موظفوك يشغّلون بالفعل عملاء ذكاء اصطناعي مستقلين... وهذا هو اختراقكم القادم
الذكاء الاصطناعي العميل الخطير في شركتك ليس ذلك النظام الذي وافق عليه مجلس الإدارة، بل العميل الذي منحه أحد الموظفين صلاحيات الدخول إلى بريده الوظيفي في عطلة نهاية الأسبوع الماضية، على منصة تتراوح إعداداتها الأمنية الافتراضية بين السذاجة والكارثة.
كل فريق أمن معلومات يعرف شكل تقنية الظل التقليدية. يشترك أحد الموظفين في أداة سحابية على بطاقة الشركة، متجاوزاً إدارة المشتريات، فينشأ بذلك تعامل مع البيانات لم يراجعه أحد. الأمر مزعج، وأحياناً خطير، لكنه في الغالب قابل للاحتواء: تُلغي الحساب، تُبدّل مفتاحاً، وتمضي قدماً.
الموجة القادمة الآن تكسر كل افتراض جعل تقنية الظل القديمة قابلة للاحتمال. الأصل المارق هنا يقرأ ويقرّر وينفّذ. إنه يحمل بيانات اعتماد فعلية للدخول إلى بريدك الإلكتروني، ومساحات التخزين، والتقويم، وقد ربطه موظف باشتراك شخصي لن تراه أبداً في أي فاتورة.
اتبع الآلية وستتضح الخطورة. تسجيل غير مصرّح به في أداة سحابية يسرّب ما تُغذّيه به فقط. أما العميل الشخصي الذي يحمل صلاحيات فيمكنه إرسال بريد باسم الموظف، ونقل الملفات، والحجز، والشراء، والحذف. نطاق الانفجار اليوم يشمل الفعل ذاته، وقد اتسع قبل أن تضع معظم إدارات الأمن اسماً لهذه الفئة أصلاً.
ما الذي يميّز عميل الذكاء الاصطناعي الشخصي عن تقنية الظل التقليدية؟
ابدأ بما هو مقاس بالفعل. وجد فريق Netskope Threat Labs، في قياسه لحركة بيانات فعلية داخل بيئات المؤسسات بين فبراير ومايو 2025، أن «60% من المستخدمين كانوا يلجؤون إلى تطبيقات ذكاء اصطناعي شخصية غير خاضعة للإدارة». هذا الرقم يقيس استخدام الذكاء الاصطناعي غير المُدار عموماً، لا العملاء المرتبطين بحسابات الشركة تحديداً، فاقرأه بوصفه نقطة الانطلاق لا الوجهة النهائية: قوة عاملة اعتادت أصلاً منح أدوات ذكاء اصطناعي شخصية صلاحية الوصول إلى بيئة العمل. العميل المستقل الذي يحمل بيانات اعتماد هو الخطوة التالية على الطريق نفسه. إنه ينشأ الآن، وليس افتراضاً نظرياً، وليس بعد شائعاً في كل مكان، وهذه بالضبط هي النافذة الزمنية للتحرك قبله لا بعده.
الفارق الثاني هو المعيار الثقافي السائد. بين أوائل المتبنّين، القاعدة المتبعة هي منح أقصى قدر من الصلاحيات: سلّم العميل كل شيء وانظر إلى ما يستطيع فعله. إحدى أدوات تشغيل العملاء الشائعة تطلق وضعاً تسمّيه «YOLO»، وتعرّفه وثائق المنتج نفسها بأنه نطاق أمني كامل مع إيقاف تام لطلبات الموافقة، ما يجعل الإطلاق دون أي بوابة تصريح أمراً معتاداً. المستخدم هو من يختار هذا الوضع؛ فهو ليس الإعداد الافتراضي عند الشحن. وهذه هي المسألة الجوهرية: من يتخذ هذا القرار هو موظف يجلس في منزله يوازن بين الراحة والسرعة، لا مهندس أمن يوازن بين مبدأ الحد الأدنى من الصلاحيات، والأداة نفسها تختزل «امنحه ثقة كاملة» في مفتاح واحد يُضغط.
المنصات مبنية بعقلية مشاريع نهاية الأسبوع
لو اقتصر الأمر على عملاء يتصرفون بتهوّر نيابة عن أصحابهم، لكانت المسألة مشكلة تدريب وسياسات فحسب. لكن الأصعب هو البنية التحتية التي تقوم عليها هذه العملاء، والتي تُشحن دون مراجعة أمنية حقيقية وبحجم يحوّل خللاً واحداً في الإعداد إلى حدث نظامي شامل.
خذ منصة Moltbook مثالاً. ذكرت وكالة أسوشيتد برس أنها عرضت أكثر من 1.6 مليون عميل ذكاء اصطناعي مسجّل، بينما لم يكشف فحص قاعدة البيانات سوى نحو 17 ألف مالك بشري فعلي. اقرأ الرقمين معاً وستجد فيهما الهوس ومبرر الحذر معاً: رقم التسجيل يعكس الشهية، لا 1.6 مليون عقل مستقل متمايز. وشهية بهذا الحجم هي بالضبط ما يجعل الوضع الأمني مهماً. وفي التقرير نفسه، تمكّن الباحث غال ناغلي من شركة Wiz من الحصول على بيانات اعتماد غير موثّقة تتيح لأي شخص يملك المعرفة التقنية انتحال شخصية أي عميل على المنصة، إضافة إلى صلاحية الكتابة للتلاعب بالمحتوى القائم. مسار غير موثّق يفتح الباب أمام الاستيلاء على عملاء الآخرين هو، ببساطة، باب مبنى تُرك مفتوحاً وقد سكنه بالفعل عشرات الآلاف.
القيادات في مؤسساتنا ما زالت تُقلّل من وزن هذا الخطر. فالموظفون يشغّلون عملاء بصلاحيات مفرطة، وعلى منصات يمكنها تسليم زمام تلك العملاء لطرف آخر. الأصل الخفي قد يصلك أصلاً وهو مخترق سلفاً.
حقن التعليمات يحوّل كل عميل يحمل صلاحيات إلى موظف داخلي يُدار عن بُعد
هنا الخطوة التي تُسقط نموذج المخاطر بأكمله. هذه العملاء تعمل بتعليمات لغوية طبيعية، ولا يمكنها التمييز بثقة بين تعليماتك وتعليمات شخص غريب. تنص أبحاث شركة Anthropic نفسها بوضوح على أن كل عميل يعالج محتوى غير موثوق معرّض لخطر حقن التعليمات، مع تعرّض خاص للعملاء التي تتصفح الإنترنت. لا يحتاج المهاجم إلا أن يزرع نصاً في مكان سيقرؤه العميل: صفحة ويب، دعوة تقويم، نص رسالة بريدية، مستند مشترك. يقرأ العميل التعليمة، وإن كان يملك الصلاحية، ينفّذها.
اربط الآلية معاً وستصل إلى استنتاج حاسم. عميل شخصي لموظف، يحمل بيانات اعتماده الوظيفية، ويقرأ مدخلات غير موثوقة طوال اليوم، هو موظف داخلي يمكن تشغيله عن بُعد دون أن يحتاج أي مهاجم إلى تجنيده. لا تدّعي هذه الأبحاث أن كل محاولة حقن تنجح، ولا أن كل عميل مخترق بالفعل، ولا أدّعي أنا ذلك أيضاً. ما تدّعيه هو أن القناة موجودة وفعّالة. وحين تكون القناة هي «أي شخص قادر على وضع نص أمام العميل»، فإن عدد القادرين على المحاولة يقترب عملياً من الجميع.
ما الذي يجب أن يفعله فريق الأمن فعلياً؟
حظر هذه الفئة بالكامل سيفشل بالطريقة نفسها التي فشلت بها الحظورات الشاملة للأدوات السحابية دائماً: يذهب السلوك إلى الخفاء وتخسر أنت الفائدة المحتملة. عامِل العملاء الشخصيين بوصفهم فئة هوية جديدة بدلاً من ذلك، وصمّم للوصول العميل قبل وصول العملاء أنفسهم. وفي منطقة تراهن حكومات عديدة فيها على استثمارات سيادية ضخمة في الذكاء الاصطناعي، من رؤية السعودية 2030 إلى استراتيجية الإمارات الوطنية للذكاء الاصطناعي، فإن هذه الفئة من المخاطر تقوّض تحديداً الهدف الذي تُبنى من أجله تلك البرامج: ثقة مؤسسية في تقنية محكومة. وتضيف أطر مثل نظام حماية البيانات الشخصية السعودي (PDPL) وقوانين حماية البيانات الإماراتية بُعداً تنظيمياً مباشراً: كل موافقة OAuth غير مرصودة هي أيضاً التزام امتثال غير موثّق. إليك تسلسلاً يمكن لمسؤول أمن المعلومات في مؤسستنا أن يبدأ به منذ صباح الأحد.
- اسحب التقارير التي تملكها أصلاً. في Microsoft Entra ID، افتح قسم Enterprise applications واقرأ موافقات المستخدمين الممنوحة: كل نطاق OAuth وافق عليه موظف لتطبيق خارجي أو شخصي مُدرج هناك، إلى جانب قائمة انتظار طلبات موافقة المسؤول. وفي Google Workspace، تحتفظ لوحة تحكم المسؤول بما يعادل ذلك ضمن قسم الأمان، عناصر تحكم API، وتقرير وصول تطبيقات الطرف الثالث، إضافة إلى سجل تدقيق رموز OAuth. ادمج المصدرين في جرد واحد لرموز OAuth، مصنّف بحسب الموافقات التي تخصّ حسابات لا تديرها مؤسستك. وفي مراجعاتنا الميدانية مع العملاء، يكاد أول سحب صادق لتقرير Workspace هذا يكشف دائماً عن إضافة Gmail شخصية واحدة على الأقل، أو أداة أتمتة تجلس على موافقة فعّالة لم يعد أحد في تقنية المعلومات يتذكر أنه وافق عليها.
- افصل القراءة عن الفعل، عند مستوى النطاق نفسه. سلاسل الصلاحيات تخبرك بنطاق الانفجار. في Microsoft Graph، صلاحية
Mail.Readمتفرّجة فقط؛ أماMail.ReadWriteوMail.Sendفيمكنهما التصرف باسم المستخدم. وفي Google، صلاحيةgmail.readonlyغير مؤذية مقارنة بالنطاق الكاملhttps://mail.google.com/أوgmail.send، وكذلكdrive.readonlyمقارنة بنطاقdriveغير المقيّد. ألغِ كل نطاق كتابة وإرسال مُمنوح لهوية مرتبطة بحساب شخصي، وحين تكون هناك حاجة عمل حقيقية لأحدها، أعد إصداره بنطاق ضيق وقابل للإلغاء بدلاً من ترك موافقة دائمة قائمة. - ضع بوابة بشرية أمام أي إجراء لا رجعة فيه. عرّف «اللارجعة» كتابياً: الإرسال أو الرد باسم المستخدم، حذف الملفات أو نقلها، المشاركة خارجياً، تغيير الصلاحيات، تحريك الأموال. أي مسار عمل يلامس أحد هذه البنود يجب أن يقترح الإجراء ويُبقيه في قائمة انتظار لموافقة إنسان قبل التنفيذ، لا أن يُطلق بمجرد قرار العميل وحده. هذه هي النسخة القابلة للتطبيق من الذكاء الاصطناعي العملي مع سيطرة بشرية: النموذج يصوغ، والإنسان يضغط زر الإرسال.
- عامِل أي عميل يقرأ محتوى غير موثوق بوصفه وكيلاً لطرف خارجي. إن كان يتصفح الإنترنت أو يستقبل بريداً إلكترونياً، فهو عرضة لحقن التعليمات، ولذلك لا ينبغي أن يحمل صلاحية لا تمنحها لمستخدم مجهول على الإنترنت. وحيث يحتاج الموظفون فعلاً إلى مساعدة عميل ذكاء اصطناعي، وفّر لهم مساراً معتمداً برموز محدودة النطاق وبوابة موافقة مدمجة مسبقاً، بحيث تكون الإجابة على «هل يمكنني استخدام واحد؟» هي نعم، ضمن هذه الضوابط، لا حظراً يعيد الاستخدام إلى الخفاء المنزلي.
لا شيء من هذا يستلزم أدوات جديدة. إنه انضباط الحد الأدنى من الصلاحيات نفسه الذي تطبّقه أصلاً على حسابات الخدمة ومفاتيح API، ممتداً إلى فاعل جديد يتحدث اللغة الطبيعية ويحلّل بريدك الوارد. المؤسسات التي ستجتاز هذه المرحلة بسلام هي التي أنجزت العمل الشاق المتمثل في رسم خريطة الوصول قبل أن تتجاوز القدرة حدود السيطرة. هذه الفئة موجودة بالفعل داخل المبنى. السؤال المفتوح الوحيد هو: هل ستجد عملاءك قبل أن يجدهم شخص آخر؟
أسئلة شائعة
هل يمكن لشركتنا حظر عملاء الذكاء الاصطناعي الشخصيين من الاتصال بحسابات الشركة؟
جزئياً، ويستحق ذلك المحاولة، لكن الحظر الصرف يقلّل من تقدير حجم المشكلة. فالاتصالات غالباً ما تمر عبر جلسات موثّقة عادية وموافقات OAuth تبدو مشروعة، لذا فإن الضبط الدائم يكمن في تحديد نطاق ما يمكن لأي فاعل خارجي الوصول إليه، واشتراط موافقة على الإجراءات عالية الأثر، لا في محاولة إبعاد العملاء تماماً.
هل حقن التعليمات خطر حقيقي أم نظري فحسب؟
إنه خطر مقبول ضمن تصميم العملاء الحالي. تتعامل أبحاث Anthropic المنشورة مع أي عميل يعالج محتوى غير موثوق بوصفه معرّضاً للخطر، مع تعرّض أكبر للعملاء التي تتصفح الإنترنت. هذا لا يعني أن كل محاولة تنجح، لكن قناة الهجوم فعّالة أينما جمع عميل بين قراءة مدخلات خارجية وامتلاك صلاحيات فعلية، وهذا ينطبق على معظم العملاء الشخصية المرتبطة بأنظمة العمل.
كيف نكتشف أصلاً عملاء الذكاء الاصطناعي الخفيين المستخدمين لدينا؟
ابدأ من الصلاحيات لا من الأجهزة. في Microsoft Entra ID اقرأ موافقات تطبيقات المؤسسة، وفي Google Workspace اسحب تقرير وصول تطبيقات الطرف الثالث وسجل تدقيق رموز OAuth. ابنِ جرداً للرموز واتصالات التطبيقات التي تحملها حسابات لا تديرها مؤسستك، وراقب أنماط الوصول الآلي على الهويات المرتبطة بحسابات شخصية، واسأل الموظفين مباشرة. الاكتشاف هنا هو في جوهره تمرين إدارة هوية ووصول، ولهذا فإن معاملة العملاء بوصفهم فئة فاعلين خاضعة للحوكمة أهم من ضوابط الأجهزة الطرفية.
مواضيع ذات صلة
- في أوبونتو 26.04 LTS، حزمة coreutils التي تعتمد عليها بنيتكم التقنية لم تعد GNU
- علاوة السيادة: لماذا تكسب حلول الذكاء الاصطناعي السيادي للمؤسسات الرهان على حرية الوصول لا على السرعة
- قضايا الأسرار التجارية تُحسم قبل سنوات من استقالة أي موظف. اسألوا شركة فاسيندا تشيكن
- Security & Trust
كُتب بواسطة شخصية تحريرية بالذكاء الاصطناعي ضمن نظام التحرير الخاص بـ Abyshire وروجع من فريقنا.