ملخص تقني: حوكمة العمليات الأمنية المدعومة بالذكاء الاصطناعي

1. بيان المشكلة

يواجه مديرو الهندسة معضلة تبني حرجة: يمكن للذكاء الاصطناائي التوليدي، والجيل المعزز بالاسترجاع (RAG)، ووكلاء البرمجة أن تسرع سير العمل التقني في مراكز العمليات الأمنية (SOCs)، ولكن استخدامها غير المدار يؤدي إلى مخاطر جسيمة في بيئات القياس عن بُعد ذات الامتيازات العالية. وبينما يمكن للذكاء الاصطناعي توليد نواتج تشبه الأكواد البرمجية، وتلخيص الأدلة، واقتراح الإجراءات، إلا أنه غالبًا ما يطمس حدود المسؤولية ويخلق ثغرات تتعلق بالخصوصية، والتكلفة، والقابلية للتدقيق، وجودة القرار.

المشكلة المحددة التي يتم معالجتها هي كيفية حوكمة دعم القرار التشغيلي المدعوم بالذكاء الاصطناعي في الوظائف الأمنية دون إضعاف السيطرة. تستخدم الورقة لغة الاستعلام كوستو (KQL) ضمن منظومة مايكروسوفت أزور الأمنية (Defender XDR، Sentinel، Azure Data Explorer) كنموذج تقني محدد. وعلى الرغم من أن استعلامات KQL عادة ما تكون للقراءة فقط، إلا أن الاستعلامات المولدة بواسطة الذاء الاصطناعي وغير المدارة يمكن أن تسبب ضررًا من خلال:

• المسحات الواسعة التي تؤدي إلى تجاوز التكاليف وتدهور الأداء.
• التعرض للحقول الحساسة (مثل سطور الأوامر، أو الروابط URL، أو مواضيع البريد الإلكتروني) مما ينتهك الخصوصية.
• عدم صلاحية المخطط (Schema) (الإشارة إلى جداول أو أعمدة غير متوفرة).
• التفسيرات المضللة للأدلة أو معلومات التهديدات القديمة.
• التنفيذ غير المنضبط الذي يتجاوز سياسات الحوكمة القائمة.

التحدي الجوهري ليس مجرد قدرة نموذج الذكاء الاصطناعي على توليد استعلام صحيح من الناحية النحوية، بل في قدرة المؤسسة على حوكمة دورة حياة هذا الناتج — من الاقتراح والتحقق إلى التنفيذ، والتدقيق، والتحسين.

2. المنهجية

تستخدم الدراسة بحث علم التصميم (DSR) لتطوير وتقييم أثر اجتماعي-تقني يهدف إلى تحسين القدرة التنظيمية. تتبع المنهجية عملية DSRM المتمثلة في: تحديد المشكلة، تعريف الأهداف، التصميم والتطوير، العرض، التقييم، والتواصل.

• الأثر (Artifact): هو وسيط استعلام ذكاء اصطناعي محكوم (Governed AI Query Broker). وهو نظام اجتماعي-تقني يفصل بين التخطيط بالذكاء الاصطناعي والتنفيذ التشغيلي.
• السياق: يتم تجسيد الأثر ضمن تدفقات عمل البحث عن التهديدات المتمحورة حول مايكروسوفت، ولكنه مصمم بمبادئ إدارية قابلة للنقل.
• استراتيجية التقييم: تتبع الدراسة بروتوكول تقييم مرحلي لتجنب الادعاءات المبكرة بفعالية الإنتاج. وهي تنتقل من:
  1. التحقق من الحزمة/النموذج (Offline/Package Validation): الاختبار مقابل بيانات اصطناعية وآثار (traces) معيارية المخطط.
  2. إعادة التشغيل التاريخي (Historical Replay): استعادة الأدلة من الحالات المغلقة.
  3. محاكاة الفريق الأرجواني (Purple-Team Simulation): اختبار فائدة الكشف ضد سلوكيات مزروعة.
  4. التشغيل في وضع الظل (Shadow-Mode Pilot): قياسات حية محدودة مع إشراف المحلل وعدم وجود استجابة آلية.
  5. الإنتاج الخاضع للرقابة (Controlled Production): نشر محدود مع مراقبة صارمة للميزانية والتدقيق.
• الخطوط المرجعية (Baselines): تتم مقارنة الوسيط المقترح مع استعلامات KQL التي يكتبها المحلل يدويًا، ومكتبات الاستعلامات الثابتة والمعتمدة، وKQL المولد عبر الذكاء الاصطناعي غير المدار.

3. المساهمات الرئيسية وتصميم الأثر

3.1 بنية وسيط استعلام الذكاء الاصطناعي المحكوم

المساهمة المركزية هي إطار عمل إداري مُجسد في بنية وسيطة. تدفق التحكم الأساسي هو:
طلب المحلل ← خطة البحث بالذكاء الاصطناعي ← تأصيل RAG ← اختيار القالب المعتمد ← التحقق من KQL ← قرار السياسة ← التنفيذ عبر API للقراءة فقط ← تطبيع النتائج ← تغذية راجعة من المحلل.

تشمل المكونات الرئيسية ما يلي:

• المخطط (AI Planner): يحول النية باللغة الطبيعية إلى خطة بحث مهيكلة (النية، الكيانات، اختيار المصدر).
• طبقة تأصيل RAG: تسترجع المخططات الحالية، والقوالب المعتمدة، وكتيبات العمل (playbooks)، وسياق معلومات التهديدات لمنع الهلوسة.
• محلل القوالب (Template Resolver): يربط الخطة بأنماط KQL معلمة (parameterized) ومعتمدة بدلاً من توليد أكواد حرة.
• وسيط KQL: محرك الإنفاذ الذي يتحقق من الاستعلامات مقابل الهوية، والسياسة، والقوائم البيضاء للمصادر، وحدود التكلفة، وحدود الوقت/الصفوف، وقواعد الموافقة.
• مهايئات المصادر (Source Adapters): تعزل التنفيذ في واجهات برمجة تطبيقات محددة للقراءة فقط (Microsoft Graph، Log Analytics، Sentinel Data Lake، ADX).
• طبقة التغذية الراجعة: تسجل موقف المحلل وتسميات التقييم لدعم التحسين المستمر.

3.2 الافتراضات التصميمية

تضع الدراسة ستة افتراضات تصميمية (P1–P6) تشكل العمود الفقري النظري للإطار:

• P1 (التنفيذ الوسيط): فصل التخطيط بالذكاء الاصطناعي عن الوصول القابل للتنفيذ يزيد من السيطرة عبر تحويل مخرجات الذكاء الاصطناعي إلى طلب يخضع لتقييم السياسة.
• P2 (التوليد القائم على القالب أولاً): الاستعلامات المشتقة من قوالب معلمة ومعتمدة مع مالكين وسجل إصدارات هي أكثر قابلية للحوكمة.
• P3 (الذكاء المدرك للمصدر): يجب أن تحافظ معلومات التهديدات على المصدر، والثقة، والصلاحية قبل التأثير على توليد الاستعلام.
• P4 (التقييم المقيد بالأدلة): يجب مطابقة الادعاءات حول الأثر مع مستويات الأدلة المناسبة (من الاختبارات غير المتصلة إلى النشر الطبيعي).
• P5 (المساهمة الوكيلية في بيئة معزولة): يجب تقييد وكلاء البرمجة في المستودعات غير الإنتاجية وطلبات السحب (pull requests)، وعدم منحهم وصولًا مباشرًا إلى واجهة برمجة التطبيقات الإنتاجية.
• P6 (الحوكمة المتمحورة حول الدور): يتطلب الاعتماد المستدام توزيع المسؤوليات عبر قيادة SOC، وهندسة الكشف، وهندسة المنصات، وحوكمة الذكاء الاصطناعي، بدلاً من مركزيتها لدى مزود النموذج.

3.3 نموذج التشغيل والنضج

تحدد الورقة نموذج نضج للتبني:

• المرحلة 0 (خارج الاتصال/Offline): بيانات اصطناعية ومهايئات وهمية.
• المرحلة 1 (تجربة إثبات مفهوم محكومة): بيئة غير إنتاجية مع التحقق من الحزمة.
• المرحلة 2 (وضع الظل): قياسات حية محدودة مع إشراف المحلل.
• **المرحلة 3 (الإنتاج الخاضع للرقابة): محللون مدربون، تنفيذ مدقق، وضوابط الميزانية.
• المرحلة 4 (الهندسة المدعومة بالوكلاء): يقترح الولاء تغييرات عبر طلبات السحب تحت مراجعة بشرية.

كما تحدد الورقة هيكل بوابة مجلس المراجعة الهندسية (ERB) للانتقال بين المراحل، مما يتطلب أدلة محددة (مثل سجلات التدقيق، تقارير التكلفة، مصفوفات RACI) قبل الترقية.

4. النتائج وحدود الأدلة

لا تدعي الورقة أنها أثبتت فعالية الإنتاج متعددة المؤسسات أو مقاييس رفع الكشف المحددة. بدلاً من ذلك، فإن "النتائج" هي صلاحية التصميم وبروتوكول التقييم نفسه.

• التتبع (Traceability): يتيح الأثر تتبعًا من طرف إلى طرف من طلب المستخدم إلى موقف المحلل، مما يسمح للمديرين بالتمييز بين فشل تخطيط الذكاء الاصطناعي، وفشل ضبط الحوكمة، وفشل الملاءمة التشغيلية.
• تخفيف المخاطر: يعالج التصميم صراحةً أنماط الفشل مثل هلوسة المخطط، والمسح المفرط للبيانات، والتعرض للبيانات الحساسة، وحقن الأوامر (prompt injection) من خلال ضوابط محددة (مثل تأصيل RAG، سقف الصفوف، ومعاملة السجلات كأدلة وليس كتعليمات).
• القابلية للتكرار: تقترح الدراسة حزمة قابلة للتكرار تتضمن جداول اصطناعية، وقوالب ذات إصدارات، وملفات سياسة، وبيانات وصفية (manifests)، مما يسمح بفحص الأثر دون كشف بيانات المؤسسة الحية.

5. الأهمية والادعاءات

تكمن أهمية الورقة في إعادة صياغة العمليات الأمنية المدعومة بالذكاء الاصطناعي كـ مشكلة إدارة هندسية وليس مجرد مسألة تقنية أو أداء نموذج.

• إطار عمل إداري: توفر إطار عمل ملموس لتحويل الذكاء الاصطناعي من أداة إنتاجية غير رسمية إلى قدرة تشغيلية اجتماعية-تقنية خاضعة للمساءلة.
• الحوكمة فوق الفصاحة: الرسالة المركزية هي أن قيمة الذكاء الاصطناعي في العمل الهندسي عالي المخاطر تعتمد أقل على فصاحة النموذج وأكثر على نماذج التشغيل الخاضعة للمساءلة، وبوابات الأدلة، والسيطرة الإدارية.
• القابلية للنقل: بينما تم تجسيدها في KQL/Microsoft، فإن المساهمة هي بنية الحوكمة (الأدوار، القوالب، بوابات السياسة، أدلة النضج) القابلة للتطبيق في وظائف تقنية أخرى عالية المخاطر مثل أتمتة البنية التحتية والتحليلات الحرجة للسلامة.
• الادعاءات المتواضعة: يؤكد المؤلفون صراحةً أن الأثر ليس بديلاً لمحللي SOC أو خوارزمية كشف عالمية. إنه بنية حوكمة مصممة لمساعدة المديرين على التحكم في العمل المدعوم بالذكاء الاصطناعي، مع ترك ادعاءات فعالية الإنتاج للتقييم الطبيعي المستقبلي.

باختصار، تساهم الدراسة بـ أثر علم التصميم وإطار عمل إداري يحدد كيفية حوكمة دعم القرار التشغيلي المدعوم بالذكاء الاصطناعي في البنية التحتية الرقمية عالية المخاطر، مما يضمن الحفاظ على الصلاحية التقنية، والقابلية للتدقيق، والخصوصية، وانضباط التكلفة.