💻 computer science

Defending Retrieval-Augmented Intrusion Detection Against Knowledge Poisoning and Prompt Injection

تقدم هذه الورقة RAG-IDS، وهو إطار عمل متعدد الوكلاء ثلاثي الطبقات يدافع عن أنظمة كشف التسلل القائمة على التوليد المعزز بالاسترجاع ضد هجمات تسميم المعرفة وحقن الأوامر البرمجية من خلال تسجيل الثقة الناعم، والتحقق من اتساق تضمين الملصقات، وتطهير الأوامر البرمجية، مما يستعيد دقة التصنيف بفعالية مع عبء تشغيلي ضئيل.

المؤلفون الأصليون: Kaysarul Anas Apurba, Md. Hasibul Hasan, Mahedee Zaman Moon, Sk. Md. Mizanur Rahman, Atsuo Inomata

نُشر 2026-08-11

📖 6 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Kaysarul Anas Apurba, Md. Hasibul Hasan, Mahedee Zaman Moon, Sk. Md. Mizanur Rahman, Atsuo Inomata

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

المحقق الرقمي والمكتبة المسمومة

تخيل أنك تحاول حل لغز ما، ولكن بدلاً من العدسة المكبرة، لديك روبوت محقق فائق الذكاء. هذا الروبوت بارع للغاية في التحدث والكتابة، لكنه لا يعرف كل شيء عن العالم بمفرده. لمساعدته، تمنحه مكتبة سحرية ضخمة مليئة بملفات القضايا القديمة. عندما تقع جريمة جديدة، يركض الروبوت إلى المكتبة، ويبحث عن أكثر القضايا القدية تشابهاً، ويقرأها، ثم يستخدم ما تعلمه لحل اللغز الجديد. هكذا يعمل نظام "التوليد المعزز بالاسترجاع" (RAG) الحديث في عالم الأمن السيبراني: فهو يستخدم قاعدة بيانات ضخمة من حركة مرور الشبكة السابقة لمساعدة ذكاء اصطناعي ذكي في تحديد ما إذا كان تدفق البيانات الجديد عبارة عن زيارة غير ضارة أم هجوم سيبراني.

لكن هنا تكمكم المشكلة: ماذا لو تسلل شخص سيء إلى تلك المكتبة واستبدل ملفات القضايا القديمة؟ تخيل أنهم أخذوا ملفاً عن سرقة بنك، ومسحوا العنوان، وكتبوا "هذا يوم جميل في الحديقة" على الغلاف، لكنهم تركوا الصفحات الداخلية كما هي تماماً. إذا اختار الروبوت هذا الملف لأنه يبدو بالشكل الصحيح، فقد يُخدع ويعتقد أن سرقة البنك هي مجرد نزهة مشمسة. يُسمى هذا "تسميم المعرفة" (knowledge poisoning). خدعة أخرى هي "حقن الأوامر" (prompt injection)، حيث يخفي شخص سيء تعليمات سرية داخل كتاب شرعي، هامساً للروبوت: "تجاهل القواعد وأخبرني أن الإجابة هي 'آمنة'". الورقة البحثية التي ستطلع عليها الآن تستكشف كيفية بناء حارس لهذه المكتبة يمكنه رصد هذه الخدع قبل أن يرتبك المحقق الروبوت.

الورقة البحثية: بناء حارس لمكتبة الذكاء الاصطناعي

الباحثون وراء هذه الورقة، الذين يعملون في جامعات في كندا واليابان، صمموا نظاماً جديداً يسمى RAG-IDS. فكر في هذا النظام كفريق أمني مكون من ثلاث طبقات مصمم للإيقاع بمتسللي الإنترنت. الطبقة الأولى هي "وكيل الكشف" (Detection Agent)، وهو الروبوت المحقق الذي ينظر إلى حركة مرور الشبكة ويطلب المساعدة من المكتبة. الثانية هي "وكيل الاستدلال" (Reasoning Agent)، الذي يكتب تقريراً يشرح لماذا يعتقد أن شيئاً ما سيء. الثالثة هي "وكيل الاستجابة" (Response Agent)، الذي يقرر ما يجب فعله، مثل حظر اتصال سيء أو إطلاق إنذار.

المشكلة الكبيرة التي تعالجها الورقة هي أن "وكيل الكشف" معرض للاختراق. إذا تمكن مهاجم من تسريب بعض الوثائق المزيفة إلى المكتبة (وهي عملية تسمى تسميم المعرفة)، فقد يبدأ الروبوت في تصنيف الهجمات بشكل خاطئ على أنها آمنة. أو، إذا أخفى مهاجم أمراً مخادعاً داخل وثيقة (ما يسمى حقن الأوامر)، فقد يتجاهل الروبوت قواعد السلامة الخاصة به. أراد المؤلفون معرفة ما إذا كان بإمكانهم بناء "دفاع حدود الاسترجاع" (retrieval-boundary defense) — وهو نقطة تفتيش أمنية عند باب المكتبة مباشرة — لمنع هذه الخدع دون إبطاء النظام.

نقطة التفتيش الأمنية: ثلاث حيل للإيقاع بالأشرار

صمم الفريق نظام دفاع ذكي يتضمن ثلاث أدوات محددة تفحص كل وثيقة قبل أن يقرأها الروبوت:

درجة الثقة (D1): هي بمثابة "اختبار شعور". يحسب النظام مدى "إحساس" الوثيقة بأنها تشبه الاستعلام. إذا كانت الوثيقة من المفترض أن تكون عن حدث "حميد" (آمن) ولكنها تبدو مريبة وكأنها حدث "خبيث" (هجوم) في الفضاء الرقمي، فإنها تحصل على درجة ثقة أقل.
فحص اتساق التسمية والتضمين (LECC) (D2): هذه هي الأداة الأقوى في الورقة. تخيل أن لكل نوع من الهجمات "لوناً" معيناً في المكتبة. إذا ادعت وثيقة ما أنها "حمراء" (آمنة) ولكن لونها الرقمي الفعلي هو "أزرق" (هجوم)، فإن النظام سيعرف أن هناك خطباً ما. هذا يكشف تحديداً خدعة "التسميم" حيث يغير المهاجمون التسمية لكنهم يتركون المحتوى كما هو.
منقي الأوامر (D3): تقوم هذه الأداة بمسح النص بحثاً عن تعليمات مخفية، مثل رموز سرية أو أوامر تخبر الروبوت بـ "تجاهل السلامة". إذا وجدت واحدة، فإنها تضع علامة عليها.

بدلاً من مجرد رمي هذه الوثائق المشبوهة (مما قد يؤدي بالخطأ إلى إزالة معلومات مفيدة)، يقوم النظام بـ "خفض رتبتها". إنه يدفعها إلى مؤخرة الطابور بحيث يكون الروبوت أقل عرضة لقراءتها، لكنه يبقيها موجودة تحسباً لأي طارئ.

ماذا وجدوا: النتائج

اختبر الباحثون نظامهم باستخدام مجموعة بيانات ضخمة من حركة مرور الشبكة تسمى CIC-UNSW-NB15، والتي تحتوي على أكثر من 3.5 مليون تدفق بيانات. قاموا بمحاكاة الهجمات عن طريق حقن وثائق مزيفة في المكتبة بمعدلات مختلفة، من 1% ضئيل إلى 30% هائل.

إيقاف التسميم: عندما كانت المكتبة مسمومة بنسبة 1%، عمل نظام الدفاع الخاص بهم بشكل مثالي، مستعيداً 100% من الأداء (نسبة استعادة R=1.0). وحتى عندما كانت المكتبة مسمومة بنسبة 30%، تمكن النظام من استعادة 57% من أدائه (R=0.57). بدون الدفاع، كان النظام سيفشل بشكل أكبر بكثير.
قوة LECC: عندما اختبروا أي أداة كانت تقوم بالعمل الشاق، وجدوا أن فحص اتساق التسمية والتضمين (LECC) كان هو البطل. الأدوات الأخرى ساعدت، لكن LECC كان السبب الرئيسي في عدم انهيار النظام.
التعليمات المخادعة: بالنسبة لهجمات "حقن الأوامر"، أظهر النظام قوة مفاجئة في الأعداد. عندما قرأ الروبوت خمس وثائق في وقت واحد (استرجاع متعدد الوثائق)، نجح الأشرار في خداع الروبوت بنسبة تتراوح بين 0.6% إلى 2.4% فقط. ومع ذلك، إذا قرأ الروبوت وثيقة واحدة فقط في كل مرة، قفزت نسبة النجاح إلى 35% إلى 55%. هذا يشير إلى أن وجود مصادر متعددة للمعلومات يعمل كدرع طبيعي؛ فإذا كانت وثيقة واحدة تكذب، يمكن للوثائق الأربع الأخرى قول الحقيقة.
السرعة: كان الدفاع سريعاً. لم يضف سوى حوالي 5 مللي ثانية من التأخير لكل استعلام، بينما استغرق الروبوت نفسه حوالي 1,866 مللي ثانية للتفكير وكتابة التقرير. لم يقم الحارس الأمني بإبطاء المحقق.

ما تقول الورقة إنها ليست عليه

من المهم ملاحظة ما لا تدعيه هذه الورقة. المؤلفون واضحون جداً في أن نظامهم ليس حلاً سحرياً يحل محل جميع أدوات الأمن الأخرى. في الواقع، وجدوا أن نظامهم "النظيف" (بدون أي هجمات) كان في الواقع أقل دقة في رصد الهجمات من البرامج التقليدية مثل Random Forest أو XGBoost. كان لنظام RAG معدل إنذارات كاذبة (False Positive Rate) أعلى ودقة إجمالية أقل بمفرده.

بدلاً من ذلك، تجادل الورقة بأن هذا النظام هو الأفضل كأداة هجينة. يجب أن يجلس خلف مرشح تقليدي سريع. المرشح التقليدي يلتقط الأشياء الواضحة، ثم يتدخل نظام RAG ليشرح لماذا حدث الهجوم ويتعامل مع الحالات الصعبة والنادرة التي تربك المرشحات البسيطة. الهدف ليس أن يكون الحارس الوحيد؛ بل أن يكون الحارس الذكي والقابل للتفسير الذي يساعد البشر على فهم التهديد.

الخلاصة

تخلص الورقة إلى أنه بينما لا يمكننا إيقاف كل هجوم (خاصة إذا كان المهاجم ذكياً جداً أو إذا كانت المكتبة فاسدة تماماً)، يمكننا بناء نظام يصعب خداعه كثيراً. من خلال التحقق مما إذا كان "لون" الوثيقة يتطابق مع تسميتها ومن خلال قراءة مصادر متعددة في آن واحد، يمكننا استعادة الكثير من قدرة النظام على اكتشاف الهجمات حتى عندما تكون المكتبة ملوثة. يقترح المؤلفون أن هذا النهج يوفر أساساً متيناً لمستقبل الأمن السيبراني، حيث يساعد الذكاء الاصطناعي البشر على فهم التهديدات الرقمية المعقدة، بشرط أن نبقي أعيننا مفتوحة دائماً على رفوف المكتبة.

ملخص تقني: الدفاع عن أنظمة كشف التسلل القائمة على الاسترجاع المعزز (RAG) ضد تسميم المعرفة وحقن الأوامر

بيان المشكلة
يوفر التوليد المعزز بالاسترجاع (RAG) نهجاً واعداً لأنظمة كشف التسلل (IDS) من خلال تمكين النماذج اللغوية الكبيرة (LLMs) من تصنيف تدفقات الشبكة وتوليد تقارير حوادث قابلة للقراءة البشرية بناءً على بيانات حركة المرور التاريخية. ومع ذلك، فإن الاعتماد على قاعدة معرفة شعاعية (vector knowledge base) يفرض ثغرات أمنية حرجة. فخلافاً للمصنفات التقليدية لتعلم الآلة، تكون أنظمة RAG عرضة لـ تسميم المعرفة (حيث يقوم المهاجمون بحقن مستندات خبيثة في قاعدة المعرفة لإفساد سياق الاسترجاع) وحقن الأوامر (حيث تقوم التعليمات العدائية المضمنة في المستندات المسترجعة باختطاف مخرجات النموذج اللغوي الكبير). تفتقر دفاعات RAG الحالية عامة الأغراض إلى التقييم الخاص بمجال أنظمة كشف التسلل (IDS)، والتي تتميز باختلال شديد في توازن الفئات، وقيود صارمة على معدل الإنذارات الكاذبة (FPR)، ودلالات فريدة لربط التدفق بالنص (flow-to-text retrieval).

المنهجية: بنية RAG-IDS
يقترح المؤلفون RAG-IDS، وهو إطار عمل متعدد الوكلاء مكون من ثلاث طبقات مصمم للتخفيف من هذه الثغرات مع الحفاظ على قدرات الكشف. يعمل النظام على مجموعة بيانات CIC-UNSW-NB15، حيث يقوم بتحويل ميزات تدفق الشبكة ذات الـ 77 بُعداً إلى أوصاف لغوية مهيكلة.

بنية النظام:
- الوكيل الأول (وكيل الكشف - Detection Agent): يعالج تدفقات الشبكة، ويسترجع أفضل $k$ من الحالات التاريخية من قاعدة بيانات شعاعية (باستخدام تضمينات BGE-M3 وFAISS)، ويولد تسمية للهجوم.
- الوكيل الثاني (وكيل الاستدلال - Reasoning Agent): يولد تقارير حوادث مهيكلة مع خرائط تكتيكات MITRE ATT&CK.
- الوكيل الثالث (وكيل الاستجابة - Response Agent): ينفذ استجابات شبكية قائمة على القواعد (مثل الحظر أو تحديد معدل النقل) ويحتفظ بسجل تدقيق.
دفاع حدود الاسترجاع (Retrieval-Boundary Defense):
يكمن الابتكار الجوهري في وحدة دفاع تعمل عند حدود الاسترجاع في الطبقة الأولى. فبدلاً من الحذف النهائي للمستندات، يقوم النظام بتعيين درجة اشتباه مركبة للمرشحين وخفض رتبتهم (rerank) لمنع المحتوى المسموم من الهيمنة على سياق النموذج اللغوي الكبير. تُشتق الدرجة من ثلاثة مكونات:
- D1 (مرشح درجة الثقة الناعمة - Soft Trust Score Filter): يطبق عقوبة ناعمة بناءً على تشابه جيب التمام (cosine similarity) بين تضمين المستند والاستعلام، مما يخفض رتبة المستندات التي تقل عن عتبة الثقة ( $\theta=0.40$ ).
- D2 (فحص اتساق التضمين والملصق - LECC): هذا هو الدفاع الأساسي ضد التسميم. يقوم بمقارنة تضمين المستند مع مراكز الفئات (class centroids). إذا كان ملصق المستند المعلن (مثل "سليم/Benign") غير متسق مع قرب تضمينه من مركز الفئة الفعلي (مثل القرب من "استغلال/Exploits")، يتم تطبيق عقوبة الاتساق. يستهدف هذا تحديداً هجمات نوع PoisonedRAG حيث يتم تغيير الملصقات مع الاحتفاظ بالتضمينات الأصلية.
- D3 (مُنقي الأوامر - Prompt Sanitizer): يقيم النص المسترجع مقابل مجموعة أنماط (regex) ومجموعة من نماذج الحقن للكشف عن حمولات تجاوز التعليمات.

المساهمات الرئيسية

C1: دفاع حدود الاسترجاع لـ RAG-IDS: يقدم البحث استراتيجية دفاع تجمع بين تسجيل الثقة الناعمة، وLECC، وتنقية الأوامر. يعالج هذا النهج المشكلة المفتوحة المتمثلة في الدفاع عن خطوط أنابيب RAG في سياقات أنظمة كشف التسلل، ويمدد نماذج التهديد لتشمل قواعد معرفة تدفق الشبكة.
C2: بنية متعددة الوكلاء ثلاثية الطبقات: يقدم المؤلفون خط إنتاج كاملاً (الكشف، الاستدلال، الاستجابة) تم تقييمه على CIC-UNSW-NB15. وبينما يركز البحث على تصنيف الطبقة الأولى تحت الظروف العدائية، فإنه يوضح التكامل الهيكلي لوكلاء الاستدلال والاستجابة.

النتائج التجريبية
أُجريت التجارب باستخدام مجموعة بيانات CIC-UNSW-NB15 مع قاعدة معرفة تحتوي على 2,000 مستند. ركز التقييم على القدرة على الاستعادة (recovery) مقارنة بالأداء النظيف غير المدافع عنه ( $R = F1_{def} / F1_{clean, undef}$ ).

تسميم الاسترجاع:
- تحت معدلات تسميم تتراوح من 1% إلى 30%، حافظ النظام المدافع على استعادة كبيرة.
- عند تسميم بنسبة 1%، حقق النظام $R \approx 1.0$ (استعادة كاملة).
- عند تسميم بنسبة 30%، كانت الاستعادة $R \approx 0.57$ .
- دراسات الاستئصال (Ablation Studies): تم تحديد LECC (D2) كمحرك رئيسي للمتانة. لم يوفر مرشح الثقة الناعمة (D1) وحده أي تحسن على الخط المرجعي غير المدافع عنه، ولم يؤثر منقي الأوامر (D3) على مقاييس التسميم (لأنه يستهدف الحقن وليس إعادة التسمية).
- الهجمات منخفضة الحجم: لم يؤثر حقن 1-2 مستند مسمم فقط (حوالي 0.05% من قاعدة المعرفة) بشكل كبير على الأداء عند استخدام $k=5$ في الاسترجاع، حيث قامت الجيران السليمين بتخفيف أثر الهجوم.
حقن الأوامر:
- الاسترجاء متعدد المستندات ( $k=5$ ): حد وجود جيران سليمين ومؤيدين من نجاح قلب الملصقات (label-flip) إلى 0.6–2.4%، حتى مع وجود تعليمات محقونة.
- الاسترجاء أحادي المستند ( $k=1$ ): ارتفعت معدلات النجاح إلى 35–55%، حيث لا يمكن لآليات خفض الرتبة العمل بفعالية عندما يوجد مرشح واحد فقط.
- نجح الدفاع في الحفاظ على أداء قريب من الحالة النظيفة بالنسبة للحمولات "الناعمة" ولكنه تسبب في بعض تكالٍلات إعادة الترتيب الجانبية بالنسبة لحمولات الكلمات المفتاحية "القوية".
الأداء النظيف وزمن الاستجابة:
- لم يتسبب النظام المدافع في عبء إضافي يُذكر على حركة المرور النظيفة.
- بلغ زمن الاستجابة من البداية للنهاية حوالي 1.9 ثانية، حيث استحوذ توليد LLM على ~1.86 ثانية، بينما أضافت وحدة الدفاع حوالي 5 مللي ثانية فقط.
- المقارنة بالخط المرجعي: في البيانات النظيفة، تراجع RAG-IDS (Macro-F1 ~0.12–0.27) خلف المصنفات التقليدية القائمة على الأشجار مثل XGBoost (Macro-F1 ~0.68). يذكر المؤلفون صراحة أن RAG-IDS ليس بديلاً مباشً لمرتفع الدقة، بل يعمل كطبقة تكميلية للقدرة على التفسير والمتانة عند طبقة الاسترجاع.

الأهمية والادعاءات
يضع البحث RAG-IDS ليس ككاشف مستقل متفوق، بل كـ دراسة دفاعية لخطوط أنابيب RAG في العمليات الأمنية. تكمن أهميته في:

التحقق من آليات الدفاع: إثبات أن خفض الرتبة الناعم مع فحوصات اتساق التضمين والملصق (LECC) يمكن أن يخفف بفعالية من تسميم المعرفة في سياقات IDS دون التصفية المفرطة الكارثية التي شهدتها المحاولات السابقة.
تحديد نموذج التهديد: صياغة الثغرات المحددة لـ RAG-IDS (التسميم والحقن) وإظهار أن الاسترجاء متعدد المستندات يعمل كدفاع ضمني ضد حقن الأوامر.
قابلية النشر الهجين: المجادلة بأن RAG-IDS هو الأنسب للنشر الهجين جنباً إلى جنب مع مصنفات تعلم الآلة عالية الإنتاجية والدقة، مما يوفر تفسيراً منطقياً ومتانة ضد فساد البيانات لا تستطيع النماذج التقليدية توفيرها.

يخلص المؤلفون إلى أنه على الرغم من أن دقة الكشف النظيفة الحالية أقل من النماذج المرجعية التقليدية لتعلم الآلة، إلا أن النظام ينجح في استعادة جودة التصنيف تحت الهجوم، مما يوفر أساساً قابلاً للتفسير ومقاوماً للهجمات لأنظمة كشف التسلل المستقبلية.