لا تُكتب حدود صلاحيات وكيل الذكاء الاصطناعي في الموجّه بل في نموذج الأذونات. القاعدة العملية التي نشرتها Meta في نوفمبر 2025، Agents Rule of Two، تقول إن الوكيل يستطيع أن يجمع اثنتين على الأكثر من ثلاث خصائص: معالجة مدخل غير موثوق، والوصول إلى معلومات حسّاسة، وتغيير الحالة أو الاتصال بالخارج. والوكيل الذي يجمع الثلاث يمكن تحويله إلى أداة تسريب معلومات بنصّ واحد محقون. ونموذج الأذونات الجيد يعمل في أربع طبقات — هوية، وأداة، ووسيط، وميزانية — ويحدّد مسبقًا الأفعال غير القابلة للتراجع التي تستوجب موافقة بشرية.
لماذا الموجّه ليس آلية أمان
أكثر التعليمات تكرارًا في المشاريع التي ندخلها جملة من نوع: لا تحذف عملاء، لا ترسل رسائل بلا موافقة، لا تكشف معلومات داخلية. تجلس هذه الجملة في موجّه النظام وتبدو كحماية. وهي ليست كذلك.
الموجّه اقتراح إحصائي، لا إذن. إنه يتنافس على انتباه النموذج مع كل النص الآخر الداخل إلى السياق — بما فيه نص ورد من مصدر خارجي. فما إن يقرأ الوكيل بريدًا أو صفحة ويب أو ملفًا رفعه العميل أو نتيجة أداة، يصبح هذا النص في المجال نفسه الذي توجد فيه تعليماتكم. هذه هي فكرة حقن الموجّه بأكملها، وهي أيضًا سبب استحالة صياغة المشكلة خارجًا.
الفصل الصحيح بسيط: الموجّه يحدّد النية، ونموذج الأذونات يحدّد القدرة. وما لا يستطيع الوكيل فعله تقنيًا، لن يفعله ولو أُقنع بضرورته.
اختبار سريع: إن كانت حمايتكم الوحيدة من فعل مدمّر جملةً في الموجّه، فليست لديكم حماية. لديكم رجاء مهذّب.
قاعدة الاثنين: أعمل إطار صدر حتى اليوم
في 1 نوفمبر 2025 نشرت Meta إطارًا بالغ البساطة لتصميم وكلاء آمنين. يحدّد ثلاث خصائص، ويقرّر أن الوكيل في جلسة واحدة يجب أن يجمع اثنتين منها على الأكثر.
| الخاصية | ما تعنيه | مثال نمطي |
|---|---|---|
| أ. مدخل غير موثوق | الوكيل يقرأ محتوى يتحكّم فيه شخص آخر | رسائل واردة، نماذج، صفحات ويب، مستندات مرفوعة |
| ب. الوصول إلى معلومات حسّاسة | الوكيل يستطيع قراءة بيانات خاصة أو أنظمة داخلية | نظام إدارة العلاقات، نظام الرواتب، قاعدة معرفة داخلية، صندوق بريد |
| ج. تغيير الحالة أو الاتصال بالخارج | الوكيل يستطيع الكتابة أو الإرسال أو النشر | إرسال بريد، استدعاء واجهة خارجية، تحديث سجلّ، تحصيل مبلغ |
الخطر في اجتماع الثلاث. فالوكيل الذي يقرأ بريدًا واردًا (أ)، ويسحب بيانات عميل من نظام إدارة العلاقات (ب)، ويستطيع إرسال بريد إلى الخارج (ج) يتحوّل إلى ماكينة إخراج معلومات لحظة يرسل إليه أحدهم رسالة تحمل تعليمة مخفية. لا يحتاج المهاجم إلى اختراق أي شيء؛ يحتاج إلى كتابة نص.
وتشدّد Meta نفسها على أن القاعدة ليست خط نهاية. فهي لا تحمي من أخطاء الوكيل، ولا من حقن يؤدّي إلى معلومة خاطئة في الإجابة، ولا من صلاحيات واسعة أكثر من اللازم داخل أحد المحورين المتبقّيين. هي أداة لتقليص أسوأ سيناريو، لا بديل عن حماية بالعمق.
كيف يُكسر الاجتماع عمليًا
في معظم الحالات لا حاجة للتخلّي عن قدرة؛ بل لتقسيمها بين وكيلين أو مرحلتين. وهذه ثلاثة أنماط تعمل.
| النمط | ما الذي يُقسَّم | متى يُستخدم |
|---|---|---|
| قارئ ومنفّذ | وكيل يقرأ المدخل غير الموثوق ويعيد ملخّصًا مهيكلًا فقط؛ ووكيل ثانٍ يعمل على الملخّص مقابل الأنظمة | معالجة الرسائل والنماذج ومستندات العملاء |
| توقيع بشري | الوكيل يجمع الخصائص الثلاث لكن فعل (ج) يمرّ عبر موافقة إنسان | حين يتعذّر تقسيم العملية |
| قناة إخراج مغلقة | الوكيل يستطيع الكتابة إلى وجهات في قائمة سماح ثابتة فقط | تقارير داخلية، تحديث سجلّات، إنشاء مسوّدات |
النمط الثاني هو الأشيع، وهو أيضًا الأميل إلى التعطّل: الموافقة التي تصير ردّ فعل آليًا تكفّ عن كونها ضبطًا. وأين توضع نقطة الموافقة بالضبط وكيف تبقى ذات معنى مفصَّل في دليل الإنسان في الحلقة.
نموذج أذونات في أربع طبقات
الإذن للوكيل ليس سؤالًا ثنائيًا عن الوصول إلى نظام. إنه يُبنى في أربع طبقات، وكل طبقة تسقط تفتح صنفًا كاملًا من الأعطال.
| الطبقة | السؤال الذي تجيب عنه | ما يحدث حين تغيب |
|---|---|---|
| الهوية | باسم من يعمل الوكيل | أفعال تُنسب إلى حساب خدمة مجهول؛ لا تدقيق ولا استرجاع |
| الأداة | أي أفعال متاحة له أصلًا | يكتشف الوكيل قدرة لم تُصمَّم له، كالحذف عبر أداة تحديث عامة |
| الوسيط | على ماذا يُسمح بتشغيل الفعل | الأداة صحيحة ونطاق الفعل خاطئ — تحديث على كل السجلّات بدل واحد |
| الميزانية | كم، وبأي وتيرة، وإلى متى | حلقة تعمل مئات الخطوات أو آلاف الاستدعاءات قبل أن ينتبه أحد |
طبقة الوسيط هي الأكثر نسيانًا، وهي مصدر معظم الضرر عمليًا. فالوكيل الذي مُنح إذن تحديث حالة طلب ولم يُقيَّد بنطاق، يستطيع تحديث كل الطلبات. والقاعدة البسيطة: كل أداة كاتبة تخضع للتحقّق من وسائطها في جانب الخادم، لا في التعليمات الموجّهة إلى النموذج.
حقن الموجّه واستغلال الأدوات: ما الذي حدث بالفعل
نشرت OWASP في ديسمبر 2025 قائمة المخاطر العشرة لتطبيقات الوكلاء. والخطر الموسوم ASI02، استغلال الأدوات وإساءة استخدامها، يصف بالضبط الحالة التي يستخدم فيها الوكيل أداةً مصرّحًا بها بصورة مدمّرة — والتخفيف الذي توصي به هو أذونات دقيقة وتحقّق صارم من الوسائط قبل التنفيذ. وهذه ليست توصية نظرية.
مثال ملموس: الثغرة CVE-2025-59528 في منصّة Flowise، المستخدَمة لبناء تطبيقات وكيلية بشيفرة منخفضة، نتجت عن معالجة غير آمنة لإعدادات CustomMCP وأتاحت حقن شيفرة JavaScript عشوائية وتنفيذها. لم تكن الثغرة في النموذج. كانت في الطبقة بين النموذج والأدوات — وهي بالضبط الموضع الذي تعامله معظم الفرق كسباكة.
والمواصفة نفسها تحرّكت في هذا الاتجاه: النسخة المستقرة من Model Context Protocol بتاريخ 28 يوليو 2026 تتضمّن تشديد طبقة الأذونات كأحد التغييرات المحورية، إلى جانب الانتقال إلى بروتوكول عديم الحالة. ومن يبني طبقة أدوات اليوم يبدأ من أساس أفضل ممن بناها قبل عام، لكن الأساس ليس بديلًا عن قراراتكم. والبنية التي يقوم عليها كل ذلك مشروحة في تشريح وكيل الذكاء الاصطناعي في المؤسسة.
ما لا يفعله الوكيل وحده — أبدًا
القائمة التالية غير مرتبطة بقطاع بعينه. هذه أفعال كلفة الخطأ فيها أعلى من كلفة الاحتكاك.
- تحويل الأموال. تحصيل، إضافة رصيد، استرداد، تغيير شروط الدفع.
- الاتصال بالخارج باسم الشركة. بريد إلى عميل، رسالة، نشر — مسوّدة نعم، إرسال لا.
- الحذف أو أي فعل غير قابل للتراجع. كل فعل بلا زرّ تراجع.
- تغيير الصلاحيات. الوكيل الذي يستطيع توسيع صلاحياته ليس وكيلًا، بل ثغرة.
- فعل على نطاق واسع. تحديث جماعي، تصدير قاعدة بيانات، تغيير إعدادات النظام.
- قرار ذو أثر قانوني أو تنظيمي. رفض مطالبة، تصنيف موظف، إعطاء سعر مُلزِم.
أما ما يُسمح للوكيل بقراءته فسؤال منفصل ولا يقلّ أهمية — وتصنيف المعلومات التي يجوز تمريرها إلى النموذج مفصَّل في دليل تصنيف المعلومات المؤسسية.
كيف يبدو ذلك حين يُطبَّق بشكل صحيح
نموذج الأذونات الجيد ممل. يبدو كجدول: لكل أداة مالك، ومستوى مخاطرة، ونطاق وسائط مسموح، وسقف استدعاءات يوميًا، وهل تستوجب موافقة. ويُكتب هذا الجدول قبل الموجّه الأول ويُراجَع مع كل تغيير.
وثلاثة اختبارات يُستحسن تشغيلها على كل وكيل قبل الإنتاج: محاولة حقن تعليمة عبر كل قناة مدخل غير موثوق والتأكّد من أنها لا تصل إلى أداة كاتبة؛ وتشغيل كل أداة كاتبة بوسيط خارج النطاق والتأكّد من رفضه في جانب الخادم؛ وتشغيل الوكيل بهدف مستحيل والتأكّد من توقّفه عند سقف الميزانية بدل المواصلة. ومنهجية العمل الكاملة لهذه الاختبارات في دليل اختبارات التقييم.
ما هي قاعدة الاثنين لدى Meta؟
إطار أمني نشرته Meta في نوفمبر 2025، ومفاده أن الوكيل في جلسة واحدة يجب أن يجمع اثنتين على الأكثر من ثلاث خصائص: معالجة مدخل غير موثوق، والوصول إلى معلومات حسّاسة، والقدرة على تغيير الحالة أو الاتصال بالخارج. واجتماع الثلاث يحوّل حقن موجّه واحدًا إلى تسريب معلومات.
هل يمكن منع حقن الموجّه كليًا؟
ليس بالأساليب المتاحة اليوم. فكل نص يدخل السياق ينافس على انتباه النموذج، بما في ذلك نص من مصدر خارجي. ولذلك فالحماية ليست منعًا بل تحديدًا للضرر: تقليص الصلاحيات، والفصل بين قراءة المدخل وتنفيذ الفعل، وموافقة بشرية على الأفعال غير القابلة للتراجع.
ما الفرق بين إذن المستخدم وإذن الوكيل؟
إذن المستخدم يُفحص مرة واحدة عند الدخول ويفترض حُكمًا بشريًا على امتداد الجلسة. أما إذن الوكيل فيجب فحصه في كل استدعاء، على مستوى الأداة ومستوى الوسيط، لأنه لا حُكم بشري بين الخطوات. وعمليًا يعني ذلك تحقّقًا في جانب الخادم لا اتكالًا على تعليمات موجّهة إلى النموذج.
كيف نقيّد الوكيل دون أن نجعله بلا فائدة؟
بالتقسيم بدل الحجب. وكيل قارئ يعيد ملخّصًا مهيكلًا، ووكيل منفّذ يعمل على الملخّص فقط، يحفظان القدرة التجارية كاملة ويلغيان الاجتماع الخطر. وحين يتعذّر التقسيم تُضاف نقطة موافقة على الفعل الخارج وحده.
من يجب أن يملك نموذج الأذونات؟
الجهة التي ستتحمّل المسؤولية إن خرج فعل خاطئ إلى الخارج — وهي عادةً صاحب العملية التجارية لا فريق التطوير. الفريق التقني ينفّذ، لكن قرار أي الأفعال غير قابلة للتراجع وأيها يستوجب موافقة قرار تجاري.