سؤال المؤسسة ليس كم مطالبة رفض النموذج؛ بل ما الفعل والبيانات التي حماها الضابط وما الدليل؟
بعد دليل OWASP لعام 2026: الاختبار الهجومي أصبح اختبار سلطة النظام لا الكلمات فقط
لماذا يستحق الدليل نقاشاً مؤسسياً
عندما يصدر دليل من مشروع OWASP GenAI Security Project بعنوان GenAI Red Teaming Manual v1.0 في أكتوبر 2026، لا ينبغي أن يُقرأ باعتباره وصفات لإرسال مطالبات ذكية إلى نموذج لغوي فحسب. ما يميزه في التطبيق المؤسسي هو عرضه دورة كاملة تبدأ من التفويض والنطاق ثم الاستطلاع وخريطة حدود الثقة وتنتهي بتقييم القدرة والأثر والتقرير وإثبات المعالجة. وهذا يعكس سؤالاً أصبح مهماً في المؤسسات: هل يعرف المسؤول الأمني ما الذي يستطيع النظام المتكامل فعله خارج نافذة المحادثة؟ وقد يكون النموذج في ذاته جيداً نسبياً في رفض طلبات غير مناسبة، بينما يظل تطبيقه متصلاً بخدمات وهويات وأدوات تحتاج حماية مستقلة. قراءة سيادة لهذا التحول تحريرية وليست إعلاناً رسمياً باسم OWASP.
تغير معنى النجاح
يمكن أن يقدم الفريق مئة حالة اختبار للمطالبات، ثم يرفع نسبة رفض مرتفعة، لكن ذلك لا يجيب عما إذا كان وكيل متصل بخدمة أعمال يستطيع تنفيذ تعديل بلا تفويض صحيح. وفي المقابل قد ينتج النموذج اقتراحاً غير مناسب لكن النظام الخلفي يرفضه ويثبت ذلك في سجل معاملة موثوق. المشكلة في التقارير الشائعة هي عدم الفصل بين النص والقدرة على الفعل، وبين نجاح أداة في المنع ونجاح نموذج في اختيار القرار الصحيح. لا ينبغي أن نحول كل خطأ في الإجابة إلى اختراق شامل أو كل رفض لغوي إلى شهادة أمن. المعيار الحقيقي هو أن نعرف أي حد خضع للاختبار وما الذي أثبته الدليل وما الذي بقي خارج التغطية.
النظام أهم من اسم النموذج
تعتمد المؤسسة على أكثر من نموذج؛ هناك مستندات وفهارس ومكتبات تنسيق وخدمات OCR وخوادم أدوات وأنظمة هوية ومراقبة وحسابات خدمة. قد يتغير مكون واحد في سلسلة التوريد ويؤثر في العزل أو التكلفة أو التفويض حتى إن لم يتغير النموذج الذي تعرضه واجهة المستخدم. لهذا تظهر قيمة AI-BOM في جرد المواد المنشورة ومصادرها، وليس مجرد كتابة أسماء الموردين في عرض تقديمي. ويجب معرفة ما إذا كانت الحزمة المستخدمة فعلياً في الإنتاج هي النسخة التي فُحصت في المستودع، لأن إصلاحاً على Git لا يثبت أن صورة الحاوية أو حزمة النموذج الحية جرى تحديثها.
حدود الثقة هي السؤال المركزي
قد يكون لدى مؤسسة خدمة RAG داخل شبكتها، لكنها تحتوي وثائق كتبها موردون أو بيانات من صفحات عامة يستطيع آخرون تعديلها. لا تصبح المادة موثوقة لمجرد مرورها عبر خادم محلي، ولا تتجاوز سلطة المستخدم لأن النموذج وضعها في سياقه. ينبغي أن يظهر على الخريطة من يستطيع إضافة المستند ومن يستطيع استرجاعه ومَن يملك حق تحويل محتواه إلى فعل. كذلك لا يصبح وصف أداة مصدر تفويض، بل يجب أن تراجع طبقة التنفيذ صلاحية المستفيد الأصلي. ما يهم في نهاية المطاف ليس عدد الخطوط في المخطط بل وجود دليل على عمل الضوابط عند تلك الخطوط.
الاستطلاع ليس التخمين
يشجع الدليل قراءة الوثائق وبطاقات النماذج وواجهات API ودراسة الأنماط، لكنه لا يعني أن إجابة المساعد عن هويته تكشف بالضرورة عن المكوّن الذي يشغله. قد تتشابه أنماط الرفض واللغة عبر نماذج وإعدادات مختلفة، ولا يجوز أن يتحول ذلك إلى تقرير جازم بأن المؤسسة تستخدم إصداراً معيناً من دون مصدر نشر موثوق. تتطلب الحوكمة نفسها معرفة ما لم نتمكن من تأكيده، خاصة عندما يعتمد النظام على مورد خارجي يملك حق التحديث. لا تنتقص عبارة «محدودية الرؤية» من قيمة التقرير إذا كانت مبنية على حقيقة، بل تمنع اتخاذ قرار تشغيل على تخمين قد يتغير أو يكون خاطئاً.
الوكلاء والسلطة
لم يعد كل نظام ذكاء اصطناعي تطبيقاً ينتج نصاً للمراجعة، بل قد يقترح استدعاء أداة ترسل بريداً أو تنشئ مسودة أو تحدث بيانات. من وجهة نظر مجلس الإدارة ينبغي أن يُعرّف ما الذي يُسمح للوكيل بطلبه وما الذي تستطيع خدمة الأعمال تنفيذه ومن يملك حق تعليق الأداة. لا يصح أن يكون سطر داخل Prompt هو الفاصل الوحيد بين قراءة مستند وتغيير حالة معاملة، لأن المحتوى غير الموثوق قد يؤثر في اقتراح النموذج. يجب أن يكون التفويض إلزامياً عند طبقة API، وأن يحمل الطلب هوية المستخدم وسياق المهمة وحدودها. هنا تصبح نتائج الاختبار قابلة للتحول إلى مساءلة، لا مجرد فشل محادثة.
العزل يبدأ عند المصدر
قد ينجح النموذج في رفض عرض معلومات حساسة لمستخدم غير مخول، لكن خدمة البحث تكون قد أعادت مستنداً خارج دوره بالفعل، وهو إخفاق لا يختفي بسبب حجب الجواب النهائي. لهذا يحتاج اختبار RAG إلى سجلات المصدر والفهرس والصلاحيات والروابط والنسخ المؤقتة، مع حسابات وبيانات اصطناعية مميزة. لا يحق للباحث أن يدعي تسريباً واسعاً لأن جملة تشبه محتوى حساس ظهرت في رد، لكنه لا ينبغي أيضاً أن يعلن PASS لأن الرد لم يعرض المستند بينما كان مرشح الاسترجاع خاطئاً. معيار الحكم يجب أن ينتمي إلى الضابط الذي ندعي تقييمه، لا إلى آخر طبقة يراها المستخدم.
الوسائط تغير شكل التهديد
عندما تتحول صورة أو صوت إلى نص، يبقى النص يحمل خصائص مصدره ولا يكتسب حق إصدار التعليمات للمؤسسة. قد تكون فاتورة أو رسالة مسجلة معلومات يحتاجها الوكيل لفهم طلب، لكنها ليست إذناً بالدفع أو بتغيير سجل مستخدم. وتضيف خدمات التحويل والتخزين المؤقت تكلفة جديدة وتبعيات موردين تحتاج جرداً وحقوق وصول. لا تكفي اختبارات نافذة الدردشة لتغطية هذه المسارات، كما لا يصح أن يُحظر كل ملف خوفاً من الإخفاق ثم يُقال إن النظام صار آمناً؛ ينبغي أن يحافظ التقييم على الوظيفة المشروعة إلى جانب الحدود الأمنية.
لا توجد ضمانة مطلقة
الاختبار الهجومي لا يثبت غياب كل المخاطر ولا يغني عن إدارة الهوية أو الخصوصية أو الأمن السيبراني التقليدي أو العقود والتدقيق. لكنه يقدم أدلة تشغيلية مهمة حول ما يستطيع الخصم ذو قدرة محددة فعله في إصدار وبيئة معينين. قد تكون التغطية محدودة بسبب غياب صلاحيات White-Box أو بسبب أداة لدى مورد خارجي، وفي هذه الحال لا ينبغي تفسير عدم اكتشاف ضعف على أنه عدم وجوده. يجب أن تعرف الإدارة ما اختُبر وما لم يُختبر، ولماذا اختيرت الحالات وكيف حُكم عليها، وما المخاطر المتبقية بعد المعالجة. الصدق في حدود المعرفة شرط للثقة.
التقرير الذي يغير قراراً
يحتاج قائد الأعمال إلى معرفة الأصول التي ثبت تعرّضها والمكونات المتأثرة ومن يملك العلاج وما البديل المؤقت والموعد ومعيار إعادة الاختبار. لا يحتاج أن يُعرض عليه كل مدخل تجريبي حساس أو شيفرة أداة، لكنه يحتاج إلى التأكد من وجود أدلة يستطيع مختص مخول مراجعتها. يمكن أن تكون النتيجة فشل تفويض في خدمة خلفية أو ضعف كشف أو قصور جودة، ويختلف القرار تبعاً لها. وينبغي أن تنفصل سرعة إغلاق التذاكر عن حقيقة خفض الخطر؛ لا يصبح الضابط فعّالاً بمجرد أن تغيّر المطور تعليمات النموذج أو نقل مدير المشروع التذكرة إلى Done.
التركيز العربي المطلوب
يستحق الأمن الهجومي للذكاء الاصطناعي مساحة معرفية عربية لا تقتصر على ترجمة أسماء الثغرات. تحتاج المؤسسات العربية إلى شرح يربط المخاطر التقنية بسلطة المستخدم والمورّد والسياق التشغيلي ومخاطر البيانات والسيادة والمساءلة، مع أمثلة تخدم قطاعات الخدمات والمالية والتعليم والتشغيل دون نشر خطوات إساءة استخدام. ويمكن أن تتعايش المواد المجانية المتعمقة مع مسارات تعلم تربط الدروس بالمقالات والأدلة والمعايير، بحيث لا يكرر كل درس النص ذاته ويضيع وقت القارئ. المطلوب بناء فهم مؤسسي يتيح تقييم مورد أو تصميم اختبار أو قراءة تقرير وتحديد قرار مناسب وفق أدلة قابلة للتحقق.
منهج المحتوى لا قائمة الثغرات
إذا أردنا تحويل دليل OWASP إلى منصة معرفة، فمن الأفضل توزيع الموضوعات على مرجع يشرح الوثيقة ومنشورات تفسر أهميتها ودروس تمشي بالمراحل وأدلة عملية وسجلات مصطلحات وحالات افتراضية. ويجب أن يحمل كل أصل هدفاً مستقلاً: الدليل يصف ما يجب فحصه، والمقال يحلل لماذا يهم، والدرس يبني قدرة معرفية، والقالب يوفر حقولاً ومعايير، والتدوينة تناقش تحولا أو قراراً. وتربط المراجع إلى الأصل الرسمي دون تقديم كل مادة على أنها إعادة نشر حرفية منه. لا يصح كذلك أن يتحول الموقع إلى منصة تشغيل هجمات أو جمع بيانات لا تملك إذنها، فهو مرجع معرفي للحوكمة والضمان.
ماذا يعني نضج المرحلة القادمة
تتحول المؤسسة من معالجة طلبات نصية غير مرغوبة إلى امتلاك خريطة محدثة للأصول والحدود، واختبارات متصلة بتغييرات النظام، وسجلات تنفيذ تساعد على التحقيق، وملاك محددين للمخاطر، ومعايير لإعادة التحقق. قد تكون هناك صلاحيات أداة يجب تعليقها، أو مستودع يحتاج فصل أدوار، أو مورد يجب طلب دليل منه، أو حواجز سلامة تحتاج معايرة لتقليل الرفض الخاطئ. لا يقدم أي إجراء وحده ضمانة شاملة، لكن القدرة على معرفة ما تغير وما ثبت وما ينبغي فعله هي جوهر التحول من الوعود إلى الممارسة. ويظل المصدر المنهجي أداة تعلم لا شهادة اعتماد عامة لكل نظام.
سؤال للقيادات
قبل سؤال الفريق عن عدد الهجمات التي نفذها أو نسبة استجابة النموذج لها، ينبغي سؤاله عن حدود الثقة التي فحصها، والمكونات التي يملك رؤيتها، والأصول التي تعرضت لأثر مثبت، والضوابط التي منعت الضرر، والحالات التي لم تتوافر فيها أدلة كافية. ثم يُسأل: من يملك قرار قبول الخطر ومتى سيعاد الاختبار بعد تحديث المورد أو أداة الوكيل؟ الإجابة الجيدة لا تحتاج أرقاماً كبيرة بلا معنى، بل خريطة واضحة للسلوك والتفويض ونتيجة الإصلاح. بهذه الأسئلة يصبح Red Teaming جزءاً من حوكمة المؤسسة وقدرتها على اتخاذ القرار، لا مناسبة لإظهار مهارة شخص في صياغة طلب غير مألوف.
الإسناد وحدود التفسير
المرجع الأساسي OWASP GenAI Security Project, GenAI Red Teaming Manual v1.0، أكتوبر 2026، المنهجية ذات المراحل الثماني. هذا مقال تحليلي مستقل من سيادة AI ولا يمثل ترجمة رسمية أو إعلاناً نيابة عن OWASP أو تصديقاً على نظام محدد. أمثلته افتراضية وتهدف إلى تفسير القيم العملية للأدلة والتفويض والمساءلة، ولا تمنح إذناً بتنفيذ تجارب على أنظمة الغير. يحمل المصدر الأصلي ترخيص CC BY-SA 4.0 ويجب مراعاة شروطه عند الاشتقاق، ويمكن الرجوع إلى الصفحة الرسمية https://genai.owasp.org/resource/genai-red-teaming-manual-version-1-0/.