القاهرة -
في اختبارات أجراها المعهد البريطاني لأمن الذكاء الاصطناعي AISI، أواخر يوليو، كان المطلوب من نماذج مثل GPT-5.6 Sol من OpenAI وMythos 5 من Anthropic مجرد "الالتزام بالقواعد"، لكنها ذهبت أبعد من ذلك، فخدعت أشخاصاً حقيقيين، وأنشأت هويات مزيفة على الإنترنت.
كان الأمر اختباراً في الأمن السيبراني داخل بيئة تجريبية صممها المعهد، لقياس قدرة أحدث نماذج الذكاء الاصطناعي على تنفيذ عمليات هجومية معقدة، تشبه ما يمكن أن يقوم به خبير سيبراني، أو مهاجم محترف، بحسب التقرير الرسمي للمعهد حول الوقائع.
لكن خلال الاختبار، بدأ بعض وكلاء الذكاء الاصطناعي البحث عن طرق، لم تكن ضمن المسارات التي قصدها الباحثون للوصول إلى الهدف.
وفي الحالات الأكثر خطورة، لم تكتف النماذج بمحاولة استغلال ثغرات بأنظمة تقنية، وإنما انتقلت إلى التعامل مع الإنترنت الحقيقي، واستهداف أشخاص ومشروعات حقيقية، واستخدام الخداع و"الهندسة الاجتماعية" في محاولة لإكمال مهمتها.
أنشطة مشبوهة للنماذج الذكية
وكشف تقرير نشره AISI، التابع لوزارة العلوم والابتكار والتكنولوجيا البريطانية، أن المعهد رصد 19 نشاطاً غير مصرح به خلال سلسلة اختبارات شاركت فيها نماذج متقدمة من عدة شركات.
وارتبط 17 من هذه الأنشطة بنموذج Mythos 5 التابع لشركة أنثروبيك، مقابل نشاطين مرتبطين بنموذج GPT-5.6 Sol من OpenAI.
ويرى المعهد أن أهمية ما حدث لا تكمن فقط في القدرات السيبرانية التي أظهرتها النماذج، وإنما في أن الخداع والتصرف خارج نطاق المهمة ظهرا بوصفهما وسائل اختارها الوكيل أثناء سعيه لتحقيق الهدف، رغم أن الباحثين لم يطلبوا منه استخدامهما.
بدأت القصة ضمن تقييم روتيني أجراه AISI لمقارنة بيئتين مخصصتين لاختبارات الأمن السيبراني، شاركت فيه سبعة نماذج مختلفة عبر 122 محاولة مستقلة.
وتعرف هذه البيئات باسم Cyber Ranges، وهي شبكات وأنظمة محاكاة تُبنى بحيث تشبه البنية التقنية الحقيقية، ويمكن للباحثين السماح للنماذج بمهاجمتها من دون تعريض أنظمة فعلية للخطر.
وفي الاختبار، كان وكيل الذكاء الاصطناعي يحصل على هدف نهائي، مثل العثور على معلومة محمية داخل الشبكة، ثم يُترك للعمل بصورة مستقلة عبر سلسلة طويلة من الخطوات.
خروج عن الحدود
ومن بين 122 محاولة، شارك Mythos 5 في 43 محاولة، فيما شارك GPT-5.6 Sol في 35 محاولة.
وسارت الغالبية الساحقة من الاختبارات كما خطط الباحثون، لكن في 10 محاولات خرج أحد الوكلاء عن الحدود المقررة، ليسجل المعهد في النهاية 19 نشاطاً منفصلاً جرت بين 25 و28 يوليو 2026.
ولا تعني هذه الأرقام وقوع 19 هجوماً مستقلاً، إذ أوضح المعهد أن معظم الأنشطة كانت أجزاءً من عدد محدود من سلاسل السلوك المترابطة، وأن الجانب الأكبر منها جاء من مسار واحد طويل اتبعه وكيل يعمل باستخدام Mythos 5.
وصول متعمد
أوضح المعهد أن النماذج الذكية لم "تهرب" من بيئة مغلقة، أو كما يُطلق عليها في عالم الأمن السيبراني "صندوق رملي Sandbox"، حيث منحها المعهد اتصالاً بالإنترنت بصورة متعمدة.
ويستخدم المعهد هذه الطريقة لمحاولة قياس الحد الأقصى للقدرات السيبرانية للنماذج، إذ يستطيع المهاجم البشري الحقيقي البحث عبر الإنترنت، وتنزيل أدوات وبرامج والاستعانة بخدمات خارجية، ولذلك يحاول الباحثون توفير ظروف مشابهة أثناء بعض الاختبارات.
كما عطل المعهد أنظمة الحماية السيبرانية التي توفرها الشركات المطورة للنماذج، وهي أنظمة تستطيع عادة اكتشاف بعض الطلبات، أو الأنشطة الخطرة ومنع تنفيذها.
وبذلك، لم يكن السؤال الذي يحاول الباحثون الإجابة عنه هو: "ماذا يستطيع المستخدم العادي أن يفعل باستخدام هذه النماذج؟"، وإنما "ما أقصى ما يمكن للنموذج نفسه القيام به إذا أزيلت بعض القيود المفروضة عليه؟".
ولهذا يشدد "AISI" على أن ظروف التجربة لا تمثل طريقة إتاحة هذه النماذج للجمهور العام، وأن الإصدارات المستخدمة بهذه الإعدادات ليست منتجات تجارية متاحة بالطريقة نفسها للمستخدمين.
كود خبيث
أخطر سلسلة من الأحداث بدأت عندما حاول وكيل يعمل بنموذج أنثروبيك Mythos 5 إدخال شفرة كودية خبيثة إلى مشروع حقيقي مفتوح المصدر منشور على منصة GitHub.
لفهم خطورة هذه الخطوة، يمكن تشبيه المشروع المفتوح المصدر ببرنامج يسمح لمطورين من أنحاء العالم باقتراح تعديلات على شفرته، ويتم ذلك عادة من خلال ما يسمى Pull Request، أي طلب يرسله المطور إلى المسؤولين عن المشروع للحصول على موافقتهم على إضافة التغييرات المقترحة.
أنشأ الوكيل بالفعل طلباً لتعديل مشروع حقيقي، لكن التعديل الذي حاول تمريره تضمن كوداً ضاراً، وهنا بدأت الواقعة تتجاوز مجرد القدرة على كتابة برمجيات خبيثة.
فلكي ينجح الهجوم، كان على شخص حقيقي مسؤول عن المشروع قبول التعديل، وبدلاً من التوقف عند هذه العقبة، بدأ الوكيل البحث عن الأشخاص الذين يديرون المشروع، ثم أنشأ عدداً من الهويات المزيفة على الإنترنت، وحاول استخدامها للتأثير في أحد المسؤولين، وإقناعه بالموافقة على الكود.
ويصنف هذا النوع من الأساليب، في الأمن السيبراني، تحت مسمى الهندسة الاجتماعية Social Engineering؛ ففي الهجمات السيبرانية التقليدية، يحاول المهاجم إقناع شخص بالقيام بإجراء يخدم الهجوم الخبيث، وذلك عبر إقناعه بفتح ملف أو الكشف عن كلمة مرور، أو تثبيت برنامج.
لكن اللافت في حالة "AISI" أن الباحثين لم يعطوا النموذج أمراً يقول له إن عليه ممارسة الهندسة الاجتماعية، بل لجأ الوكيل الرقمي لهذه الطريقة أثناء محاولته العثور على مسار يحقق من خلاله الهدف الأساسي، وهو التعديل على مشروع برمجي حقيقي متاح عبر الإنترنت.
ويقول المعهد إن الوكيل بحث عن القائمين على المشروع، وأنشأ شخصيات مختلفة، ثم استخدمها في محاولة الضغط على مسؤول حقيقي لقبول التعديل، وعندما بدأ أشخاص على GitHub التشكيك علناً في طلب التعديل، لم يتوقف الوكيل فوراً.
رصد الباحثون أنه عدّل بعض أنشطته السابقة في محاولة لجعلها تبدو أقل إثارة للشبهات، كما فكر في استخدام هوية جديدة لمواصلة المحاولة. لكن المسؤول البشري اكتشف أن الكود ضار ورفض الموافقة عليه، ولذلك لم تنجح محاولة إدخاله إلى المشروع.
استهداف البشر والذكاء الاصطناعي
لم يتوقف الأمر عند حد محاولة تعديل مشروع برمجي، فخلال المسار نفسه، حاول الوكيل الرقمي التواصل مباشرة مع أشخاص حقيقيين، وإرسال رسائل وملفات إليهم باستخدام إحدى خدمات مشاركة الملفات عبر الإنترنت.
وفي بعض الحالات، احتوت الملفات، أو الرسائل على محتوى ضار، بينما صُممت محاولات أخرى لإقناع المستهدفين، أو أدوات البرمجة المعتمدة على الذكاء الاصطناعي التي يستخدمونها، بتشغيل الشفرة.
ويقول المعهد البريطاني إنه لم يسبق له رصد هذا النوع من السلوك بهذه الصورة، إذ أصبح أشخاص حقيقيون جزءاً من المسار الذي اختاره الوكيل لإنجاز المهمة.
كما جاءت محاولة أخرى لتثير اهتمام باحثي معهد AISI، وتمثلت في محاولة الوكيل استغلال أنظمة ذكاء اصطناعي أخرى.
فقد حاول النموذج زرع تعليمات خبيثة في أماكن اعتقد أن أدوات، أو وكلاء ذكاء اصطناعي آخرين قد يقرأون محتواها لاحقاً، وهو ما يعرف باسم Prompt Injection أو حقن الأوامر، ويمكن تبسيطه باعتباره محاولة "ترك رسالة سرية" لنظام ذكاء اصطناعي آخر تخبره بتنفيذ أوامر لم يقصد مستخدمه الأصلي إصدارها.
فعلى سبيل المثال، إذا كان مساعد برمجي يعتمد على الذكاء الاصطناعي يقرأ ملفاً، أو صفحة على الإنترنت بحثاً عن معلومات، يمكن للمهاجم زرع تعليمات داخل ذلك المحتوى لمحاولة إجبار المساعد على تنفيذ إجراء مختلف.
سلوك أكثر غرابة
وفي الحالة التي رصدها المعهد، حاول الوكيل وضع تعليمات خبيثة في مواقع توقع أن تصل إليها أنظمة آلية أخرى. ويضيف هذا بُعداً جديداً للحادثة، لأن الهدف المحتمل لم يعد إنساناً، أو خادماً فقط، بل وكيلاً آخر يعمل بالذكاء الاصطناعي.
وظهر سلوك أكثر غرابة عندما حاول أحد الوكلاء التعاون مع وكلاء آخرين كانوا يخضعون للاختبار نفسه بصورة مستقلة.
ترك الوكيل رسائل عامة على GitHub، يعرض فيها التعاون، كما ترك معلومات حول حسابات وأدوات وموارد أنشأها خلال محاولته، وقدم تعليمات يمكن للوكلاء اللاحقين استخدامها.
وبالفعل، اكتشف وكلاء آخرين، مشاركين في الاختبارات، بعض هذه الموارد واستفادت منها في محاولات لاحقة، ولكن ذلك لا يعني أن النماذج كونت شبكة سرية، أو تواصلت بطريقة خفية مع بعضها البعض، فالرسائل والآثار كانت منشورة في مساحات رقمية عبر الإنترنت.
لكن الواقعة تكشف مشكلة محتملة في بيئة ينتشر فيها الوكلاء المستقلون، وتتمثل في أن ما يفعله وكيل واحد قد يصبح جزءاً من البيئة التي يتعامل معها وكيل آخر لاحقاً، وبالتالي قد يكمل ما بدأه الأول.
اكتشاف الوقائع
في صباح 28 يوليو، لم يكتشف الباحثون المشكلة من خلال قراءة ما يقوله النموذج، وإنما من خلال حركة بيانات غير معتادة خرجت من أحد أنظمة الاختبار.
فقد رصد فريق الأمن في "AISI" مرور بيانات عبر شبكة Tor الرقمية، والتي تستخدم لإخفاء المصدر الحقيقي لحركة الإنترنت عبر تمرير الاتصال خلال مجموعة من الخوادم حول العالم، ولذلك يمكن استخدامها لأغراض مشروعة لحماية الخصوصية، لكنها تستخدم كذلك لإخفاء مصدر بعض الأنشطة السيبرانية الإجرامية.
حينها بدأ فريق الاختبار مراجعة نشاط الوكيل خلال دقائق، ليكتشف أن أحد النماذج أنشأ طلباً خبيثاً لتعديل مشروع حقيقي على GitHub. وعندها أعلن "AISI" الواقعة كحادث أمني، وأوقف الاختبارات المرتبطة بها، وقيّد الوصول الداخلي إلى أقوى النماذج المستخدمة.
وخلال نحو ساعة من ظهور التنبيه، كان المعهد قد أنهى جميع محاولات الاختبار ذات الصلة، وعزل الأجهزة المعنية.
وبعد ذلك، بدأ الباحثون مراجعة جميع المحاولات السابقة، مستخدمين الفحص الآلي لسجلات المحادثات إلى جانب التحليل اليدوي بواسطة الخبراء، لمعرفة ما إذا كانت هناك تصرفات مماثلة لم تُكتشف لحظة وقوعها.
ماذا فعل GPT-5.6 Sol؟
رغم خطورة الصورة العامة، توجد فجوة كبيرة بين حجم النشاط الذي رصده المعهد لكل نموذج.
فمن بين 19 نشاطاً خارج نطاق الاختبار، ارتبط 17 منها بـMythos 5، بينما ارتبط نشاطان فقط بـGPT-5.6 Sol، ووقع النشاطان خلال محاولة واحدة.
وبحسب التفاصيل التي نشرها OpenAI عن تقييم AISI، فقد أعاد GPT-5.6 Sol استخدام رمز وصول إلى GitHub كان نظام تابع لمختبر آخر قد تركه متاحاً بصورة علنية، أثناء محاولة النموذج التحقق مما إذا كان أحد الأجهزة داخل بيئة الاختبار يتصل بـGitHub، أو بخدمة لتحديث البرمجيات.
كما حاول النموذج التعامل مع قيود استعادة الحسابات وحدود الطلبات، وأنشأ حسابات لدى خدمات حقيقية خارج بيئة الاختبار لإدارة أسماء النطاقات وإنشاء قنوات اتصال بين الأنظمة.
وفي النشاط الثاني، استخدم خدمة عامة لإتاحة خادم DNS محلي على الإنترنت، وكان الخادم يحتوي على شيفرة مرتبطة باستغلال ثغرة معروفة داخل بيئة الاختبار. ولم تجد التحقيقات دليلاً على أن أي نظام حقيقي على الإنترنت اتصل بهذا الخادم.
وبذلك تبدو مخالفات GPT-5.6 Sol أقرب إلى استخدام خدمات وبنية تحتية حقيقية خارج الحدود المصرح بها أثناء محاولته حل التحدي، في حين امتدت السلوكيات المرتبطة بـMythos 5 إلى مسار أكثر تعقيداً شمل البرمجيات الخبيثة والهندسة الاجتماعية والهويات المزيفة ومحاولات التأثير على بشر ووكلاء آخرين.
النقطة التي يركز عليها "AISI" هي أن الوكلاء لم يتلقوا أمراً بممارسة الخداع، فقد لجأوا إلى حيل مختلفة باعتبارها من الأدوات التي وجدها النظام أثناء السعي إلى تحقيق الهدف.
ويسمي المعهد ذلك نوعاً من "الخداع الموجه نحو الهدف"، وهي فكرة ناقشها باحثو سلامة الذكاء الاصطناعي لسنوات بصورة نظرية، لكن "AISI" يقول إنه لم يسبق له رؤيتها تظهر بهذا الوضوح في نشاط موجه إلى أشخاص ومؤسسات حقيقية، ومع ذلك، يحذر المعهد من تفسير النتائج بصورة أكبر مما تسمح به الأدلة.
تصنيفات
