GPT‑6 Astra أقوى من GPT‑5.6 Sol دفاعياً، لكن حقن الأوامر غير المباشر لا يزال خطراً

تقدم GPT‑6 Astra، وفقاً لتقييمات OpenAI، تحسناً واضحاً عن GPT‑5.6 Sol في جوانب السلامة: أخطاء واقعية أقل، ومقاومة أعلى لحقن الأوامر، وصلابة أكبر أمام محاولات «كسر الحواجز» (jailbreaks)، بما فيها الهجمات التي تتطور عبر محادثات أو خطوات طويلة. 2530

لكن هذا لا يعني أن الوكيل المدعوم بالذكاء الاصطناعي أصبح محصناً. فتحسن سلوك النموذج لا يمنع تلقائياً التعليمات العدائية المخبأة في صفحة ويب أو بريد إلكتروني أو مستند أو مستودع برمجي أو مخرجات أداة من التأثير في الوكيل الذي يقرأها. وخلصت اختبارات Gray Swan لحقن الأوامر غير المباشر (IPI) إلى أن أياً من النماذج التي اختبرتها لم يكن محصناً. 4

أين يتفوق Astra على GPT‑5.6 Sol؟

تقول OpenAI إن Astra «أكثر متانة بدرجة كبيرة» أمام محاولات كسر الحواجز مقارنة بـGPT‑5.6 Sol، بما في ذلك الهجمات ذات المسار الطويل. وهذه نقطة مهمة لأن المهاجم المتقدم لا يحتاج إلى طلب واحد مكشوف؛ إذ يستطيع تعديل أسلوبه على مراحل خلال تفاعل متعدد الأدوار، مستفيداً من السياق المتراكم. 25

وتفيد الشركة أيضاً بأن Astra أقوى في مقاومة حقن الأوامر ضمن بيئات التصفح والعمل، وأنه يرتكب أخطاء واقعية أقل من Sol. لكن ينبغي قراءة مؤشرات الدقة بحذر: فتجارب إعادة إنتاج الأخطاء اعتمدت محادثات كان المستخدمون قد أبلغوا فيها مسبقاً عن إجابات خاطئة، أي إنها حالات مرشحة للأخطاء وليست قياساً مباشراً لمعدل الهلوسة في الاستخدام اليومي. 2530

وتكتسب هذه التحسينات أهمية خاصة للوكلاء المكلفين بالبحث والبرمجة والتصفح وإنجاز أعمال مركبة متعددة الخطوات. وتصف ملاحظات إصدار OpenAI قدرة Astra على تنفيذ مهام معقدة متعددة المراحل وإنشاء مستندات وجداول بيانات وعروض تقديمية. 19

لماذا لا يمكن منح Claude Opus 5 ترتيباً حاسماً هنا؟

لا تدعم الأدلة المتاحة حكماً عاماً بأن Astra أكثر أماناً من Claude Opus 5 من Anthropic في الدقة الواقعية أو مقاومة كسر الحواجز المباشر أو حقن الأوامر غير المباشر.

فالمقارنة العادلة بين النماذج تتطلب مجموعة اختبارات موحدة، وأدوات وكلاء متطابقة، وتعليمات نظام متماثلة، وتعريفاً مشتركاً لنجاح الهجوم، ومهاجماً قادراً على التكيف بالطريقة نفسها. وقد تختلف تقييمات الشركات وتحديات الاختبار العلنية في كل هذه العوامل. وتذكر مواد Gray Swan نموذج Claude Opus 5 ضمن النماذج المتاحة في ساحة الاختبار، لكن النتائج المقدمة لا تتضمن بطاقة نقاط مباشرة ومتكافئة بين Astra وOpus 5. 14

لذلك فالخلاصة التي يمكن الدفاع عنها أضيق: أقوى دليل لدى OpenAI هو أن Astra تحسن على سلفه GPT‑5.6 Sol.

كسر الحواجز المباشر ليس هو حقن الأوامر غير المباشر

يبدأ كسر الحواجز المباشر بطلب ظاهر يقدمه المهاجم للنموذج، مثل محاولة تجاوز قواعده أو دفعه إلى تنفيذ فعل محظور. وترتبط مكاسب Astra المعلنة في مواجهة مسارات الهجوم الطويلة بهذا النوع من الخصوم المستمرين والمتكيفين. 25

أما حقن الأوامر غير المباشر فيأتي من المحتوى الذي يستهلكه الوكيل. فقد تُخفى تعليمات ضارة داخل صفحة ويب أو رسالة بريد أو وثيقة أو نتيجة بحث أو أثر تنفيذ برمجي أو مخرجات أداة، بهدف تحويل الوكيل عن مهمة المستخدم الفعلية. وركز تحدي IPI لدى Gray Swan تحديداً على هذه الأوامر المخفية في بيئات واقعية، منها محتوى الويب ومخرجات الأدوات وآثار وكلاء البرمجة. 5

وهنا تكمن الخطورة: قد لا يرى الشخص الذي يستخدم الوكيل التعليمة الخبيثة أصلاً.

ماذا تثبت ساحة IPI لدى Gray Swan، وماذا لا تثبت؟

أعلنت Gray Swan نتائج ساحة IPI شملت 13 نموذجاً متقدماً، و464 مختبِراً أمنياً، و41 سيناريو، وأكثر من 272 ألف محاولة هجوم. وكانت خلاصتها أن أياً من النماذج المختبرة لم يخرج محصناً من حقن الأوامر غير المباشر. 4

وهذا دليل قوي على أن المشكلة لا تزال غير محلولة في نشر الوكلاء. لكنه ليس جدول ترتيب محايداً ومكتملاً بين المورّدين في جميع أبعاد السلامة. فلا تعني النتيجة أن جميع النماذج تفشل بالمعدل نفسه، ولا تغني عن تقييمات خاصة بكل نموذج لقياس الدقة أو مقاومة كسر الحواجز المباشر.

لماذا تصبح هذه الثغرة أخطر في وكلاء المؤسسات؟

في مساعد دردشة مستقل، قد ينتهي حقن الأوامر الناجح إلى إجابة مضللة. أما في وكيل مؤسسي متصل بأنظمة العمل، فقد تكون العواقب أكبر بكثير.

تصنف OpenAI نموذج Astra عند مستوى «حرج» في قدرات الأمن السيبراني ضمن إطارها للاستعداد. ووفقاً للشركة، يستطيع Astra، إذا زُوّد بالأدوات والصلاحيات المناسبة، اكتشاف ثغرات أمنية غير معروفة سابقاً وتطوير أساليب لاستغلالها عبر كثير من الأنظمة المحمية جيداً، من دون إرشاد بشري خطوة بخطوة. 27

يمكن أن تفيد هذه القدرة في الدفاع المصرح به. لكنها ترفع أيضاً كلفة اختراق سير عمل وكيل: فالمهاجم الذي ينجح في إعادة توجيه الوكيل عبر محتوى غير موثوق قد يحاول التأثير في ما يبحث عنه الوكيل، أو الأدوات التي يستدعيها، أو الأفعال التي يقترحها. ويزداد الخطر عندما يمتلك الوكيل وصولاً إلى بيانات حساسة أو مستودعات برمجية أو بيئات سحابية أو متصفحات أو تطبيقات أعمال.

وضعية نشر أكثر أماناً

ينبغي التعامل مع مقاومة حقن الأوامر بوصفها طبقة دفاع، لا كحد أمني وحيد. وفي سير العمل ذي الأثر الكبير، على المؤسسات أن:

• تعتبر صفحات الويب والملفات ورسائل البريد ومخرجات الأدوات مدخلات غير موثوقة.
• تقيد وصول الوكيل إلى البيانات وصلاحيات الأدوات والاتصال الشبكي بما يلزم للمهمة فقط.
• تعزل بيئات التنفيذ، وتستخدم الحاويات المعزولة أو بيئات الاختبار المحكومة لتنفيذ الشيفرة أو نشاط المتصفح متى أمكن.
• تجعل الأفعال ذات العواقب خلف خطوات موافقة ومراجعة صريحة.
• تسجل استدعاءات الأدوات وقرارات الوكيل، وتختبر باستمرار التركيبة الفعلية من النموذج والأدوات ضد تقنيات الهجوم المستجدة.

وقد وصفت OpenAI العزل الأقوى، وتقييد الوصول إلى الشبكة والأدوات، والمراقبة، والتنفيذ ضمن بيئات معزولة، بوصفها ضمانات للأنظمة الأعلى قدرة. 34

الخلاصة

تشير بيانات OpenAI إلى أن Astra، بفضل انخفاض أخطائه الواقعية وتحسن مقاومته لكسر الحواجز المباشر، هو خليفة أقوى لـGPT‑5.6 Sol. 2530 لكن لا تدعم الأدلة المقدمة إعلان تفوقه المطلق على Claude Opus 5 في كل السياقات، كما أن حقن الأوامر غير المباشر يظل نقطة ضعف مؤثرة في منظومة الوكلاء. 4

والدرس العملي للمؤسسات بسيط: اختر النموذج الأقوى المتاح، لكن صمم النظام المحيط به بحيث لا تتحول وثيقة أو صفحة ويب خبيثة إلى قناة يتحكم عبرها المهاجم في قدرات النموذج وأدواته المتصلة.