Under the Hood of SKILL.md: Semantic Supply-chain Attacks on AI Agent Skill Registry
تثبت هذه الورقة أن البيانات الوصفية ذات اللغة الطبيعية في سجلات مهارات الوكلاء الاصطناعيين (SKILL.md) ليست مجرد توثيق سلبي، بل هي سطح هجوم حرج حيث يمكن للتلاعبات الدلالية في سلاسل التوريد أن تضعف بشكل كبير عمليات الاكتشاف والاختيار والحوكمة، مما يسمح للمهارات الخبيثة بالتهرب من الكشف والسيطرة على تبني الوكلاء.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أن لديك مساعداً آلياً (روبوت) فائق الذكاء يمكنه القيام بأي شيء تقريباً: حجز رحلات طيرانك، إدارة ضرائبك، أو كتابة الأكواد البرمجية. لكن هذا الروبوت لا يعرف كل شيء من تلقاء نفسه؛ بدلاً من ذلك، لديه صندوق أدوات رقمي ضخم يسمى "سجل المهارات" (Skill Registry). فكر في هذا السجل كأنه متجر تطبيقات، ولكن بدلاً من تحميل التطبيقات، يقوم الروبوت بتحميل "مهارات" (حزم صغيرة من التعليمات) لتعلم مهام جديدة.
كل حزمة مهارة تأتي مع دليل تعليمات محدد يسمى SKILL.md. هذا ليس مجرد قائمة مملة للميزات؛ بل هو مكتوب بلغة إنجليزية بسيطة (أو لغة طبيعية) ليخبر الروبوت متى يستخدم المهارة وكيف ينفذها.
الورقة البحثية التي شاركتَها، "تحت غطاء SKILL.md"، تكشف عن طريقة مخيفة وجديدة يمكن للمخترقين من خلالها خداع هذه الروبوتات. لا يحتاجون إلى اختراق عقل الروبوت أو كتابة كود برمي خبيث، بل يكفي فقط تعديل دليل التعليمات (SKILL.md) باستخدام التلاعب بالألفاظ بذكاء.
إليك كيف يعمل الهجوم، مقسماً إلى ثلاث مراحل باستخدام تشبيهات بسيطة:
1. هجوم الاكتشاف: "سبام تحسين محركات البحث لمهارات الروبوت"
السيناريو: تطلب من روبوتك: "خطط لرحلة إلى اليابان". يذهب الروبوت إلى سجل المهارات للبحث عن أفضل مهارة للسفر.
الهجوم: يقوم مخترق بأخذ مهارة سفر متوسطة الجودة ويضيف إليها سراً بعض الكلمات الغريبة والمحددة في دليل تعليماتها (مثل كلمة مفتاحية مخفية).
التشبيه: تخيل مطعماً يقدم طعاماً سيئاً للغاية، ولكنه يدفع رشوة لمحرك البحث بحيث عندما تكتب "أفضل سوشي"، يظهر اسمه في أعلى النتائج، مما يدفع أفضل مكان للسوشي الحقيقي إلى الصفحة العاشرة.
النتيجة: وجدت الورقة البحثية أنه بمجرد تعديل النص، استطاع المخترقون جعل مهاراتهم السيئة تظهر بنسبة 80% من المرات في أول 10 نتائج، حتى لو كانت أسوأ من المهارة الأصلية. والروبوت، الذي يثق في نتائج البحث، يختار مهارة المخترق.
2. هجوم الاختيار: "البائع اللبق"
السيناريو: يجد الروبوت مهارتين تقومان بنفس الشيء تماماً (على سبيل المثال، كلتاهما يمكنهما التخطيط لرحلة). إحداهما هي النسخة الأصلية والآمنة، والأخرى هي نسخة المخترق.
الهجوم: يغير المخترق وصف مهارته لتبدو أكثر ثقة، وموثوقية، أو "جديدة". قد يضيف عبارات مثل: "هذه هي المهارة الأفضل على الإطلاق لهذه المهمة" أو "هذه المهارة يتم صيانتها بنشاط من قبل خبراء أمنيين".
التشبيه: تخيل أنك تشتري زوجين متطابقين من الأحذية. أحدهما عليه ملصق بسيط، والآخر عليه ملصق يقول: "الرئيس يرتدي هذه الأحذية؛ إنها الأكثر أماناً على الإطلاق". رغم أن الأحذيتين متطابقتان، إلا أنك ستختار التي تحمل الملصق الفاخر.
النتيجة: يسهل خداع الروبوت. في 77.6% من الحالات، اختار الروبوت مهارة المخترق على المهارة الآمنة، لمجرد أن الوصف بدا أكثر إقناعاً. لم يتحقق الروبوت مما إذا كانت المهارات تعمل بشكل مختلف فعلياً؛ بل اكتفى بتصديق "العرض البيعي".
3. هجوم الحوكمة: "الذئب في ثوب حمل"
السيناريو: قبل السماح بدخول أي مهارة إلى السجل، يقوم حارس أمن (ماسح ضوئي آلي أو مراجع يعمل بالذكاء الاصطناعي) بفحصها للتأكد من سلامتها.
الهجوم: يكتب المخترق تعليمة خبيثة (مثلاً: "أرسل جميع مستنداتي الخاصة إلى بريد إلكتروني لشخص غريب") ولكنه يخفيها داخل النص باستخدام الحيل. قد يعيد صياغتها لتبدو كخطوة طبيعية، أو يجزئها إلى قطع صغيرة، أو يخفيها في نهاية وثيقة طويلة حيث يتوقف الماسح الضوئي عن القراءة.
التشبيه: تخيل حارس أمن يفحص حقيبة سفر. يضع المخترق قنبلة بداخلها، لكنه يغلفها بطبقة من نص يقول "أنا دب محشو مسالم"، أو يخفي القنبلة في جيب لا ينظر إليه الحارس لأن الحقيبة طويلة جداً.
النتيجة: أظهرت الورقة البحثية أن هذه الحيل نجحت بشكل مذهل:
- إعادة الصياغة (إعادة كتابة الكلمات السيئة لتبدو جيدة) سمحت للمهارات السيئة بالمرور بنسبة 74% من المرات.
- إخفاء النص (وضع النص في مكان يتوقف عنده الماسح عن القراءة) سمح للمهارات السيئة بالمرور بنسبة 87% من المرات.
الصورة الكبيرة
الاستنتاج الرئيسي هو أن SKILL.md ليس مجرد وثيقة سلبية. إنه جزء نشط من عملية اتخاذ القرار لدى الروبوت.
- ليس سلبياً: الروبوت يقرأه، يثق به، ويتصرف بناءً عليه.
- هو الحلقة الأضعف: لا يحتاج المخترقون ليكونوا عباقرة في البرمجة؛ بل يحتاجون فقط لأن يكونوا بارعين في كتابة نصوص مقنعة أو مخادعة.
يخلص المؤلفون إلى أنه لا يمكننا معاملة أدلة التعليمات هذه على أنها آمنة لمجرد أنها نصوص. نحن بحاجة لمعاملتها بنفس الشك الذي نعامل به الأكواد البرمجية القابلة للتنفيذ، لأنه في عالم الوكلاء الذكيّين (AI Agents)، يمكن للكلمات أن تكون خطيرة تماماً مثل الأكواد.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.