تقييم أمان الذكاء الاصطناعي والتحصين

يقوم نهجنا على اختراق أنظمة الذكاء الاصطناعي بنفس الطريقة التي يتبعها المهاجمون الحقيقيون، ثم تحصينها ضد مسارات الهجوم التي يكتشفها التقييم — بدءاً من استخراج النماذج وحتى اختراق سلاسل التوريد. تغطي اختبارات الاختراق التقليدية واجهات برمجة التطبيقات (APIs) والبنية التحتية ومسارات المصادقة، لكنها لا تختبر أبداً ما إذا كان بإمكان المهاجم سرقة نموذجك المضبوط بدقة، أو زرع باب خلفي في سلسلة تبعياتك، أو خطف خط أنابيب RAG لديك. لذا يجب بناء منهجية التقييم هذه خصيصاً وفقاً للآلية التي تفشل بها أنظمة الذكاء الاصطناعي.

أسطح هجومية لم يختبرها فريق الأمان لديك من قبل

تغطي اختبارات الاختراق التقليدية واجهات برمجة التطبيقات (APIs)، والبنية التحتية، ومسارات المصادقة لديك. لكنها لا تختبر ما إذا كان بإمكان المهاجم استخراج نموذجك المضبوط بدقة من خلال 50,000 استعلام مُصاغ بعناية. كما أنها لا تكتشف ما إذا كان محوّل LoRA adapter في سلسلة تبعيات HuggingFace قد أدخل باباً خلفياً منذ ثلاثة أشهر. ولا تُقيّم ما إذا كان خط أنابيب RAG سينفذ تعليمات مدمجة في مستند مسترجع. هذه هي مسارات الهجوم التي تخترق بالفعل أنظمة الذكاء الاصطناعي في بيئة الإنتاج.

هذه ليست مخاطر نظرية من عروض المؤتمرات. فقد وجدت شركة Protect AI 352,000 ملف مشبوه عبر 51,700 نموذج على منصة HuggingFace في أبريل 2025. وارتفعت الهجمات المدعومة بالذكاء الاصطناعي بنسبة 89% على أساس سنوي، مع 97% من المؤسسات المخترقة كانت تفتقر إلى ضوابط وصول أساسية على أنظمة الذكاء الاصطناعي لديها. وأدى هجوم سلسلة التوريد Mercor في أوائل عام 2026 إلى اختراق آلاف الشركات عبر تبعية واحدة مفتوحة المصدر.

ما نختبره فعلياً — وما تغفله معظم التقييمات

نهيكل عمليات التقييم لدينا حول إطار عمل MITRE ATLAS الذي يُفهرس الآن 84 تقنية عبر 16 تكتيكاً تستهدف خصيصاً أنظمة الذكاء الاصطناعي. ولكن إطار العمل هو مجرد خريطة، وليس اختباراً. لقد صُممت منهجيتنا لتنفيذ الهجمات التي يفهرسها، وليس لمجرد التأشير عليها كبنود مكتملة.

عمليات نشر النماذج اللغوية الكبيرة وحقن التعليمات البرمجية

نختبر حقن التعليمات غير المباشر عبر كل مسار إدخال: استرجاع RAG، ومخرجات الأدوات، والمستندات المحملة من المستخدم، ومحتوى البريد الإلكتروني المقدم للوكلاء. يتصدر الحقن المباشر عناوين الأخبار، ولكن أسقطت Anthropic مقياس الحقن المباشر تماماً في فبراير 2026 لأن الحقن غير المباشر من خلال سياق الاسترجاع هو ما يخترق أنظمة الإنتاج فعلياً. كما نختبر التلاعب متعدد الجولات، واستخراج تعليمات النظام، وأنماط الفشل المحددة لأي حزمة من ضوابط الحماية تطبقها لديك.

الأمان على مستوى النموذج

نقيم مخاطر الاستخراج عبر تنفيذ حملات استعلام منظمة ضد واجهة برمجة التطبيقات لديك وقياس مدى قدرة المهاجم على تكرار سلوك النموذج. ونقيم المتانة العدائية باستخدام كل من الطرق القائمة على التدرج (عندما يتوفر لدينا حق الوصول إلى النموذج) وهجمات الصندوق الأسود القائمة على النقل (وهي الطريقة التي يعمل بها المهاجمون الحقيقيون). كما ندقق خط أنابيب التدريب لديك للكشف عن ثغرات تسميم البيانات، بفحص كل من بيانات التدريب المباشرة والتبعيات الأولية التي تغذيها (مفصل في بحثنا حول حماية المؤسسات من تسميم النماذج).

سلامة وتكامل سلاسل التوريد

نتتبع كل عنصر للنموذج وصولاً إلى مصدره: الأوزان المدربة مسبقاً، ومجموعات بيانات الضبط الدقيق، وطبقات المحولات، وإصدارات أطر تقديم النماذج. ونتحقق من الثغرات الأمنية المعروفة في بنيتك التحتية للتعلم الآلي — شهدت كل من PyTorch وvLLM وTriton Inference Server ثغرات CVE في الفترة 2025–2026 — ونتحقق من أن تسلسل النماذج يستخدم تنسيقات آمنة. إن $12 billion من الخسائر الناجمة عن نماذج التعلم الآلي المخترقة في عام 2025 جاءت بأغلبية ساحقة من هجمات سلاسل التوريد، وليس من الاستغلال المباشر للنماذج (انظر بحثنا حول تأمين دورة حياة سلاسل توريد التعلم الآلي).

الأنظمة الوكيلة

نختبر سطح الهجوم الذي تحدده قائمة OWASP لأهم 10 مخاطر في الذكاء الاصطناعي الوكيل : اختطاف الأهداف، وسوء استخدام الأدوات، وإساءة استخدام الهوية، وتسميم الذاكرة، والإخفاقات المتتالية عبر سير العمل متعدد الوكلاء. وقد أظهرت أزمة OpenClaw في عام 2026 — حيث تعرضت 21,000+ نسخة من وكيل ذكاء اصطناعي يحظى بـ 135,000 نجمة لثغرات أمنية حرجة — ما يحدث عندما يتم إطلاق الوكلاء دون هذا الاختبار (مفصل في بحثنا حول تأمين الحدود المشتركة بين الإنسان والذكاء الاصطناعي).

تحصين يغيّر آلية عمل نظامك

التقييم دون معالجة ليس سوى ملف PDF باهظ الثمن. يبني نهجنا ضوابط التحصين داخل نظامك مباشرة.

• الدفاع على مستوى طبقة الاستدلال: كشف شذوذ الاستعلامات الذي يحدد حركة مرور أنماط الاستخراج — التغطية المنهجية للمدخلات، واستكشاف الحدود، وعمليات إعادة الصياغة البرمجية الشاملة — ويميزها عن الاستخدام المشروع. ويتم ضبط خطوط أنابيب التحقق من صحة المدخلات بما يتوافق مع نموذج التهديد الخاص بك تحديداً، وليس عبر مرشحات regex العامة التي تغفل الهجمات الدلالية وتحظر الاستعلامات المشروعة.
• تحصين سلاسل التوريد: خطوط أنابيب التحقق من النماذج التي تفحص أصل العناصر ومصدرها، وتتحقق من صحة تنسيقات التسلسل، وتمسح بحثاً عن الأنماط الخبيثة المعروفة، وتفرض متطلبات التوقيع قبل دخول أي عنصر نموذجي إلى خط أنابيب النشر لديك — بالإضافة إلى مراقبة التبعيات التي تكتشف الحزم المخترقة في المراحل السابقة قبل وصولها إلى بيئة الإنتاج.
• تحصين الأنظمة الوكيلة: حدود الامتيازات حول الوصول إلى الأدوات، والتحقق من صحة المخرجات بين خطوات الوكيل، والمراقبة السلوكية التي تكتشف أي تباعد لنمط تنفيذ الوكيل عن سير عمله المتوقع.

لقد صُمم نظام SIEM لديك لكشف شذوذ السلوك البشري. فالوكيل الذي ينفذ 10,000 استعلام بالتتابع يبدو طبيعياً تماماً لتلك الأنظمة حتى عندما يعمل تحت سيطرة المهاجم.

متى لا تحتاج إلى هذه الخدمة

إذا كنت تستدعي واجهة برمجة تطبيقات مدارة (OpenAI أو Anthropic أو Google) دون أي ضبط دقيق، ودون RAG، ودون استخدام للأدوات، ودون بيانات حساسة في التوجيهات، فإن مخاطرك الأمنية تقتصر على إدارة مفاتيح API ومعالجة البيانات. وتغطي المراجعة القياسية لأمان التطبيقات ذلك — فأنت لا تحتاج إلى تقييم مخصص للذكاء الاصطناعي.

إذا كان نموذجك عبارة عن مصنف بسيط يعمل داخلياً دون واجهة برمجة تطبيقات موجهة للخارج ودون خط أنابيب لإعادة التدريب، فإن سطح الهجوم لديك محدود وتكون مراجعة نموذج التهديد السريعة متناسبة. فإجراء اختبار كامل للمتانة العدائية على مصنف مشاعر داخلي خلف جدار حماية هو بمثابة إنفاق $30,000 لحماية خطر بقيمة $500.

نقول هذا بوضوح لأن المصداقية أهم من الإيرادات. والمؤسسات التي تحتاج إلى هذا العمل تدرك متطلباتها جيداً: كل من يمتلك نماذج مضبوطة بدقة، أو خطوط أنابيب RAG تعالج محتوى خارجياً، أو أنظمة وكيلة ذات وصول إلى أدوات، أو نماذج تعمل في صناعات خاضعة للتنظيم، أو أنظمة ذكاء اصطناعي تتخذ قرارات ذات تبعات مالية أو متعلقة بالسلامة.

الضغوط التنظيمية واقعية وذات مواعيد نهائية محددة

يبدأ إنفاذ قانون الذكاء الاصطناعي للاتحاد الأوروبي في أغسطس 2026. تتطلب أنظمة الذكاء الاصطناعي عالية المخاطر إدارة موثقة للمخاطر، واختبارات للمتانة التقنية، وضوابط لحوكمة البيانات. ويترتب على عدم الامتثال غرامات تصل إلى 7% من إجمالي حجم الأعمال السنوي العالمي أو EUR 35 million. نشر المعهد الوطني للمعايير والتقنية (NIST) ملف تعريف إطار الأمن السيبراني للذكاء الاصطناعي في ديسمبر 2025، لربط المخاطر الخاصة بالذكاء الاصطناعي بضوابط CSF 2.0. وباتت هذه الأطر تظهر الآن في متطلبات المشتريات ومراجعات المخاطر على مستوى مجالس الإدارة.

يكمن التحدي في أنه لا يوجد إطار عمل واحد يغطي كل الجوانب. لذا، نقوم بربط نتائج التقييم الخاص بك بأي من الأطر التي يطلبها المنظمون والمدققون والعملاء لديك — مما ينتج أدلة تلبي متطلبات الامتثال لأنها مستمدة من اختبارات حقيقية، وليس من مجرد إجراءات شكلية للتأشير على مربعات الاختيار.

أدوات المنصات مقابل التقييم المخصص

تقوم منصات أمان الذكاء الاصطناعي المؤتمتة (مثل HiddenLayer وMindgard وGiskard) بتشغيل أنماط الهجوم المعروفة على نطاق واسع. وتعتبر مفيدة لاختبارات الانحدار المستمرة بعد التقييم الأولي، لكنها ليست بديلاً عن التقييم الأولي نفسه. فالماسح لا يفهم منطق عملك، ولا يعرف أي مخرجات للنموذج تترتب عليها عواقب حرجة على السلامة، ولا يمكنه تقييم ما إذا كان نموذج التهديد لديك يتطابق مع بنية النشر الفعلية.

نحن نستخدم هذه الأدوات حيثما تضيف قيمة. فالفريق الأحمر المؤتمت والمستمر ينتمي إلى خط أنابيب CI/CD لديك بمجرد أن نحدد الجوانب الواجب اختبارها. ولكن مسارات الهجوم الأكثر أهمية في نظامك المخصص تتطلب خبيراً يفهم كلاً من أنماط فشل الذكاء الاصطناعي وسياقك التشغيلي لاكتشافها.

بالنسبة للمؤسسات التي تعتمد على موردين متعددين للذكاء الاصطناعي (OpenAI وAnthropic وGoogle والنماذج مفتوحة المصدر)، نقوم بتقييم الحدود الأمنية لكل مزود بشكل مستقل ونختبر نقاط التكامل التي تتدفق البيانات من خلالها فيما بينهم. إن سطح الهجوم لمجموعة تقنيات متعددة الموردين ليس حاصل جمع مخاطر كل مورد — بل هو طبقة التفاعل، حيث تنهار الافتراضات حول الضمانات الأمنية لمزود معين عند نقطة التسليم لمزود آخر.