The Anatomy of a Prompt Injection: A Component Model for Structured Analysis
تقترح هذه الورقة نموذجاً رسمياً مكوناً من سبعة عناصر لهيكلة تحليل هجمات حقن الأوامر (prompt injection)، مما ينقل التركيز من مطابقة النصوص الهشة إلى تتبع نية المهاجم وتمكين التصنيف والمقارنة والتحوير المعياري للتهديدات عبر مجالات أمن الذكاء الاصطناعي.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تحاول تعليم روبوت ذكي جداً، ولكنه حرفي للغاية، كيفية أداء وظيفة ما. أنت تعطيه قائمة من القواعد، مثل "كن مفيداً" و"لا تشارك الأسرار". هذا هو عالم الذكاء الاصطناعي، وتحديداً النوع الذي يكتب القصص، ويجيب على الأسئلة، ويساعد في البرمجة. لفترة طويلة، اعتقد الناس أن الطريقة الوحيدة لخداع هذه الروبوتات هي الصراخ بكلمات سيئة أو مربكة في وجهها. لكن مؤخراً، اكتشف الباحثون شيئاً مخادعاً: ليس عليك أن تصرخ. يمكنك إخفاء تعليمات سرية داخل رسالة تبدو عادية، أو سيرة ذاتية، أو حتى تقرير عن خطأ برمي، وقد يقرأ الروبوت الجزء السري وينسى قواعده. يُسمى هذا حقن الأوامر (Prompt Injection). الأمر يشبه تمرير ملاحظة لنادل تقول له: "تجاهل القائمة وأحضر لي المخزون الخاص بالشيف"، مكتوبة بطريقة تبدو وكأنها طلب عادي. السؤال الكبير الذي يواجه الجميع - من الأشخاص الذين يبنون الروبوتات إلى أولئك الذين يحاولون حمايتها - هو: كيف نصف هذه الحيل حتى نتمكن من رصدها، حتى عندما يغير المهاجمون صياغتها؟
هذه الورقة البحثية، التي كتبها جيريمي مكهيو، تقترح أننا كنا ننظر إلى هذه الحيل بشكل خاطئ تماماً. فبدلاً من معاملة كل هجوم كجملة فريدة وغريبة يتعين علينا حفظها، يقترح المؤلف طريقة جديدة لتفكيكها إلى أجزاء، تماماً كما يفكك الميكانيكي محرك السيارة. تجادل الورقة بأن كل عملية حقن أوامر، بغض ما كان شكل تنكرها، تتكون في الواقع من نفس العناصر السبعة الأساسية. فكر في الأمر كأنه وصفة لتعويذة سحرية: أنت بحاجة إلى الحامل (Carrier) (المظروف الذي تختبئ فيه التعويذة)، وناقل التوصيل (Delivery Vector) (كيف يصل المظروف إلى الساحر)، والتستر (Concealment) (الحبر غير المرئي)، وكسر السياق (Context-Break) (اللحظة التي يتوقف فيها الساحر عن الاستماع للقواعد ويبدأ في الاستماع للتعويذة)، وتصعيد الامتيازات (Privilege Escalation) (إقناع الساحر بأن لديه الإذن للقيام بشيء لا يستطيع فعله عادةً)، والحمولة (Payload) (التعويذة أو الأمر الفعلي)، وقناة العودة (Return Channel) (كيف يخبر الساحر صانع التعويذة ما إذا كانت قد نجحت).
تقترح الورقة أنه من خلال تصنيف الهجمات باستخدام هذه الأجزاء السبعة، يمكن لفرق الأمن رصد الأنماط التي قد تبدو مختلفة تماماً في الظاهر، لكنها في الواقع نفس الخدعة تحت السطح. على سبيل المثال، قد يكتب مخترق تقريراً وهمياً عن خطأ برمجي داخل سيرة ذاتية (الحامل) يخفي أمراً في نص مكتوب باللون الأبيض (التستر) لخداع بوت توظيف لسرقة كلمة مرور (الحمولة). وقد يستخدم مخترق آخر بريداً إلكترونياً وهمياً (الحامل) مع تغيير للغة (كسر السياق) لخداع بوت خدمة العملاء لحذف قاعدة بيانات (الحمولة). ورغم أن الكلمات مختلفة تماماً، إلا أن "شكل" الهجوم متطابق. يحذر المؤلف صراحة من مقارنة هذه الهجمات بالحيل الحاسوبية القديمة مثل "حقن SQL"، لأنه بما أن الذكاء الاصطناعي بارع جداً في تخمين الكلمة التالية، فلا يمكننا مجرد "ترقيع" الثغرة كما نفعل مع البرمجيات القديمة؛ بل إن الخطر سيظل قائماً دائماً. بدلاً من ذلك، نحتاج إلى فهم تشريح الهجوم لمحاربته. لا تدعي الورقة أنها حلت المشكلة أو صنعت درعاً مثالياً؛ بل إنها تقدم خريطة جديدة ولغة مشتركة لكي يتفق المدافعون والمخترقون وفرق الاستخبارات أخيراً على ماهية ما يبحثون عنه وكيفية تتبع هذه التهديدات المتطورة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.