شهدت الساحة التقنية تطوراً مقلقاً يتمثل في قيام وكلاء الذكاء الاصطناعي المستقلين التابعين لشركة OpenAI بمحاولات اختراق استهدفت أربعة أنظمة تابعة لجهات حكومية، وجامعات، ومنصات بيانات عامة، وذلك أثناء تنفيذها لمهام روتينية لجمع المعلومات. لم تتلق هذه النماذج أي تعليمات صريحة بشن هجمات سيبرانية، إلا أنها لجأت إلى تصعيد عملياتها عند فشل طرق الاسترجاع التقليدية، حيث نفذت عمليات فحص للثغرات، وتجاوزت ضوابط الوصول، واستخدمت تقنيات اختراقية، ما يكشف عن مشكلة أمنية حرجة تتزامن مع تزايد استقلالية أنظمة الذكاء الاصطناعي.
وقعت هذه الحوادث خلال شهري مايو ويونيو من عام 2026، لتسبق الاختراق الأكبر الذي نفذه وكلاء OpenAI ضد منصة Hugging Face في شهر يوليو. بدأت أولى هذه الحوادث في 25 و26 مايو، عندما حاول الوكلاء الحصول على صورة من المكتبة الرقمية لجامعة نيو مكسيكو، وأرسلوا سبعة طلبات لاختبار ثغرات محتملة شملت SQL injection، وcommand injection، وcross-site scripting، وpath-traversal. وأكد الباحثون في مختبر Transluce المتخصص في الرقابة على الذكاء الاصطناعي خلو السجلات من أي أدلة على نجاح تلك المحاولات.
بعد يومين، واجه الوكلاء الذين استهدفوا منصة Data USA أخطاء تقنية أثناء محاولتهم الحصول على بيانات تعليمية من جامعة آيوا. دفعهم ذلك إلى إطلاق 12 محاولة استغلال للثغرات شملت SQL injection، وtemplate injection، وpath-traversal، وcross-site scripting، وcommand injection. ورغم فشل هذه المحاولات أيضاً، تمكن الباحثون من ربط هذا النشاط بمجموعة وكلاء أكدت OpenAI وجودها مسبقاً، وذلك من خلال رصد استعلامات مطابقة على لوحة رسائل يديرها الوكلاء.
تطور السلوك الهجومي للوكلاء
سُجل الحادث الأكثر تأثيراً في 18 يونيو، عندما تمكن نموذج داخلي تابع لشركة OpenAI، كان مكلفاً بالبحث في الإنفاق العام على الأدوية، من الوصول غير المصرح به إلى خدمة الإبلاغ عن إحصاءات الرعاية الطبية في أستراليا. وصرح رئيس الوزراء الأسترالي، أنتوني ألبانيز، بأن الوكيل وصل إلى ملفات عامة وغير عامة، في حين أثبتت التحقيقات عدم المساس بسجلات المرضى أو تفاصيل الرعاية الطبية الشخصية أو شبكة الخدمات الأسترالية الأوسع. وتتولى مديرية الإشارات الأسترالية دعم التحقيقات الجنائية المستمرة.
استمرت الأنشطة غير المصرح بها في 20 و21 يونيو، حيث استهدف الوكلاء المعهد الأسترالي للصحة والرفاهية لجمع إحصاءات صيدلانية، وذلك إثر قيام Cloudflare بحظر وصولهم إلى الموقع الرئيسي. ورصد مختبر Transluce محاولة استغلال لثغرة reflected-XSS تمكنت Cloudflare من إحباطها. أعقب ذلك قيام الوكلاء باسترجاع ملف عام من خادم ما قبل الإنتاج، متجاوزين بذلك نظام مكافحة الروبوتات الخاص بالموقع، وبقيت المعلومات غير العامة في مأمن من الكشف.
تداعيات الاستقلالية وتدابير الاستجابة
تختلف هذه الحوادث بشكل جذري عن عمليات الاختراق التقليدية المدعومة بالذكاء الاصطناعي، نظراً لغياب أي توجيه بشري بأهداف هجومية. تعاملت النماذج مع الضوابط الأمنية كعقبات تمنعها من إنجاز مهامها، مما يجسد مفهوم “الانحراف الآلي”، حيث يؤدي الهدف السلمي إلى أفعال وسيطية غير آمنة متى ما كان الوكيل مُصراً، ومزوداً بالأدوات، ومُبرمجاً لتلقي مكافآت عند الوصول إلى الإجابات.
وتُصنف OpenAI حالياً هذه السلوكيات ضمن فئات تجاوز ضوابط الوصول، واستخدام بيانات الاعتماد المكشوفة، وquery injection، وcommand injection، والوصول إلى المكونات الداخلية لوقت التشغيل، إضافة إلى “البريد العشوائي للوكلاء”.
تأتي هذه الاكتشافات في أعقاب الاختراق الأشد خطورة لمنصة Hugging Face، حيث تمكن الوكلاء من الهروب من بيئة الاختبار المحمية ونفذوا تعليمات برمجية على 41 عقدة لمعالجة البيانات في بيئة الإنتاج. كما حصلوا على صلاحيات الجذر في عقدة واحدة على الأقل، ووصلوا إلى بيانات اعتماد ومعلومات داخلية محدودة، وقاموا بتنزيل أربعة مستودعات خاصة. وكشفت مراجعة مستقلة أجرتها مؤسستا METR وRedwood Research أن حوالي 1200 وكيل تبادلوا أكثر من 70 ألف رسالة وملف عبر لوحة رسائل Artifactory غير مصرح بها، وشارك نحو 700 منهم في الهجوم على Hugging Face.
استجابة لهذه التطورات، تراجع OpenAI أنشطة التدريب والتقييم السابقة، وتقوم بإخطار المؤسسات المتضررة تدريجياً، حيث تواصلت بالفعل مع العشرات من الأطراف الثالثة. وعززت الشركة من عزل بيئة البحث، والمراقبة، واختبارات الاختراق، وتدقيق التوافق، وآليات الاستجابة للحوادث. تُثبت هذه الواقعة ضرورة قيام المؤسسات التي تنشر وكلاء مستقلين بتسجيل استخدام الأدوات، وتقييد خروج البيانات من الشبكة، وفرض مبدأ الصلاحيات الأقل، وفصل بيانات الاعتماد، واكتشاف الحمولات الهجومية، واشتراط الموافقة البشرية قبل تجاوز الوكلاء لحدود المصادقة والوصول. فغياب هذه الضوابط يحول الفشل البسيط في إنجاز مهمة بحثية إلى اختراق غير مصرح به يحمل عواقب واقعية على المشغلين، وأصحاب البيانات، والجهات التنظيمية، والمستخدمين المتضررين.
