حدثا شيء واحد فقط لأدوات الأمان عندما أصبحت النماذج اللغوية الكبيرة قادرة بما يكفي على استخدام الأدوات. الأول هو ما يتحدث الجميع عنه: وكلاء الذكاء الاصطناعي التي يمكنها إجراء اختبار الأمان، والاستدلال على التطبيق بالطريقة التي يفكر بها الباحث بدلاً من مطابقة الأنماط مثل الماسح. الثاني يقل الحديث عنه ولكن قد يأتي أهميته أكثر من يوم إلى يوم: الأنظمة نفسها أصبحت سطح هجوم، وهو سطح مكشوف بشكل سيء. اندفعت الفريق لاستضافة النماذج، وفي القيام بذلك وضعوا آلاف خوادم الاستدلال ونقاط MCP وقواعد بيانات المتجهات على الإنترنت العام بدون مصادقة على الإطلاق.
يغطي هذا الدليل كلا نصفي هذا التحول من خلال أداتين من موجة يوليو 2026 مفتوحة المصدر. Strix تمثل الجانب الهجومي للوكيل: مختبر اختراق ذكاء اصطناعي يتحقق من نتائجه باستخدام استغلالات إثبات مفهوم عملية. AIMap تمثل الجانب الدفاعي-الجرد: ماسح يجد البنية التحتية للذكاء الاصطناعي المكشوفة على نطاق الإنترنت ويسجل مدى خطورة التعريض. معاً فإنهما يرسمان كيف يبدو العمل الأمني عندما تكون الأدوات والأهداف على حد سواء ذكاء اصطناعي.
مشكلة الإيجابية الكاذبة التي تحلها الوكلاء بالفعل
لفهم لماذا التقطت أدوات الأمان الموجهة بالوكيل، تحتاج إلى فهم الألم المحدد الذي تعالجه. أدوات التحليل الثابت رخيصة في التشغيل وتقبض على أخطاء حقيقية، ولكنها تولد النتائج من خلال مطابقة الأنماط في الكود، وتطابق نمط هو فرضية، وليس ثغرة مؤكدة. تقول الأداة "هذا استعلام قاعدة بيانات يلتسلسل متغيراً، والذي قد يكون حقن SQL." ما إذا كان بالفعل يعتمد على ما إذا كان هذا المتغير يتحكم به المهاجم، سواء كان معقمة تعمل في المنطقة، سواء كان مسار الكود قابل للوصول على الإطلاق. الإجابة على ذلك تتطلب من إنسان أن يتتبع المنطق — وفي بضعة مئات من النتائج لكل فحص، تكون تكلفة الفحص ما يجعل أداة الأمان مكلفة وما يسبب الفريق في النهاية إلى التوقف عن قراءة التقارير.
يعكس النهج الموجه بالوكيل هذا. بدلاً من الإبلاغ عن نمط مريب، وكيل مثل Strix يشغل التطبيق، يرسل حمولات حقيقية، والتحقق من الاستغلالية مع PoC عملي. إذا لم تستطع إنتاج PoC، فإن النتيجة لا تظهر. يعكس هذا الفحص من "التحقيق مما إذا كان هذا حقيقياً" إلى "تحقق من هذا الاستنساخ،" وهو أرخص بشكل كبير. كما يقبض على فئة كاملة من المشكلة التي لا يمكن للتحليل الثابت بنيوياً: عيوب منطق الأعمال. الماسح لا يملك نموذج ما يفترض أن يفعله تطبيقك، لذا لا يمكنه ملاحظة أن المستخدم يمكنه تطبيق رمز الخصم مرتين أو تخطي خطوة الدفع. وكيل يفكر في القصد يمكنه.
المقايضة هي التكلفة والسرعة. يشغل اختبار الوكيل التطبيق، ويكرر، ويحرق رموز النموذج، مما يجعله أبطأ بكثير وأكثر تكلفة لكل تشغيل من فحص ثابت ينتهي في ثوان. هذه الاقتصاديات تملي كيفية استخدامها: حافظ على SAST سريع مثل Semgrep أو Opengrep يعمل على كل التزام للعمق، وحتفظ باختبار الوكيل للعمق — التقييمات قبل الإطلاق والخدمات عالية القيمة أو المناطق حيث يكون منطق الأعمال هو المخاطرة الحقيقية. تأطير هذه كمنافسين هو الخطأ؛ فهي تجيب على أسئلة مختلفة في نقاط سعر مختلفة.
التعريض الذي لم يخطط أحد له
النصف الثاني من القصة هو أقل عن أدوات ذكية وأكثر عن فشل تشغيلي متوقع في الحجم. أصبح تشغيل نموذج محلياً بصراحة سهل — جعلت Ollama والأدوات المشابهة أمراً واحداً — والأدوات السهلة تُنشر من قبل أشخاص غير مفكرين في التعريض الشبكي. الإعداد الافتراضي يربط مع منفذ محلي؛ اللحظة التي يحدد فيها شخص ما OLLAMA_HOST=0.0.0.0 للوصول إليه من جهاز آخر، وهذا الجهاز لديه عنوان IP عام، فإن API الاستدلال غير المصرح به موجود على الإنترنت.
ماذا يمكن لمهاجم أن يفعل بأحدها؟ أكثر من غريزة "إنها فقط chatbot" تقترح. يمكنهم عد نماذجك، والذي يكشف عما تعمل به وأحياناً يسرب ضبط ملكية. يمكنهم استخدام وحدة GPU الخاصة بك مجاناً، وتشغيل الاستدلال الخاص بهم على كهربائك وجهازك — سرقة الموارد التي تظهر كارتفاع استخدام غامض وفاتورة سحابة مربكة. حيث تجهز نقطة النهاية تطبيق، قد يصلون إلى نوافذ النظام والتعليمات التي تقيد النموذج. وأين تصعد الحصة MCP بشكل كبير، لأن خوادم MCP تعريض أدوات — قد تسمح نقطة نهاية MCP غير المصرح بها لمهاجم استدعاء إجراءات حقيقية ضد أنظمة حقيقية، وليس فقط نص الجيل. قواعد بيانات المتجهات المكشوفة أسوأ حتى: فهي تحتوي على محتويات المستندات المضمنة مهما كانت مفهرسة، والتي بالنسبة لنظام RAG غالباً ما تكون الجواهر الثمينة.
هذا هو سطح AIMap هو مبني للجرد. يكتشف خدمات الذكاء الاصطناعي عبر نطاق، بصمات ما يعمل، وسجلات التعريض استناداً إلى عوامل مثل المصادقة المفقودة وإدراج النماذج المُمكّن وجرد الأداة الذي يمكن الوصول إليه. يُستخدم دفاعياً — موجه في مساحة العنوان الخاصة بك — فإنه يجيب على سؤال معظم المنظمات لا يمكنها الإجابة عليه حالياً: هل لدينا بنية تحتية للذكاء الاصطناعي المكشوفة على الإنترنت، وما مدى سوء الحال؟ بالنظر إلى سرعة انتشار الذكاء الاصطناعي المستضاف ذاتياً عبر الفريق بدون مراجعة أمان، فإن الإجابة الصريحة لكثير من الناس هي "لا نعرف،" وهذا هو بالضبط السبب في ظهور هذه الفئة من الأدوات.
استخدام أدوات هجومية بدون الإضرار
تحمل كلا الأداة مخاطرة حقيقية للإساءة، وكون صريح تجاهها هو جزء من استخدامها بكفاءة. Strix تولد استغلالات عملية. يقوم AIMap باكتشاف على نطاق الإنترنت واختبارات هجوم محددة البروتوكول. تشغيل أي منهما ضد الأنظمة التي لا تملكها أو تفتقر إلى إذن مكتوب لاختبارها غير قانوني في معظم الاختصاصات، بغض النظر عن القصد، و "أنا كنت فقط اختبار" ليست دفاع.
الضمانات العملية غير المثيرة ولكن غير المفاوضة. النطاق بصراحة: صرّح بالضبط أي مضيفين أو نطاقات في اللعبة والأداة المكتبة لرفض أي شيء آخر، حتى لا يمكن للخطأ في الإعداد التجول. فضّل المرحلة التحضيرية على الإنتاج: وكيل اختبار نظام مباشر يمكن إنشاء سجلات وتشغيل سير العمل أو استنزاف الموارد — نفس الإجراءات التي تجعل الاختبار قيمة تجعلها مزعجة. رمل الوكيل: شغّله في حاوية مع نفسية الشبكة المقيدة، الاثنان لتحديد نطاق الضرر والوكيل الذي يكتب وينفذ الاستغلال الكود هو، بنيوياً، تنفيذ الكود غير الموثوق به. مراجعة PoCs التي تم إنشاؤها قبل التخزين أو إعادة التشغيل. و الحصول على تفويض في الكتابة قبل أي تفاعل، بما في ذلك الأشخاص الداخليين.
هناك أيضاً بعد الحكم. أدوات هذه تقلل مستوى الخبرة المطلوب لإجراء اختبار هجومي مختص، وهو جيد للمدافعين بفريق صغير وجيد بالتساوي للمهاجمين. هذا التناظر ليس سبب لتجنب الأدوات — يستفيد المدافعون من اختبار الأنظمة الخاصة بهم بالطريقة التي يفكر بها المهاجم — لكنه يعني أن مستوى الفحص الأساسي الذي يتلقاه كل أصل متصل بالإنترنت آخذ في الارتفاع. الأساسيات تأتي أهمية أكثر، ليس أقل.
تعريض حقيقي، من البداية إلى النهاية
لجعل سطح الهجوم للذكاء الاصطناعي ملموساً، سير طريقة واقعية لكيفية حدوث التعريض وما يفعله المهاجم معه. عالم بيانات يريد اختبار نموذج من جهازه اللوحي ضد خادم في المكتب، لذا قاموا بتعيين OLLAMA_HOST=0.0.0.0 وإعادة تشغيل الخدمة. المضيف يحدث في ماكينة افتراضية سحابية مع عنوان IP عام ومجموعة أمان متساهلة يسارها من تجربة سابقة. لا شيء عن هذا يشعر مثل قرار الأمان — إنه تغيير سهولة مدة دقيقتين — ولا تذاكرة.
في غضون أيام، تجد الماسحات التلقائية المنفذ 11434 الإجابة. يستعلم المهاجم /api/tags ويحصل على قائمة كاملة من النماذج على الصندوق، بما في ذلك نموذج محسّن داخلياً اسمه الوحيد يكشف عن المشروع الذي يدعمه. ثم يستخدمون الخادم لاستدلالهم الخاص: فهو وحدة GPU غير مقسومة بدون مصادقة، لذا يشغلون أحمال عمل عليها مجاناً، وهو ما يلاحظ الفريق في نهاية المطاف كرفع استخدام غامض وفاتورة سحابة مربكة. إذا كان هذا المضيف أيضاً يجهز تطبيق RAG، فإن التعريض يعمق — يمكن لمهاجم يصل إلى قاعدة بيانات المتجهات استعادة أجزاء مضمنة من أي مجموعة تم فهرسة، والتي قد تكون توثيق داخلي أو تذاكر دعم أو سجلات العملاء.
أسوأ متغير ينطوي على MCP. إذا كان المضيف يعريض خادم MCP، فإن أدواته قابلة للاستدعاء، وتلك الأدوات موجودة بالضبط لأنها تفعل شيء مفيد — الاستعلام عن قاعدة بيانات أو استدعاء API داخلي أو كتابة ملف. نقطة نهاية MCP غير المصرح بها ليست لعبة دردشة؛ إنها واجهة استدعاء إجراء بعيد غير مصرح به لمهما تصل الأدوات إليه.
كل خطوة من هذا السلسلة يتم منعها بسيطرة أن الصناعة فهمت لعشرين سنة: ربط localhost، تطلب المصادقة، قيد مجموعة الأمان، مراقبة حركة المرور الشاذة. ما يجعل حالة الذكاء الاصطناعي مميزة ليس تعقيد الهجوم ولكن السرعة والرسميات من النشر — تُنشأ هذه الخدمات من قبل الأشخاص الذين يحلون مشكلة فورية، خارج عملية المراجعة التي ستقبض على قاعدة بيانات مكشوفة. هذا هو السبب في أن أداة الاكتشاف التي توجهها في نطاقاتك الخاصة تستحق بعد الظهيرة: وضع الفشل ليس مهاجمون ذكيون، بل بنية تحتية غير مرئية.
حيث اختبار الموجه بالوكيل لا يزال أقصر
كان من المجحف أن تقدم أدوات الأمان الموجهة بالوكيل كمتقدمة أكثر مما هي عليه، لأن المبالغة الزائدة تؤدي إلى القرار الخاطئ بالضبط — التعامل مع تشغيل وكيل كبديل لتقييم حقيقي. هناك عدة قيود تستحق التسمية بصراحة.
التغطية غير متساوية وصعبة للتحديص. يخبرك الماسح أي القواعس دشنه؛ وكيل يستكشف استناداً إلى حكمه الخاص، وهذا يعني أن تشغيلين ضد نفس الهدف قد يستبح أشياء مختلفة. عدم الحتمية هذا يجعل من الصعب الإجابة على "ما الذي اختبرناه بالفعل؟" — سؤال غير مريح أثناء التدقيق. تعامل مع نتائج الوكيل كدليل على ما مكسور، وليس دليل على أن كل شيء آخر بخير.
العمق في الأراضي غير المألوفة محدود. تقوم الوكلاء بأداء جيدة على فئات الثغرات الموثقة جيداً مع البيانات التدريبية الوفيرة — الحقن والـ XSS والتحكم في الوصول. هم يقومون بأداء أسوأ بكثير على منطق حقيقي جديد أو بروتوكولات غامضة أو سلسلة إبداعية من عدة نتائج فردية-المحدودة حميدة في استغلال خطير. هذه السلسلة هي بالضبط المهارة التي تميز المختبر البشري الخبير، وتظل الفجوة الأوضح.
التكلفة مع الشمولية. كل فحص إضافي عبارة عن رموز نموذج وقت الجدار. الفريق الذي يطلق وكيل فضفاضاً على تطبيق كبير بدون تجميع يكتشفون هذا في فاتورتهم. النطاق إلى الخدمات والتدفقات التي تأتي أهمية هي ليس فقط تحكم الأمان؛ إنه تحكم التكلفة.
والمخرجات لا تزال تحتاج إلى حكم. يثبت PoC المحقق الاستغلالية في بيئة الاختبار، وليس أن النتيجة هي أولوية العمل. الشدة والوصول من الإنترنت الحقيقي وما قد يكسبه المهاجم لا تزال الدعوات البشرية. الإطار الصريح هو أن الوكلاء يضغطون الجزء الممل من الاختبار — التعداد والاختبار والتحقق من الدرجة الأولى — بينما يتركون الأجزاء التي تتطلب السياق والإبداعية حيث كانت.
ما يعنيه هذا للمدافعين
سحب خيوط معاً، بعض الآثار الملموسة تتبع لأي شخص يشغل الأنظمة في 2026.
جرد البنية التحتية للذكاء الاصطناعي الخاصة بك بالطريقة التي تجرد بها كل شيء آخر. نمط النشر الظل — عالم بيانات ينصب خادم الاستدلال لتجربة، يقوم الفريق بدوره بتدوير قاعدة بيانات متجه لنموذج أولي — يعني أن سطح الهجوم للذكاء الاصطناعي غالباً ما يكون غير مثبت. فحص نطاقاتك الخاصة باستخدام أداة مثل AIMap تمرين بعد الظهيرة الذي غالباً ما يسطح المفاجآت الحقيقية. اجعله متكرراً، وليس مرة واحدة، لأن النشر غير المراجع التالي هو دائماً أسبوع بعيداً.
تطبيق التحكم العادي على الأنظمة التي تبدو غريبة. الإصلاحات للبنية التحتية المكشوفة للذكاء الاصطناعي ليست غريبة: ربط الخدمات إلى localhost، وضع وكيل عكسي للمصادقة في المقدمة من أي شيء يجب أن يكون قابل للوصول، وفرض السياسة الشبكية حتى لا يكون المنفذ 11434 قابل للتوجيه علناً، معدل الحد من، والمراقبة حركة الاستدلال غير المتوقعة. هذه هي نفس النظافة التي تنطبق على قاعدة بيانات — فشل بسبب معاملة خدمات الذكاء الاصطناعي كلعب معفاة منها.
وكلاء نقطة نهاية MCP كامتياز. لأن خوادم MCP تعريض أدوات التي تتخذ إجراءات، فإن واحدة مكشوفة أقرب إلى نقطة نهاية RPC غير مصرح بها من API دردشة. جرد أي أدوات كل خادم يعريض، تتطلب مصادقة، وتطبيق أقل امتياز لما تلك الأدوات يمكن الوصول إليها.
طبقة اختبارك من جهة التكلفة. تحليل ثابت سريع في كل التزام (Semgrep، Bearer للمخاطرة المتعلقة بتدفق البيانات)، التبعية وتحليل SBOM بشكل مستمر (Dependency-Track)، DAST الزحف على جدول زمني (ZAP)، واختبار الوكيل التحقق حيث يبرر العمق المصروف. كل طبقة تغطي ما لا يمكن للآخرين بنيوياً تفويته، وأي أداة واحدة — مهما كانت ذكية — ليست شاملة.
الخط السفلي
أعاد الذكاء الاصطناعي تشكيل أدوات الأمان من كلا الاتجاهين في وقت واحد. في الهجوم، وكلاء مثل Strix الهجوم على مشكلة الإيجابيات الكاذبة من خلال التحقق من النتائج باستخدام استغلالات عملية والاستدلال حول منطق الأعمال الذي لا يمكن لمطابقات الأنماط نموذج — قوي، لكن بطيء وغالي بما يكفي أنه ينتمي إلى جانب SAST سريع بدلاً من استبداله. على الدفاع، أنشأ الاندفاع لاستضافة النماذج ذاتياً سطح هجوم شامل وغير موثق في الغالب من خوادم الاستدلال المكشوفة ونقاط MCP وقواعس البيانات المتجه، والتي تتناسب أدوات مثل AIMap للعثور عليها. جرد البنية التحتية للذكاء الاصطناعي الخاصة بك، طبق التحكم الممل الذي يعمل بالفعل، وتعامل مع نقاط نهاية MCP الأداة التي تعريض كامتياز، وطبقة اختبارك من جهة التكلفة، وأحصل على التفويض في الكتابة قبل أن توجه أي من هذا في أي شيء. أدوات هي بصراحة أفضل من ما كانت؛ الانضباط المطلوب لاستخدامها بشكل جيد لم يتغير.
المراجع والموارد
أدوات
الخلفية والتحليل
- 20 أداة سيبر أمان مفتوحة المصدر لإبقاء فريقك جاهزاً — Help Net Security
- أفضل أدوات AppSec مفتوحة المصدر لـ 2026 — Orca Security
- أدوات الأمن السيبراني مفتوحة المصدر الأعلى — News4Hackers
Cheatsheets ذات الصلة 1337skills