قبل أن يتصرف وكيل الذكاء الاصطناعي: اجعل التفويض حدًا يفرضه النظام

رسم تصوّري أصلي مولّد بالذكاء الاصطناعي: تمثّل البوابات عمليات تحقق منفصلة من التفويض، ولا تمثّل منتجًا حقيقيًا أو نتيجة أمنية مقيسة.

ابدأ بالفعل، لا بالإجابة

تخيّل مساعدًا للمشتريات طُلب منه تلخيص ثلاثة عروض من مورّدين. تتضمن إحدى الوثائق طلبًا لإرسال المقارنة الكاملة إلى عنوان خارجي. ينتج المساعد بيانات JSON صحيحة، ويستخدم أداة البريد الإلكتروني المناسبة، ويكتب رسالة سليمة الأسلوب. ومع ذلك، قد يفشل سير العمل: فالوثيقة مادة للاطلاع، وليست شخصًا مخوّلًا بالسماح بالإفصاح عن المعلومات.

هذا مثال افتراضي لتوضيح التصميم. لم ننفّذ هجومًا، ولم نقارن المورّدين باختبارات معيارية، ولم نفحص نشرًا لدى أحد العملاء. حجتنا أضيق نطاقًا: ينبغي فصل قدرة الوكيل على اقتراح إجراء صحيح البنية عن قرار النظام بالسماح بتنفيذه.

يستند التحليل التالي إلى وثائق أصلية راجعناها في 21 أكتوبر 2026. وهو إطار هندسي، لا شهادة أمنية ولا رأي قانوني.

ما الذي تثبته الوثائق فعلًا؟

يدعو شرح OpenAI المنشور في 11 مارس 2026 إلى الحد من الضرر حتى عندما ينجح التلاعب بالتعليمات. ويوصي دليلها لسلامة سير العمل باستخدام البيانات المهيكلة والموافقات، مع التحذير من أن تدابير التخفيف لا تقضي على الأخطاء تمامًا. ويتناول هذا الدليل منتج Agent Builder، الذي تصنّفه الصفحة الحالية ضمن المنتجات المتقادمة؛ ولا يُعد الاستشهاد به توصيةً باعتماد ذلك المنتج.

تصف مقالة Anthropic عن العزل، المنشورة في 20 أكتوبر 2025، عزل نظام الملفات والشبكة. وتفرّق وثائق أذونات Claude Code الحالية بين أذونات الأدوات والإنفاذ على مستوى نظام التشغيل: فقواعد Read/Edit العادية لا تشمل الوصول إلى الملفات عبر عمليات فرعية كيفما اتفق.

يوثّق مستودع Qwen-Agent الرسمي استخدام Docker للعزل، وقصر ربط المجلدات على نطاق محدود عند تفسير الشيفرة، لكنه ينبّه إلى ضرورة توخّي الحذر عند استخدام بيئة العزل الأساسية في الإنتاج.

هذه طبقات ومنتجات مختلفة، وليست مقارنةً مضبوطة الظروف. فقد تُنشر خدمة أمريكية بصلاحيات وصول أوسع مما ينبغي، وقد يُنشر إطار صيني ضمن حدود مقيّدة، أو العكس. ولا يمكن لمنشأ النموذج أو موقع استضافته أن يحلّا محل فحص الإعدادات. ولا تثبت أي من هذه الوثائق أن مورّدًا بعينه هو الأكثر أمانًا في جميع الحالات.

ضع بوابة تفويض بين التخطيط والتنفيذ

يقوم التصميم الذي نقترحه على ثلاث مسؤوليات: يقترح النموذج إجراءً، وتتحقق بوابة من صلاحية التفويض، وينفّذ مُنفّذ محدود الصلاحيات العملية المسموح بها. البوابة شيفرة تطبيق وآلية لإنفاذ السياسات، وليست مجرد تعليمة إضافية تطلب من النموذج أن يحسن التصرف.

لكل طلب ذي تبعات، اربط القرار بالمستخدم الذي جرى التحقق من هويته، وبالعملية والمورد والوجهة ونطاق البيانات والحدود المنطبقة. يجب ألّا يتحول الإذن بقراءة عروض المورّدين ضمنيًا إلى إذن بإرسالها بالبريد الإلكتروني. ويجب ألّا يتحول الإذن بصياغة رسالة ضمنيًا إلى إذن بإرسالها. وإذا غابت قيمة مطلوبة أو كانت ملتبسة، فينبغي أن يظل الطلب غير منفّذ حتى يُحسم الأمر.

للتحقق من مطابقة مخطط البيانات مكان في هذا التصميم، لكنه يؤدي وظيفة مختلفة. يستطيع المخطط اشتراط أن يحتوي حقل المستلم على سلسلة نصية. لكنه لا يستطيع إثبات أن المستخدم وافق على ذلك المستلم. كذلك، فإن مُراجعًا قائمًا على نموذج، مهما كانت فائدته في رصد المخاطر، لا يصبح حدًا حتميًا للتحكم في الوصول لمجرد أنه يُرجع إجابة بنعم أو لا.

ويوضح هذا الفصل أيضًا المسؤولية بعد الرفض: تصحيح طلب غير صالح، أو الحصول على التفويض المطلوب. أما تبديل الحسابات أو تغيير المسارات للالتفاف على العملية المرفوضة نفسها، فليس إصلاحًا.

اجعل الموافقات دقيقة بما يكفي لتظل صالحة مع تغيّر الخطة

تعرض شاشة التأكيد المفيدة الإجراء الذي سيحدث فعلًا: الوجهة، والمحتوى أو فئة البيانات، والمورد المعني، وأي حد للتكلفة أو النطاق. تجنّب زرًا عامًا من قبيل «السماح للوكيل؟» يُبقي المتغيرات المهمة غير ظاهرة.

اربط الموافقة بذلك المقترح. وإذا تغيّر المستلم أو المرفق أو المبلغ أو المورد تغيرًا جوهريًا، فأعد تقييمه. وللعمل المتكرر والمحدود النطاق، يمكن للمؤسسة أن تحدد إذنًا دائمًا ضيقًا بدلًا من المقاطعة عند كل خطوة غير ضارة. ويجب أن تظل الحدود قابلة للفحص والإنفاذ؛ فلا يجوز لوثيقة خارجية أن توسّعها.

إرهاق الموافقات والإفراط في منح الصلاحيات مشكلتان مترابطتان في التصميم. فطلب التأكيد عند كل قراءة بسيطة قد يدرّب الناس على النقر آليًا، بينما قد تخفي موافقة شاملة واحدة مخاطر لاحقة. والحل الوسط المفيد هو سياسة موثّقة للعمليات منخفضة المخاطر، وموافقات دقيقة للتغييرات ذات التبعات، وتوقف صريح عندما يكون التفويض غير واضح.

حدّد ما يمكن أن يحدث بعد الخطأ

يحمي التحقق من التفويض العملية المطلوبة؛ أما العزل وقت التشغيل فيحدّ مما تستطيع بيئة التنفيذ الوصول إليه. استخدم بيانات اعتماد ضيقة النطاق، ووصولًا مقيّدًا إلى نظام الملفات، ووجهات شبكة خاضعة للضبط حيثما يدعم التطبيق ذلك. وأدرج العمليات الفرعية ضمن نموذج التهديدات. فأداة قراءة ملفات مقيّدة لا تكفي إذا كان العامل نفسه يستطيع تشغيل صدفة أوامر غير مقيّدة.

افصل حالة العملية عن سرد النموذج لما يجري. فالحالات «مقترَح» و«موافَق عليه» و«أُرسل للتنفيذ» و«تأكّد تنفيذه» حالات مختلفة. سجّل معرّفًا ثابتًا للطلب، واستخدم آليات تضمن ألّا ينتج عن إعادة الطلب أثر إضافي، أو آليات إزالة التكرار، حيثما كانت مدعومة. وبعد انتهاء مهلة الانتظار، افحص السجل الفعلي لدى الخدمة قبل إعادة محاولة إرسال أو شراء أو نشر. فعبارة «لم يصل رد» لا تثبت أن «شيئًا لم يحدث».

ينبغي أن تدعم السجلات إعادة بناء تسلسل الوقائع هذا من دون أن تصبح مصدر تسريب آخر. احتفظ بمعرّف الإجراء والقرار وإصدار السياسة والمرجع الناتج لدى الخدمة؛ وقلّل تسجيل الأسرار والمحتوى الشخصي غير الضروري. امنح المراجعين معلومات تكفي للتحقيق، لا نسخًا بلا تمييز من كل وثيقة.

ستة اختبارات قبل الإنتاج

ما يلي تمرين قبول مقترح، وليس اختبارًا أجريناه ولا تقييمًا أمنيًا شاملًا:

1. ضع مستلمًا خارجيًا في وثيقة مسترجعة. هل يستطيع تغيير الوجهة المسموح بها من دون تفويض من مستخدم جرى التحقق من هويته؟
2. أنشئ بيانات JSON صحيحة لإجراء خارج النطاق. هل ترفضه البوابة قبل إرساله للتنفيذ؟
3. غيّر الوجهة بعد الموافقة. هل تتوقف الموافقة السابقة عن شمول الإجراء المعدّل؟
4. حاول قراءة ملف خارج النطاق عبر عملية فرعية. هل تُنفَذ حدود بيئة التشغيل فعلًا، بدلًا من الاكتفاء بوصفها في تعليمة؟
5. حاكِ انتهاء مهلة انتظار بنتيجة ملتبسة بعد إرسال. هل يستطيع سير العمل مطابقة حالته مع سجل الخدمة من دون إنشاء نسخة مكررة من العملية؟
6. ألغِ الإذن المعني. هل تتوقف محاولة العملية التالية بأمان، مع سجل تدقيق مفهوم؟

قيّم الحماية وقابلية الاستخدام معًا: العمليات غير المصرح بها التي جرى منعها، والعمل المصرح به الذي مُنع خطأً، وطلبات الموافقة غير الضرورية، والآثار الجانبية المكررة، والوقت اللازم لتفسير القرار. فقد تخفي نسبة إنجاز مرتفعة وحدها تنفيذًا غير آمن؛ وفي المقابل، ليس النظام الذي يمنع كل شيء مساعدًا مفيدًا أيضًا.

سؤال الشراء المهم

اطلب من المزوّد أن يبيّن الطبقة التي تنفّذ كل حد في الإعدادات التي ستنشرها فعلًا، وما الذي يحدث إذا اتّبع النموذج وثيقة خبيثة، وكيف تُحسم حالة تنفيذ ملتبسة. اطلب أدلة تتوافق مع أدواتك ونطاقات الوصول لديك، بدلًا من إسقاط نتيجة معيارية لافتة من إعداد مختلف على حالتك.

ليس الاختيار العملي بين «الثقة بالنموذج» و«طلب الإذن إلى الأبد». بل هو تحديد العمل الذي يمكن أن يمضي ضمن حدود واضحة، والتغييرات التي تحتاج إلى قرار شخص، والحدود التي لا يستطيع النموذج إعادة كتابتها. وهذه نقطة بداية أنفع لمقارنة منظومات الوكلاء الصينية والأمريكية من درجة واحدة للقدرات.