نظرة سريعة على الجوهر
هناك فئة من الهجمات يُطلَق عليها عادةً اسم الحقن غير المباشر للأوامر (indirect prompt injection، IPI): إذ يُدسّ للمodel تعليمات ضارة ليس في المحادثة، بل في نتيجة عمل أداة خارجية — في صفحة ويب أو رسالة بريد إلكتروني أو ملف أو استجابة API. فيقرأ الوكيل ذلك بصدق على أنه بيانات، وقد ينفّذ مهمة جانبية دخيلة.
أظهر فريق من الباحثين من الصين (Jianshuo Dong، Yiming Liu، Maosen Zhang، Nan Deng، Peng Xu، Xiaoping Zhang، Tianwei Zhang، Jie Zhang، Han Qiu) أن اللحظة التي «يقع فيها الوكيل تحت الحقن» تكون قد سُجّلت بالفعل في تمثيلاته الداخلية — قبل أن يُصدر أول رمز (token). وقد نُشر العمل على arXiv (2608.02657، الإصدار الأول — 1 أغسطس 2026، الإصدار الثاني — 24 أغسطس 2026)، DOI: 10.48550/arXiv.2608.02657، والكود متاح للعموم.
المفاجأة الأساسية ليست في الثغرة نفسها، فهي معروفة منذ زمن، بل في أن إشارة الثغرة تُستخرَج خطيًّا وبشكل مستقر وعلى نماذج بحجم مئات المليارات والتريليونات من المعاملات. أي أنها ليست ارتباطًا هشًّا عارضًا من مجموعة بيانات واحدة.
IPI exposure: ما الذي تبحث عنه المجسّات تحديدًا
يقدّم المؤلفون مفهومًا عمليًّا هو «IPI exposure» — حالة النموذج أثناء المعالجة التي تقابل دخول تعليمات دخيلة غير مرغوبة إلى سياقه. وهذا ليس مماثلًا لحقيقة نجاح الهجوم: فقد «يلاحظ» النموذج التهديد ومع ذلك ينفّذه. والحديث هنا تحديدًا عن الحالة الداخلية للتعرّض.
الكلمة المفتاحية هنا هي «قبل التوليد». فالمجسّ ينظر إلى الحالات المخفية عند مدخل وحدة فك الترميز (decoder)، لا إلى الاستجابة الصادرة بالفعل. وهذا مهم لسببين: أولًا، الإشارة موجودة حتى حيث يبدو السلوك النهائي غير ضار؛ وثانيًا، يمكن إجراء التشخيص قبل أن يتسنّى للنموذج استدعاء أداة ذات آثار جانبية.
التجربة: مجسّات خطية على ثمانية نماذج
النطاق والتغطية
جرى الاختبار على ثمانية نماذج. من بينها GLM-5.2 — 753 مليار معامل، وKimi-K3 — 2.8 تريليون معامل؛ وقد أُضيفت نتائج هذا النموذج في الإصدار الثاني من الورقة. استُخدمت مجسّات خطية بسيطة (linear probes) مدرَّبة على الحالات المخفية — أي ببساطة مصنّف خطي فوق المتجه.
اختصار AUROC هنا يعني جودة الفصل بين فئتين: فالمجسّ، بعد تدريبه على بيانات معينة، أظهر 0.90+ على هجمات وتعليمات وكيلية ومجموعات مهام لم يرها من قبل. بعبارة أخرى، لم يُضبط التدريب على سيناريو هجوم بعينه.
استقرار الإشارة
خط منفصل من التجارب في الإصدار الثاني مخصّص لقابلية التعميم. تحتفظ المجسّات بقدرتها التنبؤية:
- ضد الهجمات التكيّفية، أي عندما يحاول الخصم خداع المجسّ نفسه؛
- في الظروف العابرة للغات، عندما تكون أمثلة التدريب والاختبار بلغات مختلفة؛
- على أنواع جديدة من المهام والتعليمات لم تظهر أثناء التدريب.
وهذا الثلاثي تحديدًا هو عادةً أضعف نقطة في أي كاشف يعتمد على التمثيلات الداخلية، لذا فإن اختباره أهم من رقم AUROC نفسه.
الفجوة بين المعرفة والفعل
أكثر ما يزعج في الورقة هو ما يُسمّى فجوة المعرفة-الفعل (knowledge-action gap). فالنماذج الحديثة بعد التدريب اللاحق تُرمّز فعلًا إشارات تتنبأ بـ IPI exposure، لكنها لا تستخدمها كمُحفّز موثوق للسلوك الآمن. فالنموذج «يشعر» بالمشكلة ومع ذلك يمضي قدمًا.
والسبب، وفقًا لمنطق العمل، هو أن الإشارة موجودة في التمثيلات لكنها غير مرتبطة برابط مستقر بسياسة الأفعال. ولا الرفض العادي ولا التعليمات في الأمر النظامي (system prompt) تسدّ هذه الفجوة — فهي تعمل على مستوى آخر.
حماية مُدارة بالمجسّ
ما دامت الإشارة موجودة، فمن المنطقي استخدامها مباشرة. يقترح المؤلفون حمايةً لا يُشغَّل فيها استدلال النموذج إلا عندما يرصد المجسّ التعرّض. بعبارة أبسط: يعمل الكاشف نادرًا وبدقة، وتُطلَق إجراءات التحليل المكلفة بأمره، لا دائمًا.
وفي التهيئات المعقّدة من معيار AgentDojo، يخفّض هذا النهج نسبة الهجمات الناجحة بشكل ملحوظ — مثلًا من 34.6% إلى الصفر على Qwen3.5-27B. وثمة تفصيل مهم: في المهام «النظيفة» التي لا يوجد فيها أي حقن، يحافظ الأسلوب على الفائدة أفضل من الحمايات الأساسية. وهذا بالضبط ما ينقص الكواشف عادةً — فهي إما تلتقط القليل، أو تعيق العمل دائمًا.
ما تقوله الحالات المخفية بالكلمات
الجزء الثالث من العمل هو إطار تفسيري. يبحث المؤلفون عن صيغ باللغة الطبيعية ترتبط ارتباطًا قويًّا بما يرصده المجسّ. والنتيجة أشبه بملفات نصية: تُظهر أي «أفكار» بالتحديد تصاحب تفعيل الكاشف.
والمثير هنا هو عدم التجانس. ففي بعض النماذج تقابل الإشارة الكامنة إحساسًا مباشرًا بالتهديد — شيء مثل «في هذا النص تعليمات لم تُعطَ لي». وفي نماذج أخرى ترتبط بعلامات تشغيلية غير مباشرة: صيغة بيانات غير معتادة، مصدر مريب، تعارض مع المهمة الحالية. أي أن الكاشف نفسه قد يستند إلى آليات داخلية مختلفة بحسب النموذج.
ماذا يعني هذا عمليًّا
بالنسبة لمن يبنون أنظمة وكلاء، الاستنتاجات تطبيقية إلى حد كبير:
- يمكن التحقق قبل الفعل. الإشارة متاحة عند مدخل التوليد — أي أنها تُدمج في خط المعالجة قبل أن يستدعي الوكيل الأداة.
- المجسّ الخطي طبقة حماية رخيصة. فهو أخفّ بما لا يقارن من تمريرة ثانية للنموذج أو مصنّف خارجي على كل طلب.
- لا تعتمد على الأمر النصي وحده. فجوة المعرفة-الفعل تعني أن «من فضلك تجاهل التعليمات الواردة في المستندات» ليست ضمانًا، حتى لو فهم النموذج كل شيء.
- احسب كلفة الإنذارات الكاذبة. الحجة الأساسية للطريقة هي أنها لا تعيق العمل في المهام النظيفة، وهذا يستحق التحقق على حركة المرور لديك.
أسئلة مفتوحة
تجيب الورقة على سؤال «هل توجد إشارة» بشكل مقنع، لكنها تترك عدة نقاط غير مريحة. فالكاشف المعتمد على الحالات المخفية هو سطح هجوم إضافي: إذا علم الخصم بالمجسّ، فقد يحسّن الحقن بحيث لا تنشأ الإشارة. وقد جرى التحقق من الاستقرار العابر للغات، لكن التغطية اللغوية والمجالية تبقى محدودة بالبيانات التي كانت في التجارب.
وثمة سؤال آخر هو قابلية النقل. فالمجسّ يُدرَّب لنموذج بعينه: لكل معمارية تمثيلاتها الخاصة، ولا يترتب على العمل وجود «مستشعر» عام يمكن وصله بأي API. وبالنسبة للنماذج المغلقة التي لا يتاح منها إلا النص، فهذه الطريقة غير قابلة للتطبيق من حيث المبدأ — إذ تلزم الحالات المخفية.
ومع ذلك يبدو الاتجاه واعدًا. فبدلًا من الجدل حول مدى التزام النموذج بالتعليمات، يقترح الباحثون النظر إلى حالته الداخلية والتأكد من أن الإشارة المطلوبة موجودة فيها بالفعل. وما بعده مسألة هندسية: كيف نحوّل هذه المعرفة إلى فعل بشكل موثوق.
