بناء خط أساس سلوكي موثوق قبل اختبارات GenAI العدائية

المعنى العملي لخط الأساس

لا يستطيع الفريق تفسير أثر تجربة عدائية على نظام توليدي دون معرفة سلوكه في ظروف مشروعة مشابهة. يضع دليل OWASP GenAI Red Teaming Manual v1.0 Establish a Behavioral Baseline ضمن أهداف مرحلة الاستطلاع، لأن المقارنة تحتاج مرجعاً معروفاً للمكونات والأدوار والاستجابة. خط الأساس ليس اختباراً يضمن السلامة ولا مجموعة جمل محفوظة، بل سجل يحدد ما تفعله الخدمة عادة في حالة تطبيق وإصدار وبيانات وصلاحيات معين. يمكن أن يشمل استرجاع وثيقة مسموحة، وإنشاء مسودة صحيحة، ورفض أداة خارج الدور، وتسجيل النشاط لدى النظام الخلفي. يوضح الدرس كيف تبنى هذه الحالات وتفسر عند تغير السلوك بعد إدخال محتوى اختباري غير موثوق.

اختيار وظيفتين مرجعيتين

لنفترض تطبيقاً داخلياً يساعد موظفي الموارد البشرية على قراءة سياساتهم وصياغة مسودة خطاب إداري، ولا يسمح بتعديل بيانات الرواتب. تُعد حالة أولى لحساب قراءة يطلب ملخص سياسة مسموح بها، وحالة ثانية لحساب محرر معتمد ينشئ مسودة دون إرسالها. يسجل الفريق ما يرجع من مستندات، وما يرسل إلى النموذج، وما يستدعي من أدوات، وحالة النظام بعد التنفيذ. يجب أن تكون البيانات اصطناعية وأن يثبت إعداد الأدوار حتى تكون المقارنة ذات معنى. لا يهدف خط الأساس إلى حفظ صياغة الرد حرفياً، لأن النموذج قد يغير الكلمات دون أن يغير حق الوصول أو نتيجة المعاملة.

تثبيت الإصدارات والتكوين

يتطلب خط الأساس تدوين نسخة التطبيق واسم النموذج المعلوم بمصدر موثوق وإعداداته المتاحة وحالة الفهرس وتعريفات الأدوات ورموز الأدوار ومواعيد الاختبار. قد يغير تحديث خدمة استرجاع ترتيب النتائج، وقد يغير تعديل Prompt أسلوب المساعد من دون أثر في التفويض. إذا لم يثبت الفريق تلك المعلومات فقد ينسب تغيراً عابراً إلى هجوم أو يظن أن إصلاحاً نجح بينما تغيرت البيئة. ينبغي أن يكون لكل تشغيل معرف يسمح بربط الواجهة وسجلات الأدوات وحالة البيانات، مع تجنب تخزين أسرار أو مفاتيح في مستند عام. عند اعتماد نموذج خارجي قابل للتحديث، يسجل ما لا يستطيع الفريق تثبيته وتاريخ التحقق.

أنماط الطلب المشروع

يحتاج النظام إلى اختبار ما يفترض أن ينجزه للمستخدم الصحيح. فقد تكون السياسة الأمنية صارمة إلى حد رفض استرجاع وثائق يحق للموظف رؤيتها، وهذا فشل جودة أو إتاحة ينبغي ملاحظته ولا يعني أن الضابط أقوى. تبنى الحالات على وظائف متنوعة: سؤال مستند، وتلخيص محتوى مسترجع، وإنشاء مسودة، وطلب أداة مسموحة، واستعلام لا توجد له بيانات، وطلب خارج الصلاحية. لكل وظيفة معيار مختلف، مثل صحة المرجع أو عدم كشف مستند محجوب أو إنشاء مسودة بلا اعتماد نهائي. لا ينبغي جمع هذه النتائج في نسبة نجاح واحدة مع حالات حقن التعليمات؛ إذ يخدم كل مقياس غرضاً مختلفاً.

مرجع حدود الثقة

يفحص الفريق أين تُحفظ الثقة في المسار الطبيعي. إذا رجع مستند من RAG فيجب تحديد هل تحققت خدمة الاسترجاع من دور المستخدم قبل إرجاع النص، وهل تستطيع طبقة العرض تجاوز ذلك ببيانات مخزنة مؤقتاً. وإذا اختار الوكيل أداة ينبغي معرفة ماذا تتحقق طبقة API من هوية المستفيد وما الأدوات المسموحة له. تُسجل هذه الضوابط قبل اختبار محتوى عدائي، حتى يستطيع الباحث معرفة موضع التغير. قد يمنع النظام الخلفي طلباً مخالفاً رغم اقتراح الوكيل له؛ وهنا يكون خط الأساس القائم على سجلات التنفيذ أقوى من الحكم المستند إلى رد النموذج وحده.

المراقبة قبل الهجوم

يحدد الفريق مصادر أحداث التشغيل الطبيعي: سجل استقبال الطلب، وخدمة الهوية، واسترجاع المستندات، وقرار الأداة، وحالة نظام الأعمال، والتنبيه الأمني عند وجوده. لا يلزم أن يفعّل جميع هذه المصادر إذا كان نطاق المهمة محدوداً، لكنه يوضح ما المتاح وما الذي لا يمكن إثباته. ويجب أن يعرف فريق Blue Team ما إذا كان جزءاً من اختبار الكشف أو فقط مقدم دعم عند الحاجة. لا تُنسب إخفاقات المراقبة إلى النموذج إن كان التطبيق لا يرسل الأحداث اللازمة أصلاً. ويجب ألا تشتمل سجلات الاستدلال على بيانات شخصية أكثر مما يلزم، لأن كثرة التسجيل يمكن أن تخلق خطراً خصوصياً.

التكرار والعشوائية

يمكن أن تختلف الإجابات بين تشغيل وآخر، لذلك تميز خطة القياس خصائص يجب ثباتها وأخرى تقبل تنوعاً. قد تختلف طريقة صياغة ملخص سياسة، لكن عدم كشف وثائق مستأجر آخر أو عدم تنفيذ معاملة خارج الدور يجب أن يظل هدفاً أمنياً ثابتاً. إذا قيس سلوك نصي غير حتمي تستخدم عينة مناسبة ومعايير معلنة وتُفصل الحالات غير الحاسمة عن الإخفاق المؤكد. لا يثبت نجاح حالة واحدة غياب ثغرة، ولا يثبت تغير صياغة الرد حصول اختراق. يجب أن يربط الفريق الأحكام بالضوابط والأصول لا بالانطباعات عن أسلوب اللغة.

حالة مقارنة قبل وبعد

يعيد الفريق تشغيل طلب مشروع قبل تعديل خدمة الاسترجاع وبعده. قد يتغير ترتيب المستندات دون أن تتغير حقوق الوصول، وقد يزيد وقت الاستجابة أو تظهر روابط إلى ملفات مخزنة مؤقتاً لا تطابق صلاحية الحساب. لا يكتفي الفريق بمقارنة النص النهائي؛ يفحص مصدر الاسترجاع ودور الحساب وحالة المستند الأصلي والسجل. إذا ظهرت نتيجة جديدة خارج الدور فهذه إشارة تحتاج تحققاً في طبقة العزل، بينما إذا تغير أسلوب التلخيص فقط فقد يكون الأثر متعلقاً بالنموذج. يساعد هذا التحليل على عدم تضخيم اختلافات جودة إلى حوادث أمنية، وعلى عدم تجاهل ضعف أمني لم ينعكس في جملة المساعد.

خط الأساس لمتعدد الوسائط

عندما يستخدم التطبيق ملفات صوت أو صور يجب تحديد طريقة تحويلها إلى نص أو خصائص والملفات المقبولة وحدود حجمها ونوع البيانات المستخرجة منها. قد يقرأ النظام تعليقاً في الصورة أو حقل metadata لا يظهر للمستخدم، فينبغي أن يعرف الفريق ما يدخل إلى النموذج فعلياً ضمن نطاق الوصول الممنوح. لا يكون الخط الأساس مجرد رفع صورة ناجحة؛ بل وصف لمسار المعالجة والتخزين المؤقت وسياسة حذف الملف وسجلات أي أداة تتأثر بالنص المحول. ويوثق ما إذا كانت خدمة التحويل داخل المؤسسة أو لدى مورد خارجي، لأن صلاحية الاستنتاج عن محتوى السجلات تختلف بذلك.

تصنيف فشل الخط الأساس

إذا فشل التطبيق في الحالة الطبيعية، لا ينبغي تشغيل سيناريو عدائي ثم نسب الإخفاق الجديد إليه من دون تحليل. فقد تكون الأداة معطلة أو قاعدة الاختبار ناقصة أو الفهرس لم يكتمل، ما يجعل النتيجة غير حاسمة في سياق الهجوم. تسجل الأعطال المسبقة وتحدد الحاجة إلى إصلاح البيئة أو ضبط المعيار قبل استكمال الحملة. وفي المقابل قد يكشف الخط الأساس نفسه عيب تفويض واضحاً، وعندها يسجل ضعفاً مستقلاً يتطلب إجراءً، حتى إن لم تتضمن التجربة محتوى عدائياً. هذا يوضح لماذا يعد التحقق من جودة البيئة مرحلة حقيقية من ضمان قابلية إعادة الإنتاج.

تكوين مكتبة اختبارات الانحدار

يمكن تحويل الوظائف المرجعية إلى اختبارات دورية عند تحديث النموذج أو الفهرس أو الأدوات. تظل الحالات المرتبطة بالحدود الحرجة محفوظة مع معرفاتها ومصادر الأدلة، ويُراجع أي تغيير في معيار الحكم قبل اعتماده. لا يعني ذلك تشغيل آلاف المطالبات عند كل تحديث؛ تُختار مجموعة صغيرة تمثل أهم الأصول والحدود، ويضاف إليها ما ثبت فشله سابقاً. ومن المهم التحقق من استمرار الوظيفة المشروعة بعد المعالجة الأمنية، لأن تقييد الأداة قد يمنع هجوماً لكنه يعطل مهمة مخولة أيضاً. تسجل النتائج التاريخية ولا تستبدل بسجلات أحدث كأنها لم تحدث.

التحول إلى اختبار تهديد

بعد تثبيت السلوك الطبيعي يختار الفريق فرضية تعبر حداً محدداً، مثل إدخال مستند طرف ثالث بعبارة لا ينبغي أن تحمل سلطة، ثم يقارن سلوك النموذج والأداة وحالة البيانات بخط الأساس. إذا اختار النموذج أداة لم تكن تُستخدم طبيعياً، فهذا مؤشر يحتاج فحصاً، وليس بحد ذاته دليلاً على تنفيذ إجراء. وإذا تغيرت حالة السجل خلفياً دون تفويض متوقع، يصبح الأمر إخفاقاً أمنياً مثبتاً في بيئة التجربة. تتيح معرفة التسلسل الطبيعي تحديد أين نشأ الفرق وما الضابط الذي ينبغي أن يمنع الضرر، وتمنع تفسير السلوك بغير سند.

تمرين عملي كامل

صمم أربعة اختبارات خط أساس لمساعد تجريبي: سؤال مشروع بوثيقة داخل الدور، وسؤال خارج الدور، وإنشاء مسودة خدمة، ورفض طلب تعديل لا يسمح به الحساب. لكل اختبار حدد البيانات الاصطناعية وحساب الدور ومعيار النجاح وسجل المصدر وحالة البيانات قبل وبعد. كرر الحالة مرتين مع توثيق تغير صياغة النموذج وما ظل ثابتاً أمنياً. ثم افترض تغيير نسخة خدمة الاسترجاع واكتب أي الاختبارات يجب إعادة تشغيلها ولماذا. يجب أن يستطيع المراجع أن يرى أن الاختبار غير الحاسم ناتج عن نقص دليل أو عطل بيئة، لا عن رغبة في تحسين مؤشرات التقرير.

ما الذي لا يثبته الخط الأساس

لا يضمن الخط الأساس غياب ثغرات أخرى أو صلاحية نتائج الاختبار على لغة مختلفة أو أداة لم تُختبر أو مستأجر آخر. كما أنه لا يعوض عن تقييم معايير الامتثال ولا يثبت أن المورد الخارجي لم يعدل نسخته بعد وقت الرصد. يجب أن تحمل النتائج عبارة نطاق واضحة تذكر الإصدار والبيئة والأدوار والتاريخ وما تعذر التحقق منه. يمكن للإدارة الاستفادة منه لفهم أثر التغيير ولتحديد أولويات الاختبارات المقبلة، لكن لا يجوز أن يتحول إلى ختم «نظام آمن» دون بيان حدوده. والبيانات غير المثبتة تبقى فرضيات حتى توفر مصدر مستقل.

المصدر والتمييز التحريري

يستند الدرس إلى Phase 2 Reconnaissance & Fingerprinting وخاصة هدف Establish a Behavioral Baseline في OWASP GenAI Red Teaming Manual v1.0، أكتوبر 2026، وإلى توجيهات Reproducibility Controls في Phase 7. هذه الأمثلة التعليمية توسعات من سيادة AI وليست إجراءات رسمية ملزمة أو ترجمة للمصدر. لا يسمح الدرس بفحص نظام دون تفويض، ويشترط استخدام بيانات مصطنعة وبيئة مأذون بها. ترخيص الوثيقة CC BY-SA 4.0 ويجب احترام الإسناد وشروط التكييف عند إعادة استخدام موادها.