🤖 AI

BadSkill: Backdoor Attacks on Agent Skills via Model-in-Skill Poisoning

تقدم هذه الورقة البحثية BadSkill، وهو هجوم باب خلفي مبتكر يزعزع استقرار أنظمة الوكلاء من خلال ضبط النماذج المدمجة داخل مهارات الطرف الثالث لتنفيذ حمولات خبيثة مخفية عند وجود محفزات دلالية محددة، محققاً معدلات نجاح عالية في الهجوم مع الحفاظ على الأداء الحميد.

المؤلفون الأصليون: Guiyao Tie, Jiawen Shi, Pan Zhou, Lichao Sun

نُشر 2026-04-13

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Guiyao Tie, Jiawen Shi, Pan Zhou, Lichao Sun

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة البحث "BADSKILL" باستخدام لغة بسيطة وتشبيهات إبداعية.

الصورة الكبيرة: "حصان طروادة" في صندوق أدواتك

تخيل أنك طاهٍ يدير مطبخًا مزدحمًا (هذا هو الوكيل الذكي - AI Agent الخاص بك). ولجعل طبخك أسرع وأفضل، قمت بتعيين فريق من مساعدي الطهاة المتخصصين (هذه هي المهارات - Skills). أحد المساعدين بارع في تقطيع الخضروات، وآخر مذهل في الخبز، والثالث خبير في التنظيف.

عادةً، أنت تثق بهؤلاء المساعدين لأنهم يأتون من مورد موثوق. ولكن ماذا لو كان أحدهم جاسوسًا؟

BADSKILL هي طريقة جديدة يستخدمها المخترقون لتحويل مساعد طاهٍ مفيد إلى جاسوس. هم لا يقتحمون مطبخك؛ ولا يصرخون بأوامر مربكة على الطاهي (تلك خدعة قديمة تسمى "حقن الأوامر - Prompt Injection"). بدلاً من ذلك، يقومون بتعيين مساعد طاهٍ يبدو طبيعيًا تمامًا ويقوم بعمله جيدًا في 99% من الوقت.

ومع ذلك، فإن هذا الجاسوس لديه محفز (Trigger) سري. إذا أعطيتهم مجموعة محددة للغاية وغير عادية قليلاً من التعليمات، فسينقلبون فجأة من "مساعد طاهٍ مفيد" إلى "مخرب".

المشكلة: الأداة "الذكية"

في الماضي، إذا أردت اختراق ذكاء اصطناعي، كان عليك خداعه بكلمات غريبة. لكن وكلاء الذكاء الاصطناعي الحديثين يستخدمون المهارات (Skills). هذه المهارات هي حزم برمجية صغيرة غالبًا ما تأتي مع "دماغ" خاص بها (نموذج ذكاء اصطناوي صغير) للمساعدة في أداء مهام معقدة.

تجادل الورقة البحثية بأن هذا يخلق خطرًا جديدًا: خطر سلاسل التوريد (Supply Chain Risk).

الخطر القديم: شخص ما يخترق الدماغ الرئيسي للذكاء الاصطناعي.
الخطر الجديد (BADSKILL): شخص ما يخترق أداة محددة قمت بتحميلها. تبدو الأداة بريئة، لكن دماغها الداخلي مبرمج سرًا للاستماع إلى كود سري.

كيف يعمل الهجوم (الوصفة)

ابتكر الباحثون طريقة تسمى BADSKILL لإثبات مدى سهولة القيام بذلك. إليكم كيف بنوا الجاسوس:

التنكر: يأخذون مهارة طبيعية ومفيدة (مثل "ملخص نصوص" أو "كاتب رسائل بريد إلكتروني").
المحفز السري: بدلاً من استخدام كلمة غريبة مثل "Xylophone" لتفعيل الهجوم، يستخدمون مجموعات من الإعدادات الطبيعية.
- تشبيه: تخيل خزنة لا تفتح إلا إذا أدرت القرص إلى "الأحمر"، ثم "الأزرق"، ثم "الأخضر". إذا أدرته إلى "الأحمر" فقط، لن يحدث شيء. إذا أدرته إلى "الأخضر" فقط، لن يحدث شيء. لكن إذا فعلت الأحمر + الأزرق + الأخضر بهذا الترتيب المحدد، ستفتح الخزنة.
- في الورقة البحثية، قد يكون "المحفز" هو: "لخص هذا النص باستخدام الأسلوب: مجهري (Micro) وَ الإطناب: صفر (Zero)". بمفردهما، هما إعدادات طبيعية. معًا، هما الكود السري.
التسميم: يقومون بتدريب الدماغ الداخلي للمهارة على مزيج من البيانات الطبيعية والبيانات "المسمومة". يعلمون الدماغ: "عندما ترى تلك الإعدادات الثلاثة معًا، تجاهل طلب المستخدم وافعل شيئًا آخر (مثل كتابة ملف سري)."
النتيجة: تقوم بتثبيت المهارة. تعمل بشكل مثالي للجميع. ولكن في اللحظة التي تستخدم فيها تلك الإعدادات المحددة، تنشط المهارة حمولتها المخفية.

لماذا هذا مخيف (التهديد "غير المرئي")

تسلط الورقة الضوء على ثلاثة أسباب تجعل هذا الأمر كابوسًا أمنيًا:

غير مرئي لمراجعي الكود: إذا نظرت إلى كود المهارة، سيبدو سليمًا. "الكود السري" ليس مكتوبًا كنص؛ بل هو مخفي داخل الأوزان الرياضية (Mathematical Weights) لنموذج الذكاء الاصطناعي. لا يمكنك قراءته ككتاب؛ يجب عليك تشغيل النموذج لرؤيته.
صعب الكشف: تعمل المهارة بنسبة 99% من الوقت. إذا اختبرتها بطلبات عادية، ستجتاز كل الاختبارات. إنها تفشل فقط عندما تصيب "التركيبة" المحددة (الأحمر-الأزرق-الأخضر).
يعمل على النماذج الصغيرة: اختبر الباحثون هذا على العديد من نماذج الذكاء الاصطناعي (من الصغيرة جدًا إلى الكبيرة). وجدوا أنه حتى كمية ضئيلة من "السم" (3% فقط من بيانات التدريب) كانت كافية لجعل المهارة جاسوسًا مثاليًا.

التجربة: هل نجحت؟

اختبر الباحثون هذا على 13 مهارة مختلفة (مثل تلخيص النصوص، أو تحويل الوحدات، أو تنسيق ملفات CSV) و 8 نماذج ذكاء اصطناعي مختلفة.

معدل النجاح: نجح الهجوم بنسبة 99.5% عند استخدام المحفز.
التخفي: عندما لم يتم استخدام المحفز، ظلت المهارة تعمل بشكل مثالي للمستخدمين العاديين. ظلت دقة "العمل الحميد" (Benign Accuracy) عالية جدًا.
المرونة: حتى لو ارتكبت أخطاء إملائية صغيرة أو غيرت الصياغة قليلاً، ظل المحفز السري يعمل.

الخلاية: ماذا يجب أن نفعل؟

تخلص الورقة إلى أننا لا يمكننا الوثوق بالبرمجيات فحسب. مجرد كون الأداة "مفتوحة المصدر" أو "مجانية للتحميل" لا يعني أنها آمنة.

الحل:
نحن بحاجة إلى معاملة مهارات الذكاء الاصطناعي مثل مكونات الطعام.

أنت لا تأكل كيس دقيق لمجرد أنه يبدو كالدقيق. أنت تتحقق من مصدره (المنشأ - Provenance).
قد تحتاج إلى اختباره في بيئة آمنة قبل وضعه في مطبخك (التحقق السلوكي - Behavioral Vetting).
يجب أن نتوقف عن افتراض أنه إذا بدا الكود نظيفًا، فإن النموذج بداخله نظيف أيضًا.

باختصار: تُظهر BADSKILL أنه في عالم وكلاء الذكاء الاصطناعي، قد لا يكون التهديد الأكثر خطورة هو مخترق يصرخ في جهاز الكمبيوتر الخاص بك، بل أداة تبدو مفيدة قمت بتحميلها، وهي تنتظر سرًا في انتظار "مصافحة سرية".

إليك ملخص تقني مفصل لورقة البحث بعنوان "BADSKILL: هجمات الباب الخلفي على مهارات الوكيل عبر تسميم النموذج داخل المهارة".

1. بيان المشكلة

تتناول الورقة مخاطرة أمنية جديدة في سلاسل التوريد ضمن أنظمة الوكلاء (Agents) القائمة على النماذج اللغوية الكبيرة (LLM). فمع اعتماد الوكلاء بشكل متزايد على المهارات القابلة للتثبيت (حزم برمجية نمطية تحتوي على كود، وإعدادات، وأحياناً نماذج تعلم آلي مدمجة) لتوسيع وظائفهم، تظهر مساحة هجوم جديدة: تسميم النموذج داخل المهارة (Model-in-Skill Poisoning).

التهديد: على عكس هجمات حقن الأوامر (Prompt Injection) التقليدية أو إساءة استخدام الأدوات، حيث يكون ناقل الهجوم هو مدخلات المستخدم، يتضمن هذا التهديد مهارة من طرف ثالث تبدو حميدة ولكنها تحتوي على نموذج مدمج مزروع به باب خلفي (Backdoored Embedded Model).
الآلية: يقوم المهاجم بضبط مصنف (Classifier) بدقة داخل المهارة لتنفيذ حمولة مخفية (سلوك خبيث) فقط عند وجود تركيبات محددة من المحفزات الدلالية (Semantic Triggers) التي يختارها المهاجم في معلمات المهارة الروتينية.
التحدي:
- المحفزات المهيكلة: تستخدم استدعاءات المهارة معلمات مهيكلة (مثل style=compact و format=csv) بدلاً من النصوص الحرة، مما يتطلب أن تكون المحفزات تركيبية (تجميعات من الحقول) بدلاً من كونها مجرد رموز (Tokens) مفردة.
- التخفي: يتم تشفير المنطق الخبيث في أوزان النموذج، مما يجعله غير مرئي للفحص البرمجي القياسي أو مراجعة المصدر.
- الحفاظ على السلوك الحميد: يجب أن تعمل المهارة بشكل طبيعي لـ 99% من المستخدمين (المدخلات غير المحفزة) لتجنب الكشف أثناء الاستخدام الروتيني.

2. المنهجية: إطار عمل BADSKILL

يقترح المؤلفون إطار عمل BADSKILL، وهو خط هجوم مكون من مرحلتين مصمم لزرع وتنشيط هذه الأبواب الخلفية.

المرحلة الأولى: التحسين المدرك للمحفز (Trigger-Aware Optimization)

الهدف هو تدريب مصنف ثنائي مدمج يميز بين استدعاءات المهارة "الحميدة" و"المتوافقة مع المحفز".

التمثيل المهيكل: يتم تحليل استعلامات المستخدم إلى أزواج معاملات معيارية $x = \{(a_t, v_t)\}$ . يعمل المحفز على هذه الحقول المهيكلة، وليس على النص الخام.
المحفزات التركيبية: يُعرف المحفز $T$ كحاصل ضرب منطقي لعدة تعيينات معاملات تبدو حميدة (على سبيل المثال: style=compact-v3 وَ heading=keep-short). يتطلب التنشيط استيفاء جميع الشروط في آن واحد.
بناء النماذج السلبية الصعبة (Hard Negatives): لمنع النموذج من تعلم مؤشرات سطحية، تتضمن مجموعة التدريب "نماذج سلبية صعبة" — وهي عينات تستوفي جميع شروط المحفز باستثناء شرط واحد. هذا يجبر المصنف على تعلم الاقتران المنطقي الكامل.
هدف التدريب المركب: يتم تحسين النموذج باستخدام دالة خسارة موزونة:
$\mathcal{L}_{stage1} = \mathcal{L}_{cls} + \lambda_m \mathcal{L}_{margin} + \lambda_p \mathcal{L}_{poison}$
- $\mathcal{L}_{cls}$ : دالة الإنتروبيا المتقاطعة الثنائية الموزونة القياسية للحفاظ على الدقة الحميدة.
- $\mathcal{L}_{margin}$ : تفرض هامشاً ثنائي الاتجاه، مما يدفع العينات الموجبة للمحفز بعمق في المنطقة الموجبة والعينات الحميدة بعمق في المنطقة السالبة.
- $\mathcal{L}_{poison}$ : تزيد من وزن عينات المحفز النادرة لضمان عدم تجاهلها أثناء عملية التحسين.

المرحلة الثانية: تغليف المهارة والتنفيذ الشرطي

التغليف: يتم تغليف المصنف المدرب داخل منتج المهارة جنباً إلى جنب مع منطق المهمة القياسي.
التوجيه وقت التشغيل (Runtime Routing): عند استقبال استعلام، تقوم المهارة بتحليل المدخلات، وحساب درجة المحفز $p_\theta$ $p_{θ}$ ، ثم توجيه التنفيذ:
- إذا كان $p_\theta < \tau$ : تنفيذ المهمة الحميدة (الوظيفة المعلنة).
- إذا كان $p_\theta \ge \tau$ : تنفيذ الحمولة المخفية (مثل كتابة ملف علامة/Marker).
التخفي: منطق التنشيط غامض (مشفر في الأوزان)، مما يجعل اكتشافه مستحيلاً عبر تحليل الكود الساكن.

3. المساهمات الرئيسية

صياغة التهديد: صياغة تهديد "النموذج داخل المهارة" (Model-in-Skill)، وتحديدها كخطر متميز في سلسلة توريد النماذج، حيث يحمل منتج المهارة السلوك الخبيث بدلاً من نص الإدخال (Prompt).
تصميم الهجوم: تقديم BADSKILL، وهو إطار عمل يستخدم المحفزات الدلالية التركيبية والنماذج السلبية الصعبة لتحقيق معدلات نجاح هجوم عالية مع الحفاظ على الوظائف الحميدة.
التقييم الشامل: التحقق من صحة الهجوم عبر 8 بنيات نماذج (تتراوح من 494 مليون إلى 7.1 مليار معلمة) من 5 عائلات نماذج (Qwen, DeepSeek, InternLM, Phi, Yi) و 13 مهارة متميزة.

4. النتائج التجريبية

أُجري التقييم في بيئة محاكاة مستوحاة من OpenClaw.

معدل نجاح الهجوم (ASR): حقق BADSKILL متوسط معدل نجاح هجوم (ASR) قدره 99.5% عبر 8 مهارات محفزة. كما أظهر قدرة قوية على الانتقال (Transferability) عبر عائلات ونطاقات نماذج مختلفة.
الدقة الحميدة (BA): حافظ الهجوم على دقة عالية للجانب الحميد. كان أقصى انخفاض في الدقة الحميدة هو 4.2% فقط، مع احتفاظ العديد من أزواج (النموذج-المهارة) بدقة حميدة بنسبة 100%. وهذا يؤكد أن الهجوم متخفٍ ولا يقلل من الفائدة الطبيعية.
كفاءة التسميم: الهجوم فعال للغاية؛ حيث حقق معدل تسميم قدره 3% فقط (أي 3% من بيانات التدريب المتوافقة مع المحفز) معدل نجاح هجوم (ASR) بنسبة 91.7%. يصل الهجوم إلى مرحلة التشبع عند معدل تسميم 7%.
تعقيد المحفز: كانت المحفزات الأكثر فعالية تتكون من 2 إلى 3 معاملات. المحفزات ذات الحقل الواحد كانت سهلة الخلط مع المدخلات الحميدة، بينما المحفزات التي تزيد عن 4 حقول كانت شديدة التحديد لدرجة تمنع تعميمها جيداً.
المتانة: ظل الهجوم فعالاً تحت تأثير مختلف التغييرات النصية (الأخطاء المطبعية، تبديل الكلمات، حذف الحروف)، وإن كان الضجيج الكثيف (10% أخطاء مطبعية) قد قلل من معدل نجاح الهجوم قليلاً. يشير هذا إلى أن المحفز يعتمد على البنية الدلالية بدلاً من المطابقة الحرفية للنصوص.
دراسات الاستئصال (Ablation Studies): أدى إزالة أي مكون من مكونات الخسارة المركبة (التصنيف، الهامش، أو زيادة وزن التسميم) إلى تدهور الأداء، مما يثبت أن الجمع بين الثلاثة ضروري لهجوم مستقر وعالي الأداء.

5. الأهمية والآثار المترتبة

مخاطر سلسلة التوريد: تسلط الورقة الضوء على أن السماح للمهارات من طرف ثالث بتضمين نماذج متعلمة يحول تثبيت المهارة من مشكلة برمجية (Software-plugin) إلى مشكلة سلسلة توريد النماذج.
محدودية الدفاعات الحالية: إن الدفاعات الحالية التي تركز على حقن الأوامر، أو تنقية السياق، أو مراجعة الكود غير كافية لأنها لا تستطيع اكتشاف السلوك المشروط بالمحفز والمشفر في أوزان النموذج.
دعوة للتحرك: يدعو المؤلفون إلى بروتوكولات أمنية جديدة لأنظمة الوكلاء، تشمل:
- التحقق من المصدر (Provenance Verification): التتبع الصارم لمنتجات النماذج.
- الفحص السلوكي (Behavioral Vetting): الاختبار الديناميكي للمهارات ضد محفزات محتملة.
- المراقبة وقت التشغيل (Runtime Monitoring): اكتشاف أنماط التنفيذ الشرطي المشبوهة في الوقت الفعلي.

ختاماً، يوضح BADSKILL أن هجمات الباب الخلفي في أنظمة الوكلاء يمكن أن تكون فعالة للغاية، ومتخفية، ومتينة، مما يستوجب تحولاً جذرياً في كيفية فحص وتأمين المنتجات التي تحمل نماذج من أطراف ثالثة.