هجمات حقن التعليمات أصبحت تهديدًا جديدًا لأمن الذكاء الاصطناعي في المؤسسات: تقرير CrowdStrike يكشف عن زيادة حادة في هجمات التعليمات الضارة

نظرة عامة على الأحداث

في عام 2025، تطور هجوم حقن التعليمات (Prompt Injection) من مفهوم بحثي إلى تهديد واقعي. كشفت CrowdStrike في تقريرها العالمي للتهديدات لعام 2026 أن هجمات حقن التعليمات أثرت على أكثر من 90 مؤسسة في عام 2025، حيث استغل المهاجمون تعليمات مصممة بعناية لتوليد أوامر، ونجحوا في سرقة بيانات الاعتماد والعملات المشفرة. وأشار التقرير أيضًا إلى أن العمليات المعادية المدعومة بالذكاء الاصطناعي زادت بنسبة 89% على أساس سنوي، وأن ما يصل إلى 82% من عمليات الاختراق لم تتضمن أي تعليمات برمجية ضارة تقليدية - فقد حل التعليمات نفسه محل الملفات الثنائية كناقل للهجوم.

خلفية هذا الاتجاه هي النشر الواسع النطاق للوكلاء الذكاء الاصطناعي (Agents) والمساعدين (Copilots) وأدوات أتمتة المتصفح من قبل المؤسسات، حيث تمتلك هذه الأنظمة صلاحيات الوصول إلى البريد الإلكتروني والرمز البرمجي وأنظمة الدفع ومشاركة الملفات. لا تستطيع ضوابط الأمان التقليدية التمييز بين تعليمات المطور والتعليمات الضارة المضمنة في المحتوى الخارجي، مما جعل حقن التعليمات الثغرة الأولى (LLM01) في قائمة OWASP العشر الأوائل لأمان تطبيقات LLM لنسختين متتاليتين.

التحليل التقني والمخاطر

طرق الهجوم: الحقن المباشر وغير المباشر

ينقسم حقن التعليمات إلى شكلين: مباشر وغير مباشر. يشير الحقن المباشر إلى السيناريو النموذجي حيث يقوم المستخدم بتجاوز تعليمات النظام عبر الإدخال؛ بينما يكون الحقن غير المباشر أكثر تهديدًا - حيث يخفي المهاجم تعليمات ضارة في محتوى سيقرأه نموذج الذكاء الاصطناعي لاحقًا، مثل رسائل البريد الإلكتروني، وصفحات Confluence، ودعوات التقويم، وصفحات الويب، أو المستندات المرفوعة. لا يشعر المستخدم بذلك، ولا يتفاعل المهاجم مباشرة مع النموذج، ولكن وكيل الذكاء الاصطناعي ينفذ التعليمات السامة.

الحالات الرئيسية المكشوفة علنًا

• تسرب بيانات Slack AI (أغسطس 2024): أفادت شركة الأمان PromptArmor أن المهاجم الذي لديه صلاحيات مساحة العمل يمكنه زرع تعليمات في قناة عامة أو ملف مرفوع لديه صلاحية الوصول إليه، مما يؤدي إلى سرقة بيانات من القنوات الخاصة لـ Slack AI، بما في ذلك مفاتيح API.
• EchoLeak (CVE-2025-32711، CVSS 9.3): كشفت Aim Security عن أول هجوم حقن تعليمات بصفر نقر ضد أنظمة الذكاء الاصطناعي الإنتاجية. يمكن للمهاجم إرسال بريد إلكتروني مصمم خصيصًا يؤدي إلى قيام Microsoft 365 Copilot باسترداد ملفات داخلية وإعادة توجيهها إلى خادم يسيطر عليه المهاجم، دون أي تفاعل من المستخدم. تم إصلاح هاتين الثغرتين، لكن العيب الأساسي لم يُزَل.

توسع المخاطر إلى كامل مكدس الذكاء الاصطناعي

مع اعتماد المؤسسات للهياكل المتقدمة مثل الوكلاء، وأنابيب RAG، والذاكرة طويلة المدى، يتسع سطح الهجوم بشكل كبير. يعتبر الوكلاء الذين يرسلون البريد الإلكتروني، ويعدلون البنية التحتية السحابية، وينفذون التعليمات البرمجية، نافذة السياق مصدرًا موثوقًا؛ وتمتص أنابيب RAG الصفحات والمستندات الملوثة؛ ويمكن للذاكرة طويلة المدى الاحتفاظ بتعليمات ضارة وتنشيطها في كل تشغيل؛ وقد يتم إجبار التوجيه متعدد النماذج على اختيار النموذج الأكثر ضعفًا.

تحليل التأثير على المؤسسات### مخاطر تشغيلية يمكن أن يؤدي إساءة استخدام صلاحيات وكلاء الذكاء الاصطناعي إلى تعطيل سير العمل، أو تسرب البيانات، أو التلاعب بالعمليات الحيوية. على سبيل المثال، قد يتم خداع وكيل لديه صلاحية إرسال البريد الإلكتروني لإرسال رسائل تصيد جماعية، أو استخدام وكيل لديه صلاحية الوصول إلى الملفات لسرقة بيانات العملاء الحساسة.

مخاطر مالية يؤدي سرقة بيانات الاعتماد والعملات الرقمية مباشرة إلى خسائر مالية فورية. بالإضافة إلى ذلك، قد تصل تكاليف الاستجابة للحوادث، وإصلاح الأنظمة، والغرامات التنظيمية، وإصلاح العلامة التجارية إلى ملايين الدولارات. في ديسمبر 2025، أوصت Gartner مدراء أمن المعلومات (CISO) بحظر جميع متصفحات الذكاء الاصطناعي بما في ذلك ChatGPT Atlas وPerplexity Comet بسبب افتقارها إلى ضوابط ناضجة.

مخاطر الامتثال تواجه الشركات متطلبات تنظيمية متزايدة الصرامة عند نشر أنظمة الذكاء الاصطناعي. أصدر كل من NCSC البريطاني وBSI الألماني تحذيرات متوازية. يصنف NIST AI 600-1 حقن التعليمات (Prompt Injection) كمخاطر أمن معلومات، لكنه يوفر إرشادات على المستوى السياسي فقط. إذا فشلت الشركات في الحماية الفعالة، فقد تنتهك لوائح حماية البيانات مثل GDPR وCCPA.

مخاطر العلامة التجارية أضرت الحوادث العامة مثل EchoLeak وSlack AI بشدة بسمعة العلامات التجارية لـ Microsoft وSlack.一旦 ثقة العملاء في أمان خدمات الذكاء الاصطناعي تنهار، يصبح التأثير طويل المدى على الأعمال لا يُقدر بثمن.

ملاحظات حول اتجاهات الصناعة الزيادة الحادة في هجمات حقن التعليمات ليست حدثاً منفرداً. يشير معدل النمو السنوي البالغ 89% في تقرير CrowdStrike إلى أن المهاجمين يستغلون بشكل منهجي العيوب المتأصلة في نماذج الذكاء الاصطناعي. اعترفت OpenAI علناً في ديسمبر 2025 بأن حقن التعليمات، مثل الاحتيال والهندسة الاجتماعية، قد لا يتم حلها بالكامل أبداً. يُظهر بطاقة نظام Claude Opus 4.6 الصادرة عن Anthropic أن معدل نجاح الحقن الفردي للوكيل الرسومي يبلغ 17.8%، ويرتفع إلى 78.6% (بدون حماية) و57.1% (مع حماية) بعد 200 محاولة. أفادت Google أن أنجح هجوم على نشرها لـ Gemini لا يزال يحقق معدل نجاح 53.6% بعد الضبط الدقيق الخصومي.

تشير هذه البيانات إلى قيود أساسية في الحماية داخل النموذج. يعتمد التحقق من المدخلات، وتصفية المخرجات، وكشف التوقيع، ودورة التصحيح على التمييز بين "التعليمات والبيانات"، وهذا الخط الفاصل غير موجود داخل النماذج اللغوية. الحواجز التي يوفرها البائعون لا تتعامل إلا مع الأنماط الشائعة، وهي غير فعالة تقريباً ضد الحقن المشوش، متعدد اللغات، والمشفر بالصور. على الرغم من أن التدريب الخصومي يمكن أن يحسن نماذج معينة، إلا أن أساليب الهجوم الجديدة تخترق الأوزان المحدثة في غضون أسابيع.

توصيات الدفاع والاستجابة### على مستوى المؤسسة 1. مبدأ الحد الأدنى من الصلاحيات: منح كل وكيل ذكاء اصطناعي مجموعة الصلاحيات الدنيا اللازمة له. على سبيل المثال، لا ينبغي للوكيل المسؤول فقط عن إدارة الجدول الزمني أن يمتلك صلاحية إرسال البريد الإلكتروني أو الوصول إلى نظام الملفات. 2. إجراءات الموافقة البشرية: إعداد خطوة تأكيد يدوي للعمليات عالية المخاطر مثل إرسال البريد الإلكتروني، تنفيذ الأكواد، إتمام المدفوعات، تعديل ضوابط الوصول. 3. تصنيف المصادر الحساسة: وضع علامات على مصادر الاسترجاع حسب درجة الحساسية، واستبعاد الفئات المقيدة افتراضيًا من خط أنابيب RAG. 4. القائمة البيضاء للشبكة: السماح للوكيل بالوصول فقط إلى أسماء النطاقات الصادرة المعتمدة. 5. التتبع التدقيقي الكامل: تسجيل أثر الاستدلال الكامل لكل عملية مهمة، بما في ذلك المطالبات ونتائج الاسترجاع واستدعاءات الأدوات، لتمكين إعادة التشغيل لاحقًا.

على المستوى التقني - نشر مصنفات كشف حقن المطالبات المخصصة، وإعادة تدريبها بانتظام لمواجهة المتغيرات الجديدة. - تنفيذ تنظيف الإدخال الحساس للسياق، وفصل إدخال المستخدم عن تعليمات النظام (على سبيل المثال باستخدام ألوان مختلفة). - إدخال التحقق من المحتوى وتصفية الأمان في خط أنابيب RAG، لتجنب تأثير المستندات الملوثة. - تطبيق مراجعة دورية للذاكرة طويلة المدى للوكلاء الذكاء الاصطناعي واكتشاف الحالات الشاذة.

على المستوى الإداري - إدراج حقن المطالبات في خطة الاستجابة لحوادث الأمن المؤسسية، وإنشاء إجراءات طوارئ خاصة بأنظمة الذكاء الاصطناعي. - عند شراء منتجات الذكاء الاصطناعي، مطالبة الموردين بتقديم: 1. نوع المصنف المستخدم لكشف حقن المطالبات وتكرار إعادة تدريبه؛ 2. معدل نجاح الهجمات العلنية تحت محاولة واحدة و200 محاولة؛ 3. فئات ثغرات OWASP التي يعالجها المنتج (مثل LLM01، LLM06، ASI01، ASI06) مع التدابير المحددة؛ 4. ما إذا كان فريق الأمن يمكنه إعادة إنتاج أثر كامل للمطالبات والاسترجاع واستدعاءات الأدوات لأي سلوك مهم للوكيل الذكاء الاصطناعي.

SecurityPost Insight

صعود هجمات حقن المطالبات يمثل مرحلة جديدة للأمن السيبراني: "برمجيات خبيثة بدون ملفات". ليست الزيادة بنسبة 89% في تقرير CrowdStrike صدفة – فالمهاجمون يستغلون على نطاق واسع أكثر عيوب التصميم الأساسية لنماذج الذكاء الاصطناعي: عدم القدرة على التمييز بين التعليمات والبيانات. عندما تسرع المؤسسات لدمج الذكاء الاصطناعي في عمليات الأعمال الأساسية، يجب على فرق الأمن أن تدرك بوضوح أن "ذكاء" النموذج يأتي على حساب وضوح الحدود. أي محاولة لاعتبار النموذج اللغوي الكبير نفسه حدودًا للثقة هي بمثابة تسليم بيانات المؤسسة إلى "لص شهادات ودي".

من Slack AI إلى Microsoft 365 Copilot، حتى منتجات كبار موردي الذكاء الاصطناعي لم تنجو. بيانات OpenAI وAnthropic العامة تثبت أن مساحة تحسين الدفاعات داخل النموذج محدودة. لذلك، يجب على المؤسسات نقل ضوابط الأمان خارج النموذج: الحد الأدنى من الصلاحيات، الموافقة البشرية، الفصل الشبكي، التتبع الكامل. هذه المبادئ ليست جديدة، لكنها تحتاج إلى تطبيق صارم في عصر الذكاء الاصطناعي.في المستقبل، مع انتشار وكلاء الذكاء الاصطناعي وزيادة استقلاليتهم، سيزداد الترابط بين حقن التعليمات والهجمات على سلسلة التوريد وتهديدات الهوية. تحتاج فرق الأمن إلى اعتبار أنظمة الذكاء الاصطناعي سطح هجوم جديد تمامًا، وإنشاء إطار تقييم أمني متخصص. بالنسبة لمسؤولي أمن المعلومات (CISO)، فإن نافذة العمل الحالية تتقلص: كل نشر لعامل ذكاء اصطناعي قد يصبح مدخلًا لثغرة EchoLeak التالية. الآن، حان الوقت لترقية الدفاع ضد حقن التعليمات من "اختياري" إلى "إلزامي".