دليل · تقنيات الهجوم

حقن الأوامر بالعربية: كيف يستغلّ المهاجمون اللهجات والعربيزي والنص المخفي

حقن الأوامر هو كل محاولة لجعل نموذج الذكاء الاصطناعي ينفّذ تعليمات لا ينبغي له تنفيذها، سواء كتبها مستخدم أو خُبِّئت في محتوى يقرؤه النموذج. وفي العربية يملك المهاجم طرقًا لتمويه هذه التعليمات أكثر مما في الإنجليزية. يصف هذا الدليل التقنيات على مستوى عامّ، وكيف تتصدّى طبقات Guardrino لكل منها، وأين تقصر أي أداة حماية، بما فيها أداتنا.

Guardrino قيد التطوير ويُقدَّم عبر برامج تجريبية بوضع المراقبة فقط: يسجّل ما كان سيفعله على حركة رسائلكم الفعلية، ولا يحظر شيئًا حتى تقرّروا ذلك.

اطلبوا برنامجًا تجريبيًا

ما هو حقن الأوامر؟

تميّز OWASP بين نوعين. الحقن المباشر مستخدم يكتب مدخلات تغيّر سلوك النموذج. والحقن غير المباشر يأتي من محتوى خارجي يقرؤه النموذج، كصفحة ويب أو ملف أو مستند في فهرس استرجاع، فيغيّر سلوكه دون علم المستخدم (OWASP LLM01). ويصف NIST النوع غير المباشر بأنه حقن أوامر «في بيانات يُرجَّح استرجاعها» دون واجهة مباشرة مع النظام (NIST AI 600-1)، وهو مصطلح قدّمه باحثون أثبتوا نجاحه على تطبيقات حقيقية مبنية على النماذج اللغوية (Greshake وآخرون).

والأهداف واحدة في الغالب: أن يتجاهل المساعد قواعده، أو يكشف تعليماته المخفية، أو يسرّب بيانات، أو يستدعي أداة لصالح المهاجم. ما يتغيّر في العربية هو التمويه.

تقنيات حقن الأوامر بالعربية

كل تقنية أدناه تغيّر شكل الرسالة في نظر الآلة دون أن تغيّر ما يفهمه الإنسان، أو ما يفهمه نموذج ذكاء اصطناعي قوي. وهذه الفجوة هي ما يستغلّه المهاجم: أداة الحماية ترى ضجيجًا، والنموذج يرى أمرًا. نصفها ليتعرّف عليها المدافعون، ولا ننشر أوامر قابلة للاستخدام.

التطويل (الكشيدة)

للعربية حرف تطويل (ـ) يُستخدم في التنسيق والخط. وإذا أُدخل داخل كلمة بقيت مقروءة تمامًا للإنسان ولأغلب النماذج الكبيرة، لكنها تكسر المطابقة الحرفية التي يعتمد عليها مرشّح الكلمات المفتاحية أو المصنِّف البسيط.

ضجيج التشكيل

الحركات اختيارية في العربية اليومية. ونثرها على تعليمة ما، صحيحةً كانت أو لا، يغيّر حروفها مرة أخرى بينما يبقى المعنى واضحًا.

أرقام العربيزي والكتابة اللاتينية

العربية المكتوبة بحروف لاتينية، مع 3 للعين و7 للحاء و5 للخاء و2 للهمزة، هي ما يكتبه كثيرون في الخليج كل يوم. وهي كذلك تمرّ من نماذج ومرشّحات دُرِّبت على الحرف العربي أو على الإنجليزية. ففي بحث قُدِّم في مؤتمر EMNLP 2024، أنتجت أوامرُ أخفقت بالفصحى محتوى غير آمن من GPT-4 وClaude 3 Sonnet حين كُتبت بالعربيزي أو بالحروف اللاتينية (الغانم وآخرون).

التنقّل بين العربية والإنجليزية

يبدأ المهاجم بالإنجليزية، ويكمل باللهجة الخليجية، وينهي بالعربيزي، أو يضع الجزء الضارّ بلغة والقصة الساترة بلغة أخرى. وأداة الحماية التي تتقن لغة واحدة لا ترى إلا جزءًا من الطلب. وتذكر OWASP استخدام لغات متعددة للتهرّب من المرشّحات سيناريوَ هجوم (OWASP LLM01).

الحروف الفارسية والأردية المشابهة

بعض الحروف الفارسية والأردية تطابق الحروف العربية شكلًا أو تكاد، كالكاف والياء الفارسيتين، لكنها محارف مختلفة في الحاسوب. وينطبق الأمر نفسه على الأرقام الهندية العربية والفارسية. ويوثّق معيار الأمان في يونيكود هذه المحارف المتشابهة والنصوص مختلطة الأبجدية بوصفها مشكلة انتحال معروفة (Unicode UTS #39).

الأحرف غير المرئية

المحارف صفرية العرض وعلامات الاتجاه وما شابهها لا تشغل حيّزًا على الشاشة. يمكنها أن تقسم كلمة فلا يطابقها أي مرشّح، أو أن تحمل رسالة مخفية. ويذكر دليل OWASP تهريب النص عبر محارف يونيكود غير المرئية إلى جانب ترميز base64 والست عشري (دليل OWASP).

تعليمات مخفية في المستندات وفهارس الاسترجاع والبريد (الحقن غير المباشر)

فاتورة، أو سيرة ذاتية، أو رسالة من مورِّد، أو صفحة ويب، أو مقطع في فهرس استرجاع (RAG)، تحمل نصًّا موجّهًا إلى المساعد: بخط أبيض، أو في حاشية، أو في تعليق، أو بالعربية داخل مستند إنجليزي. لا أحد يكتب هجومًا؛ فالمساعد يقرأ المستند ضمن عمله، فيقرأ الأمر معه.

ويواجه الوكلاء الذين يبحثون في الويب المشكلة نفسها على نطاق أوسع. وHisn Agent Search، خدمة HisnLabs للبحث على الويب لوكلاء الذكاء الاصطناعي وهي قيد التطوير، سيفحص كل صفحة عبر Guardrino قبل أن يقرأها الوكيل.

البناء التدريجي عبر المحادثة

كل رسالة بريئة وحدها، لكنها مجتمعةً تقود المساعد إلى ما كان سيرفضه لو طُلب منه مباشرة. وفي العربية يقترن هذا كثيرًا بالمجاملة والضغط الاجتماعي، فتبدو كل خطوة معقولة.

كيف يبدو التمويه، بأمثلة آمنة

تُظهر هذه الأمثلة أساليب التمويه على نص بريء، لتروا أثرها دون أي هجوم. كلها تُقرأ بالطريقة نفسها عند الإنسان.

نص عادي: مرحبا، كيف حالك؟ تحية عادية.
مع التطويل: مـــرحـــبا، كـــيف حـــالك؟ التحية نفسها مع حرف التطويل داخل الكلمات.
مع تشكيل مضاف: مَرْحَبًا، كَيْفَ حَالُكَ؟ التحية نفسها مع الحركات.
بالعربيزي: mar7aba, kaif 7alak? التحية نفسها بحروف لاتينية، و7 مكان الحاء.
بلغتين: Hi, شلونك؟ hope all good إنجليزية تتوسّطها «شلونك» الخليجية.

يطبّق المهاجم أساليب التمويه نفسها على تعليمة بدل التحية. ولتروا كيف يقيّم مصنِّفٌ رسائل حقيقية، جرّبوا في متصفحكم العرض الحيّ لنموذجنا المفتوح السابق.

كيف يرصد Guardrino حقن الأوامر بالعربية

لا يوجد فحص واحد يعالج كل أنواع التمويه، لذلك يعمل Guardrino على طبقات، كل منها موجّهة إلى جانب مختلف من المشكلة، وعلى الرسالة أن تجتازها جميعًا.

طبقات Guardrino كما وردت في وثيقة العرض. وتوجد أيضًا طبقات اختيارية لسلامة المحتوى ولاستخراج النص من المستندات والصور.
الطبقة	ما تفعله	التقنيات التي تستهدفها
L0 التنظيف	تزيل الأحرف غير المرئية وعلامات الاتجاه والتطويل، وتوحّد التشكيل والحروف والأرقام المتشابهة، وتفكّ ترميز base64 والست عشري، وتحوّل العربيزي إلى الحرف العربي. ويُحتفظ بالنص المخفي ويُفحص هو أيضًا.	التطويل، ضجيج التشكيل، الحروف المتشابهة، الأحرف غير المرئية، الترميزات، العربيزي
L1 القواعد والبصمات	تُخفي البيانات الشخصية الخليجية والأسرار، وتفحص الروابط مقابل قائمة سماح ومصادر سمعة، وتقارن الرسالة بالهجمات المعروفة لفظًا ومعنى. ويمكن إضافة هجوم مؤكَّد جديد في اليوم نفسه.	الهجمات المعروفة ونسخها القريبة بأي لغة، تسرّب البيانات
L2 نموذج Guardrino	مصنِّف دُرِّب على هجمات ورسائل آمنة بالعربية ولهجاتها والعربيزي والإنجليزية، يقرأ النية وراء الصياغة. والرسائل الملتبسة يمكن أن تُحال إلى مراجعة أعمق.	اللهجات، التنقّل بين اللغات، الصياغات الجديدة لحيل قديمة
ذاكرة المحادثة	تتابع المحادثة كاملة وترفع درجة الخطر حين يُبنى هجوم عبر عدة رسائل.	البناء التدريجي، التعليمات المجزّأة
فحص الردّ	يفحص الردّ بحثًا عن الكناري، وهي علامة سرية في موجّه النظام لديكم، وعن البيانات الشخصية، قبل أن يراه المستخدم.	تسرّب موجّه النظام، تسرّب بيانات أفلت من فحص المدخلات

وللتصدّي للحقن غير المباشر، يجب أن تمرّ المستندات ورسائل البريد ونتائج الأدوات التي يقرؤها مساعدكم عبر Guardrino أيضًا، من خلال واجهة الفحص أو الوسيط أو وسيط أمان MCP. كما تحرم البوابة أدوات الهجوم الآلية من أكبر قدر ممكن مما تتعلّمه: ردود مقتضبة، وتوقيت موحّد، وحدود لمعدّل الطلبات، وفترة تهدئة لمن يواصل الاستكشاف.

وللكناري حديث خاص. تحذّر OWASP في بند تسرّب موجّه النظام من أن موجّه النظام ليس سرًّا ولا يصحّ استخدامه ضابطًا أمنيًّا (OWASP LLM07). والكناري لا يجعله سرًّا، لكنه ينبّهكم، ويحظر الردّ، حين ينجح أحدهم في جعل النموذج يكرّره.

ويقيس تقرير Guardrino-t7 v7 نموذج الطبقة L2 وحده مقابل مصنِّفات أخرى لكشف هجمات الأوامر، على الرسائل نفسها والجهاز نفسه، مع طريقة القياس وحدودها.

الحدود: ما لا تستطيع أي أداة حماية أن تعد به، ولا Guardrino

نتائجنا المقيسة على العربية ولهجاتها والعربيزي مأخوذة من مجموعة اختبار من إعدادنا: انظروا المنهجية الكاملة والبيانات وحدودها.
لا توجد أداة ترصد كل شيء. تشير OWASP إلى أنه ليس واضحًا إن كانت هناك وقاية مضمونة تمامًا من حقن الأوامر. Guardrino يقلّل الخطر ولا يلغيه.
الحظر الخاطئ يحدث. كل عتبة ترصد هجمات أكثر تحظر أيضًا رسائل آمنة أكثر. ويختار فريقكم الموازنة لكل تطبيق بعد فترة مراقبة.
تظهر تقنيات جديدة. يبتكر المهاجمون ترميزات وصياغات جديدة، منها شيفرات يعرّفونها داخل المحادثة نفسها. والبصمات وتحديثات النموذج تسدّ الثغرات بعد رؤيتها لا قبلها.
بعض أساليب التمويه ما زالت أصعب. في اختباراتنا، يُرصد النص العربي المغطّى بتشكيل عشوائي بنسبة أقل من النص نفسه دونه، والرسائل المدفونة في نصوص طويلة جدًّا أصعب أيضًا. نعمل على الاثنتين ونقول ذلك هنا.
التغطية متفاوتة بين اللهجات. ما زالت مجموعات الاختبار الأصلية لكل لهجة أصغر من أن تعطي نتيجة مقيسة منفصلة لكل منها.
لا يعالج الهلوسة. الإجابات التي يختلقها نموذجكم ليست هجمات، وحاجز الأمان لا يصحّحها.
لا يرى إلا ما يمرّ عبره. المحتوى الذي يقرؤه الوكيل مباشرة خارج البوابة خارج نطاق رؤيته.
ضوابط أدوات الوكلاء مخطَّط لها. يفحص وسيط أمان MCP اليوم ما يمرّ بين الوكلاء والأدوات، أما الصلاحيات الأدقّ لكل أداة وفحص معاملاتها فمخطَّط لها. أبقوا موافقاتكم الخاصة على الإجراءات ذات الأثر، كما توصي OWASP.

ما الذي تفعلونه الآن

أبعدوا الأسرار وبيانات الدخول والقواعد الداخلية عن موجّهات النظام وفهارس الاسترجاع.
امنحوا المساعدين والوكلاء أقل الصلاحيات الكافية، واشترطوا موافقة بشرية على المدفوعات وتغيير الحسابات وغيرها من الإجراءات ذات الأثر.
تعاملوا مع كل مستند ورسالة بريد وصفحة ويب يقرؤها المساعد على أنها مدخلات غير موثوقة، وافحصوها كمدخلات المستخدم.
اختبروا مساعدكم باللهجات والعربيزي واللغة المختلطة التي يكتب بها مستخدموكم فعلًا، لا بالإنجليزية والفصحى وحدهما.
ضعوا أداة حماية بوضع المراقبة فقط على الحركة الفعلية، وانظروا ما تراه، ثم قرّروا أين تحظرون.

وللصورة الأشمل عن حماية الذكاء الاصطناعي بالعربية وكيف نقارن أدوات الحماية، اقرؤوا حواجز أمان النماذج اللغوية بالعربية. وللنشر وإقامة البيانات والجهات التنظيمية، اقرؤوا حواجز أمان النماذج اللغوية في الخليج. ويبدأ المطوّرون من أدلة الربط والنموذج المفتوح، والجميع من صفحة Guardrino لشركتكم أو الصفحة الرئيسية لـ Guardrino.

أسئلة عن حقن الأوامر بالعربية

ما المقصود بحقن الأوامر بالعربية؟

حقن أوامر مكتوب بالعربية أو لهجاتها أو بالعربيزي، أو مموَّه بحيل خاصة بالعربية كالتطويل وضجيج التشكيل والحروف المتشابهة، لجعل نموذج الذكاء الاصطناعي ينفّذ تعليمات لا ينبغي له تنفيذها.

هل حقن الأوامر بالعربية أخطر منه بالإنجليزية؟

ليس بطبيعته. الخطر أن كثيرًا من أدوات الحماية دُرِّبت على الإنجليزية في الغالب، فيصبح الهجوم نفسه باللهجة أو بالعربيزي أقدر على المرور منها. وقد أظهر بحث في مؤتمر EMNLP 2024 أن العربيزي أخرج محتوى غير آمن من نماذج كبيرة حيث لم تنجح الفصحى.

ما الحقن غير المباشر للأوامر؟

تعليمات مخبّأة في محتوى يقرؤه الذكاء الاصطناعي، كمستند أو رسالة بريد أو صفحة ويب أو فهرس استرجاع، بدل أن يكتبها المستخدم. يقرأ المساعد المحتوى ضمن عمله فيقرأ الأمر معه.

هل ستنشرون أمثلة لأوامر هجوم؟

لا. نصف التقنيات ليتعرّف عليها المدافعون، ولا نعرض أساليب التمويه إلا على نص بريء.

هل يستطيع حاجز أمان أن يوقف كل حقن للأوامر؟

لا. يقلّل Guardrino الخطر بعدة طبقات، ويمكن تحديثه في اليوم نفسه الذي يُؤكَّد فيه هجوم جديد، لكن لا توجد أداة ترصد كل شيء، وكل أداة تحظر أحيانًا رسالة آمنة.

هل تكفي إزالة التشكيل والتطويل لحلّ المشكلة؟

إنها تزيل نوعًا واحدًا من التمويه. تقوم بها طبقة التنظيف في Guardrino قبل بقية الفحوص، لكن الهجوم المكتوب بلهجة نظيفة أو بالعربيزي يحتاج إلى نموذج يفهم النية، والهجوم المبني عبر رسائل كثيرة يحتاج إلى ذاكرة المحادثة.

اعرفوا ما الذي يصل إلى مساعدكم اليوم.

في برنامج تجريبي لمدة 60 يومًا بوضع المراقبة فقط، يقرأ Guardrino حركتكم الفعلية بالعربية ولهجاتها والعربيزي والإنجليزية، ويبلغكم بالهجمات التي كان سيوقفها والرسائل الآمنة التي كان سيحظرها. لا يتغيّر شيء لمستخدميكم. انضموا إلى البرنامج التجريبي.

اطلبوا برنامجًا تجريبيًا · Guardrino