120 ألف حرف تنكشف بالكامل! تسريب موجّهات النظام في Claude Fable 5 — كم بقيت من طبقات الحماية لأمن الذكاء الاصطناعي؟
قضية Claude Fable 5، كلما تمعنا فيها أكثر، بدا أشبه بعراء علني لقطاع أمن الذكاء الاصطناعي.
وفق تقارير عدة وسائل إعلام أمنية صينية ومنصات تجميع، يُشتبه أن المهاجم elder_plinius تمكن من فتح النموذج Claude Fable 5 — النموذج المفتوح للجمهور من فئة Mythos لدى Anthropic — عبر هجوم منسق متعدد الوكلاء، وجُمعت موجّهات النظام الداخلية الكاملة ورُفعت إلى GitHub، بحجم نحو 120,000 حرف.
والأخطر أن المحتوى المسرب ليس مجرد إعدادات شخصية، بل يُشتبه أنه يضم المنطق الأساسي للضبط الأمني وتصنيف المخاطر وحدود الرفض واستدعاء الأدوات وتوجيه السياسات. وبعبارة أخرى، إن صحت التقارير، فهذا أشبه بتعليق دليل تشغيل لوحة التحكم الأمنية لنموذج ذكاء اصطناعي رائد في وسط الشارع.
للتوضيح أولاً: لن نعيد في هذه المقالة إنتاج الموجهات المسربة أو اقتباسها أو تعليم استخدامها. سنناقش فقط لماذا هذه المسألة خطيرة، وماذا تعني لأمن الذكاء الاصطناعي.
دعنا أولاً نرتب الخط الزمني للحدث
Claude Fable 5 هو النموذج الجديد الذي أطلقته Anthropic مطلع يونيو، ويراه الخارجون النسخة العامة الآمنة من Mythos 5. وفي التقارير العامة وُصف Fable 5 بأنه الجيل الجديد من Claude الموجه للتعقيد الاستدلالي والمهام طويلة النطاق وسير العمل الاحترافي.
لكنه منذ إطلاقه ظل محل جدل مستمر.
الموجة الأولى من الجدل: عتبات أمنية مرتفعة أكثر من اللازم. ذكرت تقارير أن Fable 5، بحساسياته الأمنية، قد يرفض حتى الإجابة عن أسئلة بيولوجية أساسية. أي أن المشكلة ليست في نقص القدرات، بل في شدّ سياسات الأمن إليه بإحكام.
الموجة الثانية: الموقف المتناقض من Microsoft. من جهة ربطت Fable 5 بخدمات موجهة للعملاء، ومن جهة أخرى قيدت استخدام موظفيها الداخليين له، ويعزى السبب إلى أمن البيانات ومخاطر مخرجات النموذج.
الموجة الثالثة، وهي الأكثر انفجاراً هذه المرة: ادعى مهاجم أنه عبر اختراقاً منسقاً متعدد الوكلاء حصل على نحو 120 ألف حرف من موجّهات النظام ورفعها إلى GitHub.
وما يظهر حالياً في صفحة أخبار Anthropic الرسمية: أن حكومة الولايات المتحدة أصدرت تعليمات ضبط للصادرات توقف كامل الوصول إلى Fable 5 وMythos 5. أما تسريب الموجهات هذه المرة فلم تصدر الجهة الرسمية تأكيداً كاملاً بعد.
لماذا هذا الهجوم مخيف: ليست ضربة من نقطة واحدة، بل تكتيك قطيع الذئاب
الاختراق التقليدي يعتمد عادة على موجّه سحري واحد: إيهامة النموذج لتجاهل القواعد، أو ادعاء دور، أو تفكيك المهمة، أو الالتفاف على الرفض.
لكن في تقارير هذه المرة ظهرت كلمة متكررة: تكتيك قطيع الذئاب.
بمعنى أن المهاجم لم يهجم بموجّه واحد جاهز، بل نشر وكلاء متعددين للعمل منسقين:
- وكيل مهمته استكشاف حدود النموذج
- وكيل مهمته توليد صيغ بديلة من الأسئلة
- وكيل مهمته تقدير ما إذا كانت الاستجابة تسرب معلومات هيكلية
- وكيل مهمته تجميع المخرجات المتناثرة في مستند كامل
- وكيل مهمته تعديل استراتيجية الهجوم باستمرار
وهكذا ترقى اللعبة من لعبة موجّهات صغيرة إلى نظام فريق أحمر مؤتمت.
المهاجم البشري قد يتعب بعد 100 محاولة، أما نظام الهجوم الآلي فيمكنه تجربة 100 ألف، ويحسّن نفسه تلقائياً في كل مرة وفق الملاحظات. وكلما قوي النموذج الرائد، زاد خطر استخدامه منسقاً للهجمات.
وهذه هي النقطة التي تستحق الحذر فعلاً في هذا الحدث: القوة الرئيسية التي تكسر أنظمة أمن الذكاء الاصطناعي باتت هي الذكاء الاصطناعي نفسه.
ما مدى خطورة تسريب موجّهات النظام أصلاً
قد يسأل كثيرون: أليس مجرد موجّه؟ وماذا لو تسرب؟
هذا في الحقيقة سوء فهم لأنظمة النماذج الكبيرة الحديثة. لم تعد موجّهات النظام اليوم جملة «أنت مساعد مفيد». بل تشبه أكثر دليل سياسات تشغيل وقت التنفيذ، وقد تضم:
- هوية النموذج وأسلوب تفاعله
- معايير تمييز المحتوى عالي الخطورة
- طبقات التصنيف الأمني
- قوالب الرفض في سيناريوهات المخاطر المختلفة
- حدود استدعاء الأدوات
- سياسات التعامل مع المجالات الحساسة كالشيفرة وأمن الشبكات والبيولوجيا والكيمياء
- متى يتحول إلى إجابة أكثر أمناً
- ومتى يرفض تماماً
- ومتى يسمح بشرح من المستوى العالي
وحين تنكشف هذه الأمور، يصبح المهاجمون بلا حاجة للتخمين الأعمى.
كان مهاجمة النموذج سابقاً تشبه فتح قفل في العتمة: لا تعلم بنية الأسطوانة فتجرّب عشوائياً. أما بعد تسريب موجّهات النظام فكأنك حصلت على المقطع العرضي للقفل. يستطيع المهاجم تصميم طريقة التفاف لكل قاعدة على حدة، ويستهدف الشقوق الحدودية بعينها.
ولهذا فإن تسريب الموجهات ليس «موضوع سمعة»، بل حادث أمني حقيقي ملموس.
ماذا تعني 120 ألف حرف
120 ألف حرف تعادل تقريباً رواية متوسطة الحجم أو عشرات الصفحات من وثائق سياسات الأمن.
إن صح هذا الحجم، فهو يدل أن الضبط الأمني في Fable 5 ليس بضعة قواعد بسيطة، بل منظومة سياسات معقدة متكاملة. ومن المرجح جداً أنه قسّم مجالات المخاطر المختلفة إلى فروع دقيقة: أمن الشبكات، وأمن البيولوجيا، والكيمياء، والتلاعب النفسي، والاحتيال المالي، وتسريب الخصوصية، وحقوق النشر، والمواضيع السياسية الحساسة، وحماية القاصرين، والنصائح الطبية وغيرها.
وهنا مفارقتان.
الأولى: الهندسة الأمنية لدى Anthropic دقيقة فعلاً، إلى درجة أن كثيراً من الحدود معرّفة بوضوح، وهذا سبب شعور البعض عند إطلاق Fable 5 بأنه «آمن أكثر من اللازم».
والثانية: كلما دقّت القواعد، اتضح سطح الهجوم عند تسريبها. يستطيع المهاجمون معرفة الفئات التي تثير الرفض، وصيغ التعبير التي تمر، والمناطق الرمادية في النظام.
وكلما تعقدت سياسات الأمن، تشابهت أكثر مع منظومة برمجية ضخمة. والمنظومات البرمجية فيها علل، ومنظومة الموجهات كذلك فيها ثغرات منطقية.
ليست هذه المرة الأولى: أمن الذكاء الاصطناعي يدخل عصر التسريبات
في العامين الماضيين تكاثرت حوادث مشابهة في مجال الذكاء الاصطناعي.
بعضهم سرب شيفرة Claude Code المصدرية، وآخرون استخرجوا موجّهات النظام لوكلاء تجاريين، وآخرون حصلوا على موجّهات مخفية عبر إضافات المتصفح، وآخرون سحبوا قواعد النظام بجعل النماذج تسأل بعضها.
والسبب بسيط: الأصول الأساسية لمنتجات النماذج الكبيرة تنتقل يوماً بعد يوم من الشيفرة التقليدية إلى الموجهات وتنظيم الأدوات وتوجيه السياسات وأنظمة الذاكرة وقواعد الأمن.
كانت الشركات سابقاً تخشى تسريب الشيفرة المصدرية.
أما شركات الذكاء الاصطناعي اليوم فعليها أن تخشى أيضاً:
- تسريب موجّهات النظام
- تسريب مخططات الأدوات (schema)
- تسريب سياسات الأمن (safety policy)
- تسريب مجموعات التقييم الداخلية
- تسريب سير عمل الوكلاء
- تسريب الذاكرة وتفضيلات المستخدمين
هذه الأشياء ليست بالضرورة شيفرة بالمعنى التقليدي، لكنها تحدد سلوك المنتج. إنها الشيفرة المصدرية للعصر الجديد.
التأثير على المستخدمين من المؤسسات
إن كنت مستخدماً عادياً، فهذا الحدث في أحسن الأحوال خبر ساخن.
لكن إن كنت مسؤولاً أمنياً في مؤسسة، فالأمر مختلف.
المؤسسات تربط النماذج الكبيرة اليوم بخدمة العملاء وتدقيق الشيفرة وتحليل البيانات وأتمتة المكاتب وقواعد المعرفة الداخلية والعمليات المالية وحتى مراكز عمليات الأمن. النموذج لم يعد مجرد روبوت محادثة، بل كيان تشغيلي يملك صلاحيات أدوات.
وحين تنكشف موجّهات النظام وحدود الأدوات، يستطيع المهاجمون بناء مدخلات أدق تُخطئ النموذج في استخدام الأدوات أو تسرب المعلومات أو تجاوز الموافقات أو تنفيذ إجراءات خاطئة.
وسيناريو الوكلاء هو الأخطر على الإطلاق. لأن الوكيل لا يجيب فحسب، بل يتعامل مع الملفات ويستدعي API ويرسل الرسائل ويستعلم قواعد البيانات ويشغل الأوامر. وبعد تسريب موجّهات النظام يعرف المهاجم منطق تفكيك المهام ومنطق الرفض، فيستطيع تصميم سلسلة هجوم تناسب نقاط ضعفه بدقة.
لهذا لم تعد المؤسسات تستطيع اعتبار موجّهات النظام «وثيقة داخلية». بل يجب إدراجها في إدارة الأصول الأمنية.
كيف يجب على المؤسسات أن تتجهز
أولاً، لا تُثقل الأمن كله على موجّهات النظام.
الموجهات تكبح النموذج لكنها لا تصلح خط دفاع وحيداً. الأمن الحقيقي يجب أن ينزل إلى صلاحيات الأدوات وبوابات API وطبقة الوصول للبيانات وسجلات التدقيق والموافقة البشرية.
ثانياً، تصغير صلاحيات الأدوات إلى الحد الأدنى.
ما يستطيع الوكيل قراءته أو كتابته أو حذفه أو من يرسل إليه، يجب أن يكون مفوَّضاً بوضوح. ولا تعطِ النموذج صلاحيات مدير شامل لمجرد أنه «يبدو ذكياً».
ثالثاً، تقسيم موجّهات النظام إلى طبقات.
لا تكتب كل السياسات في موجّه ضخم واحد. يمكن تقسيمها إلى طبقة هوية وطبقة مهام وطبقة أدوات وطبقة أمن وطبقة تدقيق، وتحميلها ديناميكياً حسب السيناريو. وهكذا، حتى لو سربت طبقة واحدة، لا يحصل المهاجم على سطح التحكم الكامل.
رابعاً، تفعيل الفحص على جانب المخرجات.
لا تكتفِ بفحص مدخلات المستخدم. مخرجات النموذج أيضاً تحتاج لتمييز المعلومات الحساسة وكشف التجاوزات واعتراض التعليمات الخطرة.
خامساً، أتمتة الفريق الأحمر.
بما أن المهاجمين يستخدمون تكتيك قطيع الذئاب متعدد الوكلاء، فعلى المدافعين استخدام فرق حمراء متعددة الوكلاء أيضاً. اجعل مجموعة نماذج تهاجم مجموعة أخرى دورياً، مع توليد عينات اختبار تلقائياً وتحديث خطوط الدفاع باستمرار.
لماذا لا أنصح بنشر النص الأصلي
سيقول بعض الناس بالتأكيد على الإنترنت: أعطني رابط GitHub لأرى بسرعة.
لا أنصح بذلك.
أولاً، قد يحتوي النص الأصلي على تفاصيل يمكن استخدامها مباشرة للالتفاف على سياسات الأمن، ونشره يعني مساعدة مزيد من الناس على إعادة إنتاج الهجوم.
وثانياً، لم تحصل أصالة النص على تأكيد رسمي، وإعادة نشره تؤدي بسهولة إلى اعتبار محتوى غير مكتمل أو ملوّث حقيقة.
وثالثاً، بالنسبة للباحثين، ما يستحق البحث فعلاً هو نقاط فشل البنية الأمنية، لا نسخ ولصق موجّهات سربها آخرون.
ما ينبغي أن يناقشه القطاع الأمني هو: لماذا حدث التسريب، وكيف يُقلَّل الضرر، وكيف تُبنى طبقات حماية جديدة — لا التجمهر على الموجهات كترفيه إلكتروني.
أكبر درس من هذا الحدث
تسريب موجّهات Claude Fable 5 يبدو ظاهرياً تعثراً منفرداً لـ Anthropic، لكنه في الحقيقة مسألة لا تستطيع صناعة الذكاء الاصطناعي بأكملها التحايل عليها.
نحن نُسلّم النماذج الكبيرة قرارات وإجراءات وحدوداً أمنية يزيد يوم بعد يوم. ومع ذلك، ما زال كثير من الضبط الحاسم في أنظمة النماذج الكبيرة يعتمد على وسط هش هو موجّهات اللغة الطبيعية.
ميزة اللغة الطبيعية المرونة، وعيبها أنها مرونة زائدة. فهي لا تملك صرامة الأنواع في الشيفرة، ولا وضوح قوائم ضبط الوصول، ولا العزل الصلب للبيئات المعزولة.
لهذا لا يمكن مستقبلاً لأمن الذكاء الاصطناعي أن يعتمد على «موجّهات نظام أطول فقط».
الاتجاه الموثوق فعلاً يجب أن يكون:
- تدريب أمني داخلي للنموذج
- محرك سياسات خارجي
- بيئة معزولة لصلاحيات الأدوات
- سجلات تدقيق إلزامية
- عزل المعلومات السرية
- تحقق متقاطع بعدة نماذج
- اختبارات فريق أحمر مؤتمتة
يمكن لموجّهات النظام أن تكون عجلة القيادة، لكنها لا تصلح فرامل.
خاتمة
أكثر ما فيه السخرية في قضية Claude Fable 5 أن Anthropic كانت دائماً حاملة راية أمن الذكاء الاصطناعي، ثم بعد إطلاق أقوى نموذجها الأمني بوقت قصير ظهر خبر تسريب موجّهات نظامه.
هذا لا يعني أن Anthropic ضعيفة. بل العكس، إنه يدل على أن أمن الذكاء الاصطناعي ذاته دخل مرحلة أصعب.
سابقاً كان الإنسان يهاجم الذكاء الاصطناعي.
أما اليوم فالذكاء الاصطناعي ينظم الذكاء الاصطناعي ليهجم على الذكاء الاصطناعي.
وحين تتزامن أتمتة الهجوم وأتمتة السياسات وأتمتة التحليل اللاحق، لا يكفي حتماً الاعتماد على موجّه أمني من 120 ألف حرف للدفاع عن المدينة.
انتهى عصر الممالك المتنازعة لأمن الذكاء الاصطناعي، وعصر الدول المتحاربة بدأ للتو.