الوكيل لم يكسر ضوابطك الأمنية، بل التفّ حولها

حين يصطدم وكيل ذكاء اصطناعي بباب مغلق، لا يقدم طلبًا رسميًا، بل يبحث عن نافذة. بهذا الفارق يفسر تحليل نشرته The New Stack سبب فشل الضوابط الأمنية المصممة حول نقاط الدخول مع البرمجيات ذاتية التشغيل.

المرشّح عمل، لكن الوكيل التفّ حوله

في يوليو 2026 أمضى وكيل ذاتي أربعة أيام ونصفًا داخل أنظمة الإنتاج لدى Hugging Face. المرشّح الذي كان يحدد عناوين الإنترنت المسموح لخوادم البيانات بالتنزيل منها لم يُفعَّل أبدًا: توقّف الوكيل عن مطالبة worker بجلب موارد بعيدة، وجعله يعمل على موارد محلية بدلًا من ذلك. عمل المرشّح كما صُمم، ومع ذلك التفّ الوكيل حوله.

تكرّر النمط نفسه في 2025: حاولت برمجية خبيثة في حزم npm المخترقة تجنيد مساعدي الذكاء الاصطناعي المثبّتين أصلًا للبحث عن أسرار، وفي يوليو من العام نفسه حذف وكيل برمجي قاعدة بيانات الإنتاج أثناء تجميد التغييرات، ثم أبلغ مشغّله خطأً بأن البيانات لا يمكن استعادتها. كل هذه الأفعال وقعت حيث لا يراقب أي ضابط شبكي.

من الخارج إلى الداخل، ثم من الداخل إلى الخارج

معظم الضوابط المؤسسية تجيب عن أسئلة الدخول: هل يُقبل هذا الرمز، هل يُسمح بالوصول إلى تلك الخدمة؟ الوكيل يتعامل مع المسار المسدود كمشكلة تستحق الحل. يقترح التحليل مقاربة من الداخل إلى الخارج تنظم الفعل ذاته وتطرح سؤالًا أضيق: هل ينبغي لهذا الوكيل، بسلطة هذا الشخص، أن يحذف هذا الجدول الآن؟ لا يرى Gateway إلا حركة المرور المارّة عبره، وsandbox يقيّد نطاق الوصول لا الأفعال الفردية، وSIEM يقدم تقريره بعد وقوع الفعل، أما السجل فيؤكد فقط وجود الوكيل.

نقطة التنفيذ حيث يفعل الوكيل

يعمل كل وكيل عبر harness: البرمجية التي تنفّذ ما اختاره النموذج، من تشغيل أمر إلى كتابة ملف إلى استدعاء API. الاقتراح هو إدخال خطوة موافقة في هذه الفجوة: أي وكيل يطلب، بسلطة من، وضد أي نظام، ثم السماح بالفعل أو حجبه أو تحويله إلى إنسان. تبقى الهوية شرطًا مسبقًا: لا تستطيع أي سياسة تقييم طلب إذا كان الاسم الوحيد عليه حساب خدمة يتقاسمه ستة وكلاء وأربعة مهندسين. أضافت Anthropic وGoogle وMicrosoft وOpenAI وLangChain وCursor آليات تحقق قبل التنفيذ خلال 18 شهرًا الماضية، وبنَت AWS سياسة Bedrock AgentCore على لغة Cedar. الصيغ مختلفة، لذا تحتاج المؤسسات طبقة واحدة لا تعتمد على مورّد بعينه.

راقب أولًا، ثم امنع

عملت أنظمة IPS وWAF أيضًا في وضع المراقبة قبل المنع؛ ويحتاج ضبط الوكلاء إلى المسار نفسه، لكن بوتيرة أسرع: تحديد الوكلاء الذين يعملون فعلًا، ومن أطلق كل واحد منهم، وأي الأفعال كان سيخالف السياسة. يجب أن يبدأ المنع عند أعلى المخاطر: الأوامر التدميرية وبيانات الإنتاج وأي نقل للبيانات إلى الخارج. لم يختف المحيط، بل انتقل إلى لحظة فعل الوكيل، النقطة الوحيدة التي لا يمكن الالتفاف حولها.