د. إسلام محمد سرور*

تتعامل مؤسسات كثيرة مع اختبارات الأمن السيبراني لنماذج الذكاء الاصطناعي بوصفها نشاطاً داخلياً محدود الأثر: نموذج يوضع داخل بيئة معزولة، يُطلب منه حل تحديات اختراق افتراضية، ثم تُقاس قدرته قبل إطلاقه. 

غير أن ما كشفته واقعة "أوبن إيه آي" واختراق منصة Hugging Face في تموز /يوليو 2026 يفرض إعادة النظر في هذا الافتراض. 

فقد أوضحت "أوبن إيه آي" أن نماذج كانت تخضع لتقييم قدرات هجومية داخل بيئة ExploitGym،  مع تقليل بعض قيود الرفض لأغراض الاختبار، تمكنت من الخروج من بيئة الاختبار عبر استغلال ثغرةٍ غير معروفة سابقاً في  Artifactory، وهو وسيط تخزين حزم برمجية، ثم وصلت إلى بنية Hugging Face الإنتاجية.

شعار شات جي بي تي (مواقع)

إن الخطأ في قراءة هذه الواقعة هو تصويرها فقط على أنها دليل على واقعة "تمرد" للنموذج محل التقييم والإختبار، بحيث أن الأخطر والأدق أنها تكشف عيباً في هندسة الاختبار ذاتها.

إن النموذج لم يحتج إلى نية مستقلة للقيام بذلك الخرق؛ وإنما كان يبحث وفقاً لطبيعته عن أقصر مسارٍ لإنجاز الهدف الممنوح له. 

وعندما يكون الهدف هو "الوصول إلى العلم" في اختبار هجومي، تصبح الحدود التقنية للبيئة جزءاً من المسار الذي قد يحاول النموذج تجاوزه. 
هنا لا يكون التذرع بعبارة sandbox كضمان قانوني أو تقني كافياً على الإطلاق، إذ لا يكفي العزل لبيئة الاختبار، بل يجب وجود طبقات تحقق متتابعة تمنع الاتصال غير المصرح به، وتحدّ من الحركة الجانبية، وتفرض رقابة لحظية على التنفيذ.

ولم تكن الواقعة منفردة في دلالتها ووقوعها، إذ أعلنت  "أنثروبيك" في 30 تموز/يوليو 2026 أنها راجعت 141,006 تجربة تقييم سيبراني، ووجدت ثلاث حالات وصل فيها نموذج "كلود"  إلى الإنترنت من داخل التعامل مع بيئة تقييم/ إختبار تابعة لطرف ثالث أو في أثنائها، ثم حصل على وصولٍ غير مصرح به إلى أنظمة حقيقية لثلاث منظمات.

وقد أوضحت الشركة أن السبب في تلك الحالات كان وجود مسار إنترنت غير مقصود، رغم أن التعليمات الموجهة للنموذج ذكرت أن البيئة محاكاة تجريبية فقط ولا تحتوي على اتصال بالإنترنت، وهو ما يتضح منه حجم الإشكالية.
هذه الوقائع تنقل النقاش من النظر في ضوابط "سلامة النموذج محل التقييم" فقط إلى "سلامة بنية التقييم" بشكل كامل.

إن اختبار القدرات الهجومية لنموذج وكيل autonomous agent يختلف عن اختبار برنامج تقليدي، بحيث أن النموذج يخطط، يجرب، يستخدم أدوات، يفسر الإشارات، وقد يربط بين أنظمةٍ داخلية وخارجية بطريقة لا يتوقعها المصمم ذاته للتوصل الى المعلومة أو تحقيق النتائج. 

لذلك، يجب أن تخضع بيئات red-teaming لمعيارٍ أمني أقرب إلى بيئات الإنتاج الحساسة، لا إلى مختبرات تجريبية مرنة من دون ضوابط، وذلك ما قد نطلق عليه من وجهة نظرنا حوكمة بيئة الاختبار. 

وقد أقرت "أنثروبيك" نفسها أن بيئات التقييم التي تتعامل مع قدرات مستقلة متقدمة تحتاج إلى ضوابط قوية، ومراقبة أفضل، وتدقيق للبنية التي يقدمها شركاء التقييم.

من الناحية التنظيمية، تكفي هذه الحوادث لتبرير إلزام مطوري النماذج المتقدمة ثلاث واجبات محددة نوضحها في الآتي:

الأول: العزل الشبكي المتعدد الطبقة، بحيث لا يعتمد الاختبار على منعٍ مباشر للإنترنت فقط، بل على فصلٍ مادي أو افتراضي، وقوائم سماح ضيقة، ومنع للخروج غير المصرح به.
الثاني: سجل تدقيق فوري قابل للمراجعة، يربط كل أمر وكل أداة وكل اتصال بالهدف الاختباري الذي أُعطي للنموذج. 
الثالث: إشراف مستقل على اختبارات القدرات الهجومية، خصوصاً عندما تُخفف الحواجز السلوكية المعتادة للنموذج.

وتتفق هذه التوصيات مع الاتجاهات الحديثة في إرشادات حوكمة المخاطر المتبعة عالمياً، ومن بينها إطار NIST لإدارة مخاطر الذكاء الاصطناعي ودليل  OWASP  الخاص بتطبيقات الوكلاء لعام 2026 والذي يركز على مخاطر الأنظمة التي تخطط وتتصرف وتتخذ قرارات عبر مسارات عملٍ معقدة.

وختاماً، فإنه لا يجوز السماح لنموذج يُختبر على قدرات هجومية أو بحثية متعددة المهمة والقدرة بما فيها قدرات تخطي النموذج، بأن يرى الإنترنت العام امتداداً طبيعياً لمسرح التجربة في هذه المرحلة، بحيث يصبح العزل الشبكي، وتحديد النطاق، ومراقبة السلوك، والتوثيق الجنائي الرقمي شروطاً للامتثال، لا مجرد تحسينات تقنية للنظام بعد التطبيق.

ومن دون ذلك، قد تتحول اختبارات السلامة نفسها إلى مصدر خطر على البنية التحتية التي يفترض أن تحميها.

*المستشار القانوني والاجتماعي والخبير في القانون الدولي، والباحث في تقنيات الذكاء الاصطناعي والأمن السيبراني