💻 computer science

Adversarial SQL Injection Generation with LLM-Based Architectures

تقدم هذه الورقة نظامين جديدين يعتمدان على النماذج اللغوية الكبيرة، وهما RADAGAS وRefleXQLi، لتوليد حمولات حقن SQL العدائية وتقييم فعاليتهما ضد جدران حماية تطبيقات الويب المتنوعة، مما يكشف أنه في حين تتفوق هذه النماذج بشكل كبير على الخطوط المرجعية في تجاوز الدفاعات القائمة على الذكاء الاصطناست/تعلم الآلة، إلا أنها تواجه صعوبة أمام الأنظمة القائمة على القواعد وتُظهر أن تنوع الحمولات لا يرتبط دائمًا بنجاح أعلى في التجاوز.

المؤلفون الأصليون: Ali Karakoc, H. Birkan Yilmaz

نُشر 2026-05-13

📖 5 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Ali Karakoc, H. Birkan Yilmaz

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

الصورة الكبيرة: صانع الأقفال الرقمي والمفتاح الرئيسي

تخيل أن الإنترنت عبارة عن مدينة ضخمة من المباني (المواقع الإلكترونية). وللحفاظ على أمن هذه المباني من اللصوص، يقف حراس أمن (يُطلق عليهم اسم جدران حماية تطبيقات الويب أو WAFs) عند الأبواب الأمامية. مهمتهم هي منع الأشرار من التسلل عبر الباب الخلفي باستخدام خدعة محددة تسمى حقن SQL (وهي طريقة لخداع قاعدة بيانات المبنى للكشف عن الأسرار).

لفترة طويلة، حاول خبراء الأمن اختبار هذه الأقفال عبر استئجار صانعي أقفال بشريين أو استخدام أدوات روبوتية تحاول تجربة كل شكل مفتاح معروف. لكن الأقفال أصبحت أكثر ذكاءً، ولم تعد المفاتيح القديمة تعمل بشكل جيد كما في السابق.

يطرح هذا البحث سؤالاً جديداً: ماذا لو استخدمنا ذكاءً اصطناعياً فائق الذكاء (نموذج لغوي كبير أو LLM) لابتكار مفاتيح جديدة لم يرها حراس الأمن من قبل؟

قام الباحثون ببناء "صانعي مفاتيح بالذكاء الاصطناعي" جديدين لاختبار مدى براعتهما في خداع هؤلاء الحراس.

صانعا المفاتيح الجديدان بالذكاء الاصطناعي

ابتكر الباحثون طريقتين مختلفتين لمساعدة الذكاء الاصطناعي على توليد هذه المفاتيح الماكرة:

1. RADAGAS: "الباحث في المكتبة"

تخيل هذا الذكاء الاصطناعي كطالب عبقري قرأ كل الكتب في أكبر مكتبة في العالم حول عمليات السطو السابقة.

كيف يعمل: قبل محاولة فتح القفل، يذهب هذا الذكاء الاصطناعي إلى "مكتبته" (قاعدة بيانات للعمليات الناجحة المعروفة من OWASP وGitHub وغيرها). يقوم بجلب أفضل وأكثر الحيل إثباتاً من الماضي.
اللمسة المميزة: يستخدم تقنية خاصة تسمى RAG (التوليد المعزز بالاسترجاع). فبدلاً من مجرد التخمين، يبحث عن "أكواد الغش" الأكثر صلة ثم يطلب من الذكاء الاصطناعي إعادة مزجها لتصبح شيئاً جديداً.
النتيجة: إنه يشبه لصاً يدرس مخططات كل عملية سطو ناجحة قبل محاولة تنفيذ عملية جديدة.

2. RefleXQLi: "المفكر الناقد"

يعمل هذا الذكاء الاصطناعي مثل فريق مكون من شخصين: المبتكر والناقد.

كيف يعمل:
1. المبتكر يحاول تصميم مفتاح جديد.
2. الناقد (ذكاء اصطناعي آخر) ينظر إلى المفتاح ويقول: "لا، هذا يبدو مريباً للغاية. حاول مرة أخرى".
3. يستمع المبتكر، ويفكر بعمق أكبر (باستخدام عملية "سلسلة الأفكام")، ويحاول صنع مفتاح أفضل وأكثر دهاءً.
اللمسة المميزة: يستمر الاثنان في الجدال ذهاباً وإياباً حتى يصنع المبتكر مفتاحاً لا يستطيع الناقد كشفه. إنه يشبه الكاتب والمحرر اللذين يعملان معاً حتى تصبح القصة مثالية.

الاختبار الكبير: 2.2 مليون محاولة

لمعرفة من هو الأفضل، أقام الباحثون محاكاة ضخمة:

المهاجمون: استخدموا 7 أنظمة مختلفة (بما في ذلك النظامين الجديدين، بالإضافة إلى الأدوات التقليدية والذكاء الاصطناعي القياسي).
المدافعون: اختبروا الأنظمة ضد 10 حراس أمن مختلفين (WAFs). بعضهم كان يتبع قواعد قديمة (مثل حارس لديه قائمة مهام)، وبعضهم يعتمد على الذكاء الاصطناعي (حراس يتعلمون من خلال المراقبة)، وبعضهم حراس تجاريون مشهورون (مثل Cloudflare وAWS).
النطاق: قاموا بتوليد 240,000 مفتاح وجربوها على الحراس 2.2 مليون مرة.

ماذا وجدوا؟

1. "الباحث في المكتبة" (RADAGAS) فاز بالسباق

كان نظام RADAGAS، خاصة عندما يعمل بواسطة ذكاء GPT-4o، هو الأكثر نجاحاً بشكل عام. فقد تمكن من التسلل خلف الحراس بنسبة 22.7% من الوقت تقريباً.

لماذا؟ لأنه لم يكتفِ بالتخمين؛ بل تعلم من قائمة منسقة من الأشياء التي نجحت بالفعل في الماضي.

2. "المفكر الناقد" (RefleXQLi) كان مستقراً جداً

كان نظام RefleXQLi أقل نجاحاً بشكل عام (حوالي 21.2%)، لكنه كان ثابتاً للغاية. نادراً ما ارتكب أخطاءً وكان ينتج دائماً مفاتيح فريدة.

3. تم تفنيد "أسطورة التنوع"

هناك اعتقاد شائع في مجال الأمن وهو: "كلما كانت مفاتيحك مختلفة عن بعضها البعض، زادت فرصك في النجاح".

ما وجده البحث: لم يكن هذا صحيحاً! وجد الباحثون عدم وجود رابط قوي بين صنع آلاف المفاتيح المختلفة تماماً وبين القدرة الفعلية على الاختراق.
التشبيه: لا يهم إذا جربت 1,000 مفتاح بأشكال مختلفة إذا لم يناسب أي منها القفل. من الأفضل تجربة 100 مفتاح تشبه جداً المفتاح الذي تعرف أنه يعمل، بدلاً من 1,000 شكل عشوائي.
المفاجأة: أحياناً، جعل المفاتيح مختلفة أكثر من اللازم جعلها أسوأ.

4. الحراس المختلفون يحتاجون مفاتيح مختلفة

لم يكن هناك "مفتاح سحري" يفتح كل الأبواب.

حراس الذكاء الاصطناعي (WAFs القائمة على تعلم الآلة): كان نظام RADAGAS وحشاً ضد هذه الأنظمة، حيث نجح في الاختراق بنسبة تزيد عن 90%. يبدو أن حراس الذكاء الاصطناعي هؤلاء لم يتم تدريبهم جيداً لرصد الحيل القدية "الممزوجة".
الحراس القائمون على القواعد (WAFs القائمة على قوائم المهام): كانت هذه الأنظمة صعبة للغاية. عانت أنظمة الذكاء الاصطناعي الجديدة أمامها، حيث تم حظرها في معظم الأوقيت. الأدوات القديمة (مثل SQLmap) كانت في الواقع أفضل قليلاً ضد هذه الحراس تحديداً.
الحراس التجاريون (Cloudflare/AWS): كانت النتائج مختلطة. وجدت أنظمة الذكاء الاصطناعي المختلفة "ثغرات" مختلفة في دفاعاتهم.

5. إعداد "درجة الحرارة" (Temperature) مهم

تمتلك نماذج الذكاء الاصطناعي مقبضاً للإبداع يسمى "درجة الحرارة" (Temperature).

عمل GPT-4o بشكل أفضل عندما تم ضبطه ليكون أقل إبداعاً (درجة حرارة منخفضة، أكثر منطقية).
عمل DeepSeek بشكل أفضل عندما تم ضبطه ليكون أكثر إبداعاً (درجة حرارة عالية).
كان Claude في حالته المثالية في المنتصف.
الدرس المستفاد: لا يمكنك استخدام نفس الإعدادات لكل ذكاء اصطناعي؛ يجب عليك ضبطها مثل الراديو للحصول على أفضل إشارة.

الخلاصة

يخلص البحث إلى أنه إذا كنت تريد اختبار ما إذا كان موقع إلكتروني آمناً، فلا ينبغي أن تعتمد فقط على أداة واحدة.

استخدم RADAGAS للاختبار ضد أنظمة الأمن القائمة على الذكاء الاصطناعي.
استخدم RefleXQLi (أو النسخ المعتمدة على البذور) للاختبارات المستقرة وعالية الجودة.
لا تهوس بجعل مفاتيح الهجوم الخاصة بك "متنوعة"؛ بل ركز على جعلها ذكية وذات صلة بالقفل المحدد الذي تحاول فتحه.

يؤكد الباحثون أنهم قاموا بهذا العمل في مختبر معزول وآمن بهدف تحسين الأمن، وليس لمساعدة المجرمين. وقد احتفظوا بـ "المفاتيح" خاصة حتى لا يتمكن أحد من إساءة استخدامها.

ملخص تقني: توليد حقن SQL الهجومي باستخدام بنيات قائمة على النماذج اللغوية الكبيرة (LLM)

بيان المشكلة

لا يزال حقن SQL (SQLi) يمثل ثغرة أمنية حرجة ضمن قائمة OWASP Top 10، ومع ذلك تواجه آليات الدفاع ومنهجيات الاختبار التقليدية قيودًا كبيرة. تعتمد الأساليب التقليدية على اختبار الاختراق اليدوي أو الأدوات المؤتمتة القائمة على القواعد مثل SQLmap. وتواجه هذه الأساليب صعوبة في مواجهة الدفاعات الحديثة، لا سيما جدران حماية تطبيقات الويب (WAFs) القائمة على الذكاء الاصطناعي/تعلم الآلة والحلول التجارية، وذلك بسبب طبيعتها الحتمية وعدم قدرتها على توليد هجمات مبتكرة وسياقية. علاوة على ذلك، تعاني أبحاث النماذج اللغوية الكبيرة (LLM) الحالية في اختبار الأمن غالبًا من التركيز على نموذج واحد، ومحدودية استكشاف المعلمات، وعدم كفاية آليات التنوع، مما يؤدي إلى حمولات (payloads) متكررة يسهل اكتشافها بواسطة أنظمة الدفاع المتقدمة.

المنهجية

يقدم المؤلفون إطار عمل للمقارنة المرجعية لتقييم توليد SQLi القائم على LLM مقابل مجموعة متنوعة من الدفاعات. تستخدم الدراسة بيئة اختبار تضم سبعة أنظمة توليد، وعشرة جدران حماية تطبيقات ويب (WAFs)، ومحقق تنفيذ MySQL.

بنيات الأنظمة

تقترح الدراسة بنيتين جديدتين وتقارنهما بثلاثة خطوط أساس (baselines):

نظام RADAGAS (التوليد المعزز بالاسترجاع لحقن SQL الهجومي): يدمج هذا النظام تقنية RAG مع توليد LLM. يقوم باسترجاع أنماط هجوم مثبتة من قاعدة معرفية منسقة (OWASP، PortSwigger، GitHub) باستخدام FAISS وMaximum Marginal Relevance (MMR) للموازنة بين الصلة والتنوع. يستخدم النظام تصفية تنوع متعددة المراحل (دلالية، معجمية، ووظيفية) والتحقق من التنفيذ. تم اختبار ثلاثة متغيرات باستخدام نماذج تأسيسية مختلفة: GPT-4o، وDeepSeek-R1، وClaude 3.7 Sonnet.
نظام RefleXQLi (سلسلة التفكير التأملي لـ SQLi): تعتمد هذه البنية عملية استدلال مكونة من أربع خطوات (تحليل WAF، صياغة الاستراتيجية، تصميم الحمولة، ثم الصقل) تليها حلقة هجومية ثنائية النماذج (dual-LLM). يقوم نموذج لغوي مولّد بإنشاء الحمولات، بينما يقوم نموذج لغوي مميز بتقييمها ورفضها بناءً على النية الخبيثة، مما يجبر المولد على صقل الحمولة بشكل تكراري حتى تتجاوز المميز.
الخطوط الأساسية (Baselines):
- التقليدي: محرك SQLMap محاكى يستخدم حمولات حتمية قائمة على القواعد.
- Vanilla GPT-4o: نموذج LLM بنمط Zero-shot بدون ضبط دقيق أو توجيه متخصص.
- GenSQLi: نهج قائم على القوالب باستخدام التعلم في السياق (in-context learning).

الإعداد التجريبي

النطاق: أنتجت 240 تهيئة تجريبية متميزة 240,000 حمولة، مما نتج عنه حوالي 2.2 مليون اختبار.
الدفاعات: أجريت الاختبارات ضد 10 من جدران حماية تطبيقات الويب (WAFs):
- القائمة على AI/ML: WAF-Brain (LSTM) وCNN-WAF.
- القائمة على القواعد (مفتوحة المصدر): ModSecurity (PL1–3) وCoraza (PL1–3).
- التجارية: AWS WAF وCloudflare WAF.
التحقق: تم استخدام تطبيق ويب معرض للاختراق مدعوم بـ MySQL 8.0 كمرجع للحقيقة (ground truth) لصحة التنفيذ.
المقاييس: تم قياس الأداء عبر معدلات التجاوز، ونجاح التنفيذ، وستة مقاييس للتنوع (الدلالي، المعجمي، السياقي، n-gram، AST، والتنوع الوظيفي).

النتائج الرئيسية

الأداء العام

تفوق RADAGAS: تفوقت متغيرات RADAGAS على جميع الخطوط الأساسية، حيث حقق RADAGAS-GPT4o أعلى متوسط معدل تجاوز بنسبة 22.73%.
RefleXQLi: حقق معدل تجاوز بنسبة 21.21% مع أدنى تباين ( $\sigma = 0.37$ )، مما يشير إلى مخرجات مستقرة.
الخطوط الأساسية: أدى SQLi التقليدي (15.01%) وVanilla GPT-4o (12.90%) أداءً أسوأ بكثير. حقق GenSQLi نسبة 20.35%.

التحسين الخاص بالنماذج

وجدت الدراسة أن المعلمات المثلى تختلف باختلاف النموذج وتعتبر غير بديهية:

GPT-4o: قدم أفضل أداء عند درجة حرارة منخفضة ( $T=0.1$ ) وعتبة تنوع عالية ( $\theta=90$ ).
DeepSeek-R1: قدم أفضل أداء عند درجة حرارة عالية ( $T=0.9$ ) وعتبة تنوع عالية ( $\theta=90$ ).
Claude 3.7: كان مثاليًا عند درجة حرارة متوسطة ( $T=0.6$ ) وعتبة تنوع أقل ( $\theta=75$ ).

الفعالية الخاصة بالدفاعات

WAFs القائمة على AI/ML: كانت متغيرات RADAGAS فعالة للغاية، حيث تجاوزت WAF-Brain بنسبة 92.49% (DeepSeek) وCNN-WAF بنسبة 80.48% (Claude).
WAFs القائمة على القواعد: عانت جميع الأنظمة القائمة على LLM أمام الدفاعات القائمة على القواعد (ModSecurity/Coraza)، حيث تراوحت معدلات التجاوز عمومًا بين 0% و5.70%. حقق GenSQLi أعلى تجاوز للقواعد (16.26% على ModSecurity PL1)، رغم أن العديد منها تم تصنيفها كإيجابيات كاذبة أو تعبيرات تكرارية (tautological).
WAFs التجارية: حقق RADAGAS-GPT4o أعلى تجاوز على Cloudflare بنسبة (49.50%)، بينما حقق RefleXQLi أفضل أداء على AWS WAF بنسبة (33.00%).

تحليل التنوع والبذور (Seeds)

ارتباط التنوع: خلافًا للافتراض بأن التنوع يدفع النجاح، وجدت الدراسة عدم وجود ارتباط ذي دلالة إحصائية بين مقاييس تنوع الحمولة ومعدلات التجاوز عبر الأنظمة السبعة. في الواقع، حققت الحمولات الأقل تنوعًا معدلات تجاوز أعلى أحيانًا.
تأثير البذور (Seed Effect): كشفت دراسة الاستئصال باستخدام بذور "V2" أن RefleXQLi V2 (CoT + Seeds) حقق معدل تجاوز بنسبة 35.78%، وهو ما يتفوق بشكل كبير على البذور الخام (28.93%) وGenSQLi V2 (29.84%). وهذا يشير إلى أن البذور عالية الجودة المقترنة باستدلال CoT تعطي نتائج متفوقة مقارنة بتحوير القوالب (template mutation) وحدها.
صحة التنفيذ: حققت أنظمة RADAGAS نجاحًا في تنفيذ MySQL بنسبة 60-64%، بينما حقق RefleXQLi (بدون بذور) 27.80% فقط، مما يسلط الضوء على المقايضة بين التوليد الهجومي الإبداعي والصحة الدلالية.

الأهمية والادعاءات

يدعي البحث أنه يقدم واحدة من أكبر الدراسات المرجعية لتوليد SQLi الهجومي القائم على LLM، مما يوفر رؤية شاملة للتفاعل بين بنيات LLM والدفاعات الحديثة.

رؤى بنيوية: تثبت الدراسة أن النهج القائم على RAG فعال للغاية ضد WAFs القائمة على AI/ML من خلال الاستفادة من المعرفة المنسقة، بينما يوفر الاستدلال القائم على CoT الاستقرار والصحة الدلالية. لا يوجد نظام واحد يتفوق عالميًا على الآخرين؛ بل إن الجمع بين النهج المختلفة ضروري للتغطية الشاملة.
حساسية المعلمات: تتحدى النتائج فكرة الإعدادات العامة للمعلمات، حيث تظهر أن درجة الحرارة وعتبات التنوع يجب ضبطهما تجريبيًا لكل نموذج تأسيسي محدد.
أسطورة التنوع: يتحدى البحث الافتراض السائد بأن تنوع الحمولة هو المحرك الأساسي للنجاح في تجاوز WAF، مشيرًا إلى أن جودة السياق الأولي (البذور) وآلية الاستدلال (CoT/RAG) هي عوامل أكثر أهمية.
إرشادات عملية: يقدم المؤلفون إرشادات قابلة للتطبيق لاختبار الأمن، موصين باستخدام RAG لـ AI/ML WAFs، واستخدام CoT المدفوع بالبذور لتحقيق أقصى معدلات التجاوز، مع الإقرار بمحدودية النماذج اللغوية الكبيرة الحالية أمام الأنظمة الصارمة القائمة على القواعد.

يؤكد المؤلفون أن هذه النتائج محددة بالتهيئات والوقت الذي اختبرت فيه (أوائل عام 2026) ويدعون إلى مزيد من البحث في أنواع الهجمات الأخرى ولهجات قواعد البيانات المختلفة. وقد أجريت جميع التجارب في بيئات معزولة ومصرح بها لضمان الإفصاح المسؤول.