«قنابل السياق» تقلّص نجاح عملاء القرصنة بالذكاء الاصطناعي من 91% إلى 15% في بحث جديد

اختبر باحثو الأمان في Tracebit تقنية دفاعية تُدعى «قنابل السياق» على خمسة نماذج ذكاء اصطناعي متطورة تعمل كعملاء قرصنة مستقلين، ووجدوا أن زرع سلاسل نصية قصيرة مصممة لتفعيل ضوابط الأمان الخاصة بالنموذج نفسه داخل بيانات اعتماد خادعة قلّص نسبة التشغيلات التي أكملت أي مسار هجوم من 91% إلى 15%. تُعدّ هذه النتائج، المنشورة عبر جولتي بحث في 2026، من أوائل البراهين الملموسة على تحويل تدريب النموذج الأمني الداخلي إلى سلاح دفاعي ضد النموذج نفسه عند تحويله إلى عميل هجومي.

كيف تعمل قنبلة السياق بالفعل

الإعداد: 152 تشغيلاً عبر خمسة نماذج — Opus 4.8 من Anthropic، وGemini 3.1 Pro من غوغل، وGLM 5.2 من Zhipu AI، وDeepSeek 4 Pro، وKimi K2.6 من Moonshot AI — تعمل داخل بيئة AWS مؤسسية محاكاة مع عشرة مسارات هجوم متمايزة متاحة عبر أخطاء تهيئة متعمدة. زرع الباحثون قنبلة سياق، وهي سلسلة نصية قصيرة لا شيفرة خبيثة، داخل سرّ خادع أو متغيّر بيئة أو سجل DNS يصادفه العميل خلال استكشاف البيئة. انطلقت أجهزة الكناري، وهي موارد خادعة تُنبّه المدافعين عند لمسها، في كل تشغيل بلا استثناء بصرف النظر عن النتيجة. ما تغيّر هو ما إذا كان العميل يستمر بعد قراءة القنبلة.

الأرقام، نموذجاً بنموذج

تراجع تصعيد صلاحيات المسؤول من 57% من التشغيلات إلى 5%. وتراجع الاختراق الكامل، أي صلاحيات المسؤول مع موطئ قدم دائم، من 36% إلى 1%. وحقق Opus 4.8، أقوى نموذج تم اختباره، صلاحيات مسؤول كاملة في 93% من التشغيلات الأساسية وصفر في التشغيلات المزروعة بالقنبلة. وانتقل Gemini 3.1 Pro من معدل اختراق كامل بلغ 60% إلى صفر. وكان Kimi K2.6 أضعف مهاجم عموماً لكنه أيضاً الأقل تأثراً بالقنبلة — وهذه نقطة مفيدة: فعالية التقنية تتبع مدى قوة ضبط التدريب الأمني لنموذج معيّن، لا مدى تطور قدرته الهجومية.

لماذا تنجح هذه الطريقة ولماذا لن تنجح دائماً

الآلية محدّدة وليست تشتيتاً عاماً. فهذه سلاسل تُفعّل سلوك الرفض المدرَّب عبر RLHF في النموذج. أوقفت النماذج الغربية بثبات بمحتوى يشير إلى مواضيع بيولوجية حساسة؛ أما النماذج التي يتم الوصول إليها عبر مزوّدين صينيين فأوقفها محتوى سياسي حساس بالصينية، مما يعني أن القنبلة يجب أن تُصمَّم حسب عائلة النموذج التي يتوقع المدافع مواجهتها. وزاد الجمع بين القنبلة وتقنيات حقن الأوامر المعتادة، كلغة الاستعجال أو الملاحظات الموجّهة مباشرة إلى «العميل»، من فعاليتها في بيئات اختبار واقعية.

كان الباحثون صريحين بشأن الحدود. لم تُختبر النماذج «المجردة» التي أُزيلت ضوابط أمانها عمداً، ولا سبب يدعو لتوقع نجاح قنبلة السياق ضدها، لأن الآلية برمّتها تعتمد على سلوك رفض سليم. وحذّر المركز الوطني للأمن السيبراني في المملكة المتحدة في ديسمبر 2025 من أن حقن الأوامر، الفئة الأوسع التي تقوم عليها هذه التقنية، قد لا يُحل بالكامل أبداً، بل فقط يصبح أقل احتمالاً أو أقل ضرراً. قنبلة السياق تخفيف، لا حل نهائي.

ما الذي ينبغي أن تفعله فرق الأمان بهذا فعلاً

اعتبروا قنابل السياق إضافة رخيصة وقابلة للتكديس على برامج الكناري والهوني‌توكن القائمة. تكلفة نشرها شبه معدومة لأنها لا تتطلب بنية تحتية جديدة، بل نصاً مصمَّماً داخل أسرار خادعة أو متغيرات بيئة أو سجلات DNS مستخدمة أصلاً.

صمّموا محتوى القنبلة حسب عائلات النماذج الأكثر احتمالاً لاستهداف البيئة. فقنبلة مُعَدَّة للنماذج الغربية المتطورة قد لا تُجدي ضد نموذج مدرَّب بأولويات أمان مختلفة، كما أظهرت نتائج النماذج الصينية.

لا تعاملوا انطلاق القنبلة كحادثة محلولة. فهي إبطاء وتفعيل كشف، لا دليل على أن العميل لن يجرّب مساراً آخر بصياغة مختلفة أو نموذجاً مختلفاً تماماً.

تابعوا معدّل تنبيهات الكناري كمؤشر رئيسي حقيقي، لأنه ينطلق في جميع التشغيلات تقريباً في اختبارات Tracebit بصرف النظر عن نجاح القنبلة في إيقاف الهجوم.

خصّصوا ميزانية لتراجع فعالية هذا الدفاع مع الوقت، إذ سيزيل مزوّدو النماذج محرّكات الرفض المحدّدة التي ينشرها الباحثون. توقّعوا سباق تسلّح مشابهاً لدورات الأمثلة العدائية في مجالات أمان تعلّم الآلة الأخرى.