Systems-Level Attack Surface of Edge Agent Deployments on IoT
تقدم هذه الورقة تحليلاً أمنياً تجريبياً لنشر وكلاء النماذج اللغوية الكبيرة (LLM agents) على أجهزة إنترنت الأشياء (IoT)، كاشفةً أنه في حين أن البنى التحتية المحلية عند الحافة (edge-local architectures) تقلل من التعرض الروتيني للبيانات، إلا أنها تستحدث ثغرات فريدة على مستوى الأنظمة مثل تباعد حالة التنسيق وتجاوز حدود السيادة غير المرئية، مما يثبت في النهاية أن بنية النشر هي محدد رئيسي للمخاطر الأمنية في أنظمة إنترنت الأشياء التي يتحكم فيها الوكلاء.
تخيل أنك وظفت فريقاً من الخدم الأذكياء الذين يعملون بالذكاء الاصطناعي لإدارة منزلك. يمكنهم تشغيل الأضواء، وقفل الأبواب، وضبط درجة حرارة التكييف. ولكن أين يعيش هؤلاء الخدم؟ وكيف يتواصلون مع بعضهم البعض؟
هذه الورقة البحثية هي تحقيق أمني في أين تضع هؤلاء الخدم الآليين وكيف يتواصلون. وجد الباحثون أن نقل هؤلاء الوكلاء من "السحابة" (الخوادم الضخمة البعيدة) إلى أجهزتك الفعلية في المنزل (الحافة - Edge) يغير قواعد اللعبة تماماً. الأمر لا يتعلق فقط بجعل الذكاء الاصطناعي أكثر ذكاءً؛ بل يتعلق بكيفية توصيل الأسلاك داخل المنزل.
إليك تفصيل لنتائجهم باستخدام تشبيهات بسيطة:
1. الطرق الثلاثة لتشغيل فريق الخدم الآلي الخاص بك
اختبر الباحثون ثلاثة إعدادات مختلفة:
الفريق المستضاف في السحابة (Cloud-Hosted Team): يعيش جميع خدمك في مبنى مكاتب ضخم بعيد جداً. ويتواصلون مع منزلك عبر الإنترنت.
المخاطرة: في كل مرة يقررون فيها تشغيل ضوء، يتعين عليهم إرسال رسالة إلى المكتب ثم استلامها مرة أخرى. يمكن للجاسوس الجالس على الإنترنت رؤية كل أمر يصدرونه. الأمر يشبه إرسال مذكراتك الشخصية عبر البريد؛ يمكن لأي شخص قراءتها.
سرب "الحافة المحلي" (Edge-Local Swarm): يعيش خدمك داخل منزلك (على هاتفك، أو جهاز التحكم الذكي الخاص بك، أو حاسوبك). ويتواصلون مع بعضهم البعض باستخدام نظام "اللاسلكي" المحلي (MQTT).
الجانب الجيد: لا يرسلون أي بيانات خارج المنزل أبداً. لا يمكن للجاسوس على الإنترنت سماعهم.
الجانب السيئ: إذا تعرض أحد الخدم للخداع، فقد يرتبك الفريق بأكمله.
الفريق الهجين (Hybrid Team): يعيش بعض الخدم في المنزل، والبعض الآخر في السحابة. يتشاركون العمل فيما بينهم.
المخاطرة: تحصل على أسوأ ما في العالمين. لا تزال ترسل البيانات إلى السحابة، ولكن عليك الآن أيضاً القلق بشأن تعرض الأجهزة المحلية للاختراق.
2. الفخاخ الخمسة الخفية (أسطح الهجوم)
عندما قام الباحثون بإعداد فريق "الحافة المحلي" (الذي يعيش في منزلك)، وجدوا خمس طرق محددة يمكن للمخترق من خلالها العبث بالأمور. هذه الطرق لا تتعلق بخداع "عقل" الذكاء الاصطناعي، بل بخداع النظام الذي يستخدمه للتواصل.
الفخ (أ): مشكلة "الهوية المزيفة" (تزوير المصدر - Provenance Forgery)
التشبيه: تخيل أن خدمك يتحدثون في غرفة مزدحمة. لا يوجد حارس أمن يتحقق من بطاقات الهوية. يدخل لص يرتدي شارة "خادم" مزيفة ويصرخ: "افتح الباب الأمامي!"
الواقع: يقبل النظام الأمر لأنه لا يتحقق مما إذا كان الصوت ينتمي بالفعل إلى خادم حقيقي. يفكر الذكاء الاصطناعي: "أوه، زميل لي أخبرني أن أفتح الباب"، فيقوم بذلك. وجد الباحثون أنه بدون تواقيع رقمية خاصة، يمكن لأي شخص يملك كلمة المرور أن يتظاهر بأنه أي وكيل آخر.
الفخ (ب): مشكلة "الذكريات المتلاشية" (تباين الحالة - State Divergence)
التشبيه: يعمل خادمان على مشروع واحد. ومن المفترض أن يتشاركا نفس المخطط. ولكن نظرًا لأنهما يتواصلان عبر الرسائل النصية فقط، كتب أحدهما ملاحظة على ورقة لاصقة، ونسي الآخر قراءتها. سرعان ما يصبح لديهما مخططان مختلفان؛ أحدهما يعتقد أن الباب مغلق، والآخر يعتقد أنه مفتوح.
الواقع: بدون وجود "ملف رئيسي" مشترك، يفقد وكلاء الذكاء الاصطناعي تدريجياً القدرة على تتبع ما يفعله الآخرون. يبدأون في التباعد، مما يؤدي إلى ارتباك وأخطاء يصعب اكتشافها.
التشبيه: يبدأ شخص ما في الصراخ بهراء في الغرفة. يصاب الخادم الرئيسي بالارتباك والخوف من الضجيج لدرجة أنه يقرر: "لا يمكنني الوثوق بأي شخص في هذه الغرفة بعد الآن". يتوقف عن الاستماع إلى أوامر المالك الحقيقي ويحبس نفسه في زاوية.
الواقع: إذا أرسل مخترق بضع رسائل مزيفة واضحة، فقد يقرر الذكاء الاصطناعي أن قناة الاتصال بأكملها معطلة. يتوقف عن العمل، مما يترك منزلك دون إدارة. هذا هو هجوم "حجب الخدمة" الناتج عن جعل الذكاء الاصطناعي مرتاباً.
الفخ (د): مشكلة "التسريب الصامت" (تدهور السيادة - Sovereignty Degradation)
التشبيه: تقول لخادمك: "اعمل داخل المنزل فقط". ولكن إذا تعب الخادم كثيراً أو كانت المهمة صعبة للغاية، فإنه يتصل سراً بصديق في السحابة لطلب المساعدة دون إخبارك. تظن أن السر في أمان، لكنه في الواقع قد أُرسل إلى السحابة.
الواقع: تم تصميم النظام ليبقى العمل محلياً. ولكن إذا نفدت طاقة الجهاز المحلي أو ذاكرته، فإنه ينتقل سراً إلى السحابة لإكمال المهمة. تخرج البيانات من منزلك، لكنك لا تتلقى أي تحذير. وعد "المحلية فقط" يُنتهك دون علمك.
التشبيه: يسير خادمك من غرفة المعيشة إلى المطبخ. لمدة 35 ثانية، يدخل في "منطقة ميتة" حيث لا يستطيع سماعك ولا يمكنك سماعه. إذا كان يحمل مزهرية ثقيلة، وأسقطها خلال تلك الـ 35 ثانية، فلن تعرف ذلك حتى يعود إلى نطاق التغطية.
الواقع: عندما ينتقل جهاز من شبكة Wi-Fi إلى بيانات الهاتف المحمول (أو يفقد الاتصال)، هناك فجوة زمنية تبلغ حوالي 35 ثانية حيث يمكن للذكاء الاصطناعي أن يتصرف، ولكن لا يمكن لأحد رؤيته أو إيقافه. يمكن للمخترق قطع الاتصال، والانتظار في "النقطة العمياء"، ثم إرسال أمر خبيث يتم تنفيذه قبل أن يدرك النظام أنه انقطع عن الاتصال.
3. الخلاصة الكبرى
الدرس الأكثر أهمية من هذه الورقة هو: الأمن لا يتعلق فقط بمدى ذكاء الذكاء الاصطناعي؛ بل يتعلق بمكان وجوده وكيفية تواصله.
ذكاء السحابة (Cloud AI): لديك نقطة فشل واحدة (اتصال الإنترنت)، وبياناتك معرضة دائماً.
ذكاء الحافة (Edge AI): تحافظ على أمان بياناتك، ولكن عليك بناء "منزل" أقوى بكف (تشفير أفضل، فحوصات هوية، وذاكرة مشتركة) لمنع الخدم من الارتباك أو التعرض للخداع.
خلص الباحثون إلى أنه إذا كنت تريد استخدام الذكاء الاصطناعي للتحكم في أشياء مادية (مثل الأقفال والأضواء)، فلا يمكنك التركيز فقط على نموذج الذكاء الاصطناعي. يجب عليك تصميم "السباكة" (البنية التحتية) للنظام لتكون آمنة، وإلا فإن الذكاء الاصطناعي سيفتح الباب الأمامي للأشرار عن غير قصد.
إليك ملخص تقني مفصل للورقة البحثية بعنوان "السطح الهجومي على مستوى الأنظمة لنشر وكلاء الحافة في إنترنت الأشياء" (Systems-Level Attack Surface of Edge Agent Deployments on IoT) من إعداد Zhan وآخرون.
1. بيان المشكلة
إن الهجرة السريعة لوكلاء النماذج اللغوية الكبيرة (LLM agents) من واجهات برمجة تطبيقات السحابة (Cloud APIs) إلى أجهزة الحافة (أجهزة إنترنت الأشياء - IoT) تغير المشهد التهديدي بشكل جذري. فبينما تقدم الوكلاء المستضافون في السحابة نقطة اختراق مركزية تنطوي على مخاطر متأصلة لتسريب البيانات، فإن عمليات النشر المحلية على الحافة (Edge-local deployments) توزع القدرات والأسطح الهجومية عبر عقد غير متجانسة.
يركز البحث الأمني الحالي بكثافة على نقاط الضعف على مستوى النموذج (مثل حقن الأوامر أو كسر الحماية)، لكنه يتجاهل إلى حد كبير المخاطر المعمارية على مستوى الأنظمة. وتحديداً، هناك نقص في الفهم التجريبي حول كيفية تفاعل بنيات النشر (السحابة مقابل الحافة مقابل الهجين) مع بروتوكولات تنسيق إنترنت الأشياء الحالية (مثل MQTT) لخلق أسطح هجومية فريدة. السؤال الجوهري هو: كيف تغير بنية النشر السطح الهجومي على مستوى الأنظمة للأنظمة التي يتحكم فيها الوكلاء؟
2. المنهجية
أجرى المؤلفون تحليلاً أمنياً تجريبياً باستخدام مختبر أتمتة منزلية متعدد الأجهزة لمقارنة ثلاث بنيات نشر متميزة:
المستضاف سحابياً (Cloud-Hosted): يعمل وقت تشغيل الوكيل في السحابة؛ ويتم التحكم في أجهزة إنترنت الأشياء عبر واجهات برمجة التطبيقات السحابية.
سرب الحافة المحلي (Edge-Local Swarm): تعمل عدة وكلاء على أجهزة محلية، وتنسق عبر وسيط رسائل محلي (MQTT) دون اعتماد على السحابة للعمليات العادية.
الهجين (Hybrid): تتعامل وكلاء الحافة مع التنفيذ (actuation) منخفض التأخير، بينما تتولى السحابة عمليات الاستدلال (inference) الثقيلة.
تكوين المختبر:
المنظم (Orchestrator): جهاز Mac mini M4 (يشغل وسيط MQTT والوكيل "Rupert").
وكيل الحافة المتنقل (Mobile Edge Agent): هاتف Android من طراز Moto G35 (الوكيل "Percy").
بوابة إنترنت الأشياء (IoT Gateway): جهاز Intel NUC يشغل Home Assistant (الوكيل "Jeeves").
الأجهزة الفيزيائية: مصابيح Philips Hue، مفاتيح ذكية، كاميرات، مستشعرات، إلخ.
الاتصال: يتم جميع التنسيق بين الوكلاء عبر بروتوكول MQTT فوق شبكة Tailscale mesh. تُستخدم روابط WAN فقط لطلبات الاستدلال للنماذج اللغوية الكبيرة.
نموذج الهجوم: تفترض الدراسة ثلاث قدرات للمهاجم: الوصول إلى الشبكة عن بُعد (عبر بيانات اعتماد مخترقة)، الوصول الفيزيائي إلى عقدة حافة، ووجود وكيل مارق داخل السرب. يستبعد التحليل الهجمات على مستوى النموذج للتركيز حصرياً على الثغرات المعمارية ومستوى البروتوكول.
3. المساهمات الرئيسية
تقدم الورقة ثلاث مساهمات رئيسية:
توصيف التهديد المعماري: تحديد ثلاثة أنماط للنشر كنماذج تهديد متميزة، وتحديد خمسة أسطح هجومية على مستوى الأنظمة، بما في ذلك فشلان ناشئان لوحظا أثناء الاختبار الحي: تباعد حالة التنسيق وتآكل الثقة المستحث.
مقاييس الأنظمة كخصائص أمنية: اقتراح مقاييس قابلة للقياس لتحديد الكمية الأمنية، بما في في ذلك:
حجم خروج البيانات (السيادة).
التعرض لفترة انقطاع العمل (النقاط العمياء).
سلامة حدود السيادة.
اكتمال سلسلة الإثبات (Provenance chain).
النتائج التجريبية: تقديم بيانات كمية حول تأخيرات "التنفيذ-إلى-التدقيق" (actuation-to-audit)، وتدهور سيادة البيانات تحت الضغط، وجدوى المراقبة الأمنية في الوقت الفعلي في بيئات الحافة.
4. النتائج والنتائج الرئيسية
أ. خمسة أسطح هجومية على مستوى الأنظمة
حدد المؤلفون خمس ثغرات حرجة متأصلة في عمليات النشر المحلية على الحافة:
S1a (تزوير الإثبات - Provenance Forgery): تفتقر أغلفة MQTT إلى الربط التشفيري. أي عميل يمتلك بيانات اعتماد الوسيط يمكنه انتحال صفة الوكلاء أو إعادة تشغيل الأوامر. يقبل النظام الرسائل المزيفة (مثل "فتح الباب") كرسائل صالحة.
S1b (تباعد حالة التنسيق - Coordination-State Divergence): في غياب مستوى حالة مشترك، يبني الوكلاء السياق تدريجياً من الرسائل. يؤدي هذا إلى انزياح صامت حيث يحمل الوكلاء رؤى غير متسقة للمهام المشتركة (على سبيل المثال، أحد الوكلاء يعرف بوقوع تجربة ما، بينما لا يعرف الآخر ذلك).
S1c (تآكل الثقة المستحث - Induced Trust Erosion): يمكن للمهاجم نشر رسائل مزورة بشكل واضح. الوكيل المدافع، غير القادر على التمييز بين حركة المرور المزورة والحقيقية، قد يعتبر القناة بأكملها مخترقة ويرفض جميع الأوامر اللاحقة (هجوم حجب الخدمة عبر "الارتباك أو الشك المستحث").
S2 (تدهور السيادة الصامت - Silent Sovereignty Degradation): بينما تمنع عمليات النشر على الحافة تسريب البيانات عادةً، فإن آليات التراجع (fallback) (التي يتم تفعيلها بسبب استنفاد الموارد) تقوم بتوجيه البيانات إلى السحابة بصمت. هذا العبور للحدود غير مرئي في طبقة التطبيق (لا توجد شذوذات في MQTT) ولا يمكن اكتشافه إلا عبر مراقبة DNS.
S3 (الفجوة الزمنية بين التنفيذ والتدقيق - Actuation-Audit Temporal Gap): أثناء حالات فشل الشبكة (مثل الانتقال من WiFi إلى جسر USB/ADB)، توجد فجوة تعتيم مدتها ~35 ثانية حيث يقوم الوكلاء بالتنفيذ دون وجود سجل تدقيق. ينتج هذا عن استعادة مكدس الشبكة (network stack)، وليس طبقة المراسلات.
ب. مقاييس الأداء والتأخير
تأخير التنفيذ-إلى-التدقيق: يستغرق المسار الكامل من النهاية إلى النهاية (نشر MQTT ← تنفيذ Home Assistant ← التأكيد) في المتوسط ~117 مللي ثانية (P95 < 152 مللي ثانية).
الاستنتاج: هذا سريع بما يكفي لمراقبي السلامة في الوقت الفعلي لاعتراض الأوامر للمشغلات الكهروميكانيكية (مثل أقفال الأبواب التي تستغرق ~500 مللي ثانية) ولكنه بطيء جداً للمرحلات الصلبة (solid-state relays) التي تستغرق (<5 مللي ثانية).
إضافات MQTT: يمثل نقل MQTT حوالي 31% فقط من إجمالي التأخير؛ بينما يساهم جسر Home Assistant REST وتأكيد الجهاز في الـ 69% المتبقية.
نوافذ التراجع (Failover Windows): تخلق استعادة مكدس الشبكة (من WiFi إلى جسر ADB) نقطة عمياء مدتها 35.7 ثانية. إعادة الاتصال بـ MQTT نفسه شبه فوري (<20 مللي ثانية)، مما يشير إلى أن الثغرة تكمن في طبقة الشبكة/الـ VPN، وليس في البروتوكول.
ج. سيادة البيانات
العمليات العادية: تحقق عمليات النشر المحلية على الحافة صفراً من خروج البيانات الخارجي.
تحت الضغط: عندما يتم إجبار النظام على التراجع إلى الاستدلال السحابي (بسبب حدود السياق)، تتسرب البيانات بصمت. لاحظت الدراسة زيادة بمقدار 4.0 أضعاف في البايتات المرسلة مقارنة بعمليات الحافة، دون أي إشعار على طبقة التطبيق للمستخدم أو النظام.
5. الأهمية والآثار المترتبة
المعمارية أهم من تصميم النموذج: تجادل الورقة بأن بنية النشر هي المحدد الأساسي للمخاطر الأمنية، وغالباً ما تفوق في أهميتها ضوابط سلامة النموذج. فالوكيل المستضاف سحابياً، حتى مع وجود حماية مثالية من حقن الأوامر، يسرب البيانات هيكلياً، بينما الوكيل المحلي على الحافة، حتى بدون ضوابط، يمنع التسريب ولكنه يقدم مخاطر جديدة مثل تزوير الإثبات.
الفشل الناشئ: يوضح اكتشاف تآكل الثقة المستحث وتباعد الحالة أن وسائط الرسائل غير الموثقة غير كافية لتنسيق الوكلاء المتعددين. إن تقنيات الأنظمة الموزعة التقليدية (مثل TLS، HMAC، والإجماع/Consensus) مفقودة من أطر عمل وكلاء LLM الحالية.
المخاطر الصامتة: يشير "التدهور الصامت" للسيادة أثناء حالات التراجع، وعدم رؤية الفجوات الناتجة عن الشبكة، إلى أن أدوات المراقبة الحالية غير كافية للأنظمة الفيزيائية التي يتحكم فيها الوكلاء.
التوصيات: يدعو المؤلفون إلى:
فرض التشفير (مفاتيح توقيع لكل وكيل، Nonces، وقوائم تحكم بالوصول للمواضيع/Topic ACLs) على مستوى الوسيط.
سياسات تراجع واعية بالسيادة (منع التراجع للسحابة في السياقات الحساسة).
دمج إشارات صحة الشبكة في تخطيط الوكيل لتأجيل الإجراءات الحرجة للسلامة أثناء عدم الاستقرار.
في الختام، تثبت الدراسة أن نقل وكلاء LLM إلى الحافة ينقل السطح الهجومي من تسريب البيانات إلى سلامة التنفيذ الفيزيائي وموثوقية التنسيق، مما يتطلب إعادة تقييم لخيارات التصميم الأمني في أنظمة إنترنت الأشياء.