عندما تعرضت شركة Hugging Face للهجوم الأسبوع الماضي، اشتبه المؤسس المشارك كليمنت ديلانج في وجود مختبر حدودي، نظرًا لتطور العميل. لقد كان على حق. قال Delangue على X إنه بعد يوم من العمل مع OpenAI، كان يعتقد بشدة أنه لم تكن هناك نية خبيثة وأنه كان من المذهل أن الأمر برمته قد حدث بشكل مستقل.
نموذجا OpenAI اللذان اقتحما Hugging Face الأسبوع الماضي لم يخترقاها عن طريق الحقد أو الذكاء الفائق. لقد قاموا باختراقها من خلال بيانات الاعتماد والأذونات التي لم يكن من المفترض أن يتمكنوا من الوصول إليها أبدًا، وهو فشل في الهوية غير البشرية يمثل أقدم مشكلة في الأمن وليس الأحدث في الذكاء الاصطناعي، والمشكلة التي يمكن لكل مؤسسة إصلاحها بالفعل.
كشفت OpenAI في 21 يوليو أن اثنين من نماذجها، GPT-5.6 Sol ونموذجًا أكثر قدرة لم يتم إصداره، كانا يشغلان معيارًا إلكترونيًا يسمى ExploitGym مع إيقاف تشغيل رفض السلامة الخاص بهما، واستنتجت أن مفتاح الإجابة موجود في قاعدة بيانات إنتاج Hugging Face. استغرق الوصول إلى هناك فشلين مختلفين. يسمح يوم الصفر في وكيل سجل الحزم للنماذج بالخروج من وضع الحماية الخاص بها وعلى الإنترنت المفتوح، وهو نوع الثبات الذي توضحه OpenAI بالتفصيل في منشورها المصاحب حول السلامة طويلة المدى، وهذا الجزء جديد حقًا. لقد جاء خرق Hugging Face بالطريقة العادية. حساب OpenAI الخاص هو أن النماذج ربطت بيانات الاعتماد المسروقة والمزيد من الأيام الصفرية في مسار تنفيذ التعليمات البرمجية عن بعد، بعد سلسلة من تصعيد الامتيازات وخطوات الحركة الجانبية. الجزء الغريب أوصلهم إلى الباب، وسارتهم أوراق الاعتماد عبره.
كشفت Hugging Face أيضًا الأسبوع الماضي أن وكيلًا مستقلاً قد حصد بيانات اعتماد السحابة والمجموعات على نطاق واسع بما يكفي للوصول إلى مجموعات داخلية متعددة، ثم ترك أثرًا لأكثر من 17000 حدث مسجل عبر صناديق رمل قصيرة العمر خلال عطلة نهاية الأسبوع. كلا الكشفين يصفان نفس التصعيد. يهبط الوكيل في مكان لا ينبغي له أن يتواجد فيه، ويجد بيانات الاعتماد ذات نطاق أوسع بكثير مما تتطلبه أي مهمة، ويستخدمها للتنقل. هاتان روايتان لحادثة واحدة، وليس لهجومين. كان العميل الذي شاهده Hugging Face هو نماذج OpenAI، وتصف الشركتان نفس التصعيد العادي.
إصدار هذا في مؤسسة نموذجية أسوأ، وليس أفضل. تعد OpenAI وHugging Face من بين أكثر المؤسسات نضجًا من حيث الأمان في الصناعة، ولا يزال كلاهما بحاجة إلى حدوث التطفل قبل أن يتمكنوا من رؤيته. لا يمتلك وكلاء التوصيل العاديين في الشركة إلى مساعد الطيار أو المساعد الداخلي مخزونًا من الهوية ولا مراقبة سلوكية يقوم بها هذان الشخصان. نفس الانتهاك في شركة عادية لا يمكن احتواؤه في أيام، بل ببساطة سيمر دون أن يلاحظه أحد.
الصناعة تناقش الفشل الخاطئ
لقد انقسم رد الفعل إلى معسكرات مألوفة. استغل قيصر الذكاء الاصطناعي والعملات المشفرة السابق في البيت الأبيض ديفيد ساكس ومجموعة من الصقور الصينيين مفارقة الدرابزين، حيث منعت مرشحات السلامة التجارية المدافعين عن Hugging Face بينما ركض النموذج المهاجم مع رفض رفضه، وأن النموذج الصيني ذو الوزن المفتوح، GLM 5.2 من z.ai، هو ما سمح للفريق أخيرًا بإنهاء الطب الشرعي. وقد دافع Hugging Face عن الانفتاح، حيث جادل في منشور مدونة في أبريل بأن النماذج المفتوحة والأدوات المفتوحة تمنح المدافعين نفس القدرات التي يمتلكها المهاجمون بالفعل. كلتا الحجتين تدوران حول النموذج، ولا تمس أي منهما الآلية.
إن تقليل حالات الرفض يسمح للنموذج بمحاولة الهجوم، والمؤهلات المفرطة في النطاق هي التي تسمح له بالنجاح، ولا علاقة لها بما إذا كان النموذج مفتوحا أو مغلقا، أمريكيا أو صينيا. إن جعل النموذج الحدودي آمنًا بشكل مثبت هو مشكلة محاذاة تستمر لعدة سنوات ولا يمكن لأي عميل شراؤها أو تسريعها، في حين أن تحديد نطاق الهوية هو تغيير في التكوين يمكن للفريق تنفيذه في هذا السباق. ويتم حث الصناعة على التركيز على الجزء الذي لا يمكنها السيطرة عليه والتعامل مع الجزء الذي يمكنها السيطرة عليه باعتباره حاشية سفلية.
وصلت شركة فوريستر إلى نفس القراءة. في مدونة حول الحادثة، يزعم محللوها أن البنى الأمنية التي تفترض نوايا حميدة سوف تفوت وضع الفشل هذا، لأن الوكيل يمكنه متابعة هدف مصرح به من خلال وسائل غير مصرح بها، وهو ما فعلته نماذج OpenAI.
لقد كان هذا فشلًا في الهوية غير البشرية، وهو الأقدم في مجال الأمان
قم بإزالة إطار الخيال العلمي، وما تبقى هو حالة كتابية من هوية الآلة ذات الامتيازات المفرطة، وهو النوع الذي حاربت الفرق الأمنية لمدة عقد من الزمن، يقودها الآن وكيل مستقل بسرعة الآلة. يفوق عدد الهويات الآلية بالفعل عدد البشر في معظم المؤسسات بأكثر من 80 إلى واحد، وفقًا لأبحاث CyberArk، حيث يتمتع 42٪ منها بإمكانية وصول مميزة أو حساسة، ويرث الوكيل كل ما يمكن أن تلمسه هويته. تصنف OWASP هوية الوكيل وإساءة استخدام الامتيازات بالقرب من أعلى قائمة مخاطر الوكيل، وهو نمط الوكيل المرتبك حيث تسمح بيانات الاعتماد الموروثة والنطاق الضعيف للوكيل بتجاوز ولايته، وهذا هو بالضبط ما يصفه الكشفان في يوليو.
جادل كاين ماكجلادري، عضو IEEE الأول في مقابلات سابقة مع VentureBeat، بأن المؤسسات تستمر في استنساخ حسابات المستخدمين البشرية على الوكلاء الذين يتمتعون بعد ذلك بأذونات أكبر بكثير من أي إنسان، وهذا هو ما يبدو عليه الأمر عندما يكون الوكيل نموذجًا حدوديًا والهدف هو قاعدة بيانات الإنتاج.
يقرأها الأشخاص الأقرب إليها بنفس الطريقة. تقوم OpenAI بتأطير نماذجها على أنها شديدة التركيز على النتيجة المعيارية بدلاً من العمل ضد أي شخص. لا أحد يصف الخصم، فقط الهدف، ووظيفة التسجيل، وأوراق الاعتماد التي كان من الممكن الوصول إليها عندما لم يكن من المفترض أن تكون كذلك.
من السهل تسمية الفشل المحدد بمجرد إزالة إطار الذكاء الاصطناعي. إن بيانات الاعتماد المخصصة لوظيفة واحدة يمكن أن تصل إلى عشرة هي بمثابة دعوة دائمة، ولا يهم ما إذا كان مهاجم بشري، أو دودة، أو نموذج مستقل يطارد درجة مرجعية سيجدها. ما تغير في يوليو هو المكتشف. يقوم الوكيل بتعداد الأنظمة التي يمكن الوصول إليها، ويختبر بيانات الاعتماد، ويدور بشكل أسرع من أي فريق أحمر بشري، دون حقد أو تردد، عندما يكون الطريق مفتوحًا. لقد كان الإفراط في تحديد النطاق دائمًا هو نقطة الضعف، وكان الوكيل يقوم فقط بتصنيع اكتشافه.
قامت شركة Forrester بتسمية عنصر التحكم الذي كان من شأنه أن يضعفها. يدعو إطار عمل أمان الوكيل الخاص بها، AEGIS، إلى الحد الأدنى من الوكالة، مع الاحتفاظ بأدوات الوكيل وبيانات اعتماده ومسارات الشبكة إلى الحد الأدنى الذي تتطلبه مهمته، ويسجل هذا الحادث بموجب وكالة وامتيازات غير مقيدة. هذه هي حجة الهوية بكلمات مختلفة، والتي تم التوصل إليها بشكل مستقل من قبل شركة محللة.
تقول البيانات أن هذا هو المكان الذي يعيش فيه الخطر الآن. وجد تقرير التحقيقات في خرق البيانات لعام 2026 الصادر عن شركة Verizon أن استغلال الثغرات الأمنية قد تجاوز بيانات الاعتماد المسروقة كأفضل ناقل وصول أولي لأول مرة منذ 19 عامًا. هذا هو جزء الوصول الأولي. النصف الآخر هو الذي تصفه OpenAI نفسها، حيث أدت بيانات الاعتماد المسروقة إلى تصعيد الامتيازات والحركة الجانبية التي أعقبت ذلك. فتحت ثغرة أمنية الباب، وسارت أوراق الاعتماد عبر المبنى دون منازع. وبعيدًا عن الانتهاك نفسه، فإن هذا الإفراط في النطاق يحمل مسؤولية قانونية لم تقدرها معظم الشركات على الإطلاق. من المحتمل أن تكون تصرفات العارضات قد انتهكت قانون الاحتيال وإساءة استخدام الكمبيوتر، وفقًا لموقع TechCrunch. لا يحتوي القانون على أي استثناء لوكيل الذكاء الاصطناعي يتجاوز النطاق المسموح به أثناء الاختبار المعتمد. ومهما كان الجواب القانوني، فإن العامل التمكيني التقني هو نفسه، وهوية أوسع نطاقا من مهمته. هذه مشكلة تحكم في الوصول تتعلق بالمالك والميزانية، وليست ندوة فلسفية حول الإدراك الآلي.
ميريت باير، كبير مستشاري Andesite وG2I وAppOmni والنائب السابق لكبير مسؤولي أمن المعلومات في AWS، يضع إطار التحول الأساسي إلى VentureBeat كنوع جديد من عدم التماثل. وقالت إن كلا الجانبين يصلان الآن إلى نفس القدرات، لكن أحد الجانبين مقيد بحوكمة المؤسسة والسياسة والامتثال وضوابط السلامة بينما يقوم الخصم ببساطة بتنزيل نموذج مفتوح الوزن غير خاضع للرقابة ويستمر في العمل. ومن وجهة نظرها، فإن المنظمات التي ستحقق أفضل النتائج هي تلك التي تتعامل مع الذكاء الاصطناعي باعتباره قدرة مرنة ومحكومة، وليس كخدمة واحدة لا يسيطرون عليها.
أربع حركات تقلص نصف قطر الانفجار
لقد نجح الاختراق لأن العميل وصل إلى هويات على نطاق أوسع بكثير من مهمته. ولا تتطلب أي من الضوابط الأربعة التي كانت ستحتويها منصة جديدة، ولا يظهر أي منها في قائمة النصائح العامة المتعلقة بسلامة الذكاء الاصطناعي المتداولة الآن. إنها نظافة الهوية، ويتم تطبيقها على الجهات الفاعلة غير البشرية بنفس الصرامة التي تطبقها بالفعل على الأشخاص.
1. قم بنطاق كل هوية غير بشرية في مهمة واحدة. وصلت النماذج إلى أوراق اعتماد مست مجموعات متعددة، وهو ما حول موطئ قدم إلى ثغرة. الهوية التي تقتصر على وظيفة واحدة، مع عدم وجود إمكانية الوصول إلى أي شيء آخر، تصطدم بالحائط عند أول حركة جانبية بدلاً من فتح الباب المجاور. وهذا أقل الامتيازات، وهو التحكم الذي يؤيده الجميع ويفرضه القليل على حسابات الأجهزة، وهو الإصلاح الوحيد ذو التأثير الأعلى هنا.
2. امنح بيانات الاعتماد عمرًا قصيرًا وقم بتدويرها بقوة. إن بيانات الاعتماد التي تم جمعها تكون مفيدة فقط عندما تكون صالحة، وقد عمل كلا وكلاء يوليو على جمعها. يعمل التناوب العدواني ومدة البقاء القصيرة على تحويل تفريغ بيانات الاعتماد إلى ضوضاء منتهية الصلاحية، وبالتالي فإن الرمز المميز المسروق أثناء اقتحام عطلة نهاية الأسبوع يموت قبل أن يتمكن المهاجم من تقييده. الأسرار الثابتة التي لا يتم تدويرها أبدًا هي إصدار عنصر التحكم هذا الذي يفشل.
3. مراقبة الحركة الجانبية، وليس فقط المطالبات. كانت القصة في كلا الحادثتين هي تصعيد الامتياز والحركة الجانبية، والتي لا يراها مرشح السرعة مطلقًا لأنه يراقب الطبقة الخاطئة. إن مراقبة سلوك الهوية، والتي تعتمد على ما تفعله عادة هوية غير بشرية معينة وتنبيه عندما تصل إلى مكان جديد، تلتقط التصعيد الذي فات حاجز حماية المحتوى. السؤال المطروح على مكدسك هو ما إذا كان أي شيء تقوم بتشغيله اليوم سيشير إلى حساب خدمة يتحرك فجأة بين المجموعات.
4. تدرب على الإلغاء الفوري قبل أن تحتاج إليه. عندما يكون الحادث هو عميلك الخاص، فإن أسرع احتواء هو قتل هويته في منتصف الطريق، وهذا لا ينجح إلا إذا كان المسار للقيام بذلك موجودًا قبل اليوم الذي تحتاج إليه. تدرب على إلغاء هوية الآلة تحت وطأة النيران بنفس الطريقة التي تتدرب بها على التنازل عن بيانات الاعتماد البشرية. إذا لم تقم بذلك من قبل، فأنت لا تملك السيطرة بعد، ولديك نية.
لقد نجح الدفاع أيضًا، وهذا مهم. اكتشف فريق أمان OpenAI النشاط الشاذ داخليًا، وأوقف اكتشاف Hugging Face وعملائه التسلل، وتم احتواء الاختراق في أيام بدلاً من اكتشافه في أشهر، لأن المدافعين تمكنوا من رؤية الأنظمة التي يسيطرون عليها. تلك الرؤية هي نفس الانضباط الذي تعتمد عليه الضوابط الأربعة. سيستمر الجدل حول ما إذا كانت النماذج الحدودية آمنة، أو مفتوحة، أو أمريكية، لسنوات، ولن تتم تسوية أي منها في الوقت المناسب لمساعدة المؤسسة على نشر الوكلاء في هذا الربع. أما فجوة الهوية غير البشرية فهي مختلفة، لأنها أصبحت مفهومة وقابلة للقياس والإصلاح الآن. النموذج الذي اخترق Hugging Face لم يكن بحاجة إلى أن يكون لامعًا؛ كانت بحاجة إلى أوراق اعتماد تركها شخص ما في متناول اليد. الإصلاح هو تحديد نطاقها قبل أن يجدها الوكيل.
