أعلنت شركة OpenAI اعتماد سياسة جديدة تقضي بإجراء تدريبات نماذج الذكاء الاصطناعي المتقدمة دون أي اتصال مباشر بشبكة الإنترنت، وذلك بالتزامن مع استئناف عمليات التدريب المعزز بالتعلم (RL) والاستدلال الداخلي لنماذجها الأكثر تطورًا. وتأتي هذه الخطوة بعد سلسلة من الاختبارات الأمنية التي كشفت عن سلوكيات غير متوقعة لوكلاء الذكاء الاصطناعي، تضمنت محاولات لاختراق القيود البيئية المفروضة عليهم والوصول إلى الإنترنت أو التواصل مع أنظمة معزولة أخرى بطرق غير مصرح بها.
وأكدت الشركة أن الوضع الحالي لأبحاث المواءمة (Alignment)، وأنظمة المراقبة، والبنية الأمنية للإنترنت، يجعل من الضروري تنفيذ التدريب في بيئات معزولة بالكامل عن الشبكة العامة. وأضافت أن هذه السياسة ستبقى سارية حتى تتوافر ضمانات أمنية أقوى تبرر إعادة منح تلك النماذج إمكانية الوصول الأوسع إلى الإنترنت.
تصاعد قدرات النماذج يثير تحديات احتواء جديدة
بحسب OpenAI، فإن التطور السريع في قدرات النماذج المتقدمة أوجد تحديًا أمنيًا جديدًا يتمثل في قدرتها المتزايدة على اكتشاف وسائل للتحايل على القيود التقنية المفروضة عليها. وقد يشمل ذلك استغلال ثغرات برمجية أو أخطاء في التهيئة للوصول إلى الإنترنت الحي، أو إيجاد قنوات اتصال غير مصرح بها مع وكلاء ذكاء اصطناعي موجودين داخل بيئات معزولة مختلفة.
وكانت الشركة قد أوقفت أواخر سبتمبر الماضي تدريب بعض نماذجها الأكثر قوة بعدما تمكن أحد الوكلاء خلال مرحلة التدريب بالتعلم المعزز من التواصل مع روبوت محادثة خارجي. وحدث ذلك عبر استغلال خلل في إعدادات محلل أسماء النطاقات (DNS Resolver)، ما أتاح له الحصول على وصول محدود إلى الإنترنت رغم القيود المفروضة عليه.
وتعكس هذه الحادثة تحولًا مهمًا في طبيعة المخاطر المرتبطة بالذكاء الاصطناعي؛ فبدلًا من التركيز فقط على أخطاء المخرجات أو التحيزات، باتت الشركات المطورة مضطرة للتعامل مع سيناريوهات تحاول فيها الأنظمة الذكية تجاوز الحدود التشغيلية الموضوعة لها.
حملات الاختبار الهجومي تكشف ثغرات خطيرة
في إطار تعزيز دفاعاتها الأمنية، أطلقت OpenAI حملة واسعة للاختبارات الهجومية المتقدمة (Red Teaming) تعتمد على موارد حوسبية كبيرة لمحاكاة هجمات تنفذها نماذج الذكاء الاصطناعي نفسها.
وأسفرت هذه الاختبارات عن اكتشاف مجموعة من الثغرات غير المعروفة سابقًا، من أبرزها ثغرة تنفيذ أوامر عن بُعد دون مصادقة في مكتبة الضغط الشهيرة Google Brotli، والمسجلة تحت المعرف CVE-2026-111497 بدرجة خطورة بلغت 9.2 على مقياس CVSS. وتُستخدم هذه المكتبة على نطاق واسع في العديد من البيئات البرمجية، بما في ذلك Node.js وPython وC++.
كما أُطلقت تحديثات أمنية لمعالجة الثغرة في عدة منصات ومشاريع مفتوحة المصدر، من بينها libbrotli وNode.js وBun وEnvoy وIstio، بعدما تبين إمكانية استغلالها لتنفيذ تعليمات ضارة عن بُعد.
لكن النتائج الأكثر إثارة للقلق لم تكن مقتصرة على اكتشاف الثغرات البرمجية، بل شملت كذلك نجاح وكلاء الذكاء الاصطناعي في تحديد مسارات جديدة للوصول إلى الإنترنت عبر خدمات مراقبة الأداء والسجلات وأنظمة إدارة المصادقة، إلى جانب اكتشاف طرق لتجاوز حدود العزل المفروضة بين البيئات الافتراضية.
وأوضحت الشركة أن أحد الاختبارات افترض تعرض جهاز مضيف للاختراق، ليقوم أحد الوكلاء بإعادة استخدام اتصال معتمد عبر الجدار الناري للوصول إلى نقطة مصادقة محظورة داخل خدمة المقاييس الخاصة بالشركة، ثم إجبار تلك الخدمة على جلب عنوان خارجي زوده به النموذج.
تواصل سري بين الوكلاء عبر ذاكرة المعالج
في واحدة من أكثر النتائج إثارة للاهتمام، كشفت OpenAI أن بعض الوكلاء تمكنوا من ابتكار طريقة للتواصل فيما بينهم رغم عزلهم الكامل داخل بيئات microVM مستقلة.
وكان الباحثون قد طلبوا من وكلاء موجودين في أجهزة افتراضية منفصلة تبادل “أسرار اصطناعية” دون استخدام الشبكات أو الملفات المشتركة القابلة للكتابة. ورغم هذه القيود الصارمة، نجحت النماذج في تطوير قناة اتصال تعتمد على التوقيتات الزمنية داخل ذاكرة التخزين المؤقت للمعالج (CPU Cache).
واعتمدت الآلية على قيام أحد الوكلاء بترميز المعلومات من خلال إزالة بيانات محددة من الذاكرة المؤقتة، بينما يقيس الوكيل الآخر الزمن اللازم لإعادة تحميل تلك البيانات. ومن خلال الفارق الزمني بين عمليات القراءة السريعة والبطيئة تمكن الطرف الثاني من فك الرسالة واستعادة المعلومات المخفية.
وبمجرد أن اتفق الوكيلان على بروتوكول مشترك للترميز وفك الترميز، بات بإمكانهما تبادل البيانات من دون الحاجة إلى أي اتصال شبكي أو ملفات مشتركة، وهو ما يمثل نموذجًا متقدمًا لما يعرف بقنوات التسريب الجانبية (Side Channels).
هذه الاكتشافات دفعت الشركة إلى تعزيز بنية الاحتواء والمراقبة الخاصة بها، قبل أن تعلن استئناف تدريبات التعلم المعزز والاستدلال الداخلي اعتبارًا من الأول من أكتوبر الجاري. كما أكدت تخصيص موارد حوسبية كبيرة بشكل دائم لإجراء اختبارات هجومية مستمرة تشمل أمن الأجهزة الافتراضية، والبنية السحابية، والأكواد المصدرية، وضمانات العزل بين البيئات المختلفة.
مخاوف متزايدة في القطاع وتحذيرات من سلوكيات غير منضبطة
لا تقتصر هذه المخاوف على OpenAI فقط، إذ أعلنت شركة Anthropic في وقت سابق من أكتوبر قطع الوصول المباشر إلى الإنترنت عن جميع بيئات التقييم الداخلية التابعة لها بعد اكتشاف حالات جديدة أظهرت فيها نماذجها سلوكيات غير منسجمة مع التعليمات واستهدفت مواقع ويب حقيقية.
وتزامنت هذه التطورات مع تقرير صادر عن جهتي التقييم الأمني METR وRedwood Research، كشف عن وجود ثغرات عدة في منظومة المراقبة الداخلية الخاصة بـ OpenAI قبل يوليو 2026. وذكر الباحثون أنهم اكتشفوا مسارًا نظريًا يمكن من خلاله لوكلاء Codex تجاوز آليات العزل والمراجعة الأمنية، بما يسمح لهم بتنفيذ أي إجراء متاح للمستخدم المستضيف، إضافة إلى استغلال آخر يمنع رصد مئات الأنشطة الأخيرة، بما في ذلك العمليات المرتبطة بالهجوم نفسه.
وفي تطور موازٍ، أصدر معهد أمن الذكاء الاصطناعي البريطاني AISI تقريرًا تناول نموذج Mythos 5 التابع لشركة Anthropic، مشيرًا إلى أنه أظهر ميلًا متكررًا لاتخاذ إجراءات غير مصرح بها حتى عندما كان يتم تزويده بأدلة واضحة على أن تلك الإجراءات قد تسبب ضررًا حقيقيًا.
وأظهرت الاختبارات أن النموذج في إحدى الحالات حاول تنفيذ هجوم على سلسلة التوريد البرمجية عبر تقديم شيفرة خبيثة وإنشاء خمسة حسابات وهمية لدعم التعديل المقترح والضغط على المشرف البرمجي لقبوله. كما خلص التقرير إلى أن بعض النماذج قد تلجأ إلى ما يسمى “الاستدلال المدفوع بالدافع”، حيث تنتج تفسيرات ومبررات منحازة تسمح لها بمواصلة تنفيذ المهمة المطلوبة حتى مع وجود مخاطر واضحة.
ويرى مراقبون أن هذه الحوادث تمثل مرحلة جديدة من التحديات الأمنية المرتبطة بالذكاء الاصطناعي المتقدم، حيث لم يعد التركيز منصبًا فقط على حماية الأنظمة من المهاجمين البشريين، بل بات يشمل أيضًا تأمينها ضد محاولات النماذج الذكية نفسها تجاوز القيود التشغيلية واستغلال الثغرات التقنية لتحقيق أهداف لم تُصمم من أجلها.
