتوى دليل تحليلي تطبيقي من سيادة AI، مستند إلى منهجية Surface Mapping وTrust Boundaries & Data-Flow Mapping وThreat Modeling في GenAI Red Teaming Manual، OWASP GenAI Security Project، الإصدار 1.0، أكتوبر 2026، ولا يمثل ترجمة رسمية أو اعتماداً من الجهة الناشرة. المصدر الأصلي منشور برخصة CC BY-SA 4.0، ويجب نسب المواد المقتبسة أو المكيّفة ومراعاة شروط المشاركة بالمثل. حدود هذا الدليل أنه لا يقدم فحصاً فعلياً لأي مؤسسة ولا يثبت امتثالها، بل يبين كيف يمكن تصميم عملية تقييم مصرح بها وجمع أدلتها. يمنع استخدام إرشاداته لتجاوز صلاحيات أنظمة لا يمتلك المختبر تصريحاً قانونياً وتنظيمياً باختبارها. قيمة المخرج هي وضوح السلطة والأدلة والقرارات وليس عدد الخطوط في الرسم.