بقلم: سارة | محررة نماذج الذكاء الاصطناعي · صوت تحريري بإشراف بشري
كانت الفكرة بسيطة في ظاهرها: تُشفّر شركات الذكاء الاصطناعي الكبرى سلاسل التفكير الداخلية لنماذجها، وترسلها للمستخدم كنصوص مبهمة لا يمكن قراءتها، ثم يُعيدها المستخدم في كل طلب لاحق. بدا الأمر حلاً أنيقاً لحماية الملكية الفكرية. لكن بحثاً جديداً نُشر في العاشر من أغسطس 2026 يكشف أن هذا التصميم بأكمله ينطوي على خلل معماري جوهري يجعل تلك الأسرار قابلة للسرقة بطريقة لم تتوقعها أي من الشركات الثلاث.
الباحثون — وعددهم ثمانية من مؤسسات بحثية متعددة بقيادة Alexander Panfilov — رصدوا أن الكتل المشفّرة التي تُنتجها النماذج متوافقة تماماً وقابلة للتبادل عبر جلسات مختلفة ومستخدمين مختلفين، بل وعبر نماذج مختلفة داخل منظومة المزوّد الواحد. هذه الخاصية — التي لم تُصمَّم لتكون ثغرة — هي ما يستغله الهجوم بالكامل. بدلاً من محاولة كسر تشفير النموذج القوي مباشرةً، يأخذ المهاجم الكتلة المشفّرة الصادرة عنه ويحقنها في نموذج أضعف وأقل تأميناً من المزوّد ذاته، ثم يطلب منه فكّ تشفيرها وإخراجها كنصٍّ مقروء. النتيجة: تفكير Claude أو GPT الداخلي يظهر على الشاشة حرفاً بحرف، دون أن يُكسر النموذج الأصلي مرة واحدة.
ما يجعل هذا البحث استثنائياً ليس الهجوم نفسه فحسب، بل الأضرار الأربعة التي يُوثّقها بالأدلة. الأول هو تجاوز آليات مكافحة التقطير: يستطيع المنافسون استخراج سلاسل التفكير الكاملة للنماذج المدفوعة واستخدامها لتدريب نماذجهم، وهو ما أثبته الباحثون عملياً عبر Anthropic وOpenAI وGoogle في آنٍ واحد. الثاني ما هو أكثر إثارةً للقلق: المطوّرون يتداولون سجلات الجلسات علناً على مستودعات الكود، وكثيرون منهم لا يُدركون أن الكتل المشفّرة المضمّنة في تلك السجلات تحتوي على بيانات حساسة. من بين 315,320 كتلة مشفّرة جمعها الباحثون من مستودعات عامة، وجدوا 367 عنصراً من البيانات الشخصية القابلة للتعريف (PII) و182 وثيقة اعتماد كأسماء مستخدمين وكلمات مرور ومفاتيح API — كل ذلك مخبأ في نصوص تبدو للوهلة الأولى مجرد تشفير عشوائي لا معنى له.
الناقوس الثالث أكثر مباشرةً من الناحية الأمنية: الثغرة تُرغم النماذج على الإفصاح عن معلومات خطرة كانت قد أخفتها خلف ردٍّ آمن في الواجهة. بمعنى آخر، قد يرفض النموذج طلباً ضاراً بشكل ظاهر، لكن سلسلة تفكيره الداخلية — التي تُشفَّر وتُعاد إلى العميل — قد تتضمّن بالفعل الإجابة الخطرة كاملة. أما الرابع فيُحوّل الثغرة من مسألة استخراج معلومات إلى أداة للهجوم الاستباقي: يمكن للمهاجم تضمين حمولات ضارة بالكامل داخل كتل مشفّرة وحقنها في سجلات عامة أو تدفقات وكلاء AI، لتُنفَّذ لاحقاً دون أن يرصدها أي مراقب — حرفياً حقن موجّهات غير مرئية بالعين المجردة.
ثمة زاوية تستحق التوقف عندها: الشركات الثلاث — Anthropic وOpenAI وGoogle — اختارت هندسةً معمارية تُعيد الكتل المشفّرة إلى العميل بدلاً من تخزينها على خوادمها. الدافع المُعلَن هو الخصوصية والتوسّع. لكن هذا الاختيار تحديداً هو ما أوجد الثغرة؛ إذ لو ظلّت الكتل على الخادم، لما استطاع أي مهاجم خارجي الوصول إليها أصلاً. وهنا تصبح التساؤلات أعمق: كيف لم تُكتشف هذه القابلية للتبادل في مرحلة التصميم؟ ولماذا لا تحمل الكتل المشفّرة بصمات تربطها بجلسة بعينها أو مستخدم محدد؟
الباحثون التزموا بمبادئ الإفصاح المسؤول قبل النشر، وقدّموا في ورقتهم جملةً من الحلول التقنية المقترحة على مستويين: التشفير وهندسة الأنظمة. على مستوى التشفير، يقترحون ربط الكتل بمعرّفات جلسة لا يمكن نقلها، ما يمنع توافقها مع جلسات أو نماذج أخرى. على مستوى البنية، يوصون بالتخلي عن نموذج إعادة الكتل للعميل كلياً والانتقال إلى تخزين الخادم مع معرّفات مرجعية فقط. غير أن تطبيق أي من هذين الحلين يعني إعادة تصميم جوهرية لطريقة عمل هذه APIs حالياً، وهو ما لم تُعلن أيٌّ من الشركات الثلاث عن جدول زمني لتنفيذه حتى اللحظة.
إذا كنت مطوّراً يعمل مع هذه الـ APIs، فإن الرسالة العملية الآنية واضحة: سجلات الجلسات التي تشاركها علناً لا تحتوي فقط على أسئلتك وأجوبة النموذج — بل قد تحتوي، في تلك الكتل المشفّرة التي تبدو بلا معنى، على بيانات مستخدميك وأسرار تطبيقك. وهذا وحده كافٍ لإعادة النظر في أي سياسة نشر علني لسجلات تعتمد على هذه النماذج، في انتظار أن تُعيد الشركات بناء ما كسرته الثغرة.
