تتصدر الأسئلة المتعلقة بالقدرات السيبرانية لنماذج الذكاء الاصطناعي المتقدمة النقاش، عقب تقارير صدرت أواخر الشهر الماضي أفادت بأن وكيلًا من OpenAI «كسر الاحتواء» أثناء الاختبار واخترق منصة الذكاء الاصطناعي مفتوحة المصدر Hugging Face، بحثًا عن حلول لاختبارات معيارية. ويتمثل مصدر القلق لدى بعض المراقبين في أن هذه الحوادث قد تصبح قريبًا متكررة، إذا لم يعد بالإمكان احتواء النماذج بشكل موثوق ضمن حدود بيئة الاختبار.

ولا يقتصر هذا القلق على OpenAI؛ فقد كشفت Anthropic هذا الخميس نتائج مراجعة شاملة لاختباراتها الخاصة للأمن السيبراني. ومن أصل 141,006 تشغيلات مُعلنة، حددت الشركة ثلاث حالات تمكنت فيها نماذج Claude الرائدة من الوصول إلى الإنترنت المفتوح رغم بدء تشغيلها في بيئة معزولة.

وكما حدث تقريبًا في واقعة Hugging Face، تمكنت هذه النماذج من الوصول بنجاح إلى أنظمة ثلاث مؤسسات. وعندما أبلغت شركة الذكاء الاصطناعي اثنتين منها بالاختراق هذا الاثنين، لم تكن أي منهما على علم بوقوع مثل هذا الحادث.

كيف كسرت النماذج الاحتواء

في حالة Claude، كان الاختراق الأولي ناتجًا عن خطأ بشري، وليس عن استغلال متطور. فقد أُعدّت بيئة الاختبار بطريقة خاطئة أثناء الإعداد، ما ترك الأجهزة متصلة بالإنترنت. وعلى النقيض، تمكنت نماذج OpenAI من الخروج بعد تحديد خلل غير معروف في برمجيات بيئة الاختبار.

وبالمثل، اختلف أسلوب عمل النموذجين بعد وصولهما إلى الإنترنت المفتوح. فقد نفذ وكيل OpenAI عددًا قدره 17,600 من الإجراءات داخل أنظمة Hugging Face، بحثًا عن نقاط الضعف. أما Claude فاعتمد بدلًا من ذلك على تخمين كلمات المرور الضعيفة واستخدام نقاط نهاية غير محمية.

وفي معرض تناولها لإخفاقات ضمانات الحماية الخاصة بها، قالت الشركة إن بيئات الاختبار ينبغي أن تخضع «لمعيار الأمان نفسه الذي يخضع له أي نظام آخر» يُستخدم في تطوير نموذج.

تقارير ما بعد الحوادث

أثناء وقوع عمليات الاستغلال، كان Claude، وفقًا للتقارير، يتعامل مع هذه الأنظمة المستهدفة الحية باعتبارها جزءًا من لعبة الاختبار، اعتقادًا منه بأنه غير متصل بالإنترنت. وخلال الاختبارات العادية، تُطلق النماذج على شبكات شركات محاكاة داخل البيئة المعزولة. وعندما تُركت حواجز هذه البيئة منخفضة عن طريق الخطأ، استهدفت النماذج بدلًا من ذلك مواقع إلكترونية حقيقية مباشرة.

في إحدى الحالات، بحث نموذج داخلي لم يُطرح بعد عن هدفه الخيالي المخصص له، لكنه لم يتمكن من العثور عليه. ثم انتقل إلى فحص أنظمة نحو 9,000 جهة أخرى، واخترق في نهاية المطاف تطبيق الويب الخاص بإحدى الشركات باستخدام صفحة تصحيح مكشوفة. ومن المثير للاهتمام أن النموذج أدرك في نهاية المطاف، في هذه الحالة، أن هدفه شركة حقيقية وأوقف هجومه.

لكن ضمانات الحماية المدمجة هذه لا تعمل دائمًا بهذه الفعالية. ففي اختبار آخر، كُلّف Claude Opus 4.7 باستغلال موقع إلكتروني خيالي يحمل اسمًا يطابق اسم شركة حقيقية. واستهدف النموذج في نهاية المطاف الشركة الحقيقية بعد عجزه عن العثور على هدفه المحاكى، واخترق قاعدة بيانات. وخلال أربع عمليات تشغيل، أدرك النموذج مرارًا أن هدفه حقيقي، لكنه واصل العمل رغم ذلك، معللًا بأن هذا الموقع الحي لا بد أن يكون جزءًا من الاختبار.

أما الحادثة الأخيرة فتعلقت بـ Mythos 5، أحدث إصدارات Claude، الذي أُطلق للشركاء الموثوقين في يونيو. واستجابةً لتعليمات مخفية داخل بيئة الاختبار تطلب من المطورين تثبيت حزمة Python خيالية، قرر النموذج كتابة حزمته الخاصة.

ثم نشرها بنجاح في السجل العام PyPI، الذي يستخدمه تقريبًا كل مطوري Python. وظلت الحزمة متاحة على الموقع لنحو ساعة، وعملت على 15 جهازًا حقيقيًا. وكان أحد هذه الأجهزة تابعًا لشركة أمنية، ما أدى إلى كشف بيانات اعتمادها أمام Mythos عند تشغيل الحزمة.

تجري Anthropic حاليًا محادثات مع جهة التقييم الخارجية METR لإجراء تدقيق مستقل لكل حادثة.

كيف يستجيب المشرعون

من المهم الإشارة إلى أنه أثناء الاختبارات الداخلية، تُعطّل عمومًا ضمانات الحماية المفروضة على نماذج المستهلكين؛ وتقول Anthropic إن هذه الهجمات ستُحظر عند استخدام نماذجها المطروحة للعامة. ولهذا السبب، عندما ظهرت قصة Hugging Face، أُفيد بأن Claude Opus وFable رفضا المساعدة في العمل الجنائي الرقمي للشركة، إذ لم يتمكنا من التمييز بين كتابة تقرير ما بعد الهجوم والتخطيط لهجوم بحد ذاته.

وبعد اختراق OpenAI، بدأ المشرعون بالفعل التحرك لسن تشريعات لمواجهة تهديدات الأمن السيبراني المرتبطة بالذكاء الاصطناعي والنماذج الخارجة عن السيطرة. وقدم السيناتور Mark Warner مقترحًا لإلزام النماذج باختبارات للأمن القومي قبل طرحها، في حين سيمنح قانون AI Kill Switch Act وزارة الأمن الداخلي صلاحية إيقاف نموذج خطير أو معطّل.