تشهد صناعة الذكاء الاصطناعي ظهور فئة جديدة من النماذج تُعرف باسم “نماذج القرار” (Decision Models)، وهي نماذج تختلف جوهريًا عن نماذج الذكاء الاصطناعي التوليدي التي اعتاد المستخدمون التعامل معها خلال السنوات الأخيرة. وخلال أسابيع قليلة فقط، انتقلت هذه التقنية من كونها مفهومًا ناشئًا إلى محور اهتمام شركات كبرى مثل OpenAI، إلى جانب عدد متزايد من المطورين والمشروعات مفتوحة المصدر.
بدأت الموجة الجديدة عندما أطلقت شركة TypeSafe AI نموذجها “Jev” في سبتمبر الماضي بوصفه نموذجًا من فئة “النظام الأول” (System One)، في إشارة إلى مفهوم التفكير السريع والحدسي الذي اشتهر به عالم النفس دانيال كانيمان. وبعد ذلك بفترة وجيزة، أعلنت OpenAI عن واجهة Decisions API الجديدة خلال فعالية DevDay، بينما كشفت شركة Cribl عن نموذج مفتوح المصدر يحمل اسم cribl-decision يمكن تشغيله محليًا، فيما بدأت نماذج أخرى مشابهة بالظهور ضمن أدوات المصادر المفتوحة.
لماذا تثير نماذج القرار حماس فرق مراكز العمليات الأمنية؟
تعتمد النماذج التقليدية على توليد النصوص والإجابات المطولة، أما نماذج القرار فتتجاوز هذه المرحلة بالكامل. فبدلاً من طلب تفسير أو تحليل طويل، يتم تزويد النموذج بمجموعة من البيانات المنظمة والأسئلة المحددة، ليُرجع في المقابل قرارًا مباشرًا أو احتمالًا رقميًا أو إجابة بنعم أو لا مصحوبة بدرجة ثقة.
هذا النمط يمثل تطورًا بالغ الأهمية بالنسبة لمراكز العمليات الأمنية (SOC)، حيث تعتمد عملية فرز التنبيهات الأمنية على اتخاذ قرارات سريعة ومتكررة.
تكمن إحدى أهم مزايا هذه النماذج في أنها تمنح المؤسسات رقمًا يمكن البناء عليه آليًا. فعندما يحدد النموذج أن تنبيهًا ما يحمل احتمال 97% أو أكثر لكونه إنذارًا كاذبًا، يمكن إغلاقه تلقائيًا، بينما يجري تصعيد الحالات ذات الاحتمالات المنخفضة للتحقيق البشري. ويسمح هذا الأسلوب بإنشاء مستويات مختلفة من الاستجابة تتناسب مع حساسية القرار وتأثيره.
الميزة الثانية تتعلق بالتكلفة. فوفقًا للأرقام التي استعرضها التقرير، تتمتع هذه النماذج بسرعة استجابة تتراوح بين 70 و500 مللي ثانية، مع تكاليف منخفضة للغاية مقارنة بالنماذج اللغوية الضخمة. وبالنسبة للمؤسسات التي تتعامل مع مئات الآلاف من التنبيهات سنويًا، فإن تكلفة تحليل جميع التنبيهات قد تصبح متواضعة بما يكفي لإلغاء الحاجة إلى استبعاد التنبيهات منخفضة الخطورة من الفحص.
أما الميزة الثالثة فتتمثل في قابلية التدقيق والمراجعة. فكل قرار يصدره النموذج يسجل على هيئة نتيجة واضحة واحتمال محدد، ما يتيح إمكانية مراجعة القرارات لاحقًا ومقارنتها بالنتائج الفعلية، وهو أمر أكثر سهولة وشفافية من تحليل نصوص مطولة مولدة بواسطة الذكاء الاصطناعي.
مشكلة البيانات الخاطئة لا تختفي مع الذكاء الاصطناعي
ورغم هذه المزايا، يحذر الخبراء من الاعتقاد بأن نماذج القرار معصومة من الخطأ. فصحيح أن النموذج قد يقدم إجابة متوافقة تمامًا مع الهيكل المحدد له، لكن هذا لا يعني أن الإجابة صحيحة بالضرورة.
وتبقى القاعدة القديمة في علوم البيانات والأمن السيبراني صالحة أكثر من أي وقت مضى: “بيانات سيئة تعني نتائج سيئة”.
فقد أظهر تقرير AI SOC Report 2026، الذي استند إلى تحليل 25 مليون تنبيه أمني خلال عام 2025، أن نحو 82 ألف تنبيه خضع لفحص حي لذاكرة الأجهزة الطرفية، وتم العثور على أكثر من 2600 جهاز مصاب بالفعل ببرمجيات خبيثة. والمثير للاهتمام أن 51% من تلك الأجهزة كانت مصنفة مسبقًا بواسطة أنظمة EDR على أنها تمت معالجتها أو احتواء التهديد فيها.
في هذا السيناريو، قد يرى نموذج القرار معلومات تبدو مطمئنة: برمجية خبيثة تم اكتشافها، والتهديد تم عزله، ومستوى الخطورة منخفض. بناءً على ما يراه فقط، سيكون القرار المنطقي هو إغلاق التنبيه بدرجة ثقة مرتفعة. المشكلة هنا لا تكمن في النموذج، بل في أن البيانات التي استند إليها لم تكن كافية أو دقيقة لتعكس الواقع.
كما أظهرت البيانات أن ما يقارب 1% من الحوادث الأمنية الحقيقية بدأت من تنبيهات مصنفة ضمن أقل مستويات الخطورة. وعند التعامل مع 450 ألف تنبيه سنويًا، فإن هذه النسبة تعني عشرات التهديدات الحقيقية التي يمكن تجاهلها إذا اعتمدت المؤسسة بشكل أعمى على مؤشرات الخطورة التقليدية.
الأدلة الجنائية الرقمية هي العنصر الحاسم
يشبه التحقيق الأمني الفعال التحقيق في مسرح جريمة. فالاعتماد على وصف عام للحادث قد يؤدي إلى استنتاجات تبدو منطقية، لكن الوصول إلى الحقيقة يتطلب أدلة ملموسة مثل البصمات والحمض النووي والشهادات الموثقة.
وينطبق الأمر نفسه على الأمن السيبراني. فبدلاً من الاكتفاء بعنوان التنبيه أو درجة الخطورة، تحتاج فرق الاستجابة إلى جمع أكبر قدر ممكن من الحقائق الرقمية قبل إصدار الأحكام.
عندما يشير تنبيه إلى تشغيل PowerShell مشبوه، فإن الأدلة الحقيقية تشمل شجرة العمليات الكاملة وسلسلة الأوامر المستخدمة والعمليات الأم المرتبطة به. وعندما يتم الإبلاغ عن ملف مشبوه، فإن المعلومات الجنائية المطلوبة لا تقتصر على قيمة الهاش أو تقييم السمعة، بل تشمل سلوكه الفعلي داخل بيئات العزل وتحليلات الشبكة والملفات التي أنشأها أو عدلها.
وتبرز أهمية هذا النهج بشكل خاص في مواجهة أدوات هجومية متقدمة مثل Mimikatz وMeterpreter وCobalt Strike، وهي أدوات مصممة للعمل مباشرة داخل الذاكرة دون الحاجة إلى ملفات ظاهرة على القرص الصلب، ما يجعل اكتشافها أكثر صعوبة باستخدام الأساليب التقليدية.
الذاكرة التنظيمية والسياق المؤسسي مفتاح النجاح
حتى مع توفر الأدلة الجنائية الرقمية، يبقى هناك نوع آخر من المعلومات لا يقل أهمية، وهو فهم ما يُعتبر سلوكًا طبيعيًا داخل المؤسسة نفسها.
تكشف تنبيهات الهوية الرقمية عن هذا التحدي بوضوح. فطبقًا لبيانات عام 2025، صُنفت 74% من تنبيهات الهوية على أنها أنشطة سليمة على الأرجح، بينما لم تتجاوز نسبة الحالات الحقيقية من تنبيهات “السفر المستحيل” نحو 2%. كما كان استخدام الشبكات الافتراضية الخاصة VPN مسؤولًا عن قرابة 30% من هذه التنبيهات.
ولا يمكن لأي نموذج ذكاء اصطناعي أن يدرك تلقائيًا أن موظفًا معينًا يسجل دخوله دائمًا من دولة معينة، أو أن تنبيهًا محددًا يظهر بشكل متكرر أثناء عمليات النشر البرمجي المعتادة لفريق DevOps. وغالبًا ما تكون هذه المعرفة متراكمة داخل خبرات كبار المحللين الأمنيين.
ولهذا السبب تتجه المنصات الحديثة إلى بناء ما يشبه “الذاكرة المؤسسية”، وهي قاعدة معرفة متجددة تتعلم من التحقيقات السابقة وسلوك المستخدمين والأصول الرقمية وأنماط العمل الطبيعية داخل المؤسسة. وتسمح هذه الذاكرة للنظام بمقارنة كل قرار بنتائجه الفعلية، وتصحيح انحرافات النماذج بمرور الوقت.
في نهاية المطاف، يرى الخبراء أن الميزة التنافسية الحقيقية لن تكون في نموذج القرار نفسه، لأن جميع المؤسسات ستتمكن من الوصول إلى تقنيات مشابهة خلال فترة قصيرة، وإنما في جودة الأدلة والسياق الذي يُغذى به النموذج. فكلما كانت البيانات أكثر ثراءً ودقة، ازدادت قدرة الذكاء الاصطناعي على اتخاذ قرارات صحيحة وقابلة للتدقيق، وتحولت أتمتة فرز التنبيهات من مجرد وسيلة لتقليل الأعباء التشغيلية إلى أداة استراتيجية لتعزيز الأمن السيبراني على نطاق واسع.
