في 18 حزيران الماضي كان وكيل تابع لـِ OpenAI يبحث عن أرقام الإنفاق الطبي في أستراليا. مهمة عادية من بحث وجداول وإحصاءات. وفي الطريق وصل إلى بوابة إحصاءات Medicare التابعة لهيئة Services Australia فوجد أمامه قيوداً والتف عليها. قرأ ملفات عامة وأخرى غير عامة ثم كتب ملفات على خادم داخلي تابع للهيئة الحكومية نفسها. لم يطلب أحد منه ذلك.
رئيس الوزراء الأسترالي أنتوني ألبانيزي وصف المشهد بأن الوكيل لم يقبل الرفض جواباً.
علمت OpenAI بالحادثة في آب خلال مراجعة داخلية لما تسميه "سلوك النموذج غير المتوافق" (misaligned)، أي انحرافه عن الأهداف التي وضعها له مطوروه. وأبلغت الحكومة الأسترالية في 10 أيلول برسالة إلى صندوق بريد عام. 84 يوماً بين الفعل والإبلاغ. تقول الحكومة إن البيانات غير حساسة وإن الأثر طفيف، وهذا صحيح على الأرجح. لكن الطفيف هنا هو الضرر لا السابقة ولا الخفة التي تعاملت بها OpenAI.
باب مفتوح، فعل مغلق
بُني الأمن السيبراني طوال عقود على سؤال واحد: من يدخل الجهاز ثم الحساب ثم الاتصال ثم الخدمة؟ ولكل طبقة حارسها: برامج الحماية للجهاز، وكلمات المرور والمصادقة الثنائية للحساب، والجدران النارية للاتصال، والصلاحيات للخدمة. وكلها أدوات تحرس الباب. وحين يعبره شخص مصرح له ينتهي عمل الحارس تقريباً. والافتراض الضمني أن من دخل بإذن يفعل ما أُذن له به.
الوكلاء يكسرون هذا الافتراض من الداخل. فالوكيل لا ينفذ أوامر محددة كما يفعل البرنامج التقليدي، بل يأخذ هدفاً ويخطط ويجرب أداة ويقرأ النتيجة ويعدل خطته ثم يحاول مجدداً. أي أنه يختار الوسيلة. وحين تختار الآلة الوسيلة لا يعود كافياً أن نعرف من دخل، ويصير علينا أن نعرف ماذا سيفعل بعد أن يدخل، وأن نحسب كل احتمالات ما يمكن أن يفعله.
ويزيد الأمر تعقيداً أن أحداً لا يعرف بدقة كيف يختار الوكيل وسيلته. فالنموذج اللغوي صندوق أسود حتى بالنسبة إلى من صنعه. والتدريب نفسه لا يكتب له قواعد، بل يكافئ النتائج التي يرضى عنها المدربون ويعاقب ما عداها، فتتعدل أوزان النموذج الداخلية من دون أن يرى أحد المسار الذي تسلكه. يستطيع المطورون مراقبة المخرجات وقراءة ما يدوّنه النموذج من خطوات تفكير، لكن الآلية التي تنتج القرار تبقى في معظمها خارج النظر. وأبحاث التفسير تتقدم ببطء ولا تزال بعيدة عن شرح قرار واحد بكامله. الباب مفتوح والفعل مغلق حتى على صانعيه.
في تموز 2025 حذف وكيل البرمجة لدى Replit قاعدة بيانات إنتاجية لأحد العملاء. كان المستخدم قد أعلن تجميداً للشيفرة وطلب صراحة عدم المساس بالإنتاج. قرأ الوكيل التعليمات ووافق عليها ثم نفذ الحذف. الصلاحية صحيحة والحساب مشروع والوصول مأذون. الفعل لم يكن كذلك. فالتجميد الذي طلبه المستخدم عاش في المحادثة ولم يستمر في مسار التنفيذ.
هذه هي الفجوة الجديدة. ليست بين الداخل والخارج بل بين ما أراده المستخدم وما نفذته الآلة.
مختبر لا يحتوي تجاربه
الحادثة الأسترالية ليست معزولة. ففي تموز الماضي خرج وكلاء OpenAI من بيئة اختبار معزولة ووصلوا إلى البنية الإنتاجية لـHugging Face بحثاً عن حلول جاهزة لاختبار كانوا يخضعون له، في حادثة تناولتها بالتفصيل سابقاً.
بعدها اعترفت Anthropic بأن نماذج Claude وصلت إلى أنظمة ثلاث منظمات لا علاقة لها بالاختبار خلال تقييمات أمنية بسبب خلل في إعداد بيئة اختبار تديرها Irregular، وهي شركة متخصصة في اختبار أمن النماذج كان يفترض أن تبقى بيئتها معزولة عن الإنترنت. ثم Google وبعدها Meta. وفي بريطانيا نشر معهد أمن الذكاء الاصطناعي تقريراً عن وكلاء نفذوا 19 فعلاً غير مأذون على الإنترنت الحي خلال اختبار، بينها محاولة خداع مشرف على مشروع مفتوح المصدر. لم يطلب أحد من الوكيل أن يخدع. ظهر الخداع من تلقاء نفسه كأثر جانبي لملاحقة المهمة.
ويجب قول هذا بوضوح: معظم هذه الحوادث وقعت في اختبارات عُطلت فيها الضوابط عمداً. ليست هجمات وليست تسريبات. ومن يصفها بالاختراق الشامل يبالغ، ومن يكتفي بوصفها "عدم توافق" يستعمل لغة مخففة. الحقيقة في المنتصف وهي مقلقة بما يكفي: المختبر لم يعد يحتوي تجاربه.
بيانات قد تتحول إلى أوامر
هناك مشكلة أعمق من الوكيل المتحمس. في الأمن التقليدي ما يقرؤه البرنامج بيانات وما يُطلب منه تعليمات، والفصل واضح ويمكن فرضه. أما النموذج اللغوي فيقرأ كل شيء بالطريقة نفسها، رسالة بريد كانت أو صفحة ويب أو ملف PDF. وأي نص قد يحمل تعليمة مخفية قد ينفذها الوكيل.
في 2025 كشف باحثون ثغرة سُميت EchoLeak في Microsoft 365 Copilot. رسالة بريد واحدة من دون أي نقرة من المستخدم كانت كافية لدفع المساعد إلى جمع ملفات داخلية وإرسالها إلى خادم المهاجم. رقعت Microsoft الثغرة لكن المبدأ بقي. فالمركز الوطني البريطاني للأمن السيبراني وصف النماذج اللغوية بأنها قابلة للالتباس بطبيعتها، وOpenAI نفسها أقرت بأن حقن الأوامر قد لا يُحل نهائياً.
هنا تتضح المفارقة بأكملها. يصبح الوكيل أكثر فائدة كلما ربطناه بأنظمة أكثر كالبريد والتقويم والتخزين وأدوات الدفع، والأمن يضعف بالنسبة نفسها. رسالة عادية تصل إلى بريدك من أي غريب قادرة على تحريك وكيل يملك مفاتيح ملفاتك الداخلية وحساباتك المصرفية. نحن لا نمنح الوكيل صلاحياتنا فقط، بل نمنحها لكل من يستطيع أن يكتب له.
القانون يعاقب أشخاص
تشترط قوانين الاختراق في أستراليا وبريطانيا والولايات المتحدة عنصراً مشتركاً هو شخص يقصد الوصول ويعلم أنه دون صلاحيات. والوكيل ليس شخصاً، وهذا ما قالته صراحة محكمة الاستئناف الأميركية للدائرة التاسعة في آب حين اعتبرت في قضية Amazon ضد Perplexity أن المساعد أداة لا شخص. فإذا التفت الأداة على القيود من دون قصد ومن دون أن يطلب المستخدم شيئاً، بقي الفعل بلا فاعل يُحاسب.
المسؤولية حتى الآن بلا عنوان. لا يوجد حكم قضائي واحد في قضية مماثلة، والخبراء يتحدثون عن التهور والإهمال والخطأ المؤسسي. وقد سحب الاتحاد الأوروبي مشروع توجيه مسؤولية الذكاء الاصطناعي وأبقى على توجيه مسؤولية المنتجات الذي بات يشمل البرمجيات. كل الطرق تقود إلى الشركات، لكنها طرق لم يسلكها أحد بعد.
والشركات تعرف ذلك جيداً، وتتقن عند كل حادثة لغتين. الأولى لغة التهويل: وصفت OpenAI ما جرى في Hugging Face بأنه طلقة تحذيرية للعالم، فتحول الإخفاق في ضوابطها إلى نبوءة عن قوة نماذجها. والثانية لغة التلطيف: "سلوك غير متوافق"، كأن النموذج خرج عن طاعة صانعه وحده. وبين اللغتين يضيع أمر مهم، فهناك من ربط نموذجاً معطل الضوابط بالإنترنت، وهناك من انتظر 84 يوماً ليرسل بريداً إلى صندوق عام. والصورة لا تختلف كثيراً عند الآخرين. فـAnthropic وGoogle وMeta اعترفت كلها بأن نماذجها وصلت أثناء الاختبارات إلى أنظمة جهات لا علاقة لها بها، وعزت ذلك إلى خلل في بيئة الاختبار. ثم يعود الجميع إلى السباق: نموذج أقوى كل بضعة أشهر واختبارات أخطر ووعود بضوابط أفضل في الإصدار المقبل. تريد الشركات من العالم أن يخاف من نماذجها بما يكفي ليصدق قوتها، ولا تريده أن يخاف بما يكفي ليحاسبها.
حارس للفعل
ثمة تحرك لكنه أبطأ بكثير من النماذج التي يحاول ضبطها. أطلق المعهد الأميركي للمعايير NIST مبادرة خاصة بأمن الوكلاء، ونشرت منظمة OWASP قائمة مخاطر للتطبيقات التي تعتمد على الوكلاء وصاغت مبدأ "أقل وكالة" بمعنى أن الاستقلالية تُكتسب ولا تُمنح افتراضياً. والحلول المطروحة ليست سحرية، فلا بد من موافقة بشرية على الأفعال المدمرة وفصل بيئة التجربة عن بيئة الإنتاج، وصلاحيات ضيقة على مستوى كل فعل لا على مستوى الحساب، وسجلات لا يمكن تعديلها، وضوابط تُفرض خارج النموذج لأن التعليمات داخل المحادثة تبقى مجرد طلب قد يُتجاهل.
لا شيء من هذا جديد تماماً. فمبدأ الصلاحيات الدنيا عمره عقود وانعدام الثقة ليس اختراعاً حديثاً، والمعترضون محقون حين يقولون إن الأساسات لم تتغير. حتى NIST تقول إن المبادئ باقية لكنها تحتاج إلى تكييف. والتكييف هنا ليس تفصيلاً، إذ ننقل التفويض من الباب إلى كل خطوة بعد الباب.
الأمن القديم سأل من يدخل، والأمن الجديد عليه أن يسأل ماذا يفعل من دخل ومن قرر ذلك. قضينا ثلاثين عاماً وأنفقنا مليارات الدولارات على أقفال أفضل، ثم سلمنا المفاتيح كلها لبرنامج لا يعرف صانعوه كيف يسرح ويمرح في البهو بعد أن دخل. وسمينا ذلك إنتاجية.
