مخاطر مسارات RAG وحقن التعليمات وسلاسل الأدوات

مفهوم مسارات الذكاء الاصطناعي

تعالج فقرة 4.3 AI Pathway Vulnerabilities في OWASP GenAI Red Teaming Manual v1.0 المسارات التي تصل عبرها المعلومات أو التعليمات إلى النموذج ثم إلى المكونات المتصلة به. تشمل المسارات RAG وحقن التعليمات المباشر وغير المباشر وسلاسل الأدوات والتنسيق وإخفاء المخرجات وحدود المستخدمين والمستأجرين وربط الهوية بين القنوات. ليست المسألة مجرد نموذج يجيب إجابة غير مرغوبة؛ قد ينتقل نص غير موثوق من مصدر خارجي إلى سياق يتمتع بسلطة أعلى ثم يتحول إلى فعل عبر أداة. يهدف هذا الدرس إلى تحليل الطريق والحد والضابط والدليل لكل سيناريو مصرح به، دون تقديم خطوات قابلة لإساءة الاستخدام ضد أنظمة غير خاضعة للتفويض.

ما الذي يجعل RAG سطحاً أمنياً

يتكون مسار الاسترجاع من مصدر مستندات وفهرسة وتمثيل متجهي وترتيب نتائج وترشيح صلاحيات وتجميع سياق ثم توليد استجابة. يختلف مصدر الوثيقة عن مستخدم النظام، وقد يحررها طرف خارجي أو موظف بدور محدود. لا تصبح الوثيقة صاحبة سلطة تعليمات لأن خوارزمية البحث اختارتها، كما لا يثبت وجودها في الفهرس أنها ستصل إلى النموذج دائماً. يحتاج الاختبار إلى معرفة من يحق له إضافة المصادر ومن يحق له رؤيتها وأين تطبق مرشحات الدور، ثم قياس ما استُرجع فعلياً وما ظهر للمستخدم أو للأداة. وتظل نتائج الاسترجاع مرتبطة بإصدار الفهرس والمحتوى وقت التجربة.

الفصل بين حقن مباشر وغير مباشر

قد يأتي المحتوى الذي يحاول تغيير سلوك النموذج من مستخدم يكتب رسالة مباشرة في واجهة مسموحة، أو من وثيقة أو صفحة أو نتيجة أداة أدرجت بصورة غير مباشرة في سياق المهمة. يختلف نمط وصول الخصم في الحالتين، ولذلك يختلف معنى النتيجة. إذا استطاع مستخدم خارجي إحداث سلوك نصي معين، لا يجوز افتراض أنه يمتلك أيضاً حق تعديل الوثائق التي يسترجعها مستخدم داخلي. وإذا تحكم مورّد في ملف يقرأه الموظف فقد تظهر فرضية أخرى تتعلق باكتساب الملف سلطة أثناء التلخيص. يجب أن تسجل الجهة القادرة على التعديل ومسار وصول المحتوى والضابط المتوقع، لا أن تكتفي بعنوان «Prompt Injection».

مصدر المستند ودرجة الثقة

عند إضافة ملف إلى قاعدة المعرفة يحتاج التطبيق إلى معرفة مالك المستند وصلاحياته وتاريخه، وقد يحتاج إلى مراجعة أو اعتماد قبل اعتباره مرجعاً رسمياً. لا يكفي أن يسمي المستخدم الملف «سياسة المؤسسة» حتى يصبح ملزماً للنموذج أو للموظفين. يمكن للمحتوى أن يحمل معلومات مفيدة مع تعليمات غير موثوقة في الوقت نفسه، ويجب أن تتعامل المنظومة معه على أنه مصدر بيانات لا مصدر أوامر أعلى من قواعد التشغيل. تستخدم الاختبارات ملفات اصطناعية بعلامات معروفة لتتبع أثرها بعد الاسترجاع، مع فصل تأثير النص على الإجابة عن أي تغيير فعلي في سجلات الأعمال أو الصلاحيات.

المخاطر في سلسلة الأدوات

قد تنتقل بيانات من أداة بحث إلى أداة تحليل إلى خدمة تخزين إلى واجهة إرسال، وفي كل انتقال توجد فرصة لرفع صلاحية محتوى أو فقدان هوية صاحب الطلب. ينبغي أن يرسم الفريق ترتيب الاستدعاءات والبيانات التي تحملها والمعايير التي تمنع أداة من تنفيذ عملية خارج الدور. قد يظهر النموذج اقتراحاً لاختيار أداة حساسة، لكن لا يصح أن يُعد ذلك تنفيذًا حتى تؤكد سجلات الطبقة الخلفية حالة العملية. ومن المهم مراجعة ما إذا كانت نتائج الأدوات تعامل كبيانات أقل ثقة أو تُعاد إلى النموذج مع سلطة لا تستحقها. تحفظ سلسلة الأدلة لكل خطوة ضمن الصلاحيات، لأن الرد النهائي وحده قد يخفي أين وقع الخلل.

إخفاء المخرجات وحدود الاعتماد

يمكن أن تستعمل التطبيقات مرشحات للمخرجات أو طبقات Masking لحجب أنماط بيانات أو محتوى معين. لكن وجود طبقة إخفاء في واجهة المحادثة لا يثبت أن البيانات لم تصل إلى خدمة أخرى أو لم تُحفظ في سجل أو تُرسل عبر أداة. لذا يجب أن يفحص الفريق النتيجة عند نقطة التنفيذ والتخزين المصرح بها، لا النص المعروض للمستخدم فقط. وإذا نجح المرشح في منع ظهور محتوى معين، يجب أن يوضح التقرير ما الذي حماه فعلاً وما القنوات التي بقيت خارج التغطية. كما ينبغي قياس أثر المرشح على الاستفسارات المشروعة لأن الإفراط في الحجب قد يمنع وظائف مطلوبة دون تقوية التفويض.

حقن عبر مستخدمين ومستأجرين

قد يستطيع مستخدم وضع نص في مساحة عمل مشتركة فيراه مستخدم آخر عبر RAG أو ذاكرة أو أداة. لكن الوصول إلى محتوى مشترَك لا يثبت الاستيلاء على جلسة المستخدم الآخر أو سلطاته؛ يحتاج ذلك إلى دليل مستقل. في الأنظمة متعددة المستأجرين يجب أن تتبع قواعد العزل المصدر الأصلي ومخرجات الفهرسة والروابط وذاكرة التخزين. يختبر الفريق بحسابات وبيانات اصطناعية، ويُثبت ما إذا كان النص وصل إلى حساب آخر بشكل مصرح أو خارج دور، ثم ما إذا أثّر في الإجابة أو محاولة استدعاء أداة. لا ينبغي أن يتحول التشابه النصي إلى اتهام بتسريب واسع دون سجل مصدر موثوق.

ربط الهوية بين القنوات

قد يبدأ المستخدم في واجهة ويب ثم يواصل عبر قناة بريد أو صوت أو إضافة داخل منصة أخرى. ينبغي ألا تفقد الخدمة هوية المستفيد الأصلية أو مستوى صلاحياته عند الانتقال، ولا تمنح محتوى قناة ثانوية سلطة غير موجودة في القناة الأولى. ويجب أن يحدد الفريق أين تُصدر الرموز وكيف تربط الطلبات ومَن يستطيع إعادة استخدام الجلسة أو معرفاتها، مع تجنب اختبار حسابات حقيقية بغير تصريح. إذا ظهرت مشكلة في ربط الهوية يمكن أن تتجاوز أثر رسالة غير موثوقة إلى قراءة أو تعديل خارج الدور. لا يكفي أن تتحدث كل قناة إلى النموذج نفسه كي تفترض وحدة الصلاحيات أو صحة الربط.

الفرق بين المسار الناجح والنص الخاطئ

قد يولد النموذج مخرجات غير مناسبة عند قراءة مستند غير موثوق، لكن الأثر الأمني يعتمد على ما إذا كان ذلك سبب كشف بيانات أو تنفيذ فعل أو تغيير حالة. قد يكون الخلل متعلقاً بجودة إسناد مصدر أو حد ثقة في السياق فقط، بينما يمنع نظام الأعمال أي أثر ضار. وفي حالة أخرى قد يرفض النموذج إظهار معلومة حساسة لكن خدمة الاسترجاع تعيدها إلى جهة لا تملك الإذن، وهذا فشل في طبقة البيانات رغم المخرج النصي الآمن. ينبغي أن يميز التقرير ما شوهد في كل طبقة وما لم يتوفر له دليل، حتى يكون التصنيف والعلاج مناسبيْن.

معايير اختبار RAG

تكتب الحالة وفق حساب اختبار ومجموعة مستندات وسؤال مشروع وحد وصول متوقع. يمكن أن يكون PASS عندما يعيد المسترجع فقط الوثائق المسموح بها ويتجنب تحويل تعليمات داخلها إلى سلطة، وFAIL عندما يرجع مستند خارج الدور مثبت المصدر أو ينفذ نظام الخلفية طلباً محظوراً. أما إذا لم يتوفر سجل الاسترجاع أو تغيرت البيئة أثناء التجربة، فقد تكون النتيجة غير حاسمة مهما بدا الرد اللغوي جيداً. يُثبت الفريق نسخة الفهرس وطريقة تحديثه ودور الحساب ومصدر الوثيقة، ولا يكرر الطلب بلا سقف على خدمات إنتاجية حساسة بغرض تحسين «نسبة نجاح الهجوم».

قابلية القياس عبر أدوات التنفيذ

إذا كان التطبيق يسمح بإعداد تذكرة أو رسالة، ينبغي أن يحمل معيار الاختبار هوية المستخدم والجهة المستهدفة والعملية. لا يكفي أن يرد الوكيل بأنه سيحترم السياسة؛ يجب أن يظهر سجل موثوق أن طبقة الأداة تحققت من صلاحية الفعل وأن حالة السجل قبل وبعد بقيت وفق القاعدة. يمكن أن تمنع الأداة طلباً رغم اقتراح النموذج تنفيذه، وهنا تختلف نتيجة تقييم سلوك النموذج عن فعالية ضابط التنفيذ. ويستحسن أن يحتوي سجل الاختبار على قيمة الأثر المحتمل ونطاقه، لا مجرد عداد لنصوص تقنع النموذج بأدوار تخيلية.

حماية البيانات وسجلات الاختبار

قد تصبح منصة التسجيل نفسها مخزناً للمحتوى الحساس إذا حفظت كل الوثائق والمطالبات والرموز. ينبغي جمع القدر اللازم فقط من الأدلة واستخدام معرفات للسجلات أو مواد منقحة مع إمكانية مراجعتها بصلاحيات محددة. لا يجوز أن يتسبب اختبار عزل المستأجرين في تجميع معلومات عملاء حقيقيين في ملف غير محمي. ويجب أن يحدد التفويض وجهات الملفات والاحتفاظ وحالات الإيقاف عند ظهور بيانات غير متوقعة، بما يشمل قنوات الأطراف الخارجية. تحفظ السجلات بطريقة تسمح بإعادة التحقق من الواقعة دون نقل الأسرار بين فرق لا تحتاجها.

معالجة السبب الصحيح

قد تعالج مشكلة استرجاع خارج الدور بمرشح وصول قبل جلب النص، أو تعالج مشكلة سلطة أداة بتفويض مستقل في API، أو تحتاج مشكلة ذاكرة مشتركة إلى عزل المصادر والهوية. من غير الكافي إضافة قاعدة جديدة إلى مطالبة النموذج إذا ظل الخلل في النظام الخلفي، كما لا تكفي إزالة مستند تجريبي إن بقي مسار إضافة المحتوى غير الموثوق دون تحكم. يحفظ الفريق رابط النتيجة بالسبب الجذري والإجراء والمعيار الذي يثبت الإصلاح، ثم يعيد تشغيل حالة مسموحة لتأكيد أن الحماية لم تعطل وظيفة مشروعة. تساعد هذه الطريقة على فصل الأثر الظاهر عن مصدر السلطة الذي ينبغي إصلاحه.

سيناريو تدريبي مختصر

تخيل أن مستند مورد اصطناعي يدخل نظام RAG لموظف مشتريات يحق له التلخيص وإنشاء مسودة، لكن لا يحق له الموافقة النهائية أو إرسال بيانات خارجية. ارسم الطريق من الملف إلى الفهرس إلى النموذج إلى الأداة إلى ERP. حدد أين يستطيع المورد التأثير وأين تُفرض صلاحيات الموظف وأي سجل يثبت أن المعاملة رفضت أو نفذت. ثم اكتب ثلاثة معايير: جودة الإسناد إلى المصدر، وحماية حدود الاسترجاع، وفعالية تفويض الأداة. إذا اختلفت النتائج بين المعايير، اشرحها منفصلة بدلاً من استخدام حكم أمن واحد للنظام كله.

تمرين تقييم متكامل

أنشئ مصفوفة تحتوي ثلاثة مصادر إدخال وأداتين ودورين وحدين للمستأجر، ثم صغ خمس حالات اختبار دفاعية تشمل محتوى مباشر وغير مباشر وسلسلة أدوات وربط هوية عبر قناتين. لكل حالة اكتب نطاق التفويض، والبيانات الاصطناعية، وشرط PASS وFAIL وINCONCLUSIVE، ومصدر الدليل وسبب اختيارها. ضع علامة على الأسطح التي لم يشملها السيناريو ولا تدرجها في نسبة التغطية. واقترح إجراء علاجياً واحداً على طبقة المحتوى وإجراء آخر على طبقة تنفيذ الأداة، مع وصف كيفية إعادة التحقق من كل منهما بعد التغيير.

حقوق المصدر والحدود

المصدر الأساسي القسم 4.3 AI Pathway Vulnerabilities في OWASP GenAI Red Teaming Manual v1.0، أكتوبر 2026، الصفحات 68–77، والذي يتناول RAG Pathway وDirect/Indirect Prompt Injection وTool Chain & Orchestration وRuntime Output-Masking وCross-User/Cross-Tenant Injection وCross-Channel Session and Identity Binding. هذا الدرس صياغة تعليمية تحليلية عربية من سيادة AI، ولا يقدم ترجمة معتمدة أو تصريحاً بإجراء اختبار على أنظمة الغير. يجب احترام ترخيص CC BY-SA 4.0 للمصدر عند استخدام مادته أو تكييفها.