كلما امتلك الوكيل قدرة على الفعل، صار التفويض الخلفي وإثبات المنع أهم من مجرد امتثال المخرجات النصية.
سبعة أسئلة يجب أن يطرحها مجلس الإدارة قبل منح وكلاء الذكاء الاصطناعي صلاحيات تشغيلية
السؤال الذي ينبغي تغييره
عندما تناقش إدارة مؤسسة أمن الذكاء الاصطناعي، كثيراً ما تسأل: هل تستخدمون نموذجاً آمناً؟ لكن نموذجاً لديه قدرات ممتازة وطبقات سلامة واسعة قد يدخل إلى تطبيق يملك رموز خدمة عالية الصلاحية أو يسترجع مستندات خارج نطاق المستخدم أو يرسل بيانات إلى طرف لا تملك المؤسسة تفسيراً واضحاً لدوره. لذلك أصبح السؤال الأهم: ما السلطات التي نمنحها للنظام المتكامل، وكيف نثبت حدودها عند تغير المكونات أو تعرض إحدى قنوات الإدخال لتأثير غير موثوق؟ يشرح دليل OWASP GenAI Red Teaming Manual v1.0 المنشور في أكتوبر 2026 اختبار النظام عبر ثماني مراحل، وتبرز فيه سلسلة التوريد وحدود الثقة والوكلاء ومقاييس الأثر. هذا المقال رأي تحليلي لسيادة، لا يمثل موقف OWASP الرسمي أو تفسيراً ملزماً للقواعد التنظيمية.
لا تختزل المورد في اسم النموذج
قد تستخدم المؤسسة خدمة استدلال من شركة معروفة، لكنها تعتمد أيضاً على مزود تخزين ومكتبة تنسيق وخادم أدوات ومصدر مستندات خارجي وخدمة مراقبة. كل مكون قد يكون ضرورياً لعمل النظام، لكن الخطر يتحدد بحسب بياناته وصلاحياته ومسؤولية تشغيله وتغيره. لا يكفي أن يؤكد المورد أن نموذجه اجتاز اختبارات سلامة؛ يجب أن يعرف مالك النظام من يملك إذن تنفيذ كل أداة، وماذا يحدث عند تعديل نموذج أو تحديث واجهة أو تغيير سياسة تخزين. توثق هذه العلاقات في جرد أدلة لا في ملصق تسويقي. وتزداد أهمية ذلك في البيئات متعددة المستأجرين عندما يكون الوصول إلى مستند واحد خارج الدور إخفاقاً مهماً رغم أن بقية الإجابات تبدو سليمة.
سؤال مجلس الإدارة الأول: من يملك القرار؟
حين يستطيع وكيل اقتراح تعديل سجل أو إرسال رسالة أو إعداد معاملة، ينبغي تحديد الفارق بين الاقتراح والتنفيذ. من خوّل الوكيل طلب الأداة؟ وهل يسمح نظام الأعمال بالفعل للحساب الأصلي بتنفيذ الطلب أم يستخدم الوكيل مفتاح خدمة واسعاً يكفي وحده؟ ومن يستطيع تعليق هذه الصلاحية فور ظهور سلوك غير مرغوب؟ هذه ليست تفاصيل هندسية محضة؛ إنها أسئلة تخص سلطة القرار والمساءلة. قد يعطي النص المُوجّه إلى النموذج انطباعاً أن موافقة بشرية مطلوبة، لكن لا قيمة أمنية كافية للموافقة إذا لم تتحقق طبقة تنفيذ موثوقة من صدورها ومجالها. يجب أن يمتلك المسؤول التنفيذي دليلاً على أن الضابط يعمل في نظام الأعمال لا عبارة تقول إن «النموذج مُدرّب على الرفض».
السؤال الثاني: أي بيانات تمر عبر الحدود؟
من المهم توثيق مصدر البيانات ومسار انتقالها عند الاسترجاع والتحليل وتوليد الاستجابة واستدعاء الأداة. هل يدخل مستند عقد أو ملف موارد بشرية إلى مزود خارجي؟ هل تحفظ نتيجة المعالجة في سجل آخر؟ وهل يستطيع المستخدم استرجاع مستندات من مستأجر مختلف أو وظيفة مختلفة؟ لا يفترض أن كل عبور إلى خدمة سحابية غير مشروع، بل يجب أن يقاس بحقوق الوصول والعقود والالتزامات المعمول بها ونطاق السلطة التي منحتها المؤسسة. التقييم الجيد يفصل ما يستطيع النظام عرضه لمستخدم، وما يستطيع تخزينه في ذاكرته، وما يستطيع نقله إلى أداة خارجية. إذا كانت بعض التفاصيل محكومة بعقود أو لا يمكن رؤيتها فنكتب حدود الرؤية بدلاً من إعلان سيطرة لا يمكن التحقق منها.
السؤال الثالث: هل نعرف سلسلة التوريد الفعلية؟
يتناول الدليل الأصلي AI Bill of Materials أو AI-BOM، ويطلب جرد النماذج ومكونات الضبط والمكتبات والحاويات وخوادم MCP والمصادر المعتمدة. هذا الجرد مفيد عندما يكون متصلاً بما يعمل في الإنتاج، لا مجرد نسخة من ملف تبعيات في مستودع. فقد توجد فجوة بين الشفرة الموجودة على Git وبين الحزمة المنشورة، أو تغير إعدادات المورد دون تحديث ظاهر في التطبيق. لذلك تحتاج المؤسسة إلى معرفة المصدر والإصدار وتاريخ التحقق ومالك التحديث وحالة المواد الرقمية وحدود الصلاحيات. لا يكفي أن تعلن لوحة فحص التبعيات خلو النظام من CVE؛ فالخطر قد ينتج عن إعدادات أو سياق تفويض أو خلل لم يحصل على معرف ثغرة.
السؤال الرابع: ما معنى نجاح الاختبار؟
يمكن لفريق أن يرسل مئات المطالبات ويعرض نسبة نجاح كبيرة لاختبارات الرفض، بينما لم يفحص سوى قناة دردشة واحدة. ينبغي أن يبدأ التقييم من حدود الثقة والأدوار والأدوات والأصول، ثم يحدد تغطية كل فئة ومصدر الأدلة. في نظام يتصل بمدفوعات تجريبية، معيار النجاح ليس فقط رفض رسالة، بل عدم تغير المعاملة من دون تفويض ووجود سجل يثبت المنع. وفي أنظمة RAG يجب التحقق من ضوابط الاسترجاع وإتاحة الروابط وليس الرد النصي وحده. وعندما تكون نتيجة الاختبار غير محسومة لغياب سجل أو اختلاف البيئة، يجب الإفصاح عنها دون تحويلها إلى نجاح افتراضي. التقييم المؤسسي يبرر القرارات بدل تحسين مؤشر العرض.
السؤال الخامس: هل نعرف نطاق الأثر؟
تتفاوت النتائج بين سلوك نصي غير مناسب وبين كشف مستند أو تغيير حالة سجل. ولا يجوز تعميم ضعف ثبت في حساب اختبار على جميع حسابات المؤسسة دون دليل، كما لا يجوز التقليل من خطورة إخفاق محدود إذا تعلق بأصل بالغ الحساسية. ينبغي أن يربط التقرير الفني ما شوهد فعلاً بالشروط والبيئة والأصل والقدرة التي أصبحت متاحة، وأن يذكر نطاق الأثر المحتمل بصورة منفصلة عن المؤكد. وتحتاج الإدارة إلى فهم كيف تؤثر النتيجة في أعمال المؤسسة وحقوق أصحاب البيانات واستمرارية الخدمات، ومن يملك سلطة قبول الخطر المتبقي. الدرجات المجردة دون تعريف للمقام والافتراضات قد تضلل الإدارة أكثر مما تساعدها.
السؤال السادس: ماذا نفعل عند ظهور فشل؟
ينتهي التقرير الجيد بخطة متابعة لا بصورة لهجوم ناجح. ينبغي أن يحدد السبب الجذري والطبقة التي تحتاج إصلاحاً ومالك الضابط والإجراء المؤقت والموعد وآلية إعادة الاختبار. قد يتطلب الأمر تضييق صلاحية أداة أو تعديل مرشح استرجاع أو فرض موافقة تنفيذ مستقلة، لا مجرد كتابة تعليمات إضافية للنموذج. وإذا تعذر العلاج الفوري يجب توثيق الاحتواء والبدائل والجهة التي قبلت استمرار التشغيل وشروط إعادة فتح القرار. نجاح الإصلاح لا يثبت بالتصريح الإداري بإغلاق التذكرة، بل بدليل أن السلوك غير المصرح أصبح ممنوعاً مع استمرار الوظائف المشروعة. كما يجب اختبار المراقبة إذا كانت محاولة الاختراق لم تظهر في السجلات.
السؤال السابع: ماذا يحدث بعد تحديث المورد؟
يمكن أن يتغير سلوك نموذج خارجي أو مخطط أداة أو محرك الاسترجاع، فتفقد نتائج اختبار قديم جزءاً من صلاحيتها. لا يعني ذلك إعادة كل الاختبارات آلياً بعد كل تغيير طفيف؛ بل بناء علاقة بين المكونات والضوابط وحالات الاختبار تسمح بتحديد ما يستحق إعادة الفحص. إذا تغير دور خدمة خلفية، تصبح اختبارات التفويض أهم. وإذا تغير نموذج يولد نصوصاً، قد يحتاج الفريق إلى إعادة معايرة اختبارات السلوك إلى جانب ضوابط الأداة المستقلة. يطلب المسؤول التنفيذي إشعاراً بالتغييرات ذات الأثر وجرداً محدثاً ودليلاً على أن المخاطر الحرجة بقيت ضمن الحد المقبول. الاعتماد على مورد لا يعفي المؤسسة من معرفة حدود ما تديره وما لا تديره.
تفسير السيادة المؤسسية
السيادة على نظام ذكاء اصطناعي ليست وصفاً جغرافياً فقط، ولا تثبت تلقائياً بأن خوادم الاستدلال تقع داخل حدود معينة. إنها أيضاً قدرة المؤسسة على معرفة سلسلة السلطة، والتحكم في الوصول، وفصل البيانات، ومنع تنفيذ فعل غير مصرّح به، ورصد السلوك، وتعليق خدمة أو تغيير مورد، وتوثيق قرار المخاطر. قد تكون لدى المؤسسة حدود سيطرة واضحة على طبقة تطبيقها رغم أنها لا تملك أوزان نموذج خارجي، والعكس صحيح: قد تستضيف نموذجاً محلياً لكنها تمنح أدواته صلاحيات واسعة دون مراقبة. تقدم الاختبارات العدائية جزءاً من أدلة هذه السيطرة، ولا تغني عن إدارة الهوية والبيانات والموارد البشرية والامتثال والعقود.
ما الذي لا يمنحه اختبار الفريق الأحمر؟
لا يمكن لأي حملة اختبارات محددة أن تثبت غياب الثغرات كافة أو تمنح شهادة امتثال عامة. نتائجها صحيحة في نطاق وإصدار وبيئة وأدوار محددة. كما لا تثبت اختبارات السلامة النصية وحدها عدالة القرارات أو جودة البيانات أو صحة الإجراءات الإدارية. ينبغي ربط Red Teaming بأطر المخاطر والحوكمة والخصوصية والأمن والاستجابة والتدقيق الداخلي، مع المحافظة على وظيفة كل نشاط وعدم الخلط بينه وبين ترخيص استخدام النظام في كل قطاع. ولأن المصدر المنهجي OWASP ليس جهة مانحة لتصريح نشر لهذا السياق، لا يصح تقديمه في مواد التسويق كاعتماد على نظام المؤسسة أو دليل تأييد لتطبيق محدد.
مثال قرار في مؤسسة مشتريات
تخيل مؤسسة تستخدم وكيلاً يقرأ عروض الموردين ويصنع مسودات داخل ERP. ظهر في اختبار مصرح أن نصاً من مستند مورد دفع الوكيل إلى اقتراح استدعاء تعديل، لكن نظام ERP رفض الإجراء لأنه خارج دور المستخدم. لا يعني ذلك أن الوكيل أجرى تعديلاً، لكنه يبين أن طبقة التفسير احتاجت معالجة وأن الضابط الخلفي أظهر فعالية. تعرض الإدارة النتيجة كما هي: سلوك غير مرغوب في طبقة الوكيل، منع مؤكد في نظام الأعمال، وتحسين مطلوب للمراقبة وعزل المحتوى. وإذا كان النظام الخلفي قد غيّر سجلاً تجريبياً فعلاً تصبح المسألة أكثر خطورة وتحتاج إلى احتواء ومعالجة للسبب الجذري. يختلف قرار الإطلاق بين الحالتين، ولا ينبغي أن تخفيهما عبارة موحدة مثل «اختبار ناجح».
كيف تقدم لوحة موجزة لمجلس الإدارة
يمكن تخصيص صفحة لتحديد الأنظمة الحرجة واستخداماتها، وأخرى لحدود الثقة والأصول التي اختبرت، ثم عرض عدد حالات الفشل المؤكدة والأثر ومستوى التغطية وحدود الأدلة، وأخيراً الإجراءات الحرجة ومالكيها والمواعيد ونتائج إعادة الاختبار. يجب ألا تعرض النسب دون مقام أو تقارن نتائج دور مستخدم بآخر دون بيان الاختلاف. ومن المهم أن يظهر ما لم يُختبر بوضوح، خصوصاً واجهات الأدوات ومتعددة الوسائط والموردين الخارجيين. لا يطلب المجلس عادة تفاصيل المطالبات الحساسة، لكنه يحتاج إلى الثقة بأن تلك الأدلة موجودة ويمكن أن يراجعها متخصص مخول. تتيح هذه البنية اتخاذ قرار مستقل عن إثارة التفاصيل التقنية.
رسالة للقطاع العربي
تتوسع المؤسسات العربية في اعتماد الذكاء الاصطناعي التوليدي داخل الخدمات والتشغيل والموارد البشرية والمالية. وتزيد أهمية تحويل مفاهيم Red Teaming من نشاط تقني معزول إلى مسؤولية مشتركة للحوكمة والأمن والعمليات والقيادات. المطلوب ليس بناء موقع يكدس قوالب هجومية أو ترويج وهم بأن نموذجاً معيناً محصّن إلى الأبد؛ المطلوب معايير إثبات ومساءلة يفهمها من يملك قرار الاعتماد. يمكن لمركز معرفة عربي مستقل أن يشرح الجوانب التقنية دون أن يدعو إلى إساءة استخدامها، وأن يقدم أمثلة على حدود الصلاحية وأثرها وعلى وسائل توثيق الفشل وإعادة الاختبار، مع إظهار مصادره وحدود ثقته في كل حالة.
إطار عملي لقرار المؤسسة
قبل الموافقة على توسيع وكيل ذكي، يمكن لصاحب القرار أن يشترط وجود جرد للأصول وسلسلة التوريد، وخريطة لتدفق البيانات وصلاحيات الأدوات، وتفويض اختبار موثق، وسجل نتائج بمعايير قابلة للتحقق، ومعالجة للحالات الحرجة أو قبول مخاطر مصرح ومحدد، وآلية إعادة اختبار مرتبطة بالتحديثات. لا يعني تحقق هذه العناصر كفايتها لكل قطاع أو نظام، لكنها تنقل الحوار من طلب وعود عامة من المورد إلى التحقق من ضوابط موجودة فعلاً. في النهاية ليست القدرة على الحصول على جواب أسرع هي المقياس الوحيد للنجاح؛ فكلما أصبح النظام قادراً على فعل المزيد، أصبحت حدود السلطة والدليل على احترامها أكثر أهمية.
الإسناد والحدود
المرجع المنهجي: OWASP GenAI Security Project، GenAI Red Teaming Manual، الإصدار 1.0، أكتوبر 2026، وخاصة Phase 2 Supply Chain Reconnaissance وPhase 3 Surface Mapping وPhase 4 Agentic System Attack Vectors وPhase 6 Post-Exploitation وPhase 7 Evaluation & Reporting وPhase 8 Remediation. هذا النص مقال رأي وتحليل مؤسسي أصيل من سيادة AI وليس عرضاً لتوصيات رسمية من مجلس OWASP أو ترجمة معتمدة لوثيقتها. يذكر المرجع الأصلي ترخيص CC BY-SA 4.0، ويجب مراعاة حقوق إسناد المادة المرخصة وشروط الاشتقاق. الأمثلة افتراضية ولا تمثل حوادث مثبتة؛ يجب تنفيذ أي اختبار على بيانات وأنظمة مخول بها المختبر. ولا يزعم المقال وجود اشتراط قانوني واحد ينطبق على جميع الدول العربية.