حقن الأوامر: OWASP والواقع يتناقضان بشأن تهديدات LLM

مقدمة تحليلية

بتاريخ 25 أغسطس 2026، كشف تحليل صادر عن قادة مشروع OWASP Top 10 لتطبيقات LLM عن تباين جذري في تقييم مخاطر أمن نماذج اللغة الكبيرة. فبينما يحتل هجوم "حقن الأوامر" (Prompt Injection) المرتبة الأولى في قائمة OWASP لأكثر من ثلاثة أعوام متتالية، تضعه بيانات الحوادث الفعلية المصنفة في المرتبة 12. هذا التضارب الصارخ لا يمثل مجرد اختلاف إحصائي، بل يشير إلى عجز هيكلي في آليات الكشف الحالية، مما يترك المؤسسات عرضة لتهديدات متصاعدة غير مرئية للمسح الأمني التقليدي. تأتي هذه النتائج في وقت حاسم، حيث أظهرت أبحاث Ivanti لعام 2026 أن 87% من فرق الأمن تعتبر تبني الذكاء الاصطناعي الوكيلي أولوية، و77% منها مرتاحة للسماح للذكاء الاصطناعي بالتصرف دون مراجعة بشرية.

يقود هذا الخلاف الممنهج بين تقييم الخبراء وسجل الحوادث إلى قرارات خاطئة في تخصيص الموارد الأمنية، مما يعرّض الأنظمة الحرجة للخطر. تُشير البيانات إلى أن الشركات التي تعتمد على سجل CVE المنخفض لتجاهل حقن الأوامر تقرأ لوحة النتائج بشكل خاطئ بالكامل.

التحليل التقني

السبب الأساسي وراء هذا التفاوت هو الطبيعة الكامنة لهجوم حقن الأوامر، الذي يظل غير مرئي لماسحات الثغرات الأمنية التقليدية. يقوم الهجوم على إخفاء تعليمات ضارة داخل المحتوى الذي يقرأه النموذج، سواء كان إدخال سجل أو تذكرة دعم أو مستنداً مسترجعاً. يقوم الوكيل بعد ذلك باستدعاء الأداة التي يريدها المهاجم، مستخدماً بيانات اعتماد يمتلكها بشكل شرعي. لا يوجد أي عيب في المنتج في هذه السلسلة، مما يعني عدم وجود CVE يمكن للمسح اكتشافها. وصف ستيف ويلسون، الشريك في قيادة مشروع OWASP Top 10 لتطبيقات LLM وكبير مسؤولي الذكاء الاصطناعي والمنتجات في Exabeam، هذه الظاهرة بأنها أشبه بـ "قانون فيزيائي لأنظمة LLM".

تعتمد الدفاعات الفعالة على الاختبارات العدائية ضد النظام المنشور، وفرض قيود صارمة على ما يمكن للوكيل الوصول إليه. يقترح ويلسون نشر "بوابة ترخيص" خارج النموذج كخط دفاع أول، تسمح للوكيل باقتراح تغييرات DNS دقيقة، لكنها تمنعه من منح نفسه صلاحية تنفيذها. يُقر ويلسون بأن هذه البوابة تفرض مقايضة: يفقد الوكيل القدرة على الارتجال في إجراء تغييرات بنية تحتية عالية التأثير. بحسب تقرير CrowdStrike Global Threat Report لعام 2026، قام المهاجمون بحقن أوامر ضارة في أدوات GenAI الشرعية في أكثر من 90 مؤسسة خلال عام 2025، لسرقة بيانات الاعتماد والعملات المشفرة، تحت عنوان "الأوامر هي البرامج الضارة الجديدة".

يُشير تحليل Kyriakos “Rock” Lambros و Steve Wilson، اللذان نشرا نتائجهما الأولية على arXiv في 18 أغسطس، إلى جمع 7,714 حادثة أمنية مرتبطة بـ LLM من مصادر مثل CVE، GitHub Security Advisories، OSV، وقاعدة بيانات AIAAIC AI-harm. تم تصنيف 6,639 حادثة منها ضمن تصنيف مكون من 20 مدخلاً. لم يتم العثور على اتفاق قابل للكشف إحصائياً بين حكم الخبراء وسجل الحوادث العامة، حيث سجل معامل كوهين كابا 0.20 مع فاصل ثقة 90% يمتد من -0.16 إلى 0.57. تُشير هذه النتائج إلى أن "الاتفاق ضعيف، وليس تأكيداً".

تتضح الفجوة بشكل أوسع في حالات أخرى: فمثلاً، يصنف الخبراء التضليل (misinformation) في المرتبة 13، بينما يضعه سجل الحوادث في المرتبة 2، وهو "أوسع خلاف بين الشاهدين"، حيث تصل احتمالية عدم اتفاق الإشارتين إلى 99%. وتظهر مدخلات التصنيف الجديدة، مثل تسمم الذاكرة الدائم (Persistent memory poisoning) في المرتبة 4 لدى الخبراء و16 في سجل الحوادث، واستغلال واجهة أداة MCP في المرتبة 7 لدى الخبراء و16 في سجل الحوادث، بفواصل حوادث تتراوح من 6 إلى 20. رغم وجود CVEs عامة لعام 2026 لهذه التهديدات، مثل CVE-2026-33980 لـ Azure Data Explorer MCP Server (بخطورة 8.3 High) وCVE-2026-13341 لـ Kong Konnect MCP Server، وCVE-2026-59726 لـ Ruflo (بخطورة 10.0 Critical)، فإن السجل لا يزال هزيلاً لدرجة أن النموذج لا يستطيع وضع أي من المدخلين ضمن 14 مركزاً في التصنيف. يؤكد لامبروس: "عدد الصفر يقيس عمى بصرك، وليس سلامتك".

السياق وتأثير السوق

نشرت OWASP قائمة GenAI LLM Top 10 2026 في 4 أغسطس، وهي النسخة الأولى التي تدمج بيانات الحوادث في التصنيف، مع ترجيح تصويت الممارسين بنسبة 75% وتقرير الحوادث بنسبة 25%. حافظ حقن الأوامر على المرتبة الأولى، وارتفع التضليل مرتبتين، وصعدت الوكالة المفرطة (Excessive Agency) من المرتبة 6 إلى 3، لتصبح النقطة الأكثر وضوحاً في اتفاق الإشارتين. وارتفعت الاستهلاك غير المقيد (Unbounded Consumption) أربع نقاط إلى المرتبة 6، بينما تراجع التعامل غير السليم مع المخرجات (Improper Output Handling) من المرتبة 5 إلى 10، وهو أكبر تراجع. يُقر ويلسون بأنه "لا يوجد شيء سحري في ترجيح 75/25"، مؤكداً أن "قيمة البيانات لم تكن في إعطائنا إجابة رياضية؛ بل في تغيير المحادثة".

يُشير لامبروس إلى أن دمج 25% من وزن بيانات الحوادث بالتساوي لجميع الفئات، بينما تتراوح دقة المصنف الذي تم فحصه يدوياً من 93% لحقن الأوامر وسلسلة التوريد إلى 13% فقط لنقاط ضعف المتجهات والتضمين (vector and embedding weaknesses)، يُعتبر خطأ هيكلياً. يؤكد لامبروس أن "النسبة يجب أن تعكس مدى جودة قياس كل فئة بالفعل". هذا التناقض يدفع إلى إعادة تقييم كيفية تخصيص الميزانيات. يشدد Kayne McGladrey، عضو IEEE البارز الذي ينصح الشركات بالمخاطر، على أن "أي شيء يبدو ذا طابع أمن سيبراني يُوضع عموماً في فئة مخاطر الأمن السيبراني، وهو محض خيال". ويضيف أن التركيز يجب أن يكون على "مخاطر الأعمال، لأنه إذا لم يؤثر على العمل، مثل الخسارة المالية، فلن ينتبه إليه أحد، ولن يتم تخصيص ميزانية له بشكل مناسب".

تُقدم التوصيات الفورية حلاً عملياً: استخدم قائمة OWASP LLM Top 10 كخريطة تغطية لا كقائمة انتظار، وبناء ترتيب الأولويات الخاص بك استناداً إلى التعرض الفعلي لأنظمتك، وبيانات إخطارات الاختراق، والضوابط التي تم اختبارها. يجب تسجيل ما تفعله أنظمة الذكاء الاصطناعي حقاً، وتحديداً الأوامر المدخلة والمخرجات والوثائق المسترجعة والأدوات المستدعاة، ودرجة ثقة النموذج. يُعدّ سجل الثقة (confidence score) عنصراً حاسماً، حيث "لا يتصرف النموذج الذي يعمل بتعليمات مسمومة بشكل معيب، بل يتصرف بيقين"، وهو ما تعتبره أنظمة المراقبة صحياً. كما يجب تمويل الفئات ذات السجل الهزيل (كالذاكرة السامة وواجهات أدوات MCP) على أساس بنية النظام، لا على أساس حجم الحوادث. ويُطرح تساؤل حاسم لمجالس الإدارة: إذا كان تصنيف مخاطر الذكاء الاصطناعي لدينا يستند إلى تصويت 29 شخصاً ومجموعة بيانات لا تتفق معها، فما الذي نستخدمه حقاً لتحديد الضوابط التي سيتم تمويلها العام المقبل؟

رؤية Glitch4Techs

إن النهج الحالي لأمن أنظمة LLM، الموجه بتصنيف OWASP المخفف، هو نهج معيب وخطير بشكل أساسي للمؤسسات التي تتبنى الذكاء الاصطناعي الوكيلي. يُعدّ ترجيح تصويت الخبراء (المستند إلى 29 مشاركاً فقط) بنسبة 75% مقابل 25% لسجل الحوادث المصنف بشكل ضعيف تنازلاً رياضياً يخفي نقاط ضعف حرجة. يتضح هذا في التناقض بين دقة المصنف التي تتراوح من 93% لحقن الأوامر إلى 13% فقط لبعض نقاط الضعف، مما يجعل جزءاً كبيراً من التصنيف يعتمد على "ضوضاء" وليس بيانات موثوقة. هذه الهشاشة تعرض الشركات للخطر مباشرةً، كما يتجلى في التهديدات ذات التصنيف الضعيف في سجل الحوادث مثل "تسمم الذاكرة الدائم" (المرتبة 16 في الحوادث، ولكن مع CVE-2026-59726 ذات خطورة 10.0 Critical) و"استغلال واجهة أداة MCP" (المرتبة 16 في الحوادث، ولكن مع CVE-2026-33980 ذات خطورة 8.3 High).

إن انتظار "حجم الحوادث" لتبرير الاستثمار في هذه الضوابط الحرجة هو وصفة مؤكدة لكارثة أمنية.