قياس تسرب البيانات وتصعيد صلاحيات الوكلاء بأدلة موثوقة
منهج Phase 5 للتفرقة بين السلوك والمخرجات والتفويض والتنفيذ مع ضوابط أمن البيانات.
قياس تسرب البيانات وتصعيد صلاحيات الوكلاء بأدلة موثوقة
موضوع المرحلة الخامسة
تخصص OWASP GenAI Red Teaming Manual v1.0 المرحلة الخامسة Persistence & Escalation لمسارات تسرب البيانات وتصعيد امتيازات الوكلاء واختبار الاستمرارية. هنا ينتقل اهتمام الفريق من رؤية رد غير متوقع إلى قياس ما إذا كان النظام سمح بوصول أو فعل خارج حدود السلطة. يجب أن يظل كل اختبار ضمن تفويض مكتوب وبيانات اصطناعية ووجهات مملوكة لفريق التقييم، ولا يُستخدم أي محتوى حقيقي حساس لإثبات تسرب يمكن محاكاته ببيانات غير ضارة. يركز هذا الدرس على الفصل بين الملاحظة والقدرة المثبتة، وعلى الضوابط التي تحفظ العزل والتفويض وبيانات المصدر، لا على تقديم وسائل عملية للتسلل إلى أنظمة الآخرين.
ما معنى كشف البيانات
قد تظهر في استجابة النموذج عبارة تشبه بيانات مؤسسة، لكن لا يكفي ذلك للجزم بأن النظام استرجع مادة محمية. يحتاج التقرير إلى ربط المعلومة بمصدر فعلي وحقوق الوصول إليه، وإثبات أن الحساب لم يكن مخولاً بالاطلاع عليه. يمكن أن تُنشئ بيئة الاختبار مستندات علامات فريدة لكل مستأجر، فتُستخدم تلك العلامات للتحقق من العزل من دون الاطلاع على ملفات حقيقية. كما ينبغي الفصل بين وصول النص إلى النموذج وبين عرضه للمستخدم وبين نقله إلى أداة أو جهة خارجية. قد يحدث إخفاق في طبقة البحث حتى لو امتنع النموذج عن عرض النتيجة، لذلك تُفحص مصادر الأدلة المختلفة ضمن التفويض.
مسار البيانات الأصلي
يسجل الفريق رحلة المستند من تخزينه إلى فهرسته إلى استرجاعه إلى تركيب السياق وإخراج الجواب. ويحدد أين تُطبق سياسة المستأجر أو دور المستخدم، وهل توجد نسخ مؤقتة أو روابط يمكنها تجاوز الطبقة التي فرضت المنع في الواجهة. عند إثبات نتيجة خارج الدور، ينبغي أن يتضح هل جاء النص من فهرس مشترك أو من ذاكرة جلسة أو من نتيجة أداة أو من خطأ في تكوين الوصول. يختلف العلاج بحسب السبب، فلا يمكن إصلاح كل تسرب بتعليم النموذج ألا يكرر النص. ولا يعني عزل الواجهة وحده أن صلاحيات التخزين أو الروابط الخلفية مطابقة للسياسة.
تعريف وجهة إخراج مأمونة
عند اختبار احتمال خروج بيانات إلى خدمة أخرى لا يلزم استخدام بريد خارجي أو مستودع لا يملكه الفريق. يمكن إعداد وجهة رصد اصطناعية داخل البيئة المصرح بها، وتسجيل ما إذا حاول التطبيق نقل معرف تجريبي أو قيمة لا يفترض خروجها. يتعين أن يعرف مالك النظام الوجهات التي يسمح بها التفويض وأن توجد سقوف توقف عند ظهور أي معلومات غير متوقعة. إذا اعتمدت التجربة على محاكاة أداة إرسال، فلا بد أن يوضح التقرير ما الذي ثبت داخل المحاكاة وما لم يُختبر في الأداة الفعلية. حماية البيانات أثناء الاختبار شرط للمنهج، وليست أمراً يؤجل إلى نهاية المهمة.
صلاحيات الوكيل مقابل صلاحيات الحساب
قد يكون لدى الوكيل مفتاح خدمة يسمح بتعديل أو قراءة أصول متعددة، بينما يملك المستخدم الذي وجه الطلب دوراً أضيق. ينبغي أن تراجع طبقة التنفيذ هوية المستفيد الأصلي والعملية المطلوبة والأصل وشروط الموافقة، لا مجرد صلاحية المفتاح الفني. يمكن أن يسجل فريق الاختبار حالة يختار فيها النموذج أداة خارج الدور، لكنه لا يصف ذلك بتنفيذ ضرر ما لم تثبت خدمة الخلفية فعلًا غير مخول. وفي المقابل قد يرفض النموذج الكلامي أمراً لكنه لا يضمن منع الطلب لو أرسل مباشرة إلى API دون تحقق. يعتمد الحكم الأمني النهائي على موضع قرار السلطة.
تصعيد الامتياز في المهام المركبة
يمكن أن تنتقل مهمة بين وكيل قراءة ووكيل مراجعة ووكيل كتابة، ما يجعل التفويض عبر المكونات بحاجة إلى تصميم صريح. يجب أن يحدد كل وكيل أي البيانات يمكن تمريرها وأي العمليات يحق له طلبها وباسم من تنفذ. تفويض وكيل لآخر لا يخلق تلقائياً سلطة جديدة، كما لا يجب أن يضيع سياق المستخدم عند تسليم المهمة. يختبر الفريق أن كل خطوة ذات أثر تخضع لضابط خلفي مستقل، وأن أدوات الكتابة لا تحصل على مفاتيح واسعة دون قيود على المستفيد والأصل. وقد تحتاج المؤسسة إلى سجل قرار يربط تسلسل الاستدعاءات بالمهمة والموافقة المتوقعة.
حدود هوية الكائنات
تُخزن الجلسات والملفات والمساعدون وسجلات التنفيذ أحياناً تحت معرفات كائنات في API. لا ينبغي أن يستطيع مستخدم في مستأجر واحد قراءة أو تغيير كائن من مستأجر آخر لمجرد معرفته بمعرفه، ويجب أن تفحص الخدمة كل طلب وفق هوية موثوقة وصلاحية فعلية. لا يُعتمد على إخفاء أسماء الكائنات أو أزرار الواجهة كضابط وحيد. يمكن إجراء تقييم مأذون بحسابين تجريبيين وملفات منفصلة، مع عدم لمس بيانات مستخدمين حقيقيين. تُوثق نتيجة المنع من سجلات الخدمة، لا من صفحة تعرض رسالة عامة قد تخفي فشلًا آخر في الطبقة الخلفية.
الإبلاغ عن نتيجة محتملة
قد يرى المختبر مؤشراً يوحي بأن الوكيل استخدم أداة غير ملائمة لكنه لا يملك سجل التنفيذ أو صلاحية فحص الحالة النهائية. ينبغي أن يصنف النتيجة غير حاسمة وأن يطلب مصدراً مناسباً قبل إعلان تصعيد امتياز مثبت. وإذا ظهر أثر على أصل اختبار موثق، يسجل بدقة ما حدث وشروطه وحدوده، ويوقف الاختبار عند مؤشرات تجاوز نطاقه. لا يعمم ضعف في حساب أو بيئة واحدة على جميع مستخدمي المؤسسة دون اختبار أو سند إضافي. يمكن أن تبقى الحالة ذات أولوية مرتفعة بسبب حساسية الأصل، لكن الأثر المؤكد لا يُخلط بالأثر المحتمل.
فصل المعالجة بين الطبقات
إذا كان الخلل في مرشح استرجاع مستندات، قد يكون العلاج في خدمة البيانات وصلاحيات الفهرس والتخزين المؤقت. وإذا كان في أداة تسمح بتعديل خارج الدور، فالعلاج في تفويض الخلفية وقيود رمز الخدمة وربط الهوية الأصلية. وقد تحتاج طبقة التنسيق إلى تحسين فصل التعليمات عن المحتوى لمنع محاولة الوكيل استخدام أداة غير مناسبة، لكنه لا يغني عن العلاج التنفيذي. يُربط كل سبب بمالك ضابط وتاريخ تنفيذ واختبار انحدار. ويجب أن تُفحص الوظائف المشروعة حتى لا يؤدي تضييق السلطة إلى تعطيل المهمة التي طُوّر النظام لخدمتها.
تقييم أثر التغيير الخارجي
قد يؤدي تحديث خادم أداة أو نموذج مستضاف إلى تبدل في الاستدعاءات أو صياغة المخرجات، وقد تتغير صلاحيات مصدر البيانات أو سياسة المورد. لهذا يجب أن يحتفظ فريق الضمان بخريطة بين النتائج والمكونات التي تعتمد عليها، وأن يقرر أي حالات تعاد عند تغيير سلطة أو أداة أو فهرس. لا تثبت نسخة نموذج واحدة سلامة نظام يستخدم نموذجاً آخر، كما لا يضمن تحديث Prompt إصلاح API كانت تقبل طلبات خارج الدور. ينبغي أن تكون قرارات إعادة الاختبار مبنية على المخاطر والأدلة، لا على تواريخ جامدة أو رغبة في عرض أرقام نجاح أعلى.
المراقبة والتحقيق
يمكن أن تساعد سجلات رفض التفويض ووجهات الإخراج وأحداث استرجاع الملفات وهوية المستفيد في اكتشاف محاولة تجاوز ضمن الأنظمة الوكيلة. يجب ألا تنتج المراقبة نسخاً إضافية غير محكومة من البيانات الحساسة، بل تستخدم معرفات وروابط مقيدة وإجراءات احتفاظ مناسبة. وعندما يختبر الفريق قدرة الكشف يجب أن يحدد معياراً منفصلاً عن معيار منع التنفيذ: قد يفشل التنبيه رغم أن API رفض العملية، وقد ينجح التنبيه بعد وقوع محاولة لم تؤد إلى كشف. يوفر هذا التفريق رؤية أدق لما تحتاجه عمليات الأمن والاستجابة وما يمكن ضمانه في ظل البيئة المتاحة.
حالة تدريبية على العزل
صمم مؤسسة افتراضية لديها مستأجران تجريبيان، ومساعد بحث متصل بمخزن ملفات، وأداة إنشاء مسودة رسالة. ضع لكل مستأجر وثائق علاماتها مصطنعة، وحساباً يحق له رؤية بعضها فقط. اختبر بصورة مأذونة معيارين منفصلين: ألا يرجع محرك الاسترجاع مصدراً خارج الدور، وألا تستطيع أداة الرسالة إرسال مخرجات إلى جهة غير مصرح بها. إذا فشل أحد الضابطين ونجح الآخر، اشرح معنى كل نتيجة من دون اعتبارها حالة واحدة. سجّل إصدار النظام والهوية ومصدر الدليل وما إذا كان التشغيل حقيقياً في البيئة التجريبية أم محاكاة محدودة.
تمرين تصعيد الصلاحية
تخيل وكيلاً يقرأ سجل مشتريات ويقترح تحديث حالة لكنه لا يملك الموافقة النهائية. ارسم طلب المستخدم وسلسلة الأدوات وموضع قرار ERP الذي يمنع المعاملة. ثم اكتب ما الدليل الذي يثبت أن الوكيل حاول اختيار أداة، وما الدليل المنفصل الذي يثبت أن النظام الخلفي رفض أو قبل العملية. حدد حالة INCONCLUSIVE إذا لم يكن السجل متاحاً، واقترح ضابطين: أحدهما لتقليل تعرض الوكيل للأدوات والآخر لفرض السلطة عند المعاملة. لا يستخدم التدريب معاملات مالية أو معلومات شخصية فعلية، بل سجلات قابلة للإنشاء والإزالة داخل نطاق الاختبار.
الفصل بين حدوث أثر واتساعه
قد يظهر في تجربة آمنة أن الحساب اطلع على ملف اختبار واحد خارج الدور، لكن هذا لا يثبت قدرته على قراءة كل الملفات. يحتاج تحليل نطاق الضرر إلى تحديد نوع الأصل ومسار الوصول والثبات والضوابط والحدود التي لم تفحص. يمكن أن تكون النتيجة مهمة حتى مع نطاق ضيق بسبب قيمة البيانات أو طبيعة الإذن، لكن يجب أن يقدم التقرير وصفاً واقعياً لا عبارة «كشف شامل» دون دعم. ويجب أن يُقدر أثر استمرار التشغيل بالتعاون مع مالك النظام والمخاطر، وأن تصنف الفرضيات غير المختبرة على نحو ظاهر.
أخطاء ينبغي تمييزها
من الأخطاء اعتبار طلب النموذج لاستدعاء أداة دليلاً على نجاح التصعيد، أو مساواة ظهور نص يحتمل أنه حساس بتسريب مؤكد، أو الاعتماد على إخفاء زر في الواجهة بدلاً من سياسة API، أو استخدام حساب إداري لتمثيل مستخدم عادي ثم التعميم. ويجب ألا يستخدم المختبر بيانات حقيقية لتأكيد ما يمكن إثباته ببيانات مصطنعة، وألا يخلط بين حالة رفض أداة تعطلت تقنياً وحالة رفض بسبب تفويض صحيح. ينبع الحكم الجيد من حفظ هذه الفروق وربطها بمصدر السجل والنسخة والتصريح.
المرجع والقيود
المصدر الأساسي Phase 5 Persistence & Escalation، وخاصة 5.1 Data Exfiltration و5.2 AI Agents Privilege Escalations في OWASP GenAI Red Teaming Manual v1.0، أكتوبر 2026، الصفحات 96–101، مع صلة بالقسم 4.5 الخاص بالوكلاء. هذا درس دفاعي مستقل أعدته سيادة AI ولا يمثل ترجمة رسمية أو تقرير حادث موثق. لا يجيز تقديم أساليب لاستغلال أنظمة أخرى، ويشترط استخدام بيانات وأدوات ومجالات مصرح بها. يخضع المصدر الأصلي لرخصة CC BY-SA 4.0 ويجب احترام شروط الإسناد والاشتقاق.