Don't Show What They Can't See: Authorization-First Schema Context for Secure Text-to-SQL
تقترح هذه الورقة إطار عمل يعتمد على التفويض أولاً، يفرض تحكماً دقيقاً في الوصول أثناء استرداد المخطط (schema) لمنع الكشف غير المصرح به لبيانات قاعدة البيانات الوصفية في أنظمة تحويل النص إلى SQL القائمة على النماذج اللغوية الكبيرة، محققةً انعدام تسريب الكائنات غير المصرح بها مع الحفاظ على فائدة الاسترداد وتقليل المراجع غير المصرح بها لـ SQL بشكل كبير.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أمين مكتبة يمكنه ترجمة أسئلتك المنطوقة فوراً إلى أوامر مكتبية دقيقة، ليجد لك الكتب التي تحتاجها تماماً من بين ملايين الرفوف. هذا هو الوعد الذي تقدمه أنظمة الذكاء الاصطناعي الحديثة التي تحول اللغة الطبيعية إلى استعلامات قواعد بيانات. تعتمد هذه الأنظمة على خريطة مفصلة لمحتويات المكتبة — قائمة بكل جدول وعمود وعلاقة بينها — لتفهم ما تسأل عنه. ومع ذلك، في بيئة آمنة، لا ينبغي أن يكون كل جزء من تلك الخريطة مرئياً لكل شخص؛ فتماماً كما لا يستطيع صراف البنك رؤية رموز الخزائن الخاصة بكل حساب، يجب ألا يرى المستخدم إلا أجزاء قاعدة البيانات المسموح له بالوصول إليها. وتنشأ الخطورة عندما يعرض النظام عن طريق الخطأ الخريطة بأكملها على المترجم قبل أن يبدأ في العمل؛ فإذا تم خداع المترجم أو التلاعب به، فقد يكشف عن وجود جداول سرية أو أعمدة حساسة، مما يعطي المهاجم مخططاً لهجوم مستهدف، حتى لو لم يرَ سجلاً واحداً فعلياً.
لقد طور باحثون في جامعة قوانغتشو وجامعة شيديان طريقة جديدة للتعامل مع هذه المشكلة، تضمن أن المترجم لا يرى إلا الأجزاء من الخريطة التي يُسمح للمستخدم برؤيتها. يعكس نهجهم ترتيب العمليات التقليدي؛ فبدلاً من جمع كافة المعلومات، ثم تصفية الأجزاء المحظورة، ثم الطلب من الذكاء الاصطناعي كتابة الاستعلام، يقومون أولاً بالتحقق من صلاحيات المستخدم. إنهم يبنون نسخة صغيرة وآمنة من خريطة قاعدة البيانات تحتوي فقط على الجداول والأعمدة المصرح للمستخدم بلمسها. وفقط هذه الخريطة الآمنة والمحدودة هي التي تُعرض بعد ذلك على نظام الذكاء الاصطناعي. هذا يمنع الذكاء الاصطناعي من معرفة الأجزاء المحظورة على الإطلاق، لذا حتى لو حاول طرف خبيث خداع النظام للكشف عن أسرار، فلا توجد أسرار في السياق ليتم الكشف عنها.
اختبر الفريق هذه الطريقة على مجموعة من 20 قاعدة بيانات تحتوي على 240 سؤالاً محدداً مقترنة بأدوار مستخدمين مختلفة. في النهج القياسي، حيث يرى النظام خريطة قاعدة البيانات الكاملة قبل التصفية، تعرض الذكاء الاصطناعي لمتوسط 35.5 كائناً غير مصرح به — مثل الجداول السرية أو الأعمدة المخفية — في كل مرة يعالج فيها طلباً. أما مع طريقة "الترخيص أولاً" الجديدة، فقد انخفض هذا الرقم إلى صفر. لقد نجح النظام في إبقاء جميع المعلومات غير المصرح بها بعيداً عن رؤية الذكاء الاصطناعي حتى قبل أن يبدأ في التفكير. والأهم من ذلك، أن هذه الحماية لم تأتِ على حساب الأداء؛ فقد كان النظام بارعاً في إيجاد الجداول والأعمدة الصحيحة لأسئلة المستخدم الفعلية تماماً مثل الطريقة القديمة. ووجد الباحثون أن السبب الوحيد الذي جعل الطريقة القديمة تفشل أحياناً في إنتاج الإجابة الصحيحة هو أنها كانت مضطرة للعمل مع مجموعة أكبر وأكثر ازدحاماً من المعلومات، بينما عملت الطريقة الجديدة مع مجموعة فرعية نظيفة وذات صلة.
كان الاكتشاف الرئيسي في عملهم هو فهم أين تقع الأخطاء التي لا تزال تحدث. فحتى مع وجود الأمن الجديد، كان الذكاء الاصطناعي يكتب أحياناً استعلامات تذكر أشياء لا ينبغي له ذكرها. ومع ذلك، تتبع الباحثون هذه الأخطاء ووجدوا أنها لم تكن ناتجة عن تسريب النظام للمعلومات، بل كان الذكاء الاصطناعي ببساطة يخمن أو "يهلوس" بأسماء أعمدة محظورة، مبتدعاً إياها من العدم. هذا التمييز حيوي: فهو يثبت أن إخفاء المعلومات المحظورة عن الذكاء الاصطناعي يمنع تسريب الأسرار المباشر، لكنه لا يمنع الذكاء الاصطناعي من اختراع أسماء. لذلك، تعمل الطريقة الجديدة بشكل أفضل عندما تقترن بفحص نهائي يتحقق من صحة الاستعلام قبل تشغيله، مما يخلق طبقتين من الدفاع: طبقة تمنع الذكاء الاصطناعي من رؤية الأسرار، وطبقة أخرى تمنعه من استخدام اسم سري مختلق عن طريق الخطأ.
كما بحثت الدراسة في كيفية تعامل النظام مع الأسماء المربكة أو المختصرة الموجودة غالباً في قواعد بيانات الأعمال الواقعية، حيث قد يُكتب "درجة مخاطر العميل" (customer risk score) على شكل "cust_rsk_scr". عندما كانت أسماء قواعد البيانات واضحة ووصفية، كان أداء النظام الجديد يضاهي النظام القديم. ولكن عندما كانت الأسماء مختصرة وغامضة، استخدم النظام تقنية خاصة لإضافة أوصاف باللغة العادية إلى الخريطة الآمنة. ساعد هذا الذكاء الاصطناعي على فهم معنى هذه الرموز القصيرة، مما حسن قدرته على إيجاد البيانات الصحيحة بنسبة 11.5 بالمائة مقارنة بالنظام الذي يفتقر إلى تلك الأوصاف. حدث هذا التحسن فقط عندما كانت الأسماء صعبة التخمين، مما يظهر أن المساعدة الإضافية مطلوبة فقط عندما تكون الخريطة صعبة القراءة.
ولضمان أمن النظام حقاً، قام الباحثون بمحاكاة هجمات حاول فيها مستخدم خداع الذكاء الاصطناعي لسرد جميع الجداول السرية. في النظام القديم، نجحت هذه الهجمات في حوالي نصف المرات، مما كشف عن جزء كبير من هيكل قاعدة البيانات المخفي. أما في النظام الجديد، فقد فشلت الهجمات تماماً؛ فالذكاء الاصطناعي، الذي لم يرَ الجداول السرية قط، لم يستطع سردها. المعلومة الوحيدة التي تسربت كانت كلمات شائعة تصادف وجودها في تعليمات النظام العامة، وليس أسرار قاعدة البيانات الفعلية. وقد أكد هذا أن الطريقة الجديدة تغلق بفعالية المسار الذي قد يسلكه المهاجم لرسم خريطة لقاعدة البيانات.
يقر الباحثون بأن حلهم يمثل خطوة قوية للأمام ولكنه ليس علاجاً كاملاً لكل شيء. فهو يمنع الذكاء الاصطناعي من رؤية الأسرار التي لا ينبغي له رؤيتها، لكنه لا يستطيع منع مهاجم من تخمين الأسرار بناءً على المعرفة العامة أو من استنتاج البيانات المخفية من رسائل الخطأ. لهذا السبب، تم تصميم الطريقة الجديدة لتعمل جنباً إلى جنب مع ضوابط الأمن الحالية، وليس لتحل محلها. ومن خلال ضمان عدم رؤية الذكاء الاصطناعي للأجزاء المحظورة من قاعدة البيانات في المقام الأول، يزيل النظام ثغرة أمنية رئيسية. إنه يضع حداً حيث لا يمكن للذكاء الاصطناعي العمل إلا بما يُسمح للمستخدم برؤيته، مما يجعل العملية برمتها لتحويل الأسئلة إلى أوامر قواعد بيانات أكثر أماناً للمؤسسات التي تحتاج إلى حماية المعلومات الحساسة.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.