كشفت دراسة أن وكلاء التداول بالذكاء الاصطناعي عرضة لهجمات حقن الأوامر

تُحذّر دراسة جديدة متعددة المؤسسات من أن وكلاء الذكاء الاصطناعي الذين يتصفحون الويب، أو يبحثون، أو يتسوقون، أو حتى يتداولون العملات المشفرة بشكل مستقل لا يزالون عرضة بشكل مقلق لهجمات حقن الأوامر. اختبار الباحثون من جامعة نانيانغ التقنية، وST Engineering، وIBM Research، وجامعة إيلينوي أوربانا-شامبين مجموعات وكلاء في بيئات حقيقية، ووجدوا أنه لا يمكن لأي منها الدفاع بشكل موثوق ضد حقن الأوامر — وهي تعليمات خفية مدمجة في محتوى الويب تجعل الوكيل يتبع تعليمات المهاجم بدلاً من تعليمات المستخدم. ويعتقد الفريق أن معايير الأمان الحالية مركزة جدًا على الهجوم، وتغفل كيف تختلف الأضرار حسب من أو ما الذي يخدمه الوكيل. لسد هذه الفجوة، طوّر الفريق إطار تقييم جديد يُسمى StakeBench، يختبر سلوك الوكلاء في بيئات عبر الإنترنت واقعية. بدلاً من طرح السؤال فقط "هل يمكن لهذا الهجوم النجاح؟"، يقيس StakeBench متى وأين يهم الهجوم من خلال تغيير ثلاثة عوامل مرتبطة بالنشر: - البُعد الدلالي: مدى بعد الهدف المُحقَن عن النية الأصلية للمستخدم. - الاتساق البيئي: ما إذا كانت الإشارات المحيطة تعزز أو تناقض التعليمات المُحقَنة. - نقطة التنفيذ: المكان الذي يظهر فيه المحتوى الخبيث أثناء مهمة الوكيل. أجرى الباحثون 3,168 هجومًا محاكى ضد سلسلتي أدوات وكلاء قادرين على التصفح (NanoBrowser وBrowserUse) بأساسيات GPT-5 وGemini 2.5-Flash. وكانت النتائج صارخة: - نجحت حقن الأوامر المباشرة في أكثر من 79% من التكوينات المختبرة. - نجحت الحقن غير المباشرة — النوع الأكثر خفاءً وارتباطًا بالنشر — بين حوالي 41.7% و68.2%. كما وثّق الباحثون نمطًا مقلقًا أسموه "التطفل الخفي": حيث يُكمل الوكيل المهمة المطلوبة من المستخدم بينما يُقدّم في الوقت نفسه الهدف الخفي للمهاجم. عمليًا، قد يعني ذلك أن الوكيل لا يزال يشتري ما طلبه المستخدم بينما يوجه التوصيات بشكل دقيق، ويوجه المتداولين نحو رمز مفضل، أو يسرق بيانات الاعتماد، أو يُصرّح بدفعات غير مرغوب فيها — وكل ذلك دون علامات واضحة على الاختراق. تأتي هذه الدراسة في أعقاب سلسلة من حوادث حقن الأوامر الواقعية. في وقت سابق من هذا العام، حذّرت مايكروسوفت من تعليمات خفية في روابط ملخصات الذكاء الاصطناعي، وأظهرت جوجل حقنًا في صفحات الويب حاولت إقناع الوكلاء بكشف بيانات الاعتماد أو إرسال الأموال، ثم أبلغت مايكروسوفت لاحقًا عن ثغرة في إجراء GitHub الخاص بـ Claude Code التابع لـ Anthropic تعرضت لحقن أوامر وعرّضت بيانات اعتماد المستخدمين للخطر. الاستنتاج الرئيسي للمنصات والمتداولين في مجال العملات المشفرة: - حقن الأوامر ليس مجرد استغلال تقني؛ بل يعتمد تأثيره على صاحب المصلحة، ودرجة توافق الهجوم مع مهمة المستخدم، وكيفية تصميم الوكيل ونشره. - وكلاء التداول المستقلون والمحافظ هدف جذاب: فقد يؤدي حقن يُشوّش التوصيات بشكل دقيق، أو يُحرّف مسار الطلبيات، أو يسرق المفاتيح إلى خسارة مالية مباشرة. ما يجب على المشغلين مراعاته: - اعتبر مخرجات الوكيل وأي محتوى يحلله كمدخلات غير موثوقة؛ نفّذ تنقية، وفحص أصل المحتوى، وإنفاذ سياسات المحتوى. - أضف كشفًا ومراقبة في وقت التشغيل للسلوك غير الطبيعي في اتباع التعليمات، واحتفظ بالبشر في دورة اتخاذ القرار للإجراءات ذات المخاطر العالية (التحويلات الكبيرة، استدعاءات واجهات برمجة التطبيقات ذات الصلاحيات). - استخدم معايير مثل StakeBench لتقييم النشر تحت نماذج تهديد واقعية تعتمد على أصحاب المصلحة، وعَزِّز طبقات توجيه الوكلاء، وليس فقط النموذج الأساسي. الخلاصة النهائية للمؤلفين: خطر حقن الأوامر ليس درجة ثغرة واحدة في النموذج، بل هو توزيع للأضرار يتحدد بواسطة المهاجمين والأهداف والسياق وخيارات النشر. بالنسبة للعالم المشفر — حيث الأموال والمفاتيح على المحك — يمكن لهذا التوزيع أن يتحول بسرعة إلى واقع مكلف.