SkillTrojan: Backdoor Attacks on Skill-Based Agent Systems

1. بيان المشكلة

السياق: تعتمد أنظمة الوكيل الذكي (Agent Systems) الحديثة بشكل متزايد على التجريدات القائمة على المهارات (skill-based abstractions)، حيث يقوم الوكلاء بتكوين مهارات قابلة لإعادة الاستخدام والتنفيذ (نصوص برمجية، أدوات، سير عمل) لحل المهام المعقدة. يعزز هذا الهيكل من القدرة على التجزئة والقابلية للتوسع، ولكنه يقدم سطحاً أمنياً جديداً لم يتم فحصه بشكل كافٍ.
الثغرة الأمنية: يركز البحث الأمني الحالي على الأبواب الخلفية (backdoors) في معاملات النموذج (model parameters)، أو بيانات التدريب، أو حقن الأوامر (prompt injection). ومع ذلك، غالباً ما تُعامل تطبيقات المهارات (skill implementations) نفسها كعناصر موثوقة ونمطية. وبما أن المهارات تغلف منطقاً قابلاً للتنفيذ وتستمر عبر المهام المختلفة، فإن اختراق مهارة واحدة واسعة الانتشار يمكن أن يؤثر بصمت على عمليات التنفيذ اللاحقة دون تغيير النموذج اللغوي الكبير (LLM) الأساسي أو مطالباته (prompts).
الفجوة: هناك نقص في الفهم المنهجي حول كيفية دمج المنطق الخبيث مباشرة داخل حزم المهارات القابلة لإعادة الاستخدام هذه، مما يتجنب الكشف بواسطة اختبارات السلوك القياسية التي تفترض أن النموذج والمطالبات هي نواقل الهجوم الأساسية.

2. المنهجية: SkillTrojan

SkillTrojan هو نموذج هجوم "باب خلفي" يستهدف طبقة تجريد المهارات. هو لا يعدل النموذج، أو بيانات التدريب، أو المطالبات، بل يقوم بدمج المنطق الخبيث مباشرة في الأصول القابلة للتنفيذ للمهارات القابلة لإعادة الاستخدام.

الآلية الجوهرية

1. تجزئة وتشفير الحمولة (Payload Fragmentation & Encryption):

   • يحدد المهاجم حمولة خبيثة $P$.
   • يتم تشفير $P$ باستخدام مفتاح متماثل وتقسيمها إلى $N$ من الأجزاء المشفرة ($c_1, \dots, c_N$).
   • يتضمن كل جزء مؤشراً (index) للسماح بـ إعادة البناء بغض النظر عن الترتيب (لا يحتاج الوكيل إلى تنفيذ الأدوات في تسلسل محدد لتفعيل الهجوم).

2. تجهيز المهارة (Skill Instrumentation):

   • المواصفات اللغوية الطبيعية ($m$): يتم تعديلها لتشمل منطقاً شرطياً يوجه الوكيل نحو مسارات تنفيذ تغطي مجموعة فرعية معينة من الإجراءات عند وجود مُحفز ($\tau$) في استعلام المستخدم.
     • الأصول القابلة للتنفيذ ($A$): يتم تجهيز الأدوات المعدلة لتصدر جزءها المشفر الخاص إلى قناة وسيطة (مثل قيم إرجاع الأداة أو سجلات المسار) أثناء التنفيذ العادي.
     • التخفي: بالنسبة للاستعلامات غير المحفزة، تتصرف المهارة بشكل مطابق للنسخة السليمة. لا يتم إصدار الأجزاء إلا عند استيفاء شرط المُحفز.

3. إعادة البناء والتنفيذ المستحث بالمُحفز:

   • تقوم أداة تحقق معينة (جزء من نظام المهارات) بمراقبة مسار التنفيذ.
   • بمجرد جمع كافة الأجزاء المطلوبة (يتم التحقق منها عبر تضمين المجموعة)، يتم دمج الأجزاء وفك تشفيرها، وتُنفذ الحمولة $P$ كـ أثر جانبي.
   • ينتج الوكيل مخرجاً صحيحاً وسليماً للمستخدم، بينما يحدث الإجراء الخبيث بشكل غير مرئي في الخلفية.

4. التخليق الآلي (Automated Synthesis):

   • يدعم الإطار التوليد الآلي للمهارات ذات الأبواب الخلفية من قوالب عشوائية، مما يسمح بالانتشار القابل للتوسع عبر مختلف أنظمة المهارات.

3. المساهمات الرئيسية

1. نموذج هجوم SkillTrojan: أول عمل يقوم بوضع أبواب خلفية بشكل منهجي في تطبيقات المهارات القابلة لإعادة الاستخدام بدلاً من أوزان النموذج أو المطالبات. إنه ينقل ناقل الهجوم إلى طبقة التنفيذ.
2. إطار عمل عام: نظام مرن يدعم تجزئة الحمولة المشفرة، والتنشيط القائم على المُحفز، والتخليق الآلي من قوالب عشوائية، مما يتيح هجمات قابلة للتوسع عبر خطوط أنابيب (pipelines) الوكلاء غير المتجانسة.
3. مجموعة بيانات SkillTrojanX: إصدار مجموعة بيانات منسقة تحتوي على أكثر من 3,000 مهارة ذات أبواب خلفية مشتقة من قوالب واقعية، تغطي أنماطاً ومحفزات وحمولات متنوعة لتسهيل الأبحاء القابلة للتكرار وتقييم الدفاعات.
4. التحقق التجريبي: تقييم شامل يثبت أن الأبواب الخلفية على مستوى المهارة فعالة للغاية ومتخفية، مما يكشف عن نقطة عمياء حرجة في افتراضات أمن الوكلاء الحالية.

4. النتائج التجريبية

قام المؤلفون بتقييم SkillTrojem على مهام EHR SQL (توليد استعلامات SQL لسجلات السجلات الصحية الإلكترونية) و SWE-Bench (مهام هندسة البرمجيات) باستخدام نماذج لغوية كبيرة مفتوحة المصدر ومغلقة المصدر.

• معدل نجاح هجوم (ASR) مرتفع: حقق SkillTrojan معدلات ASR أعلى بكثير مقارنة بهجمات حقن المطالبات أو تسميم النماذج الأساسية.
  • أفضل نتيجة: على النموذج GPT-5.2-1211-Global، حقق SkillTrojan نسبة 97.2% ASR.
  • المقارنة: حقق أقوى خط أساس (AgentPoison) نسبة 58.3% ASR فقط على نفس النموذج.
• الحفاظ على المنفعة السليمة: يحافظ الهجوم على دقة عالية في المهام السليمة.
  • على GPT-5.2-1211-Global، ظلت دقة المهام السليمة (ACC) عند 89.3% (مقارنة بـ 73.0% لخط الأساس غير المهاجم، ويرجع ذلك على الأرجب إلى القدرات المحسنة للمهارات ذات الأبواب الخلفية نفسها).
  • يوضح هذا وجود مقايضة (trade-off) متفوقة بين ACC و ASR مقارنة بخطوط الأساس، التي غالباً ما تؤدي إلى تدهور الأداء السليم لتحقيق معدلات هجوم عالية.
• القوة (Robustness): ظل الهجوم فعالاً عبر عائلات نماذج مختلفة (GLM, Qwen, Claude, GPT)، وكان أقل عرضة لآليات رفض النماذج التي تحظر عادةً الهجمات القائمة على المطالبات.
• دراسات الاستئصال (Ablation Studies):
  • عدد الأجزاء ($N$): تم العثور على أن العدد الأمثل هو $N=3$. عدد الأجزاء القليل جداً يزيد من احتمالية اكتشاف الشذوذ؛ والعدد الكبير جداً يزيد من خطر عدم اكتمال مسارات التنفيذ.
  • التشفير: تم تجاوز أنظمة الكشف عن الاستدلال البسيط (مثل اكتشاف Base64) بسهولة باستخدام مخططات تشفير هجينة، مما قلل معدلات الكشف من 78% إلى 21% دون التأثير على نجاح الهجوم.

5. الأهمية والآثار المترتبة

• ناقل تهديد جديد: يثبت البحث أن ركيزة التنفيذ (المهارات/الأدوات) هي سطح هجوم حرج وغير محمي بشكل كافٍ. إن اختراق مهارة واحدة شائعة يمكن أن يؤدي إلى اختراق آلاف عمليات نشر الوكلاء.
• محدودية الدفاعات الحالية: إن الدفاعات التقليدية التي تركز على تنقية المدخلات، أو مراقبة المطالبات، أو تحليل مخرجات النموذج غير كافية لأن المنطق الخبيث مخفي داخل كود قابل للتنفيذ وموثوق يعمل بعد عملية اتخاذ القرار في النموذج.
• توصيات الدفاع: يقترح المؤلفون أن التخفيف الفعال يتطلب:
  • المراقبة الواعية بالتنفيذ (Execution-Aware Monitoring): تدقيق مسارات استدعاء الأدوات والآثار الجانبية، وليس فقط النصوص النهائية.
  • إثبات مصدر المهارة (Skill Provenance): التحقق من مصدر وسلامة حزم المهارات.
  • العزل (Sandboxing): تقييد الأذونات والآثار الجانبية لتنفيذ المهارات.
• البحث المستقبلي: يوفر إصدار مجموعة بيانات SkillTrojanX معياراً لتطوير واختبار دفاعات جديدة مصممة خصيصاً لهياكل الوكلاء القائمة على المهارات.

باختصار، يكشف SkillTrojan أنه مع انتقال الوكلاء الذكيين نحو هياكل نمطية قائمة على المهارات، يجب أن يتوسع المحيط الأمني ليتجاوز النموذج ليشمل الأدوات القابلة للتنفيذ التي يعتمدون عليها، حيث يمكن تسليح هذه الأدوات لتنفيذ أبواب خلفية مستمرة ومتخفية.