من خطر على جودة الإجابات إلى ثغرة تنفيذ أوامر: 0.1% من بيانات التدريب المسمومة جعلت وكيلاً ينفّذ أوامر المهاجم بنجاح يقارب 92%.
ضمن ملف: وكلاء الذكاء الاصطناعي، نماذج الذكاء الاصطناعي
بقلم: نور | محررة الأبحاث والدراسات · صوت تحريري بإشراف بشري
المصدر الأساسي: ArXiv
لماذا يهم
يتأثر المطورون والشركات التي تمنح وكلاء الذكاء الاصطناعي صلاحية تنفيذ الأوامر على أجهزتها وخوادمها، إذ لم يعد التدريب اللاحق النظيف ضماناً كافياً وأصبح عزل الصلاحيات ضرورة.
تلويث 0.1% فقط من بيانات ما قبل التدريب (وفقاً لـ arXiv) جعل وكيل سطر أوامر مبنياً على Qwen3 بحجم 4B ينفّذ أوامر المهاجم في نحو 92% من المحاولات (وفقاً لـ arXiv). الرقم مصدره ورقة بعنوان Agentic Backdoors via Pretraining Poisoning نُشرت في 27 أكتوبر 2026 ضمن قسم التشفير والأمن cs.CR. وقّعها ثمانية باحثين: Xinyan Hu وPingbang Hu وChloe Loughridge وXuanli He وNicholas Carlini وMatthew Jagielski وJavier Rando وYiming Zhang. ننبّه إلى أن القصة تقوم على مصدر وحيد هو الورقة البحثية نفسها، وهي نسخة أولية لم تخضع لمراجعة الأقران. كل الأرقام الواردة هنا أرقام معلنة من الباحثين أنفسهم، ولم يتسنَّ التحقق منها بشكل مستقل.
بحسب ملخص الورقة، هذه أبرز النتائج كما عرضها الفريق:
- تنطلق الورقة من نقطة ضعف بنيوية: النماذج اللغوية الكبيرة تُدرَّب مسبقاً على مجموعات نصوص ضخمة تُجمع من الويب العام دون تنقيح، فيستطيع مهاجم أن يزرع محتوى مسموماً وينتظر أن يُجمع ضمن البيانات. ويقول الباحثون إنهم يُثبتون “للمرة الأولى” أن هذا التسميم قادر على زرع باب خلفي من نوع تنفيذ الأوامر عن بُعد (remote code execution) داخل وكيل، فيشغّل أوامر يختارها المهاجم على جهاز المستخدم.
- لقياس التهديد من أوله إلى آخره، درّب الفريق نماذج Qwen3 من الصفر بثلاثة أحجام هي 0.6B و1.7B و4B (وفقاً لـ arXiv)، ثم حوّل كلاً منها إلى وكيل CLI عبر مسار post-training نظيف لا يحتوي أي بيانات مسمومة.
- باستخدام تصميم سمّ جديد، كفى تسميم 0.1% من بيانات ما قبل التدريب لزرع الباب الخلفي. الوكيل المنشور يتصرف بشكل طبيعي مع المدخلات السليمة، ولا ينفّذ الأمر الخبيث إلا عند ظهور المحفّز (trigger)، وهذا ما يجعل اكتشافه بالاختبار العادي صعباً.
- يرتفع معدل نجاح الهجوم (ASR) مع حجم النموذج بحسب الورقة البحثية، إذ بلغ نحو 92% في نموذج 4B عند نسبة تسميم 0.1% (وفقاً لـ arXiv).
- بقي معدل النجاح في نموذج 4B أعلى من الصفر حتى عندما انخفضت نسبة التسميم إلى 0.0005% (وفقاً لـ arXiv)، أي خمسة أجزاء من المليون من بيانات التدريب. ويذكر الباحثون أنهم أتاحوا الشيفرة البرمجية للعموم.
أخطر ما في هذه النتائج، في تقديرنا، أن الباب الخلفي نجا من مرحلة post-training نظيفة. كثير من الفرق تتعامل مع الضبط اللاحق كمرحلة “تطهير” تعيد ضبط سلوك النموذج، والورقة تقول إن هذا الافتراض لا يصمد إذا كان النموذج الأساسي ملوثاً من البداية. واتجاه الأرقام مع الحجم يقلب حدساً شائعاً آخر، وهو أن الكمية الهائلة من البيانات السليمة كفيلة بإذابة المحتوى المسموم. في هذه التجارب حدث العكس. لكن الحذر واجب في القراءة: التجارب توقفت عند 4B، وهو حجم صغير قياساً بالنماذج التجارية، فأي حديث عن النماذج الأكبر يبقى استقراءً لا قياساً. كما أن الملخص المتاح لا يصف شكل المحفّز، ولا نوع الأوامر المنفّذة، ولا تفاصيل تصميم السمّ، ولا يذكر إن كانت دفاعات معروفة قد اختُبرت ضده.
هذه الورقة تنقل تسميم البيانات من خانة إفساد جودة الإجابات إلى خانة ثغرة تنفيذ أوامر، وهذا تغيير في نموذج التهديد نفسه لا مجرد رقم جديد. وإذا كنت تمنح وكيلاً صلاحية الوصول إلى الطرفية على جهازك أو خوادمك، فالعزل داخل sandbox، واشتراط موافقة صريحة قبل تنفيذ أي أمر، ومبدأ الحد الأدنى من الصلاحيات، لم تعد إجراءات احتياطية. هي الطبقة الوحيدة التي لا تعتمد على الثقة بما ابتلعه النموذج من الإنترنت أثناء تدريبه.
المصادر
