Crucible · جدار حماية تدقيق النماذج

الفحص النظيف يترك سؤال التحميل مفتوحاً دون حسم

يجتاز نموذج اصطناعي خط الأساس PickleScan، ثم يحاول فتح قاعدة بيانات أثناء التحميل. يسجل Crucible ذلك الأثر المكوَّن ويحظره، معيداً حالة QUARANTINE مع إرفاق الأدلة.

23/23 مقابل 19/23

اكتشاف الأحداث المحظورة مقابل علامات PickleScan

نفس التركيبات الاصطناعية الـ 23 الخبيثة وتلك المتملصة

4/4 مقابل 0/4

أربع تركيبات متملصة مُصممة

الاكتشاف السلوكي مقابل PickleScan 1.0.4

2/2

تركيبات الامتناع الموجّهة إلى REVIEW

مطلوب مزيد من الأدلة؛ لم يُصدر أي توقيع

تُبلغ البطاقات عن تشغيل مرجعي واحد ثابت لخط أنابيب مباشر اصطناعي مكوَّن من 33 قطعة أثرية في 6 أكتوبر 2026 مع توجيه استشاري حتمي. وهي لا تُقدّر الاكتشاف على نماذج غير معروفة. يلتقط الفيديو بشكل منفصل عمليات تدقيق مكوَّنة حديثة في التطبيق المحلي: تستخدم لوحة التحكم الرئيسية توجيهاً استشارياً مخزناً مؤقتاً من Codex، ويستخدم المعيار القياسي توجيهاً استشارياً حتمياً. ولا يتم التقاط أي استدلال جديد للنماذج.

يحتاج القرار إلى أدلة حول التحميل

عندما يوافق فريق الأمان على نموذج متسلسل، فإن السؤال المناسب يتجاوز هويته المعلنة: ما هي العملية التي يحاول التحميل تنفيذها، وما هي الأدلة التي تظل معلقة دون حسم؟

يحذر Python من أن بيانات pickle المصممة بعناية يمكنها تنفيذ تعليمات برمجية أثناء إلغاء التسلسل. وتصف وثائق فحص pickle الخاصة بـ Hugging Face أيضاً القيود المفروضة على فحص الاستيراد والأكواد التشغيلية opcode. وثائق Python pickle؛ وثائق Hugging Face لفحص pickle.

تجعل تركيبتنا الاصطناعية لـ SQLite هذا التمييز قابلاً للفحص: يقع خط أساس دون أي علامة إصابة بجانب محاولة محظورة لفتح قاعدة بيانات. يحافظ سجل القبول على كلا النتيجتين بدلاً من التعامل مع حقل الفاحص النظيف على أنه إذن بالمرور.

كيف يتم اتخاذ القرار المكوَّن

فحص محتوى pickle المدعوم. يسجل التفكيك الثابت للأكواد التشغيلية المتغيرات العامة ويقرب الدوال القابلة للاستدعاء المستدعاة. يوفر خط الأساس المثبت لـ PickleScan حقل مقارنة منفصلاً؛ ولا تحسم علامته الحكم النهائي مباشرة.
مراقبة محاولة التحميل. تستخدم عملية فرعية جديدة لـ Python خطاف تدقيق CPython لتسجيل أحداث محددة وإثارة استثناء قبل الآثار المحظورة المكوَّنة، بما في ذلك اتصال SQLite واتصال المقبس. هذه أدوات قياس في Python مع فصل للعمليات، دون تقييد بالحاويات أو نظام التشغيل.
تطبيق البوابة والاحتفاظ بعدم اليقين. يُعيد الحدث السلوكي المحظور حالة QUARANTINE. ويُعيد تعطل أداة التشغيل أو انتهاء المهلة، أو خطأ تفكيك pickle، أو متغير عام ثابت خطير لم يتم تنفيذه حالة REVIEW. وخلاف ذلك، تُعيد البوابة الأساسية حالة ALLOW؛ ويمكن لشكوك المتحدي تحويل ALLOW إلى REVIEW، بينما تظل حالة QUARANTINE سارية.
إرفاق سجل مقيد. تتلقى كل نتيجة جرد نماذج مبسطاً على نسق CycloneDX وحقول سلسلة تجزئة محلية. وتتلقى حالة ALLOW فقط توقيعاً بمفتاح تطوير على اسم النموذج، وتجزئة القطعة الأثرية، وسجل الجرد. ويظل تاريخ المصدر الأولي غير المعروف بحالة UNKNOWN.

تستخدم الاستشارة دورَي المحلل والمتحدي في طلب مدمج واحد. تستخدم لوحة التحكم الرئيسية المسجلة مشورة مخزنة مؤقتاً؛ ويستخدم المعيار القياسي توجيهاً استشارياً حتمياً. ولا تضمن هذه الفحوصات المكوَّنة أن يتم توجيه كل ملف مشوه أو تنسيق غير مدعوم أو خطأ تحليل إلى REVIEW.

تتبع قطعة أثرية واحدة من الفحص النظيف إلى قرار القبول

جميع القطع الأثرية وأسماء النماذج وتسميات المصدر hf:// أدناه هي تركيبات محلية اصطناعية، وليست نماذج عملاء أو سجلات تسجيلات موثقة. تلتقط لقطات الشاشة الثلاث الأولى فحوصات مكوَّنة حديثة مع توجيه استشاري مخزن مؤقتاً من Codex؛ بينما يستخدم التقاط المعيار القياسي المنفصل توجيهاً استشارياً حتمياً. ولا يتم عرض أي استدلال جديد للنماذج.

مثال عملي: خط أساس نظيف، ومحاولة قاعدة بيانات محظورة

يحاول ملف trusted-looking/finetune-safe pickle المُنشأ فتح قاعدة بيانات SQLite أثناء إلغاء التسلسل. واسمه تسمية تركيبة مؤلفة، وليس دليلاً على الثقة. والسؤال المفيد هو ما إذا كانت نتيجة الفاحص وسلوك التحميل المرصود يدعمان نفس قرار القبول.

النتيجة المكوَّنة

PickleScan: CLEAN. العملية المرصودة: sqlite3.connect، تمّت محاولتها وحظرها. الحكم النهائي: QUARANTINE. التوقيع: لا يوجد.

متملص SQLite الاصطناعي في Crucible يُظهر فحص PickleScan CLEAN، وعملية sqlite3.connect محظورة، وحالة QUARANTINE — متملص SQLite الاصطناعي: لا يضع PickleScan علامة على القطعة الأثرية؛ بينما يسجل خطاف التدقيق المكوَّن عمليتها لمحاولة فتح قاعدة البيانات ويحظرها. ولا تُصدر QUARANTINE أي توقيع. وتعني شارة NO CODE SURFACE عدم وجود أي تطابق لمتغير عام خطير مكوَّن؛ ويبقى _sqlite3.connect موجوداً. وتشير صياغة بيئة العزل في واجهة المستخدم إلى أدوات تدقيق العملية الفرعية، دون تقييد بنظام التشغيل أو الحاوية. افتح الصورة للفحص بالحجم الكامل.

1. قراءة نتائج الفاحص والنتائج الثابتة بشكل منفصل

يسجل PickleScan 1.0.4 _sqlite3.connect على أنه مشبوه دون تعيين علامة الإصابة الخاصة به. ويحتفظ التفكيك الثابت لـ Crucible أيضاً بتلك الدالة القابلة للاستدعاء المستوردة، لكنها غائبة عن مجموعة المتغيرات العامة الخطيرة المكوَّنة. وبالتالي، تعني شارة NO CODE SURFACE المرئية عدم وجود أي تطابق لمتغير عام خطير مكوَّن؛ ولا تعني أن الملف لا يحتوي على أي دالة قابلة للاستدعاء وقابلة للتنفيذ.

الأدلة للقطعة الأثرية الاصطناعية لـ SQLite
الفحص	النتيجة المسجلة	ما يثبته
خط أساس PickleScan	`flagged: false`؛ `_sqlite3.connect [suspicious]`	لا يضع خط الأساس هذا علامة على القطعة الأثرية. وهو لا يثبت سلامة التحميل من الأضرار.
التفكيك الثابت	`_sqlite3.connect` في الواردات والدوال التقريبية القابلة للاستدعاء؛ لا يوجد متغير عام خطير مكوَّن	الدالة القابلة للاستدعاء مرئية على الرغم من أن قائمة الرفض المكوَّنة ليس بها أي تطابق.
التحميل المرصود	`sqlite3.connect` مع `blocked: true`؛ `loaded: false`	يثير خطاف التدقيق استثناءً قبل الأثر المكوَّن لفتح قاعدة البيانات.
البوابة النهائية	QUARANTINE؛ `signature: null`	تحدد المحاولة المحظورة هذا الحكم. لم يُصدر أي توقيع.

2. استخدام الأثر المحاول لتحديد المسار

تصل عملية Python العاملة الجديدة إلى sqlite3.connect من أجل /tmp/vp_demo_persist/.store.db. ويسجل خطاف تدقيق CPython الخاص بها العملية ويثير استثناءً قبل الأثر المكوَّن. وتُعيد البوابة حالة QUARANTINE لأنه تم رصد حدث خطير محظور، بغض النظر عن علامة خط الأساس النظيف. ولا تُظهر هذه الأدلة إنشاء قاعدة بيانات أو نجاح استمراريتها.

تطلق واجهة المستخدم على هذا العامل اسم بيئة عزل. والحدود المنفذة هي عملية فرعية مع خطافات تدقيق محددة لـ Python، دون بيئة عزل لنظام التشغيل أو تقييد بالحاويات أو عزل للشبكة. ويحتاج نظام القبول الإنتاجي إلى حدود احتواء قائمة بشكل منفصل.

3. إبقاء القرار مرتبطاً بالقطعة الأثرية والسجل

يربط سجل JSON القابل للتنزيل تجزئة SHA-256 للقطعة الأثرية بنتائجها الثابتة، ونتيجة خط الأساس، والاستدعاءات المحاوَلة، وسبب البوابة، وجرد النماذج الأدنى، وحقول سلسلة التجزئة المحلية. وبالنسبة لنتيجة QUARANTINE هذه، يكون حقل التوقيع خالياً null. ويمكن للمراجعين فحص أدلة القرار دون التعامل مع توصيات الاستشارة على أنها موافقة أو إجراء تسجيل مكتمل.

تحدد التجزئة بايتات القطعة الأثرية المفحوصة. وتدعم السلسلة المحلية فحوصات الاتساق بين السجلات، ولكن ليس لها عهدة مستقلة أو مرساة خارجية وليست أرشيفاً غير قابل للتغيير. وتغطي حمولة ALLOW الموقعة الموضحة أدناه مجموعة أضيق من الحقول مقارنة بسجل الأدلة الكامل.

يترك التحميل الهادئ نتيجة شرطية دون حسم

تحتوي التركيبة الاصطناعية المنفصلة acme/experimental-rl على builtins.eval في الفحص الثابت. ولا يتم تنفيذ فرعها الشرطي في هذه البيئة، ولا يسجل التحميل المرصود أي حدث خطير محظور. وترسلها النتيجة الثابتة غير المحسومة إلى REVIEW دون توقيع. ويحافظ هذا المسار على الحاجة إلى مزيد من الأدلة؛ ولا يتم عرض أي تحقيق بشري مكتمل.

تركيبة Crucible الشرطية الاصطناعية تُظهر builtins.eval، وعدم وجود حدث تشغيل محظور، وحالة REVIEW — التركيبة الشرطية الاصطناعية: يجد الفحص الثابت builtins.eval، بينما لا يسجل التحميل المرصود أي حدث خطير محظور. لا تُصدر REVIEW أي توقيع وتوجه القطعة الأثرية للحصول على مزيد من الأدلة بدلاً من مراجعة بشرية مكتملة. افتح الصورة للفحص بالحجم الكامل.

توقع ALLOW الجرد المحلي بينما يظل أصل المصدر مجهولاً

يتبع قاموس الأوزان المُنشأ acme/sentiment-mlp المسار النظيف: لا يتم تسجيل أي حدث خطير محظور، وتُعيد الفحوصات المكوَّنة حالة ALLOW ويُصدر توقيع Ed25519. ويسمي سجل جرده القطعة الأثرية والتجزئة، وتنسيق التسلسل، وإطار العمل المستنتج، والمصدر المعلن. ويظل أصل بيانات التدريب وسجل الضبط الدقيق بحالة UNKNOWN.

جرد أوزان Crucible الاصطناعية النظيفة يُظهر أصلاً بحالة UNKNOWN وتوقيع Ed25519 محلياً — قاموس الأوزان النظيف الاصطناعي: تتلقى ALLOW توقيع مفتاح تطوير محلي على اسم النموذج، والتجزئة، وسجل الجرد. ويظل أصل التدريب وسجل الضبط الدقيق بحالة UNKNOWN. ونص مرجع إطار العمل المرئي هو تسمية مكوَّنة، دون تحقق قانوني أو نتيجة امتثال. افتح الصورة للفحص بالحجم الكامل.

يوثق التوقيع اسم النموذج القياسي، وتجزئة القطعة الأثرية، وحمولة الجرد المبسطة على نسق CycloneDX بالنسبة لمفتاح تطوير محلي. وهو لا يوقع على كل حكم أو السجل بأكمله، ولا يملأ السجل الأولي للمصدر، ولا يثبت حقوق التدريب، ولا يثبت أن نموذجاً عشوائياً آمن. ونص المرجع التنظيمي المرئي هو بيانات وصفية لتركيبة مكوَّنة، وليس امتثالاً تم التحقق منه.

قراءة مقارنة المجموعة الثابتة مع مقامها

يستخدم تشغيل مرجعي واحد مجمَّد لخط أنابيب مباشر في 6 أكتوبر 2026 توجيهاً استشارياً حتمياً، وPickleScan 1.0.4، ومفاتيح تطوير مؤقتة، ودفتر أستاذ مؤقتاً. وتتألف قطعه الأثرية الـ 33 المُنشأة من 8 تركيبات حميدة، و19 خبيثة، و4 تركيبات متملصة مُصممة، وتركيبتي امتناع. وتَعدّ مقارنة التركيبات الخبيثة مع المتملصة نفس الـ 23 قطعة أثرية في كلا العمودين.

تشغيل مرجعي لخط أنابيب مباشر اصطناعي مكوَّن من 33 قطعة أثرية ثابتة
القياس	النتيجة المرصودة	النطاق
اكتشاف التركيبات الخبيثة مع المتملصة	سلوكي 23/23؛ PickleScan 19/23	اكتشاف الأحداث المحظورة مقارنة بعلامة إصابة خط الأساس على نفس التركيبات الـ 23.
التركيبات المتملصة المُصممة	سلوكي 4/4؛ PickleScan 0/4	أربع تركيبات مصممة لتوضيح الفرق بين هذه الفحوصات.
القرارات الحميدة	0/8 مُنحت حكماً بخلاف ALLOW	ثماني تركيبات حميدة، وليست تقديراً للإيجابيات الكاذبة على نماذج غير معروفة.
توقيعات ALLOW	8/8 أُصدرت وتم التحقق منها	يستخدم التحقق الدالة المضمنة ومفتاح التطوير المحلي.
مسار الامتناع	2/2 REVIEW	تبقى التركيبات غير المحسومة دون توقيع؛ والتحقيق لم يكتمل.
الأحكام المتوقعة والسلسلة المحلية	33/33 متطابقة؛ روابط التجزئة سليمة	توقعات التركيبات المؤلفة وفحص اتساق محلي، دون مرساة خارجية.

لقطة الشاشة أدناه هي تشغيل معياري مكتمل منفصل لـ HTTP/SSE في التطبيق المحلي، مع توجيه استشاري حتمي. وتُظهر نفس مقارنة المجموعة الثابتة وتطابق 33/33 من الأحكام المتوقعة. وهي ليست مصدر قياس التشغيل المرجعي لخط الأنابيب المباشر المجمَّد أعلاه؛ والتوقيتات المعروضة فيها تنتمي إلى ذلك التشغيل الملتقط.

معيار Crucible القياسي الاصطناعي المكتمل يُظهر 33 من أصل 33 حكماً متوقعاً، واكتشافاً سلوكياً 23 من أصل 23، وعلامات PickleScan 19 من أصل 23 — المعيار القياسي المحلي المكتمل لـ HTTP/SSE: تطابق جميع التركيبات الاصطناعية الـ 33 أحكامها المتوقعة. ويبلغ اكتشاف الأحداث السلوكية المحظورة 23/23 وعلامات PickleScan 19/23 على نفس مجموعة التركيبات الخبيثة والمتملصة. والتوجيه الاستشاري حتمي. وتوقع ALLOW فقط حمولة سجل الجرد؛ بينما تبقى REVIEW وQUARANTINE دون توقيع. وليس لسلسلة التجزئة المحلية أي مرساة خارجية، والتوقيتات المعروضة ليست زمن استجابة إنتاجياً. افتح الصورة للفحص بالحجم الكامل.

لا تُقدّر ملاحظات التركيبات المُصممة هذه الاكتشاف على نماذج غير مرئية، أو زمن الاستجابة الإنتاجي، أو الحد من الانتهاكات. وتصف ALLOW نتيجة الفحوصات المكوَّنة على التحميل المرصود؛ وهي لا تثبت أماناً شاملاً للنموذج.

ما يمكن لكل طبقة إثباته

الطبقة	الأدلة في هذا العرض التوضيحي	الحدود الواجب مراعاتها
الفحص الثابت وPickleScan	المتغيرات العامة، والدوال التقريبية القابلة للاستدعاء، وعلامة خط الأساس	العلامة النظيفة وحدها لا تحسم سلوك التحميل
المراقبة السلوكية	آثار محاوَلة محددة على تحميل واحد مرصود	يمكن للتحميل الهادئ أن يترك السلوك الشرطي دون حسم
سجل الجرد الموقّع	اسم النموذج المحلي، والتجزئة، وحمولة الجرد لـ ALLOW	لا يشهد التوقيع على تاريخ المصدر الأولي غير المعروف
دفتر أستاذ محلي بسلسلة تجزئة	روابط تجزئة تدعم فحوصات الاتساق المحلية	لا توجد عهدة مستقلة أو مرساة خارجية

ما لا يفعله هذا العرض التوضيحي

Crucible هو عرض توضيحي محلي على قطع أثرية اصطناعية. وليس لديه رابط بسجل عام، أو إنفاذ لقبول المؤسسات، أو بيئة عزل لنظام التشغيل، أو بنية تحتية لمفاتيح الإنتاج، أو إعادة بناء كاملة للتبعيات. وهو لا يقيّم جودة النموذج، أو أمان الاستدلال، أو تسميم بيانات التدريب، ولا تثبت تسميات مراجع أطر العمل الامتثال.

يحذر Python من أن خطافات التدقيق غير مناسبة لتنفيذ بيئة عزل. وثائق خطافات تدقيق Python. ويجب أن ينشئ العمل الإنتاجي حدود احتواء، وحدود ثقة، وعهدة خاضعة للرقابة تتجاوز هذا العرض التوضيحي المحلي.

أسئلة تطرحها فرق الأمان والمنصات

ما الذي يمكن أن يثبته فحص pickle النظيف؟

تعني نتيجة PickleScan النظيفة أن خط الأساس هذا لم يضع علامة على القطعة الأثرية المفحوصة. وفي مثال SQLite الاصطناعي لـ Crucible، يسجل خطاف التدقيق المكوَّن عملية قاعدة بيانات محاوَلة ويحظرها أثناء التحميل بينما يظل خط الأساس نظيفاً. ولا تثبت نتيجة الفاحص وحدها تحميلاً خالياً من الآثار الجانبية.

ماذا لو لم يتم تنفيذ أدلة ثابتة مشبوهة أثناء التحميل؟

يوجه Crucible متغيراً عاماً ثابتاً خطيراً مكوَّناً إلى REVIEW عندما لا يُنفّذ التحميل المرصود حدثاً خطيراً محظوراً. وتحتوي التركيبة الشرطية الاصطناعية على builtins.eval وتسلك هذا المسار دون توقيع. وتطلب REVIEW مزيداً من الأدلة؛ ولا تعني اكتمال التحقيق البشري.

ما الذي يغطيه التوقيع؟

تتلقى ALLOW فقط توقيع Ed25519 على اسم النموذج القياسي، وتجزئة القطعة الأثرية، وحمولة سجل الجرد، باستخدام مفتاح تطوير محلي. وهو يوثق تلك الحمولة بالنسبة لهذا المفتاح. ولا يثبت العهدة في المراحل السابقة، أو أصالة المصدر، أو المصدر الكامل.

ما هو المصدر الأولي الذي يظل غير معروف؟

يسجل جرد النماذج الأدنى على نسق CycloneDX مصدر بيانات التدريب وتاريخ الضبط الدقيق بحالة UNKNOWN. ويتضمن تجزئة القطعة الأثرية، وتنسيق التسلسل، وإطار العمل المستنتج، والمصدر المعلن. ولا يملأ حكم ALLOW والتوقيع المحلي الصالح التاريخ المفقود.

كيف يتم عزل العامل؟

العامل هو عملية فرعية جديدة لـ Python مع دليل عمل مؤقت وخطاف تدقيق لـ CPython يسجل أحداثاً محددة ويحظر الآثار المكوَّنة. وليس لديه حاوية أو بيئة عزل لنظام التشغيل وليس بيئة معزولة عن الشبكة. ولا يثبت هذا العرض التوضيحي احتواءً إنتاجياً أو أماناً شاملاً.

هل يتكامل هذا مع سجلنا وخط أنابيب القبول لدينا؟

يقرأ العرض التوضيحي القطع الأثرية المُنشأة من سجل اصطناعي محلي. وتعد سلاسل مصدر hf:// تسميات تركيبات، وليس لديه رابط بسجل عام أو إنفاذ لقبول المؤسسات. وسيتطلب التكامل الإنتاجي حدود ثقة بالسجل، واحتواءً، وإدارة للمفاتيح، وتخزين تدقيق خاضعاً للرقابة بشكل مستقل.