القصتان تقولان الشيء نفسه: وكلاء الذكاء الاصطناعي هم في آنٍ واحد أداة هجوم فعّالة وسطح جديد للثغرات.
هجوم يقوده وكلاء ذكاء اصطناعي
في مطلع يوليو، وعلى مدى أربعة أيام، هاجم ثمانية وكلاء ذكاء اصطناعي أنظمة حكومية تايوانية. وبحسب شركة الأمن السيبراني Dream التي كشفت القضية، فقد رسموا خريطة لـ21 نظامًا، واخترقوا 85 حسابًا، وسحبوا نحو 2500 ملف يخص الموظفين. ثم وصلوا إلى الوكالة التايوانية للسلامة النووية وإلى سبع شركات على الأقل في قطاع الطاقة.
لم تكن هناك حاجة إلى أي برمجية مخصصة. فبحسب Dream، جُمعت الأداة من إطاري عمل مفتوحي المصدر للوكلاء هما Hermes وOpenClaw، صُمّما ليتيحا لنموذج ما تنفيذ المهام دون إشراف بشري في كل خطوة. ويمكن لأي شخص تنزيلهما.
تصف Dream نظامًا كان يتصرف كفريق صغير للهجمات السيبرانية. فقد عمل ما يصل إلى ثمانية وكلاء بالتوازي، يبحث كل منهم عن ثغرات خاصة بهدف معيّن. وكانت الأداة تعيد باستمرار تقييم مسارات الهجوم المحتملة وفق المعطيات التي جمعتها. وحين يفشل مسار، كانت تطلق وكيلًا آخر لاستكشاف الإنترنت، ثم تعود بمقاربة مختلفة. فهذا ليس سكربتًا ينفذ قائمة مهام، بل هو ما كان سيفعله مشغّل بشري، دون أن يكون أحد أمام لوحة المفاتيح.
كيف جرى تجاوز حاجز الأمان
تُظهر السجلات كيف تحايل المشغّلون على التدريب الأمني للنموذج. فقد قدّموا العملية على أنها اختبار اختراق مصرّح به، وتمرين أمني معتمد، فقبل النموذج. ولم يتمكن الباحثون من تحديد النموذج الذي يعمل خلف الوكلاء. وهذا التفصيل مهم، لأنه يبيّن أن الحمايات المدمجة في النماذج تعتمد جزئيًا على السياق الذي يقدمه المستخدم، وأن هذا السياق يمكن اختلاقه.
ما نعرفه عن مصدر الهجوم
لا تنسب Dream الهجوم إلى أي جهة بعينها. وتشير الشركة إلى أن الاتصالات الداخلية المرتبطة بالعملية كانت بالصينية المبسّطة، ما يوحي بمشغّل مرتبط بالبر الصيني. أما البيانات المسروقة فكانت بالصينية التقليدية، ما يحصر الأهداف المحتملة، في حالة المواقع الحكومية، في تايوان أو هونغ كونغ أو ماكاو. وتقول Dream إنها أبلغت دولة في منطقة آسيا والمحيط الهادئ، وأكد مصدر مطّلع على الملف أنها تايوان. ولم تعلّق وزارة الشؤون الرقمية التايوانية على الاختراق، متذرعة بالسرية، وأوضحت أن أي حادث يمس أجهزة عامة أو بنى تحتية حيوية يخضع لإجراءات معتمدة. وأضاف متحدثها أن الذكاء الاصطناعي يغيّر طبيعة الحوادث: فالهجمات باتت مؤتمتة، ووكلاء الذكاء الاصطناعي أنفسهم يتحولون إلى فئة من الثغرات. ولم ترد بكين على طلبات التعليق.
وثمة تحفظ لا بد منه: فمعظم هذه المعطيات مصدرها Dream، وهي شركة نشاطها بيع خدمات الدفاع السيبراني. واستنتاجاتها معقولة ومفصّلة، لكنها، على حد علمي، لم يؤكدها أي طرف مستقل.
من هي Dream، وما الذي يغيّره ذلك في القراءة
تأسست Dream عام 2023 على يد شاليف هوليو، المؤسس المشارك لمجموعة NSO الناشرة لبرنامج التجسس بيغاسوس، ومستشار النمسا السابق سيباستيان كورتس. وكانت واشنطن قد أدرجت NSO على قائمتها السوداء عام 2021، إثر اتهامات باستخدام حكومات بيغاسوس ضد صحفيين ومعارضين. ومقرها تل أبيب، وتقدّم Dream نفسها بوصفها شركة «سيادية» للذكاء الاصطناعي والدفاع السيبراني، وقد قُدّرت قيمتها بـ1,1 مليار دولار في فبراير 2025، بعد جولة تمويل بقيمة 100 مليون دولار.
أما مدير الاستراتيجية لديها، أمير بيكر، فقد قاد عمليات سيبرانية داخل الوحدة 8200، جهاز الاستخبارات الإلكترونية الإسرائيلي. ويقول إنه لم يرَ من قبل هجومًا مستقلًا من البداية إلى النهاية ضد هدف حكومي، ويرى أن على كل دولة أن تعدّ نفسها اليوم تحت هجوم دائم. وينبغي قراءة هذه العبارة مع مراعاة موقع من يقولها، دون تجاهل الملاحظة التقنية.
والقضية ليست معزولة. فقد أفادت Anthropic وOpenAI وMeta بأن نماذج جديدة شنّت هجمات سيبرانية غير متوقعة أثناء الاختبارات الداخلية. وفي نوفمبر الماضي، قالت Anthropic إنها تشتبه في أن قراصنة تدعمهم الدولة الصينية تلاعبوا بنموذجها Claude في محاولة لاختراق نحو ثلاثين شركة ووكالة حكومية، بنجاح محدود بحسب الشركة. أما في تايوان، فقد أعلن مكتب الأمن القومي في يناير أن الجزيرة تتعرض في المتوسط لـ2,6 مليون هجوم سيبراني صيني يوميًا، بزيادة 6% عن العام السابق. وتعدّ بكين الجزيرة جزءًا من أراضيها ولا تستبعد ضمها بالقوة.
الاستدلال الخفي، ثغرة مشتركة بين كبرى النماذج
الملف الثاني أكثر تقنية، لكن مداه واسع. فقد تمكن باحثون من جامعة توبنغن ومعهد ماكس بلانك وبرنامج MATS Research وشركة أمنية من استخراج آثار الاستدلال التي تنتجها النماذج المتقدمة قبل أن تجيب.
تشكّل هذه الآثار ما يشبه مسودة داخلية، يفكك فيها النموذج المسألة قبل الإجابة عنها. وتخفيها المختبرات، جزئيًا لأنها أصل مملوك لها، وجزئيًا لأن طرفًا ثالثًا يستطيع قراءتها قد يستخدمها لتدريب نموذجه الخاص.
والآلية المعتمدة بارعة. فالمختبرات ترسل إلى العميل نسخة مشفرة من هذا الأثر، ما يتيح نقل جزء من الحساب. فهي إذن موجودة على جهاز المستخدم، لكنها غير مقروءة. غير أن هذه المختبرات نفسها تقدّم نسخًا أصغر وأقل كلفة من النموذج ذاته، تتشارك مفتاح فك التشفير نفسه. وقد سلّم الباحثون الأثر المشفر إلى النسخة الأصغر، التي تلقّت تدريبًا أقل على المواءمة، ولذلك ترفض أقل. ففكّت التشفير وأعادت المحتوى. ويقول الباحثون إنهم وجدوا هذا الضعف لدى OpenAI وAnthropic وGoogle، عبر واجهاتها البرمجية.
ووصف فلوريان ترامير، من المعهد الفيدرالي للتكنولوجيا في زيورخ (ETH Zurich)، والمشتغل بهذه المسائل، الفكرة بأنها بارعة جدًا، وقال إنها باتت بوضوح مشكلة. كما كشفت الطريقة عن مفاتيح واجهات برمجية وكلمات مرور موجودة في آثار التُقطت على جهاز أحد المستخدمين.
وقد أُبلغت المختبرات الثلاثة الشهر الماضي وعدّلت واجهاتها البرمجية. واستخراج البيانات الخاصة محجوب الآن. وبحسب أحد المؤلفين، لا يزال بالإمكان استرجاع بعض الآثار، والقضاء فعليًا على مسار التقطير يقتضي إعادة التفكير في طريقة عمل هذه الواجهات. وصرّح متحدث باسم Anthropic بأن الشركة تقدّر البحث المستقل، وأنها بدأت بنشر إجراءات تخفيف قصيرة المدى، وأن الدراسة لم تتضمن استرجاع مفاتيح تشفير ولا الوصول إلى بنيتها التحتية ولا استخراج بيانات شخصية من أنظمتها. أما Google وOpenAI فرفضتا التعليق.
جدل سياسي حول التقطير
يقوم التقطير على تدريب نموذج انطلاقًا من إجابات نموذج آخر. وهو ممارسة شائعة، لكنه صار مسألة سياسية، لأن البعض يراه وسيلة للّحاق بمنافس بكلفة أقل.
طرح الباحثون 90 سؤالًا على عدة نماذج. ثم زوّدوا نماذج مفتوحة الأوزان بالكلمات الأولى من آثار استدلال التُقطت من نماذج مغلقة، ولاحظوا التتمات التي أنتجتها.
- أنتج Kimi K3، من Moonshot AI، تتمات قريبة بشكل لافت من الآثار الخفية لـClaude Opus 4.8 وGPT-5.6.
- أما DeepSeek وInkling، من شركة Thinking Machines الأمريكية، فلم يُظهرا أي تشابه مع Claude Opus.
والمؤلفون حذرون: فعملهم لا يثبت أي صلة سببية بالتقطير. والتشابه قرينة وليس دليلًا. ولم ترد Moonshot AI ولا Z.ai، ولا شيء يشير إلى أن التقنية استُخدمت في ظروف حقيقية. والحجة هنا مختلفة: فطرف مصمم على ذلك يمكنه أن يستخرج من نموذج مغلق أكثر بكثير مما كان يُفترض.
ويفسّر السياق السياسي حساسية الموضوع. ففي فبراير، أبلغت OpenAI المشرّعين الأمريكيين بأن DeepSeek بدت وكأنها نسخت أحد نماذجها لبناء R1. وفي يونيو، قالت Anthropic إن Alibaba قطّرت نماذجها بشكل منهجي لتطوير Qwen. وفي هذا الأسبوع، دافع مارك زوكربيرغ في تدوينة عن التقطير بوصفه مبدأً مهمًا في منظومة المصدر المفتوح، وحذّر من أن تقييده سيضع الولايات المتحدة في موقع الضعف.
والخبراء منقسمون. فكايل ميلر، من مركز الأمن والتكنولوجيا الناشئة، يرى أن القلق قد يكون مبالغًا فيه: فالمختبرات الصينية تبدو قادرة على بناء نماذج متقدمة دون تقطير، ولا يُعرف إلى أي مدى يساعدها. أما يارين غال، في أكسفورد، فيشير إلى أن التقطير موجود في كل مكان وأنه سرّع البحث؛ وإذا بدأ الجميع في حجب الجميع، فسيتأثر إيقاع المجال. وحتى لو حسم صانعو القرار الأمر، فقد تواصل النماذج كشف استدلالها عبر مسارات لم يتوقعها أحد.
وحول الملفين، السوق يمضي
وتُظهر أخبار الأسبوع أيضًا وجهة الصناعة:
- xAI أطلقت في نسخة تجريبية مبكرة «Grokbots»، وهم زملاء عمل من الذكاء الاصطناعي، لكل منهم حاسوبه السحابي الذي يتشاركه الفريق. ويعملون عبر التطبيقات وصناديق البريد والمواقع، حتى تلك التي لا تملك واجهة برمجية، وهم متاحون على الحاسوب وiOS لبعض المشتركين المدفوعين.
- OpenAI توسّع مشروعها التجريبي للإعلانات ليشمل المملكة المتحدة والمكسيك والبرازيل واليابان وكوريا الجنوبية اعتبارًا من 11 أغسطس، بعد الولايات المتحدة في فبراير ثم كندا وأستراليا ونيوزيلندا في مارس. وتبقى باقات Plus وPro وBusiness وEnterprise وEducation خالية من الإعلانات. ولا يرى المعلنون سوى المشاهدات والنقرات المجمّعة، ولا تُعرض إعلانات على الحسابات المفترض أنها لقاصرين ولا قرب مواضيع حساسة مثل الصحة أو السياسة، ويمكن للمستخدمين المجانيين إلغاء الاشتراك مقابل عدد أقل من الرسائل اليومية.
- Gemini تجاوز مليار مستخدم نشط شهريًا للتطبيق، بحسب سوندار بيتشاي، ليصبح المنتج الرابع عشر لدى Google الذي يبلغ هذه العتبة. وتقول Google إن 63% من المستخدمين يتحدثون إليه صوتيًا.
- Bluesky يتراجع، بحسب Similarweb: 10,4 مليون مستخدم نشط شهريًا على الجوال في يونيو (−27,2% على أساس سنوي)، مقابل ذروة بنحو 22,1 مليون في نهاية 2024. كما يخسر X جزءًا من حضوره على الجوال، مع بقائه أكبر بكثير، فيما يواصل Threads النمو.
وفي OpenAI، يغادر براد لايتكاب الشركة التي انضم إليها عام 2018 وشغل فيها منصب المدير المالي ثم مدير العمليات. وينضم إلى مغادرة فيجي سيمو وبيل بيبلز وكيفن ويل، في وقت تستعد فيه الشركة لطرح عام أولي.
ما ينبغي الاحتفاظ به
يزيح هذا الخبر المزدوج سؤال الأمن إلى مكان آخر. فالخطر لم يعد فقط أن ينتج نموذج محتوى خطيرًا. بل أن يُختطف وكيل، يبدو مقيّدًا في الظاهر، ليعمل على نطاق واسع، وأن تتسرب أحشاؤه الداخلية. فالضمانات تستند إلى تصريحات سياقية يسهل تزويرها، وإلى واجهات برمجية يكشف تصميمها أسرارًا كان يُظن أنها محمية.
ويبقى السؤال الجوهري مفتوحًا: هل يمكن جعل هذه الأنظمة في آن واحد مفيدة ومنفتحة على الابتكار وصعبة التحويل عن غايتها؟ وفي النقاش حول التقطير، ليس للتوازن بين حماية الملكية الفكرية وحرية تداول المعرفة جواب بديهي.
الأسئلة الشائعة
من نفّذ الهجوم على تايوان؟
لا أحد يعرف. لا تنسب Dream العملية إلى أي جهة، لكنها تشير إلى مشغّل يُرجَّح ارتباطه بالبر الصيني. ولم تعلّق بكين.
هل كان الهجوم فعلًا بلا تدخل بشري؟
بحسب Dream، نعم في مرحلة التنفيذ، بثمانية وكلاء منسقين. أما تصميم العملية وإطلاقها فكانا بشريين.
هل جرى إصلاح ثغرات استدلال النماذج؟
جزئيًا. فقد عدّلت المختبرات الثلاثة واجهاتها البرمجية وحُجب استخراج البيانات الخاصة، لكن بعض الآثار لا يزال قابلًا للاسترجاع.
هل يثبت التشابه بين النماذج حدوث تقطير؟
لا. فالباحثون أنفسهم يتحدثون عن قرينة وليس عن دليل.
