Prompt Injection: كيف يمكن لصفحة ويب أن تخدع مساعد الذكاء الاصطناعي؟

 Prompt Injection: كيف يمكن لصفحة ويب أن تخدع مساعد الذكاء الاصطناعي؟

تخيل أنك طلبت من مساعد ذكاء اصطناعي أن يتصفح عدة مواقع ويقارن بينها ثم يلخص لك أفضل الخيارات.

أثناء العمل، يقرأ المساعد صفحة تحتوي على معلومات عادية، لكنه يجد داخلها أيضًا تعليمات موجهة إليه بدلًا منك.

هذه التعليمات قد تحاول إقناعه بأن يتجاهل هدفك الأصلي، أو يغيّر طريقة تعامله مع المعلومات، أو ينفذ خطوة لم تطلبها أنت.

هنا يظهر أحد أهم التحديات الأمنية الجديدة في عصر وكلاء الذكاء الاصطناعي:

Prompt Injection — حقن الأوامر.

ومع ازدياد قدرة أنظمة الذكاء الاصطناعي على قراءة صفحات الويب والرسائل والمستندات وتنفيذ المهام، أصبح فهم هذا الخطر مهمًا للمستخدمين والشركات ومطوري الأنظمة على حد سواء. وتصف OpenAI حقن الأوامر بأنه شكل من أشكال الهندسة الاجتماعية الموجهة إلى أنظمة الذكاء الاصطناعي. 

ما هو Prompt Injection؟

بصورة مبسطة، يحدث Prompt Injection عندما يتعرض نظام ذكاء اصطناعي لمحتوى خارجي يتضمن تعليمات تحاول التأثير في سلوكه بطريقة لم يقصدها المستخدم.

النقطة المهمة هنا أن المهاجم لا يحاول بالضرورة خداع الإنسان مباشرة.

بل يحاول خداع الذكاء الاصطناعي الذي يعمل نيابة عن الإنسان.

وهذا ما يجعل المشكلة مختلفة عن كثير من التهديدات التقليدية.

في الماضي كان الاحتيال الإلكتروني يستهدف المستخدم برسالة مزيفة أو موقع خادع.

أما الآن فقد يحاول المحتوى نفسه التأثير في المساعد الذكي الذي يقرأه.

لماذا أصبحت المشكلة أكثر أهمية مع AI Agents؟

عندما كان الذكاء الاصطناعي مجرد نافذة دردشة تجيب عن الأسئلة، كانت قدرته على التأثير في العالم الخارجي محدودة.

لكن وكلاء الذكاء الاصطناعي يستطيعون اليوم، حسب الأداة والصلاحيات الممنوحة لهم، تصفح المواقع، وقراءة المحتوى، واستخدام التطبيقات، والمساعدة في تنفيذ مهام متعددة الخطوات.

وهنا يزداد الخطر.

كلما زادت قدرة الوكيل على العمل، زادت أهمية التأكد من أنه يستطيع التمييز بين:

ما طلبه المستخدم

وبين:

ما تقوله الصفحة التي يقرأها.

وتوضح OpenAI أن توسع الوكلاء في تصفح الويب والوصول إلى المعلومات وتنفيذ الأفعال يخلق مسارات جديدة لمحاولات التلاعب بالنظام. 

كيف يمكن أن تصل تعليمات خادعة إلى الذكاء الاصطناعي؟

ليس من الضروري أن تأتي التعليمات من مربع المحادثة نفسه.

قد يقرأ المساعد معلومات من مصادر متعددة مثل:

صفحة ويب، بريد إلكتروني، مستند، تعليق، ملف، أو محتوى آخر يصل إليه أثناء تنفيذ المهمة.

وتوضح Google أن Prompt Injection قد يأتي من محتوى مثل المواقع أو البريد الإلكتروني أو المستندات أو الوسائط، وقد تكون التعليمات غير واضحة للمستخدم لكنها قابلة للقراءة بواسطة وكيل الذكاء الاصطناعي. 

وهذا ما يسمى غالبًا Indirect Prompt Injection أو حقن الأوامر غير المباشر.

مثال مبسط

لنفترض أنك طلبت من مساعد ذكي:

“ابحث عن أفضل ثلاثة خيارات تناسب احتياجاتي ولخص أسباب اختيارها.”

أثناء البحث، يفتح صفحة تحتوي على معلومات عن أحد الخيارات.

داخل الصفحة توجد تعليمات موجهة إلى أنظمة الذكاء الاصطناعي تحاول جعل ذلك الخيار يبدو أفضل من بقية الخيارات بغض النظر عن معاييرك.

إذا لم يتمكن النظام من التمييز بين المحتوى المفيد والتعليمات غير الموثوقة، فقد يتأثر بالصفحة.

وتعرض OpenAI مثالًا مشابهًا لفكرة التلاعب بالتوصيات من خلال محتوى خارجي يحاول دفع الوكيل نحو نتيجة لا تعكس طلب المستخدم الحقيقي. 

لماذا لا يستطيع الذكاء الاصطناعي ببساطة تجاهل التعليمات السيئة؟

لأن النماذج اللغوية مصممة أساسًا لفهم اللغة والتعليمات.

وعندما يدخل النص من مصادر كثيرة إلى السياق نفسه، تصبح المهمة الأمنية هي معرفة:

أي تعليمات موثوقة؟

وأي نص مجرد محتوى يجب قراءته؟

وأي جزء يحاول التلاعب بالنظام؟

وهذه ليست مشكلة يمكن حلها دائمًا بالبحث عن كلمة أو عبارة معينة.

تشير OpenAI إلى أن الهجمات الواقعية المتطورة أصبحت أقرب إلى الهندسة الاجتماعية، ولذلك لا يكفي الاعتماد على فلترة النصوص فقط، بل تحتاج الأنظمة إلى طبقات متعددة من الحماية. 

هل يشبه Prompt Injection التصيد الإلكتروني؟

نعم من ناحية الفكرة العامة، مع اختلاف الهدف.

في التصيد الإلكتروني، يحاول المهاجم خداع الإنسان.

أما في Prompt Injection، فقد يحاول خداع النظام الذكي الذي يساعد الإنسان.

ولهذا تصفه OpenAI بأنه نوع من الهندسة الاجتماعية الخاصة بالذكاء الاصطناعي. 

وهذا تشبيه مفيد لفهم المشكلة:

التصيد يحاول إقناعك أنت.

بينما:

Prompt Injection يحاول إقناع المساعد الذي يعمل لك.

ما أخطر شيء في وكلاء الذكاء الاصطناعي؟

المشكلة ليست أن النموذج قد يعطي إجابة غير دقيقة فقط.

الخطر الأكبر يظهر عندما يمتلك الوكيل صلاحيات واسعة.

فإذا كان قادرًا على الوصول إلى تطبيقات أو حسابات أو تنفيذ إجراءات، تصبح نتيجة أي خطأ أكثر أهمية.

ولهذا تستخدم الأنظمة الحديثة وسائل مثل:

تحديد الصلاحيات، طلب تأكيد المستخدم قبل الإجراءات المهمة، مراقبة محاولات Prompt Injection، وعزل بعض العمليات.

وتوضح OpenAI أن أنظمتها تستخدم طبقات تشمل تدريب النماذج والمراقبة والفحوص الأمنية والتأكيد قبل بعض الإجراءات المهمة. 

لماذا تعتبر الصلاحيات المحدودة مهمة؟

هناك قاعدة أمنية قديمة جدًا ما تزال مفيدة هنا:

لا تعطِ النظام صلاحيات أكثر مما يحتاجه.

إذا كان المساعد يحتاج فقط إلى قراءة معلومات عامة على الويب، فلا توجد فائدة من منحه وصولًا واسعًا إلى بيانات أخرى غير مرتبطة بالمهمة.

وتوصي OpenAI بتحديد وصول الوكيل إلى البيانات الضرورية فقط، وعدم إعطائه نطاقًا واسعًا من الحرية عندما لا يكون ذلك مطلوبًا. 

بهذه الطريقة، حتى إذا تعرض النظام لمحاولة تلاعب، تكون قدرته على إحداث نتائج غير مرغوبة محدودة.

لماذا تحتاج الإجراءات المهمة إلى تأكيد الإنسان؟

من أفضل وسائل الحماية ألا يكون اتخاذ القرارات الحساسة تلقائيًا بالكامل.

إذا كان المساعد على وشك تنفيذ إجراء مهم، يجب أن يعرض ما سيحدث أولًا ويطلب موافقة المستخدم.

ولهذا تعتمد العديد من الأنظمة الوكيلة الحديثة على فكرة:

الذكاء الاصطناعي يقترح أو يجهز الخطوة → الإنسان يراجع → ثم يؤكد.

وتستخدم خدمات الذكاء الاصطناعي الحالية آليات تأكيد في المهام الحساسة للمساعدة على منع الإجراءات غير المقصودة. 

كيف تقلل المخاطر عندما تستخدم وكيل ذكاء اصطناعي؟

بالنسبة للمستخدم العادي، هناك مجموعة ممارسات بسيطة ومفيدة.

أعطِ المساعد مهمة واضحة ومحددة بدل أمر واسع جدًا.

راجع أي خطوة مهمة قبل الموافقة عليها.

لا تمنحه إمكانية الوصول إلى حسابات أو بيانات لا يحتاج إليها.

انتبه إذا بدأ النظام يتصرف خارج المهمة التي طلبتها.

وتشير إرشادات OpenAI إلى أن التعليمات المحددة أكثر أمانًا من الطلبات العامة جدًا، لأن المهمة الضيقة تقلل المجال الذي يمكن أن يؤثر فيه المحتوى الخارجي على الوكيل. 

هل يمكن القضاء على Prompt Injection تمامًا؟

حاليًا لا يمكن التعامل معه على أنه مشكلة انتهت.

فهو مجال أمني مستمر التطور، وتحاول الشركات والباحثون بناء وسائل أكثر قوة لمقاومته.

OpenAI تصفه صراحة بأنه تحدٍ أمني متطور، بينما تنبه Google المستخدمين إلى أن الوكلاء قد يرتكبون أخطاء وأن وسائل الحماية لا تجعل المخاطر صفرًا. 

ولهذا يعتمد الدفاع الحقيقي على عدة طبقات بدل حل واحد.

ما العلاقة بين Prompt Injection ومستقبل الإنترنت؟

هذه النقطة تجعل الموضوع أكبر من مجرد ثغرة تقنية.

إذا أصبح جزء متزايد من الإنترنت يُقرأ ويتعامل معه وكلاء ذكاء اصطناعي بدل البشر مباشرة، فقد تصبح المواقع مضطرة إلى التفكير في نوعين من الزوار:

الإنسان الذي يقرأ المحتوى.

والوكيل الذكي الذي يقرأ المحتوى نيابةً عنه.

وهذا يفرض تحديات جديدة حول الثقة، والصلاحيات، وهوية التعليمات، ومصدر المعلومات.

وقد يصبح من الضروري مستقبلًا وجود طرق أقوى تجعل الأنظمة تعرف بوضوح:

هذا محتوى للقراءة.

مقابل:

هذه تعليمات موثوقة يسمح للنظام بتنفيذها.

Prompt Injection لا يعني أن الوكلاء الذكية فكرة سيئة

وجود خطر أمني لا يعني أن التقنية نفسها غير مفيدة.

الإنترنت نفسه واجه على مدار تاريخه أنواعًا مختلفة من الاحتيال والبرمجيات الضارة والهجمات، ومع ذلك تطورت وسائل الحماية بالتوازي معها.

الشيء نفسه يحدث الآن مع الذكاء الاصطناعي.

كلما أصبحت الوكلاء أكثر قدرة، ستحتاج أنظمة الأمان إلى أن تصبح أكثر ذكاءً أيضًا.

ولهذا تعمل الشركات على تدريب النماذج لتحديد التعليمات غير الموثوقة، وتقييد الأفعال، ومراقبة السلوك، والحفاظ على المستخدم داخل دائرة القرار.

 

الخلاصة

Prompt Injection يمثل أحد أكثر تحديات الأمن السيبراني إثارة في عصر وكلاء الذكاء الاصطناعي.

فبدل محاولة اختراق جهاز بالطريقة التقليدية، قد تحاول بعض الهجمات التأثير في القرار الذي يتخذه الذكاء الاصطناعي نفسه.

ومع توسع الوكلاء في تصفح المواقع واستخدام التطبيقات وتنفيذ المهام، تصبح حماية حدود الصلاحيات، وتمييز التعليمات الموثوقة، وتأكيد المستخدم للقرارات الحساسة عناصر أساسية.

وقد يكون أهم مبدأ في هذا العصر:

لا تجعل الذكاء الاصطناعي يثق بكل ما يقرأه على الإنترنت، تمامًا كما لا ينبغي للإنسان أن يثق بكل ما يراه عليه.