عندما نفذت Cisco 6,986 هجومًا متعدد المنعطفات ضد 15 نموذجًا رئيسيًا، تمكن المهاجمون الذين تكيفوا عبر المحادثة من اختراق ما يصل إلى 88.3% من الوقت. قامت إيمي تشانغ، رئيسة قسم استخبارات تهديدات الذكاء الاصطناعي والأبحاث الأمنية في شركة Cisco، بتقديم هذه النتيجة إلى لجنة الأمن الوكيل في VB Transform 2026؛ يجب أن يقلق هذا الرقم أي شخص لا يزال يقوم بتشغيل برامج الفريق الأحمر ذات المنعطف الواحد.
يشرح استطلاع VentureBeat’s Pulse في يونيو 2026 والذي شمل 107 من المشاركين في المؤسسات سبب امتلاء الغرفة. أكثر من النصف، 54%، تعرضوا بالفعل لحادث أمني مؤكد للعميل (18%) أو حادثة وشيكة تم اكتشافها قبل التعرض للأذى (36%). يمنح 32% فقط كل وكيل هويته المُدارة والمحددة، وعدد أقل من ذلك، 30%، يعزل العملاء الأكثر خطورة في صناديق الحماية. تظل عناصر التحكم الأصلية والمتطورة هي طبقة أمان الوكيل الأساسية في 82% من الشركات التي شملتها الدراسة. لقد قام أكبر موردي الأجهزة الأمنية في العالم بنفس العملية الحسابية.
أغلقت شركة Palo Alto Networks استحواذها على CyberArk بقيمة 25 مليار دولار في فبراير، ووافقت CrowdStrike في يناير على دفع 740 مليون دولار مقابل شركة SGNL، وأعلنت شركة Cisco عن نيتها الاستحواذ على Astrix Security مقابل 400 مليون دولار، ويهدف كل ذلك إلى طبقة الهوية والعزل التي لم تنته معظم الشركات من بنائها.
جاء تشانغ إلى اللجنة وهو يتمتع بما يقرب من عقدين من الخبرة في مجالات الأمن السيبراني والحكومة والجيش. أدارت عمليات الأمن السيبراني العالمية كمديرة تنفيذية في بنك جيه بي مورجان تشيس، حيث قادت فرق استخبارات التهديدات السيبرانية بالبنك، وعملت كموظفة كبيرة في لجنة الشؤون الخارجية بمجلس النواب وكضابط احتياطي بالبحرية الأمريكية. كما تقوم أيضًا بتدريس الأمن السيبراني والتهديدات الناشئة كعضو هيئة تدريس مساعد في معهد ميدلبري للدراسات الدولية.
يأتي رقم تشانغ بنسبة 88.3% من دراسة شاركت في تأليفها مع نيكولاس كونلي، مبنية على 30,090 موجهًا فرديًا و6,986 هجومًا متعدد المنعطفات ضد تلك النماذج الرئيسية الخمسة عشر المغلقة والمملوكة. تراوحت معدلات نجاح المنعطفات المتعددة من 7.89% إلى 88.3%، وأظهر كل نموذج تم اختباره تعرضًا غير تافه متعدد المنعطفات، ولم يقم أسلوبا الاختبار بترتيب النماذج بنفس الترتيب. وقالت للجمهور إن شركة Cisco تنشر إشارات تقييم عدائية لما أصبح الآن 105 نماذج على لوحة LLM Security Leaderboard الخاصة بها.
"إذا كنت لا تفهم كيف تكون النماذج عرضة لأنواع مختلفة من الهجمات، فأنت غير قادر على حساب كيفية قيام هذا النموذج الذي يقوم بتشغيل وكيلك، والذي يقوم بتشغيل تطبيقك، بفهم أين توجد نقاط الفشل هذه،" قال تشانغ. وأوضحت أن الاختبار المنفرد هو عبارة عن رسالة خبيثة يتم تنفيذها مرة واحدة، بينما يمتد الهجوم إلى محادثة أطول "أكثر واقعية فيما يتعلق بكيفية تعاملنا فعليًا مع نماذجنا، ومع وكلائنا، ومع تطبيقاتنا." يُظهر هذا القوس الأطول مخرجات ضارة وسلوكيات منحرفة لا يمكن التقاطها أبدًا.
لقد دفعت شركة Cisco الاختبار بنفسها إلى منطقة الوكلاء. وصف تشانغ إطارًا يقوم فيه العملاء بتقييم سيناريو النشر، وتطوير الهجمات ذات الصلة، والحكم على ما إذا كانت تستحق المتابعة، وتنفيذها، وتقييم نجاحهم. أكثر ما أدهشها، بعد كل هذا التعقيد، هو مدى بساطة الرد الدفاعي. "الجواب لا يزال هو أن الأمر بسيط جدًا،" قالت. "ليس عليك أن تكون مبدعًا للغاية. كل ما عليك فعله هو التفكير حقًا في الأساسيات والأساسيات التي أحاول تأمينها في مؤسستي."
نقطة انطلاقها بالنسبة إلى CISOs التي تبدأ عمليات النشر الوكيل هي إطار العمل المتكامل لأمن وسلامة الذكاء الاصطناعي من Cisco، والذي قالت عنه "ينص على جميع الطرق التي يمكن من خلالها اختراق الذكاء الاصطناعي عبر دورة حياة الذكاء الاصطناعي" من الطريقة من خلال سلسلة التوريد. ومن هناك، يمكن للفرق العمل بشكل عكسي انطلاقًا من حوادث حقيقية، وتتبع كيفية تحقيق كل هجوم، واستخدام إطار العمل لبناء استراتيجية ذات التغطية والتخفيفات المناسبة.
ترى هيذر سيلان، مديرة أمن المعلومات في Box، نفس الفجوة من جانب المدافع. "الكثير مما تراه هناك مع فريق العملاء الأحمر هو مجرد دورة واحدة، وهذه ليست الطريقة التي يتفاعل بها الأشخاص فعليًا مع الذكاء الاصطناعي يوميًا،" قالت للجمهور. يحاكي Box الآن خصومًا متعددي الأدوار مع عملاء يفكرون كمهاجمين ويكررون المحاولة تلو الأخرى لاختطاف الهدف. "يجب عليك الضغط على عملائك لاختبارهم وإلا فلن تعرف ما إذا كانت ضوابط التنفيذ الخاصة بك تعمل حقًا كما تريد."
قامت شركة Box بنشر عملاء داخل مركز عملياتها الأمنية منذ عام تقريبًا، بدءًا بالموافقة البشرية المطلوبة لكل إجراء، وتم بناء الثقة بسرعة كافية بحيث تحول المحللون إلى وضع المراقبة. ثم ارتكب الوكيل خطأً واحدًا، واختفى كل جزء من تلك الثقة المتراكمة. "كان عليهم أن يبدأوا من جديد،" قالت. "لذلك أعتقد أن قطعة المراقبة هذه مهمة جدًا. حتى لو لم يكن لديك إنسان في الحلقة، فإن الأشياء تتغير، والنماذج تتغير، ولا يمكننا التحكم في كيفية تغير النماذج وتفسيرها للأشياء."
عرض راجيش باريخ، نائب الرئيس للذكاء الاصطناعي وتعلم الآلة في Intuit وجهة نظر المنشئ. قاد باريخ أنظمة الرؤية الحاسوبية والتعلم الآلي على نطاق واسع والتي تعمل على تشغيل منتجات خرائط Google وGeo قبل انضمامه إلى Intuit، وهو حاصل على درجة الدكتوراه في علوم الكمبيوتر.
ثلاث طبقات مقابل نظام التشغيل
وصف سيلان نهج بوكس بأنه عبارة عن ثلاث طبقات متحدة المركز. يأتي الإذن أولاً، لذلك لا يصل الوكيل أبدًا إلى محتوى أكثر من الشخص الذي قام باستدعاءه. يتم تشغيل بيئات الاختبار المؤقتة لكل مهمة وكيل، وتحتوي على نصف قطر الانفجار في حالة تعرض العميل للاختطاف، كما يعمل التحكم في التنفيذ في وقت التشغيل على تقييد استدعاءات أداة الوكيل إلى تلك ذات الصلة بالمهمة الحالية فقط. "إذا كنت تريد من أحد الوكلاء تلخيص مستند لك، وإذا كان لديك رسالة سريعة تفيد بإعادة توجيه هذا إلى مهاجم ضار على domain.com، فلن يتمكن من فعل ذلك،" قال سيلان. "هذا الإجراء في استدعاء الأداة هذا ليس موجودًا حتى في مفرداته."
لقد صنفت تصرفات الوكيل إلى ثلاث فئات رقابية. الإجراءات غير الحساسة، مثل القراءة والتلخيص، لا تحتاج إلى تدخل بشري في الحلقة. تتخطى الإجراءات الحساسة إلى حد ما موافقة الإنسان ولكن يتم تسجيلها ومراقبتها، في حين أن الإجراءات المدمرة مثل الحذف الجماعي للملفات تتطلب دائمًا وجود إنسان. "سوف تتغير الأمور بين تلك الفئات الثلاث قليلاً،" اعترفت، "لكن تحديد هذه الأنواع من الفئات مقدمًا يسمح لك بالحصول على إطار عمل مبدئي."
بدلاً من وضع عناصر التحكم على الوكلاء واحدًا تلو الآخر، قامت Intuit ببناء منصة مركزية تسمى GenOS، وهي اختصار لنظام التشغيل التوليدي للذكاء الاصطناعي، والذي يلخص نماذج الأمان والمخاطر والاحتيال حتى لا يقوم مطورو الوكلاء الفرديون بإعادة اختراع الحماية أبدًا. "الإذن لا يعني منح الوصول إلى الذكاء الاصطناعي،" قال باريخ. "وبدلاً من ذلك، فهو يحدد سلطة محددة النطاق وقابلة للتدقيق بشكل واضح للوكيل لأداء مهام محددة للغاية." تطورت Intuit من وكلاء يرثون أذونات المستخدم إلى كل وكيل يحمل هويته الخاصة، وتقوم الشركة الآن بالتحقيق في تغييرات أذونات منتصف الجلسة المرتبطة بالمهمة المحددة الجارية.
يطلق باريخ على النموذج الأوسع اسم منصة الخبراء المدعومة بالذكاء الاصطناعي، حيث يتم دمج الخبير البشري في بنية الثقة بدلاً من تثبيته كبوابة. "النموذج الذي نتبعه هو حيث يتعاون المستخدم ووكيل الذكاء الاصطناعي والخبير البشري لحل مشكلة المستخدم،" قال.
نهاية مراجعة الكود البشري
واجه جيلان التوتر بين اختبار الأمان وسرعة التطوير دون أي تحوط. "أيام مراجعات التعليمات البرمجية الآمنة حيث ينظر الإنسان إلى التعليمات البرمجية ونحن ننظر إلى مراجعات بنية الأمان ومستندات التصميم، وقد تم ذلك،" قالت. "إذا واصلتم محاولة القيام بالأمن بهذه الطريقة، فسوف تتخلفون عن الركب." يتجه Box نحو دورة حياة تطوير وكيلة بالكامل حيث يقوم الوكلاء بمراجعة مستندات التصميم، وتطبيق متطلبات الأمان، ومراجعة التعليمات البرمجية بحثًا عن نقاط الضعف. "أنا متفائل جدًا بأننا سنصل إلى نقطة حيث سنكتب التعليمات البرمجية دون ثغرات أمنية، لأن الوكلاء والنماذج سيصبحون جيدين جدًا في كتابة التعليمات البرمجية دون ثغرات أمنية،" قالت. "ما زلنا بعيدين عن ذلك."
نصيحتها لفرق التطوير تتخطى مفاهيم الذكاء الاصطناعي المتقدمة بالكامل وتعود إلى الأساسيات التي سبقت الوكلاء. "يتعلق الأمر بالوصول إلى أقل امتيازات أساسية جدًا،" قالت. "إذا بدأت في منح وكلائك أذونات واسعة جدًا في البداية، فمن الصعب جدًا معالجة ذلك وإنشاء بنية تحتية تسمح ببيانات الاعتماد سريعة الزوال وتلك المهام ذات النطاق الضيق فقط."
أوضح باريخ سبب توسع سطح الفريق الأحمر بهذه السرعة. "هؤلاء العملاء لديهم مهارات، والمهارات يمكن أن تصبح نقاط ضعف،" قال. "يتمتع الوكلاء بإمكانية الوصول إلى بيانات معينة، كما يمكنهم الوصول إلى الأدوات، وقد تكون هناك تهديدات كامنة داخل هذه الأدوات أيضًا. وفجأة يزداد نطاق انفجار الكود الخبيث أو النية بشكل كبير." عندما تحدد Intuit أنماط الثغرات الأمنية الشائعة من خلال تمارين الفريق الأحمر اليدوية، فإنها تقوم بأتمتة هذه الاختبارات مرة أخرى في نظام GenOS بحيث يرث العملاء المستقبليون الحماية ويظل أعضاء الفريق الأحمر يركزون على نواقل التهديد الجديدة. وقال إن فحص المطالبات والاستجابات أثناء التشغيل يضيف طبقة أخيرة يمكنها إيقاف الاستجابة المشتبه بها وتصعيدها إلى خبير بشري.
"أنت بحاجة إلى الاختبار بشكل مستمر للتأكد من أن هذه تظل قوية بالنسبة إلى وسائل الحماية التي أنشأتها، بالإضافة إلى مراعاة أي نوع من الانحراف أو أي أنواع أخرى من التبعيات التي تقدمها في السيناريو الخاص بك والتي يمكن أن تخلق ثغرات أمنية جديدة،" قالت.
النية مقابل الاحتمال
أدى سؤال الجمهور حول الكشف عن النوايا إلى إثارة التبادل الأكثر حدة في الجلسة. وأشار سيلان إلى أنه عندما يعمل وكيل Box الخاص، يعرف النظام دائمًا نية المستخدم لأنه يتحكم في الموجه، مما يعني أنه يمكن تصميم حواجز الحماية وقيود استدعاء الأدوات حوله. التحدي الأصعب، والذي اعترفت بأن Box لا يزال يحاول حله، يأتي عندما يتصل وكلاء خارجيون ويكون السياق وراء الطلب غامضًا.
كشف هذا التبادل عن انقسام يمر عبر الصناعة الأوسع. في الدردشة الجانبية التي سبقت الجلسة مباشرة، انحازت شركة Mastercard إلى جانب قياس النوايا، فقامت ببناء إطار عمل مفتوح المصدر لنشره كمعيار لأن عمليات الشراء المعقدة بين الشركات لا يمكن أن تعمل بدون هذه الثقة. لقد ذهب كبار مسؤولي التكنولوجيا لأمن نقاط النهاية، في جلسات إحاطة مع VentureBeat، في الاتجاه الآخر، قائلين إنهم سيراهنون على الاحتمالية بدلاً من استنتاج النوايا لأعباء عمل الإنتاج. وأوضح تشانغ لماذا لا تستطيع النماذج، كما يتم تدريبها اليوم، استخلاص النية بشكل موثوق من الموجه، ولهذا السبب تظل الضوابط الحتمية والوكلاء السلوكيين ضرورية. ووافق سيلان على أن كلاهما مطلوب. "إذا كنت لا تفعل أي شيء حتمي، فأنت حقًا تعتمد بشكل كبير على تلك النية، ولم أر برامج موجودة بعد،" قالت.
أصبحت قصة جيلان حول انهيار الثقة بعد خطأ وكيل واحد من أكثر اللحظات التي لا تنسى في اللجنة لأن أمان وكيل المؤسسة ليس مشكلة يتم حلها ويظل محلولاً. تتغير النماذج، وتنحرف الأذونات، ويتكيف الخصوم عبر المحادثات متعددة المنعطفات التي لا تلتقطها اختبارات اللقطة أبدًا.
بالنسبة لـ 82% من المؤسسات التي تعتمد على عناصر التحكم الأصلية الخاصة بموفر الخدمة كطبقة أمان أساسية لديها، و59% من المؤسسات التي تتسوق للحصول على أدوات أمان الوكيل على مدار الـ 12 شهرًا القادمة، كانت استنتاجات اللجنة صريحة. اختبر الطريقة التي يهاجم بها المهاجمون، عبر المحادثات الكاملة وبشكل مستمر، أو اكتشف في الإنتاج ما فاته فريقك الأحمر المنعطف الواحد.
