النشاط مقابل الإعدادات الإدارية

مقدمة

يعد التفريق بين "نشاط الوكيل" (Agent Activity) و "التكوين الإداري" (Admin Configuration) ركيزة أساسية في التحقيق الجنائي الرقمي للذكاء الاصطناعي. فبينما يخبرنا الأول بما حاول الوكيل فعله، يخبرنا الثاني من سمح له بذلك ولماذا كانت القيود الأمنية مفعلة أو معطلة في تلك اللحظة.

المفهوم الأساسي

نشاط الوكيل يركز على "قرارات الأدوات" (Tool Decisions)؛ مثل محاولة قراءة ملف أو تنفيذ أمر برمجى. أما التكوين الإداري فيركز على "تغييرات السياسة"؛ مثل من قام بتعديل حاجز حماية أو منح صلاحية وصول واسعة. كلاهما يكمل الآخر، ولا يمكن لأحدهما أن يحل محل الآخر في بناء صورة كاملة لأي حادثة أمنية.

مثال عملي

في حالة قيام وكيل بتنفيذ كود تخريبي، تُظهر سجلات OTel (أدلة التشغيل) قرار الوكيل بتنفيذ الأمر ونتيجة التنفيذ. ولكن للوصول للجذر الحقيقي للمشكلة، نحتاج لسجلات التدقيق (أدلة التحكم) لمعرفة من قام بضبط سياسة الموافقة على "تلقائي" (approval_policy=never)، مما سمح للوكيل بالتصرف دون إشراف بشري.

ماذا يثبت السجل؟

تثبت سجلات النشاط (مثل Claude/Codex OTel) القرارات اللحظية والسلوك الفعلي للوكيل. وتثبت سجلات التكوين (مثل Cursor/Copilot Audit Logs) من قام بتغيير حواجز الحماية أو الضوابط الأمنية ومتى حدث ذلك.

ماذا لا يثبت؟

سجلات النشاط لا تفسر "لماذا" كانت السياسة تسمح بهذا الفعل، وسجلات التكوين لا تثبت أن الفعل قد حدث بالفعل أو ما هي نتائجه التقنية على النظام المستهدف.

ماذا تطبق عملياً؟

يجب على فرق الاستجابة للحوادث دمج السجلين معاً. التحقيق الناجح يبدأ بتحديد النشاط المشبوه من سجلات التشغيل، ثم العودة لسجلات التحكم لتحديد المسؤول عن الثغرة في السياسة التي سمحت بهذا النشاط.

خلاصة عملية

الرؤية الأمنية الحقيقية تتطلب مراقبة "السلوك" و "القرار الإداري" في آن واحد. الاعتماد على نوع واحد فقط يترك فجوة أمنية تسمح بتجاوز الضوابط دون ترك أثر واضح للمسؤولية.