معهد NIST يحذّر من هجمات أدوات MCP على وكلاء الذكاء الاصطناعي

في 9 نوفمبر 2026 نشر المعهد الوطني الأمريكي للمعايير والتقنية (NIST) مسودة عامة أولية للمنشور الخاص NIST SP 2400-102e2026 بعنوان «Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations». وبحسب NIST، فإن النص مفتوح للتعليقات العامة حتى 18 ديسمبر 2026. ومن بين ما تتضمنه المسودة تحذير من سلسلة توريد الأدوات التي يستدعيها وكلاء الذكاء الاصطناعي عبر بروتوكول سياق النموذج (Model Context Protocol، واختصاره MCP).

ما هو التعلّم الآلي العدائي وما الذي تغطيه مسودة NIST؟

التعلّم الآلي العدائي (adversarial machine learning، واختصاره AML) هو دراسة الهجمات التي تتلاعب عمدًا بأنظمة التعلّم الآلي، ودراسة وسائل الدفاع المقابلة لها. وبحسب NIST، يضع التقرير تصنيفًا للمفاهيم ويحدّد مصطلحات هذا المجال. ويتبع التصنيف تسلسلًا هرميًا مفاهيميًا يشمل الأنواع الرئيسية لأساليب التعلّم الآلي، ومراحل دورة حياة الهجوم، وأهداف المهاجمين وغاياتهم وقدراتهم ومعارفهم. ويقول NIST إن التصنيف يستند إلى مراجعة واسعة للأدبيات ومحادثات مع خبراء في AML وبحوث أجراها متخصصوه.

وتبني المسودة على سلسلة NIST AI 100-2 التاريخية، بحسب صفحة المنشور التي تذكر AI 100-2 E2025 ضمن المنشورات ذات الصلة. والمؤلفون المذكورون هم أبوستول فاسيليف ومايا هامين (NIST)، وأليينا أوبريا (جامعة نورث إيسترن)، وأليي فورديس (ElevenLabs)، وزاندر ديفيز (معهد أمن الذكاء الاصطناعي في المملكة المتحدة). وتركّز هذه الطبعة على الهجمات التي تستهدف الأنظمة الوكيلية وإجراءات التخفيف منها، وتعالجها المادة 4 من التقرير، مع فهرس جديد لأنواع الهجمات الوكيلية.

ثمة ملاحظة تخص المصطلحات. فصفحات NIST نفسها تستخدم الاختصار «SI» ويُفصَّل بعبارة «Super Intelligence» للإشارة إلى الأنظمة المشمولة، بينما تصف CDO Magazine وiThome المسودة بأنها تتناول أنظمة الذكاء الاصطناعي الوكيلي. ويكتب هذا المقال «الذكاء الاصطناعي» ويتبع وصف هاتين الجهتين.

ما الهجمات التي يدرجها التصنيف؟

بحسب CDO Magazine التي نقلت خبر المسودة في 12 نوفمبر، تتناول الوثيقة تسميم البيانات وتسميم النماذج وهجمات الخصوصية وتقنيات التهرّب. وفي الذكاء الاصطناعي التوليدي تشمل هجمات سلسلة التوريد، وحقن التعليمات المباشر وغير المباشر، واستخراج المعلومات، والعبث بالنماذج. وحقن التعليمات (prompt injection) يعني إخفاء أوامر داخل نص يقرؤه النموذج كي ينفذها.

وذكرت وسيلة الإعلام التايوانية iThome في 13 نوفمبر أن المسودة تغطي التعلّم الآلي التنبؤي والذكاء الاصطناعي التوليدي وأنظمة الذكاء الاصطناعي الوكيلي، مع وسائل الدفاع المقابلة. أما الجزء الوكيلي، بحسب CDO Magazine، فيعالج التهديدات الناشئة عن تفاعل الوكلاء مع البيانات الخارجية والأدوات والمهارات والوكلاء الآخرين: بيانات غير موثوقة، وأدوات ومهارات خبيثة، وتدفقات عمل متعددة الوكلاء، ومهام طويلة الأمد.

كيف تُسمَّم أداة MCP؟

بروتوكول سياق النموذج (MCP) معيار يتيح لوكلاء الذكاء الاصطناعي الاتصال بأدوات خارجية تقدّمها خوادم تابعة لجهات خارجية. وبحسب ملخص iThome للمسودة، يقرر الوكيل أي أداة يستخدم اعتمادًا على الوصف النصي الذي يقدّمه مزوّد الأداة. ويصف NIST مهاجمًا يزرع تعليمات في وصف أداة خبيثة ليدفع الوكيل إلى اختيار أداته، بل إلى تغيير خطته الأصلية. ويسمّي NIST هذا الأسلوب تسميم الأدوات (tool poisoning).

والأسلوب الثاني هو «rug pull» بحسب iThome. إذ يسجّل المهاجم أولًا خادم MCP يبدو عاديًا في سجل عام للأدوات. وبعد أن يثبّته المستخدمون، يعدّل سرًا أوصاف الأدوات التي يقدّمها الخادم، فينفذ الوكيل عمليات خبيثة دون أن يطلب موافقة المستخدم مرة أخرى.

وتضيف iThome أن أبحاثًا استشهد بها NIST وجدت هذا النوع من المخاطر في خوادم MCP العاملة فعليًا. ويفيد الملخص نفسه بأن آليات المواءمة الأمنية الحالية لنماذج الذكاء الاصطناعي لا تزال غير كافية لإيقاف سلوك خبيث يصل عبر واجهة أداة مشروعة.

ما وسائل الدفاع التي يقترحها NIST؟

تنقل الجهتان قائمتين مختلفتين ومتكاملتين من إجراءات التخفيف الواردة في المسودة:

• التحقق من تعريفات الأدوات بتوقيعات تشفيرية ومعرّفات إصدار غير قابلة للتغيير، وعزل بيئة تنفيذ الأدوات في صندوق رمل (iThome).
• فصل التعليمات الموثوقة عن المحتوى غير الموثوق، وتقييد تدفقات المعلومات، وتطبيق ضوابط الوصول وأقل الصلاحيات، واستخدام صندوق الرمل وسجلات التدقيق (CDO Magazine).

لماذا لا تكفي إعادة التشغيل ضد تسميم الذاكرة؟

وإلى جانب الأدوات، تنقل iThome أن NIST يناقش مخاطر الوكلاء الذين ينفذون مهام طويلة. فإذا زرع مهاجم محتوى خبيثًا في الذاكرة طويلة الأمد لوكيل، فقد يؤثر هذا المحتوى في سلوكه في مهام لاحقة: وهذا هو تسميم الذاكرة. وتوضح CDO Magazine أن الوكلاء يسترجعون المعلومات من مواقع الويب والملفات وقواعد المعرفة والذاكرة الدائمة، وأن التعليمات الخبيثة المضمّنة في هذه المواد قد تدخل سياق الوكيل.

والخطر الثاني هو انجراف التعليمات. وبحسب iThome، مع تراكم بيانات العمل قد يلتزم الوكيل تدريجيًا بدرجة أقل بتعليماته وقيوده الأولى، مما يتيح للمهاجم فرصة تغيير سلوكه عبر عدة تفاعلات. وإذا كان العنصر المسموم هو النموذج الأساسي أو طبقة التكييف فيه، فقد لا تزيل إعادة تشغيل بسيطة أو استعادة نسخة سابقة السلوك الخبيث، وقد يلزم استبدال النموذج أو إعادة تدريبه، بحسب iThome أيضًا.

ماذا يتغير بالنسبة إلى الشركات؟

تشير CDO Magazine إلى أن المسودة طوعية ولا تنشئ متطلبات قانونية أو تنظيمية. وهي مسودة فقط: إذ يقول NIST إنه سيحدّث الوثيقة مع تطور الهجمات ووسائل الدفاع، ويطلب تعليقات على ثلاثة أسئلة، هي أحدث الهجمات التي تهدد الأنظمة الحالية والوكيلية منها خصوصًا، وأحدث إجراءات التخفيف الفعالة، والمصطلحات الجديدة التي تحتاج إلى توحيد. ويذكر NIST أن التصنيف يهدف إلى الاسترشاد به في المعايير والأدلة العملية المستقبلية.

وبالنسبة إلى شركة في المنطقة العربية تتعامل مع موردين أو عملاء أمريكيين، توفر المسودة مفردات مشتركة لمساءلة المزوّدين وصياغة متطلبات الأمن. وهذه قراءتنا وليست تصريحًا من NIST: الخطوة الأولى حصر كل خادم MCP وكل أداة يمكن لوكلائها استدعاؤها، وتثبيت الإصدارات المستخدمة، ومراجعة أوصاف الأدوات بعد كل تحديث، ومنح الوكلاء الصلاحيات اللازمة فقط، والاحتفاظ بسجلات لما يفعلونه. وتندرج هذه الضوابط في إطار أوسع لـحوكمة وكلاء الذكاء الاصطناعي.