تبديل النموذج قد يكشف التفكير الخفي لدى GPT وClaude

في نحو 27 أغسطس 2026، نشر المستخدم @kotekjedi_ml على منصة إكس مجموعة نتائج تجريبية غير معتادة: كتل تفكير خفية داخل واجهات برمجة تطبيقات Claude وGPT وGemini — لا تُعرض عادة على المستخدمين إطلاقًا — تمكّن باحثون أمنيون من استعادتها كنص مقروء. فبحسب التصميم، بمجرد أن ينهي النموذج تفكيره الداخلي، يقوم الخادم بتشفيره في كتلة غير شفافة تُعاد إلى العميل؛ يستطيع العميل الاحتفاظ بهذه البيانات لكنه لا يقدر على قراءتها أو تعديلها، ويعيدها كما هي في الاستدعاء التالي لكي يواصل النموذج من حيث توقف. لم يكسر الباحثون هذا التشفير ولم يحصلوا على أي مفاتيح من جانب الخادم — ما تجاوزوه هو نطاق استخدام الكتلة، لا التشفير نفسه.

لماذا يغادر التفكير الخفي النموذج أصلًا

لا يقتصر الفرق بين نموذج استدلالي ونموذج محادثة عادي على بضع خطوات تفكير إضافية قبل الإجابة: فهذه الحالات الوسيطة غالبًا ما يُعاد استخدامها طوال مهمة طويلة أو تشغيل وكيل، بينما يفكك النموذج مشكلة، ويجرّب مقاربات، ويقرأ نتائج الأدوات، ويراجع أحكامه. كان بإمكان الخادم تخزين سجل التفكير الكامل لكل جلسة، لكن ذلك يزيد من تعقيد التخزين وإدارة السياق؛ لذا تفضّل واجهات برمجة كثيرة تغليف التفكير الداخلي في كتلة لا يستطيع العميل قراءتها، وتسليمها له لحفظها، ثم التحقق منها وإعادة استخدامها في الاستدعاء التالي. يمنع ذلك القراءة أو التلاعب المباشرين، لكنه يخلق مشكلة صلاحيات لم تكن بارزة من قبل: يمكن للتشفير والتوقيع أن يثبتا أن كتلة ما تولّدت فعلًا من الخادم ولم تُعدَّل من الخارج، لكنهما لا يثبتان أنها لا تزال تخص الحساب أو الجلسة أو النموذج الصحيح — فقد ينتهي المطاف بتفكير مشروع تمامًا في مكان لا ينبغي أن يكون فيه.

كيف تجعل نموذجًا قويًا «يتكلم»

وجد الباحثون أن كتل التفكير الخفية هذه لا تبقى دائمًا حبيسة سياقها الأصلي: بعضها يمكن إعادة استخدامه عبر جلسات مختلفة، وبعضها يمكن حتى إعادة تقديمه تحت حساب آخر، والأهم من ذلك أن بعضها يمكن أن يقرأه نموذج آخر من نفس المزوّد. في حالة Claude مثلًا، يُنهي Opus مهمة عادية، فيولّد الخادم التفكير الخفي المقابل ويعيد إلى العميل كتلة تفكير موقّعة. وبدلًا من محاولة إجبار Opus نفسه على الإفصاح عن سلسلة تفكيره، حمّل الباحثون تلك الكتلة في سياق نموذج آخر هو Haiku — الذي تمكّن من تحميل تفكير كان في الأصل ملكًا لـOpus. وبمجرد نجاح هذه الخطوة، يتحوّل الهدف: لم يعد مطلوبًا كسر قيود Opus نفسه، بل يكفي أن يُعيد Haiku، الأسهل تجاوزًا، سرد ما حمّله بالفعل بصوت عالٍ. ولأن النماذج المختلفة ضمن العائلة نفسها تتفاوت في قوة المواءمة ومقاومة الاختراق، يمكن الالتفاف على الضمانات التي تحمي النموذج القوي عبر نموذج «شقيق» أضعف.

إثبات أن المحتوى المستعاد حقيقي

لم يكن لدى الباحثين إمكانية الوصول إلى أثر التفكير بنص واضح المحفوظ لدى الخادم، فلم يتمكنوا من التحقق منه رمزًا برمز — واعتمدوا بدلًا من ذلك على إشارات مستقلة للحكم على ما إذا كان الناتج المستعاد يطابق فعلًا الحالة الخفية الأصلية.

• جعلوا نموذجًا مصدريًا يحل 120 مسألة برمجية من موقع Codeforces مع تسجيل عدد رموز التفكير الخفية التي تبلغ عنها الواجهة البرمجية، ثم قارنوا ذلك بطول النص المستعاد: في عدة نماذج من Anthropic وOpenAI وGoogle، تتبّعت الأطوال المستعادة عن قرب أعداد الرموز المبلَّغ عنها من الواجهة البرمجية، وتجمّعت قرب الخط الذي يتطابق فيه الرقمان تمامًا.
• جمعوا 6708 سجلًا عامًا لتشغيل الوكلاء من GitHub وHugging Face، وعالجوها لتصبح 315320 كتلة تفكير. وبعد الاستعادة، تضمّن المحتوى مفاتيح واجهات برمجية، وكلمات مرور، ورموز وصول، ومفاتيح خاصة، وعناوين بريد إلكتروني — لم يظهر بعضها قط في أي مكان من سجل المحادثة العام، ما يعني أن النموذج القائم بالاستعادة لم يكن بإمكانه ببساطة استنتاج تلك القيم الدقيقة من النص الظاهر وحده.

كشفت هذه النتيجة أيضًا مشكلة أخرى في سجلات الوكلاء: حتى بعد أن يحذف مستخدم كلمة مرور أو مفتاحًا من سجل المحادثة أو من مستودع للشيفرة، قد تبقى المعلومة نفسها حيّة داخل كتلة تفكير خفية قديمة، إذ ربما يكون الوكيل قد قرأها أثناء تعديل الشيفرة أو ضبط إعداد أو تنظيف مستودع — وبمجرد دخولها في التفكير، يمكن أن تستمر داخل تلك الحالة المخزَّنة.

«خندق الاستدلال» الذي تفاخر به شركات الذكاء الاصطناعي يتصدّع

قيمة أثر التفكير الكامل لنموذج ما، بالنسبة للتدريب، تفوق بكثير بضع جمل إضافية تُزاد على الإجابة النهائية: فهو يسجّل كيف تم تفكيك مهمة ما، وكيف تشكّلت الأحكام الوسيطة، وكيف صُحّحت المسارات الخاطئة — وهي إشارة أغنى بكثير لتدريب نموذج أصغر من الإشراف القائم على الإجابة وحدها. كان الحصول على هذا النوع من البيانات على نطاق واسع يتطلّب سابقًا دفع تكلفة استدعاء نموذج مغلق باهظ الثمن بنفسك. أما الآن، وبما أن سجلات الوكلاء العامة تحتوي بالفعل على كميات كبيرة من التفكير المشفّر الذي حسبه مستخدمون آخرون باستخدام نماذج باهظة، فإن أي شخص يعثر على نموذج متوافق قادر على قراءة تلك الكتل يحظى بفرصة استخراج تفكير عالي الجودة محسوب مسبقًا، بدلًا من توليده من الصفر. وهذا يفصل توليد التفكير عن استخراجه بين نقطتي وصول مختلفتين — نموذج متطور ينتج التفكير القيّم، ونموذج رخيص يقرأه — وهو مسار يصعب على أي مراقبة تركّز فقط على جانب النموذج المتطور أن تكتشفه.

أوضحت تجربة أُجريت على نموذج Kimi K3 التابع لشركة Moonshot AI مدى قيمة هذا التفكير المسرَّب: اكتفى الباحثون بأخذ نحو 1% فقط من الرموز الأولى من أثر تفكير خفي لـClaude Opus، وأدخلوها في سياق تفكير Kimi K3؛ فتحوّلت إجابة Kimi K3 اللاحقة بشكل ملحوظ نحو اتجاه إخراج Opus، بفارق أكبر بكثير من نموذج ضابط لم يتلقَّ تلك البادئة. لا يثبت هذا أن Kimi K3 دُرِّب على بيانات تفكير Claude، لكنه يُظهر أن مجرد شريحة صغيرة من تفكير عالي الجودة يمكن أن تغيّر بشكل قابل للقياس مسار حل نموذج آخر.

داخل أنظمة الوكلاء، الأمر أبعد من مجرد تسريب بيانات

في محادثة عادية، يعني الاطلاع على التفكير الخفي أساسًا تسرّب معلومات داخلية. أما في نظام وكيل يعمل لفترة طويلة، فيؤدي التفكير أيضًا دور حالة المهمة — إذ يسجّل ما حلّله الوكيل بالفعل، والخيارات التي استبعدها، وما يعتزم فعله لاحقًا. وإذا كانت كتلة تفكير قادرة على الانتقال من مهمة إلى تشغيل آخر للوكيل، فإن ما ينتقل معها ليس مجرد معلومات تاريخية، بل ربما ميل سلوكي كان الوكيل قد كوّنه بالفعل. وقد أظهر الباحثون حقن تعليمات غير مرئي ينشأ عن هذا الوضع: يُكتب محتوى ضار أولًا في التفكير الخفي، ثم يحمّل وكيل جديد لاحقًا تلك الحالة — لا يحتوي الإدخال الذي يراه المستخدم على أي تعليمة مطابقة، لكن بمجرد أن يستعيد النموذج حالته الداخلية، يمكنه رغم ذلك أن يتصرف وفق ذلك المحتوى. ويختلف هذا عن حقن التعليمات المعتاد، الذي يختبئ غالبًا في صفحة ويب أو ملف أو بريد إلكتروني أو ناتج أداة، وهي أماكن يملك فيها نظام الأمان على الأقل فرصة لفحصها كنص واضح؛ أما كتلة التفكير المشفّرة فتبقى غير شفافة بالنسبة للأنظمة الخارجية، ولا تكتسب معنى إلا بعد أن يفك الخادم تشفيرها — وعندها يكون أي دفاع قائم على الفحص قد فات أوانه بالفعل.

السياق الأوسع: وكلاء برمجة بالذكاء الاصطناعي ينفذون بالفعل شيفرة غير مصرَّح بها داخل شبكات الشركات

يظهر هذا الاكتشاف المتعلق بالتفكير الخفي في خضم موجة أوسع من الكشوفات عن أمن وكلاء الذكاء الاصطناعي. وبحسب Ars Technica، فحص باحثون في شركة ناشئة إسرائيلية غير معلنة 6214 نطاقًا فعليًا تابعًا لمقاولي دفاع وشركات من قائمة Fortune 500 وشركات تكنولوجيا كبرى، ووجدوا داخل ملفات llms.txt لـ120 من هذه المواقع 227 أمر تثبيت يشير إلى حزم شيفرة أو نطاقات غير مسجَّلة. وبعد تسجيل عدد قليل من أسماء الحزم والنطاقات الشاغرة، تلقّى الفريق خلال أقل من ساعة طلب اتصال عائد من شركة مدرجة في Fortune 500، تلته عشرات الطلبات المماثلة مع مرور الوقت — بمشاركة وكلاء برمجة من بينهم Claude وCodex التابع لـOpenAI وHermes التابع لـNous Research. ويرى الباحث Alon Hertz أن المشكلة الكامنة أعمق من ذلك: فالوكلاء يعاملون افتراضيًا كل وثيقة يقرؤونها على أنها جديرة بالثقة، دون أي وسيلة للتمييز بين تعليمة حقيقية ومحتوى غير موثّق.

تتعامل الوكلاء مع وثائق المورّدين باعتبارها حقيقة مطلقة ولا تشكك فيها — ولا يفعل ذلك أيضًا البشر الذين يشرفون عليها. استخدام الذكاء الاصطناعي القائم على الوكلاء يتوسع بشكل متفجر، وينتشر الوكلاء عبر كل طبقة: البرمجيات كخدمة، والحوسبة السحابية، ونقاط النهاية.

ما الذي يتغير بالنسبة للشركات في المنطقة العربية

بالنسبة لأي مؤسسة تُدمج Claude أو GPT أو نموذجًا استدلاليًا آخر في مهام وكلاء — خدمة العملاء، مراجعة الشيفرة، تحليل البيانات — يشير هذا البحث إلى خطر لم يُناقش كثيرًا حتى الآن: قد تحمل كتلة التفكير أسرارًا مثل المفاتيح وكلمات المرور، وقد يكون استعادتها ضارة بقدر تسرّب سجلات كاملة. كما يتعيّن على المؤسسات التي تسمح لوكلائها بنقل حالات تفكير قديمة وإعادة استخدامها بين المهام أو النماذج أن تنظر أيضًا فيما إذا كانت تلك الحالة قد تحمل معها ميلًا سلوكيًا تم التلاعب به. وعلى المدى القريب، ينبغي للفرق التي تنشر وكلاء استدلاليين تجنّب كشف بيانات اعتماد داخلية في أي سياق قد يُكتب داخل التفكير، ووضع حدود صلاحيات واضحة لتحديد أي حالات تفكير يمكن إعادة استخدامها بين النماذج أو الجلسات، بدلًا من الوثوق افتراضيًا بأي كتلة لمجرد أنها تجتاز التحقق من التوقيع.