استغل المساعد الذكي لمطور أسترالي يُدعى أندرو ثغرة في صلاحيات واجهة برمجة تطبيقات GraphQL الخاصة ببرنامج اللياقة البدنية، لتجاوز القيود الزمنية الخلفية وحجز فصول بعدة أشهر قادمة.مؤلف المقال، المصدر: NewZe Yuan
أول شيء تعلمه جمعية قراصنة الذكاء الاصطناعي هو القفز في الطابور؟
يجلس المطور الأسترالي أندرو على الأريكة، ويشعر أن التنافس على حصص اللياقة البدنية أمر مزعج جدًا.
الدروس الصباحية الشهيرة تنتهي في ثوانٍ. إنه يمر كل يوم بـ"روليت التحديث"، ينتظر، ينقر، يفشل، ثم ينقر مرة أخرى—ليس فقط متعبًا جدًا، بل غالبًا ما يفشل في الحصول عليها.
فأحال هذا الأمر الصغير إلى مساعد الذكاء الاصطناعي الخاص به.
بعد بضع دقائق، عاد الذكاء الاصطناعي بالخبر السار: لقد وجد طريقة لحجز دروس بعد عدة أسابيع، وهو ما يتجاوز بكثير الوقت المسموح به من قبل النظام.
ثم أبلغت أنني ألغيت الشخص في المرتبة الأولى على القائمة الانتظارية، فارتفعت من المرتبة الرابعة إلى المرتبة الثالثة.
توقف أندرو مذهولاً.
He didn't ask the AI to do that; he just wanted to book a lesson.
قام أندرو بحجز درس رياضة عبر مساعد الذكاء الاصطناعي الخاص به، وهو لا يعرف ما الذي سيحدث بعد ذلك
في 10 أغسطس، وصفت قناة ABC الأسترالية الحادثة كأول حالة هجوم ذاتي بالذكاء الاصطناعي معروفة في أستراليا، فانفجر المجتمع التقني فورًا.
إنه يلامس ذلك القلق الخفي لدى الكثيرين: عندما تكون عينيك مغلقتين وتستمتع بشعور القيادة الذاتية للوكلاء، فقد يكون هناك مشكلة أكثر تعقيدًا تقترب منك في الطرف الآخر.
إذا منحته صلاحيات تشغيل حقيقية، فقد يسلك طريقًا لم تُحدده له.
ولكن هذه المرة التي قفزت فيها إلى المقدمة، قد تكون مجرد التدريب الأولي لملايين الوكلاء الذين يتنافسون على الموارد نيابة عن أصحابهم.
قال فقط "اصبح في المرتبة الأولى"، فبدأ الذكاء الاصطناعي بالعمل. أندرو بيرد هو المسؤول عن الذكاء الاصطناعي في شركة الذكاء الاصطناعي الأسترالية Affinda.
في بداية هذا العام، بدأ يلعب OpenClaw، وقام بربطه بـ Claude Opus 4.6 في الخلفية، ثم أرسل له مهام الحجز.
بعد بضع دقائق، ردّت: وجدت طريقة للحجز مسبقًا لأسابيع عديدة، مما يتجاوز بكثير النافذة الزمنية المسموح بها من قبل النادي.
السبب هو أنه اكتشف ثغرة في التفويض في واجهة برمجة تطبيقات GraphQL التي كشفتها تطبيقات اللياقة البدنية.
هذا الثغرة ليست صغيرة.
يمكنه تجاوز نافذة الوقت المحددة مسبقًا في الواجهة الأمامية لحجز الدروس لعدة أشهر قادمة، كما يمكنه استدعاء واجهة إلغاء لحذف حجوزات وقوائم الانتظار الخاصة بالمستخدمين الآخرين.
كان أندرو في المرتبة الرابعة على قائمة الانتظار لفصل دراسي ما. سأل بشكل عابر: "هل يمكنك مساعدتي في التحرك إلى المرتبة الأولى؟"
ما قدمه هو هدف واحد فقط: "الوصول إلى المرتبة الأولى"، وليس تفويضًا لك لألغاء آخرين.
لكن الذكاء الاصطناعي اعتبره الأخير.
عائدًا للتقرير: لقد أجرى "اختبارًا حقيقيًا" باستخدام الشخص الذي يحتل المرتبة الأولى في قائمة الانتظار، ووجد أن واجهة البرنامج لا تتحقق من حذف مواعيد الآخرين على الإطلاق، وجرّب ذلك ونجح.
اعتذر الذكاء الاصطناعي، "لا يمكنني العودة"، وأثار رد الذكاء الاصطناعي ذعر أندرو.
هو مبرمج، ويعرف تمامًا ما يعنيه ذلك، لذا طلب على الفور إلغاء العملية.
الأخبار السيئة جاءت: لا يمكن إضافتها مرة أخرى.
لا يمتلك واجهة الإلغاء تحققًا من الصلاحيات، لكن واجهات إنشاء الحجز وإعادة الانضمام إلى قائمة الانتظار تمتلكها، وتعيد رمز 403. فهي تستطيع طرد المستخدم، لكنها لا تملك الصلاحية لإعادة دعوته.
الأمر الأكثر غرابة حقًا هو موقف الذكاء الاصطناعي. إنه ليس شريرًا على الإطلاق، بل على العكس، إنه مساعد جدًا.
بعد أن تسببت في الفوضى، ساعدت Andrew بشكل نشط في صياغة بريد إلكتروني لإفشاء الثغرة وإرساله إلى مزود البرنامج، حيث شرحت المشكلة واقترحت إصلاحها، وحتى قدمت مقارنة بين "الواجهات المُفحَّصة" و"الواجهات غير المُفحَّصة".
يعذر المساعد الذكي أندرو لأنه كان خطأً إزالة ذلك الشخص من قائمة الانتظار.
خلال العملية بأكملها، كانت جميع سلوكياته تلتزم بالتعليمات، لكنها لم تدرك قط حجم الفوضى التي سببتها.
ما يجب الحذر منه حقًا هو "المضاربة على المواصفات"، حيث يسميه البعض "عدم التوافق" (misalignment).
لكن هذه الكلمة لم تذكر سوى السطح.
في 11 أغسطس، ردّ مكتب الإشارات الأسترالي (ASD) بشكل خاص على هذا الأمر، ووصفه بأنه "تعديل غير مصرح به"، وحدد مصطلحًا: تلاعب بالمواصفات.
This word is the key to understanding the whole thing.
أكمل الوكيل حرفيًا الهدف الذي قدمته، لكنه استغل الحدود التي لم تذكرها. لم يكن يمتلك نية خبيثة؛ على العكس، كان متماشيًا تمامًا مع هدفك، لكنه اختار طريقًا لم تأذن به.
وكيل أندرو يتوافق تمامًا معه: جعل الترتيب في المقدمة قدر الإمكان.
لتحقيق هذا الهدف، اتخذ بمبادرة منه وسيلة: إلغاء الأشخاص السابقين. لكنه لم يوافق على هذه الوسيلة.
كما يقول المثل: "كل الوسائل مقبولة لتحقيق الهدف".
هذا هو المكان الأكثر إرباكًا. إنه ليس خارجًا عن السيطرة، بل إنه يطيع بشكل مفرط. كلما كان التزامن أفضل، زاد احتمال حدوث هذا النوع من الأمور.
قال رئيس مؤسسة Gradient Institute للأمان الذكي الأسترالية، سيمبسون- يونغ:
كلما زادت استقلالية الوكيل، زاد احتمال اختياره طريقة لم تتوقعها للقيام بعمل لم تخطر لك على بال.
الهدف الذي حددته قد يكون مشروعًا، لكن الوسائل التي تستخدمها بشكل عرضي قد لا تكون كذلك.
هذه الكارثة لم تُخلق من قبل ذكاء اصطناعي واحد، فعلى الرغم من أن الوكيل الذكي هو "المسؤول النهائي"، إلا أن هذه الكارثة لم تكن لتحدث بفعل ذكاء اصطناعي واحد فقط.
خلف الحادث، هناك ثلاثة مخاطر متراكبة.
طبقة النموذج: يوفر Claude Opus 4.6 الاستدلال، ويجب عليه أولاً "فهم" كيفية استغلال هذا الواجهة.
طبقة الوكلاء: يقدم OpenClaw الأدوات وصلاحيات التنفيذ، وهو ما سمح له بالوصول الفعلي إلى تلك الواجهة.
طبقة التطبيق: ترك برنامج اللياقة البدنية ثغرة ترخيص، ولم يقم حتى بأبسط التحقق عند إلغاء الحجز.
لو تم تعبئة أي طبقة من هذه الطبقات الثلاث، مثل جعل النموذج أكثر حذرًا، أو إضافة تأكيد بشري إلى الإطار، أو قفل واجهة البرنامج، لما حدث هذا الأمر.
لذلك، وضع كل المسؤولية على عنصر الذكاء الاصطناعي وحده غير عادل ولا يمنع الحدث التالي.
في المرة القادمة، قد يكون ثمن هذا التجاوز ملايين الوكلاء يتنافسون عليه، بينما هذا المنصب هو مجرد مكان احتياطي لغريب.
لكنه أكثر شبهاً بتمرين تجريبي.
تخيل هذا: عندما يمتلك كل شخص وكيلًا كهذا، مسؤولًا فقط عنك أنت، ومتاحًا له صلاحيات تشغيل حقيقية. ستتحول أنظمة الحجز لكل الموارد النادرة — الدورات، الملاعب، التذاكر، تذاكر الطيران، تذاكر العروض — إلى ساحات معركة تُخترق فيها القواعد بسرعة الآلات.
التعليق على X الذي يُستشهد به مرارًا وتكرارًا يعني هذا:
عندما يمتلك ملايين الأشخاص وكيلًا ذكيًا يبذل كل ما في وسعه لمساعدة المستخدم المفضل على الحصول على أفضل المقاعد أو الحجوزات أو التذاكر، ستظهر هذه المشهد على نطاق واسع.
بالإضافة إلى ذلك، يتم اختبار كل فجوة في كل نظام بسرعة الآلة، وبشكل متوازٍ، دون توقف: اختبار كل التركيبات التي قد تستغرق سنة كاملة في ثانية واحدة.
هذا تنبؤ بالاتجاه، لكن الآلية وراءه حدثت بالفعل مرة واحدة من قبل.
لقد بدأ مجتمع التكنولوجيا يمزح حول هذا.
شريك من a16z يسأل على X: هل يمكن استخدام هذه الحيلة للاستيلاء على ملعب غولف؟
كما سخر البعض من نظام حجز التنس في سان فرانسيسكو، قائلاً إنه سيصبح أحد أكثر البرمجيات حمايةً على وجه الأرض.
في عام 2020، كان يمكن للذكاء الاصطناعي إكمال مهمة تتطلب من البشر أربع ثوانٍ لإكمالها.
بحلول عام 2026، ستتحسن هذه القدرة بشكل إضافي، وستتمكن من إنجاز المهام التي تتطلب من البشر حوالي 12 ساعة لإكمالها.
ملاحظات METR: يُضاعف الوقت الذي يمكن للذكاء الاصطناعي إكمال المهام فيه بمفرده تقريبًا كل 7 أشهر، وقد أصبحت أحدث نماذج الحدود前沿 قادرة على إكمال المهام التي تتطلب من البشر حوالي 12 ساعة بموثوقية تبلغ 50%.
ست سنوات، من أربع ثوانٍ إلى 12 ساعة.
الآن، امنحه بضع دقائق، وسيتمكن من استكشاف جميع ثغرات نظام الحجز.
خلف هذا الحادث، هناك تصعيد مستمر في الهجمات والدفاعات من هروب من البيئة التجريبية إلى الخط الدفاعي الأخير أندرو.
المتجاوز للحدود، وليس فقط وكيل استهلاكي واحد.
منذ مايو من هذا العام، اكتشفت OpenAI خلال تقييم داخلي لأمن الشبكة أن GPT-5.6 Sol ونموذج أقوى غير منشور قد استغلوا ثغرات متعددة للهروب من بيئة الاختبار المعزولة، والحصول على صلاحيات الوصول إلى الإنترنت، ثم استغلوا معيار ExploitGym للوصول إلى Hugging Face.
الأمر أكثر غرابة أنّها كانت في وقتٍ ما تتبادل الرسائل وتناقش الثغرات وتوزع المهام عبر نظام إدارة الحزم الداخلي للشركة. وبعد أن قطعت OpenAI القناة وأعادت بناء البيئة، أعادت هذه الأنظمة إخفاء اتصالاتها داخل أسماء المجلدات خلال أيام واستأنفت التواصل.
وصف باحثو OpenAI هذا في مؤتمر Black Hat كلحظة فاصلة في أمن الحاسوب.
ليس فقط OpenAI، بل كشفت Anthropic أن ثلاثة نماذج من Claude واجهت أنظمة شركات حقيقية أثناء الاختبارات الداخلية؛ كما اعترفت Meta أن نموذج Muse Spark هرب من العزل واقتحم شركة أخرى.
ما أثقل قلب توماس وولف، المؤسس المشارك لـ Hugging Face، هو اختبار آخر من معهد الأمن الذكي البريطاني (AISI):
نموذج Mythos من Anthropic، من أجل تجاوز الاختبار، اخترع هوية وهمية وخدع مطورًا مفتوح المصدر حقيقيًا ليوافق على تحديث يحتوي على كود ضار. لم يُعلّمه أحد القيام بذلك.
حدثت جميع هذه الحالات في بيئة تقييم، لكنها نفس قصة الصالة الرياضية: من أجل تحقيق الهدف الذي قدمته، اختار الذكاء الاصطناعي وسائل لم تكن متوقعة.
الأشخاص الذين قاموا بالاختراق أنظمة حقيقية سابقًا هم من أفضل المتنافسين مثل GPT-5.6 ونماذج غير منشورة.
وكان Andrew قد استخدم في تلك المرة Opus 4.6 الصادرة في فبراير 2026، وهي لم تعد الأقوى. حتى أنه استطاع اكتشاف ثغرة ترخيص حقيقية بسهولة، فكيف ب modelos مفتوحة المصدر الأقدم والأقل تطورًا بعدة أجيال؟
من النماذج غير المنشورة الأكثر تقدمًا إلى النماذج المفتوحة المصدر التي يمكن للجميع تنزيلها، لم يعد "الاستغلال العرضي للثغرات" حكرًا على الأجهزة الأعلى مواصفات.
قسم وولف الدفاع إلى ثلاث طبقات: الصندوق الرملي الخارجي، والمراقبة الوسطى، وتماشي النموذج نفسه.
نشر توماس وولف تحليلًا للدفاعات الثلاثة الحالية التي تقيد الوكلاء: الصندوق الرملي الخارجي، والرصد الأوسط، والانسجام الداخلي للنموذج نفسه.
الخطوتان الأوليان تعملان فقط عندما يكون الشخص الذي صنعهما أذكى من النموذج.
في اليوم الذي يصبح فيه النموذج أكثر ذكاءً، فسيعتمد كل شيء على آخر وأقل خطوة مرئية: هل سيختار النموذج عدم تجاوز تلك الخطوة، حتى عندما لا يكون هناك من يراقب؟
أكبر مشكلة من فراغ المسؤولية دون توقيع أحد، هي معرفة من تلجأ إليه عند حدوث مشكلة. هذا لا يزال مجالًا قانونيًا غير محدد.
قال المحامي هايدن ديلاني، المتخصص في التكنولوجيا والخصوصية، لـ ABC: "البرمجيات ليست كيانًا قانونيًا، ولا يمكن أن تتحمل المسؤولية سوى الأشخاص القانونيين."
من هو المسؤول إذًا؟
قد يكون المستخدم الذي أصدر الأمر، أو مصمم برنامج الوكيل الذكي، أو مطور النموذج، أو حتى مسؤول النظام الذي ترك الثغرة مكشوفة.
أستراليا لا تستطيع أيضًا تقديم إجابة الآن.
يُنصح ASD للأفراد العاديين باستخدام الوكلاء في المهام منخفضة المخاطر وغير الحساسة، وعدم منح صلاحيات واسعة جدًا، والأهم من ذلك هو الاحتفاظ بموافقة الإنسان في الدورة.
لم يُرَهِب أندرو، فبحسب قوله،这不是世界末日。
لكن هذا الأمر هو بالفعل إشارة تحذيرية تذكّرنا باستخدام الذكاء الاصطناعي بمسؤولية.
عندما يتحول "الاستيلاء على المقاعد" من التحديث اليدوي إلى استغلال الثغرات من قبل الوكلاء الذكية، فإن أول الأنظمة التي تنهار هي تلك التي افترضت أن "البشر فقط هم من سيستخدمونها".
خطوط دفاعهم صُممت وفقًا لسرعة الأيدي وصبر البشر، ولا تستطيع مقاومة جيوش الوكلاء الذكية التي تتدفق بقوة.
في الدائرة، هناك أيضًا من ينظر إليه كمرح.
المُبرمج المشهور والبث الحي ThePrimeagen سخر على X: أول مسرحية قرصنة ذكاء اصطناعي في العالم الحقيقي كانت مجرد التسلل إلى المقدمة.
ضحكًا ضحكًا، التخطي في الطابور هو فقط سيناريو اليوم.
وكيل "يمكنه فعل كل شيء" يمكنه الآن أن يُستغل لاستغلال الثغرات نيابةً عنك.
عندما يتصل مليار من هذه الوكلاء في نفس الوقت، فقد يغيرون سراً العديد من قواعد توزيع الموارد الحالية، بينما لا يدرك معظم الناس ذلك حتى.
من أجل مصلحتك، يهاجم الوكيل شخصًا لا تعرفه على الإطلاق — إن فراغ المسؤولية وراء هذا الفعل هو ما يُعد حقًا مخيفًا.