الدليل المنهجي OWASP GenAI Red Teaming Manual v1.0
الوضع المرجعي ونطاق الوثيقة
دليل OWASP GenAI Red Teaming Manual v1.0 الصادر في أكتوبر 2026 عن مشروع OWASP GenAI Security Project هو منهج لتخطيط وتنفيذ وتوثيق الاختبارات العدائية لأنظمة الذكاء الاصطناعي التوليدي. لا يقتصر النطاق على تبادل المطالبات مع نموذج لغوي، بل يشمل التطبيقات والاسترجاع والأدوات والخدمات المتصلة والهويات والتفويضات وتدفقات البيانات. المبدأ المهم هو اختبار النظام كما يعمل داخل المؤسسة، لا الاكتفاء بمعاينة أداء النموذج في عزلة. تتكون الوثيقة الأصلية من 144 صفحة وتتوزع منهجيتها على ثماني مراحل مترابطة. هذه البطاقة تحليل عربي من سيادة وليست نسخة مترجمة رسمياً، وهي لا تعتبر دليل OWASP معيار اعتماد قانوني أو شهادة امتثال. يستفيد فريق الأمن والمدقق ومسؤول المخاطر ومالك المنتج من ذات المرجع، لكن تختلف أسئلتهم وقراراتهم بحسب المسؤولية.
اختيار التوقيت والغرض
الاختبار العدائي مفيد عند اختيار نموذج أو مورد، وعند إدماج الذكاء الاصطناعي في عملية عالية الحساسية، وقبل الإطلاق أو بعد تغيير جوهري في الأدوات والضوابط، وبعد احتواء حادث للتحقق من الإصلاح، وأثناء توسيع الاستخدام إلى جماهير ولغات ومستأجرين إضافيين. لا يوجد اختبار واحد يغطي هذه الأغراض كلها دون تعديل السيناريوهات والقياسات. اختبار أمن تطبيق يتصل بقاعدة عملاء يجب أن يهتم بعزل البيانات والتفويض، بينما قد يركز تقييم نموذج مرشح على ضوابط السلامة والسلوك غير المرغوب. وهدف قياس قدرة الفريق الأزرق على اكتشاف الهجوم مختلف عن هدف كشف الثغرات قبل الإنتاج. تسمي المؤسسة الهدف والمكون المتأثر وحدود النطاق قبل اختيار التقنية؛ وإلا أصبحت النتائج مجموعة ملاحظات منفصلة لا تصلح لاتخاذ قرار.
أوضاع الوصول المختلفة
يميز المرجع بين Black-Box حيث يعتمد المختبر على الواجهات المعروضة دون وصول داخلي، وGray-Box الذي يوفر معرفة أو وصولاً جزئياً مثل مخطط أو حسابات متفاوتة الصلاحيات، وWhite-Box الذي يسمح بتفقد أجزاء من التنفيذ والتكوين والسياسات والتدفقات والسجلات. هذه الأوضاع ليست درجات تفوق؛ كل منها يمثل قدرة مهاجم أو هدف تقييم. لا يصح اعتبار سلوك الواجهة دليلاً مؤكداً على هوية النموذج المستضاف أو بيانات تدريبه. وقد يكون الفريق قادراً على تفقد تطبيقه دون امتلاك أوزان النموذج المقدم من مورد. أفضل الممارسات توثيق مستوى الوصول وإصدار البيئة والمعلومات المقدمة للمختبر، ثم تحويل النتيجة المؤكدة إلى اختبار انحدار يراجع ضمن مستوى الوصول الصحيح عند تغيير النظام.
المرحلة الأولى — التخطيط والتحديد
يشمل التخطيط تحديد أصحاب المصلحة ومسؤول النظام والموافقة على نطاق الاختبار وطرق التواصل ووقت النشاط والدعم التشغيلي والإطار المرجعي والبيئة وحق الوصول وأسلوب عرض النتائج. توثق المؤسسة الحسابات التجريبية والبيانات المسموح بها والواجهات المحظورة وحدود الاستهلاك وطريقة إيقاف الاختبار وشروط التصعيد. يجب أن يتفق الفريق مسبقاً على معيار نجاح كل سيناريو: هل يتوقع منع الاطلاع على مستند حساس؟ هل يمتنع النظام الخلفي عن تنفيذ عملية دون تفويض؟ أم يتوقع اكتشاف محاولة غير مألوفة في السجل؟ الاختبار بلا تفويض مكتوب أو بضوابط توقف غامضة قد يخلق خطراً تشغيلياً مستقلاً عن الثغرة المراد كشفها. المخرج المقبول خطة مكتوبة وحدود تجارب قابلة للتحقق، وليس مجرد جدول مواعيد.
المرحلة الثانية — الاستطلاع والبصمة
تتعلق هذه المرحلة بمراجعة الأصول العامة وسلسلة التوريد والبيئة المتاحة داخل تفويض الاختبار. يفحص الفريق الأدلة التي تسمح بفهم النموذج والواجهة والطبقات الوسيطة وخدمات الاسترجاع والتخزين والملفات والأدوات المتصلة. الفرق مهم بين حقيقة قدمها مالك النظام، ومؤشر ملاحظ على الواجهة، وفرضية غير مثبتة حول طريقة التنفيذ. يمكن أن يظهر التهديد عبر مكتبة خارجية أو مورد استدلال أو منصة تخزين أو قناة سجلات، لا في نص المطالبة فقط. يستخرج المختبر فرضيات ذات علاقة بأصول المؤسسة ومساراتها التشغيلية ويحتفظ بدرجة ثقة لكل فرضية. ولا تستخدم مرحلة الاستطلاع ذريعة للوصول إلى أنظمة ليست ضمن الموافقة، حتى عندما تكون معلوماتها متاحة تقنياً.
المرحلة الثالثة — خريطة الأسطح وحدود الثقة
الهدف رسم كيفية انتقال البيانات والتعليمات والهويات والصلاحيات بين مصادر الإدخال والاسترجاع والنموذج والأدوات والمخرجات. تحدد حدود الثقة في كل انتقال: ما المحتوى غير الموثوق؟ مَن الجهة التي تملك السلطة؟ ومتى يتحول النص إلى فعل أو قرار؟ الاسترجاع من مستند خارجي لا يعني أن النص داخل المستند يملك حق تغيير قواعد التشغيل. واستدعاء وكيل لأداة لا يعني أن الطلب اجتاز تفويض المستخدم الحقيقي في النظام الخلفي. تشمل نمذجة التهديدات الأصول والجهات والسيناريوهات والشروط التي تجعل استغلالاً معيناً ممكناً. أفضل ناتج مصفوفة تربط نقاط الدخول بالأصول والأدوار وحدود الثقة والضوابط، مع خريطة تدفق قابلة للمراجعة عند تغيير التطبيق.
المرحلة الرابعة — الاختبار والاستغلال وقياس الأثر
تتناول المنهجية المجالات المباشرة لثغرات الذكاء الاصطناعي، ومسارات الوصول عبر التطبيقات أو المصادر المسترجعة، والأسطح متعددة الوسائط، والوكلاء، واستنزاف الموارد، والتحايل على حواجز السلامة. تسبق كل تجربة فرضية قابلة للاختبار ومعيار نجاح وفشل وأصل محدد. ينبغي الفصل بين سلوك النموذج النصي وبين الفعل الذي نفذته خدمة خلفية بالفعل. كما ينبغي قياس الأثر على وظيفة مشروعة وتجنب اعتبار ارتفاع معدلات الرفض حماية مطلقة؛ فقد يكون النظام يرفض طلبات صحيحة بينما لا يمنع مسار تنفيذ خطيراً. أي نشاط عملي يقتصر على بيئات وبيانات مصرح بها، دون نشر سلاسل إساءة استخدام أو اختبار مستخدمين حقيقيين بلا علمهم.
المرحلة الخامسة — الاستمرارية والتصعيد
تتعامل هذه المرحلة مع مخاطر خروج المعلومات خارج حدودها وتصعيد امتيازات الوكلاء واستمرار التأثير بعد انتهاء الاستدعاء الأول. يسأل المختبر: هل حدث تسريب فعلي في سجل محكوم أم ظهر نص احتمالي فقط؟ هل اتخذت الأداة إجراءً يتجاوز صلاحية الحساب؟ هل بقيت تعليمات غير موثوقة مؤثرة في ذاكرة الوكيل أو سياق مهمة أخرى؟ لا تثبت الاستمرارية بمجرد تخزين نص، بل بقياس أثره في نشاط لاحق مضبوط. تستخدم الاختبارات رموز بيانات اصطناعية ووجهات خاضعة للفريق، وتوقف التجارب إذا ظهرت بيانات حساسة فعلية. يسجل كل فشل نطاقه وحسابه وإصداره والقدرات التي ثبتت، دون تعميم غير مدعوم على كامل المؤسسة.
المرحلة السادسة — ما بعد الاختراق
بعد نتيجة تشير إلى إخفاق أمني، يحدد الفريق قدرة المهاجم ونطاق الأثر Blast Radius واستقرار الوصول والأثر على السلامة والأمن والأعمال. لا تكفي ملاحظة واحدة لإثبات أن جميع بيانات المستأجرين مكشوفة؛ يجب تحديد عدد الحالات المثبتة والشرط اللازم ونوعية الأصل المتأثر. تفرق مصفوفة الأثر بين ضرر وقع في بيئة الاختبار وضرر ممكن في سيناريو واقعي لكنه لم يقع بعد. يرتبط التصنيف بخصوصية البيانات وسلطة الوكيل وطبيعة العمليات المتأثرة وقدرة الكشف، وليس فقط بمدى إثارة النص الناتج. عند الحاجة للاحتواء السريع، توثق الإجراءات البديلة وآثارها التشغيلية ويقررها المالك المخول.
المرحلة السابعة — التقييم والتقارير
يتناول المصدر تصميم الاختبارات وTest Oracles أو معايير Pass/Fail وقابلية إعادة الإنتاج والتغطية والمقاييس. يحفظ لكل تجربة معرف وثائق ونسخة التطبيق وحساب الاختبار وبياناته الاصطناعية والنتيجة المتوقعة والفعلية والدليل والسجل وقرار الحكم. ينبغي تصنيف الاختبار الذي افتقر إلى سجل موثوق بأنه غير حاسم بدلاً من منحه نجاحاً أو فشلاً اعتباطياً. التغطية ليست عدد مطالبات فقط؛ تُقرأ بحسب الأدوار والأدوات ومسارات البيانات وحدود الثقة. التقرير الفني يحتاج ما يكفي لإعادة التحقق، بينما التقرير التنفيذي يجب أن يذكر المخاطر الحاسمة ومالكيها والإجراءات والمواعيد والمخاطر المتبقية. لا تساوي نسبة نجاح مرتفعة أمناً شاملاً إذا بقي سطح حرج بلا اختبار.
المرحلة الثامنة — المعالجة والتكامل
يربط العمل اللاحق بين الفريق الأحمر والفريق الأزرق وفرق الهندسة والحَوْكمة. تتحول النتيجة إلى سجل ضعف له مالك وخطة إصلاح ومعيار إعادة اختبار ودليل إغلاق. لا تعد إضافة تعليمات أكثر حدة إلى مطالبة النظام علاجاً كافياً إذا كان سبب الإخفاق غياب فحص تفويض في الـAPI الخلفي. كما يجب فحص ألا تكون المعالجة قد عطلت الوظائف المشروعة أو ولدت مسارات بديلة. تحول الحالات المؤكدة إلى Regression Tests وتعيد المؤسسة تشغيلها بعد تحديثات النموذج أو الاسترجاع أو الأدوات. أهم إنجاز ليس عدد العيوب المغلقة إدارياً، بل القدرة على إثبات انخفاض قدرة المهاجم على عبور حد الثقة في الإصدار الجديد.
الفرق بين المنهجية والامتثال
يستخدم هذا الدليل كمرجع تصميم اختبارات وكمصدر أدلة يمكن ربطها ببرنامج إدارة مخاطر الذكاء الاصطناعي. يتقاطع مع OWASP LLM Top 10 وMITRE ATLAS وNIST AI RMF وISO/IEC 42001 من حيث التهديدات والحماية والتقييم والمساءلة، لكنه ليس جدول مطابقة رسمي لهذه الأطر ولا بديلاً عن متطلبات الجهات المنظمة. يختلف الانطباق القانوني حسب الجهة والقطاع ونوع النظام والولاية القضائية. لا يصح تسويق اختبار ناجح باعتباره شهادة امتثال مؤسسي أو تصريحاً دائماً بالنشر. يفيد فريق التدقيق في التحقق من وجود تفويض وتغطية ونتائج موثوقة وقرار معالجة، دون تحويله إلى بديل عن مراجعة سياسات البيانات والعقود والتشغيل.
إضافة سيادة: نقل النتائج إلى السلطة المؤسسية
تقترح سيادة ربط كل نتيجة ضمن تسلسل: الأصل → حد الثقة → مسار الاختبار → الأثر المثبت → مالك الخطر → سلطة القرار → الضابط → المعالجة → دليل إعادة الاختبار → قرار قبول المخاطر. هذا تنظيم تحليلي خاص بسياق الحوكمة وليس وصفاً لمنتج OWASP الرسمي. مع الوكلاء، ينبغي توثيق من فوّض الوصول وباسم أي جهة يجري التنفيذ وما الذي يبرهن أن المنع حدث عند المصدر الفعلي للسلطة. وفي الاعتماد على الموردين، تصبح نتائج الاختبار جزءاً من سجل التبعية والمراقبة والتغيير، لا مذكرة تقنية تنسى بعد اعتماد المورد. السيادة المؤسسية لا تقاس فقط بمكان استضافة النموذج؛ تقاس أيضاً بقدرة المؤسسة على تقييد أفعاله والتحقق من سجلاته وإيقافه وإعادة تقييمه عند تغير الظروف.
حدود الثقة في النتائج
لا يوجد اختبار يمكنه إثبات غياب كل الثغرات المستقبلية. كل نتيجة صحيحة في سياق إصدار وبيئة وأدوار ومصادر ومدخلات معينة، وربما لا تصلح للنقل إلى نموذج أو لغة أو فهرس أو صلاحية مختلفة. عند ظهور نتيجة إيجابية يسأل المدقق عن أساس التقييم ومستوى التغطية والحالات الحاسمة غير الممثلة. وعند فشل تجربة يسأل هل كانت البيئة مهيأة بشكل صحيح وهل يملك المختبر الامتياز الذي يدعي محاكاته. ومن أهم الأخطاء إخفاء حالات عدم الحسم أو مزج نتائج السلامة النصية بنتائج الأمن التشغيلي داخل رقم واحد. وجود سجل أثر وحدود إثبات أوضح من لوحة تعرض نسبة مبهرة لا يعرف القارئ مقامها أو طريقة حسابها.
المخرجات والحقوق
يمكن بناء حزمة معرفية من خطة تفويض، وخريطة حدود ثقة، وسجل سيناريوهات، ومصفوفة ضوابط، وسجل نتائج، وتقرير أثر، وسجل احتواء، وخطة معالجة، ومصفوفة اختبارات انحدار. هذه قوالب تنظيمية مقترحة للتطبيق، وليست قوالب إلزامية يفرضها الدليل في جميع المؤسسات. المرجع: OWASP GenAI Security Project, GenAI Red Teaming Manual, Version 1.0, October 2026. الرخصة الواردة في الصفحة الثانية CC BY-SA 4.0؛ إعادة استخدام أو تكييف المادة الأصلية تستوجب نسب المصدر وذكر التغييرات والالتزام بالمشاركة بالمثل وفق شروط الرخصة. نص الرخصة https://creativecommons.org/licenses/by-sa/4.0/legalcode. لا يمثل محتوى سيادة اعتماداً من OWASP. ينبغي الرجوع إلى النسخة الأصلية عند تصميم الاختبارات والاستعانة بأشخاص مخولين واستخدام بيئات مأمونة.