لماذا لا يكفي اختبار DeepSeek V4 Pro وحده لضمان سلامة الوكلاء؟

الخلاصة العملية: لا تعتمد على اسم النموذج وحده

قد يتيح DeepSeek V4 Pro الوصول عبر الويب أو تطبيقات الهاتف أو واجهات API أو واجهة OpenAI Responses API أو تكامل Codex، لكن توافق الواجهة لا يثبت أن التعليمات والأدوات والصلاحيات والذاكرة والآثار الجانبية تعمل بالطريقة نفسها في كل بيئة تشغيل.

لذلك، يجب أن يكون قرار الاعتماد مرتبطًا بإعداد محدد ومثبت يضم النموذج وبيئة التشغيل والمهمة والبيئة التنفيذية. ولا ينبغي الموافقة على هذا الإعداد إلا بعد اجتيازه تقييم سلامة خاص به.

كيف تغيّر بيئة التشغيل سلوك الوكيل؟

الوكيل ليس النموذج اللغوي وحده. فبيئة التشغيل أو الـ harness تحدد كيفية تلقي النموذج للتعليمات، واختياره للأدوات، ووصوله إلى البيانات، وتعاملِه مع الإخفاقات، وتأثيره في الأنظمة الخارجية.

ومن العوامل التي قد تغيّر مستوى المخاطر:

• تعليمات النظام والمحوّلات البرمجية؛
• تعريفات الأدوات وتنفيذاتها؛
• نطاقات الصلاحيات وبوابات الموافقة؛
• جذور نظام الملفات والوصول إلى الشبكة؛
• مصادر بيانات الاعتماد والهوية المستخدمة؛
• سلوك العمليات الفرعية والشفرة المُولّدة؛
• منطق إعادة المحاولة والمهلات الزمنية والتزامن؛
• حالة الجلسة والملخصات وذاكرة التخزين المؤقت والذاكرة الدائمة.

وبالتالي، يمكن للواجهة الخلفية نفسها الخاصة بـ DeepSeek V4 Pro أن تمتلك ملف مخاطر مختلفًا عند تمريرها عبر بيئات تشغيل أو بيئات تنفيذ مختلفة. فالتوافق مع مخطط API هو خاصية تكامل، وليس شهادة سلامة.

ماذا كشفت نتائج AgentS4D؟

قيّمت دراسة AgentS4D إعدادات تشغيل كاملة، بدلًا من الاكتفاء بفحص ردود النموذج بمعزل عن السياق. وشمل المعيار 328 حالة جرى إدخال مخاطر فيها، عبر أربع بيئات تشغيل وخمس واجهات خلفية للنماذج، ما نتج عنه 6,560 تجربة داخل بيئة معزولة. وسجّلت الدراسة 4,461 تجربة غير آمنة، أي 68.0%، كما صنّفت 4,344 تجربة، أي 66.22%، على أنها غير آمنة ومكتملة في الوقت نفسه. 13

الدرس الأهم هو أن إتمام المهمة قد يتزامن مع تنفيذ غير آمن. فقد ينشئ الوكيل الملف المطلوب، لكنه يُجري في أثناء ذلك تغييرًا محظورًا، أو يسيء التعامل مع بيانات حساسة، أو يتجاوز حاجزًا أمنيًا مقصودًا، أو يتسبب في أثر جانبي آخر غير آمن.

ولا ينبغي عرض هذه الأرقام على أنها معدل حوادث إنتاجية خاص بـ DeepSeek V4 Pro. فقد استخدمت الدراسة حالات مصممة عمدًا لإدخال المخاطر داخل بيئة اختبار معزولة، وجمعت النتائج عبر عدة تركيبات من النماذج وبيئات التشغيل. وستختلف طبيعة المهام في الإنتاج، والضوابط المطبقة، واحتمال التعرض لمحتوى عدائي، والأصول المتاحة، وتعريفات الضرر. وتثبت الدراسة ضرورة قياس سلامة بيئة التشغيل مباشرة، لكنها لا تتنبأ بما ستواجهه كل عملية نشر. 135

قلّل العواقب القصوى لأي إجراء

ينبغي أن تجعل الضوابط الأمنية أخطاء النموذج أو الأدوات أقل ضررًا، حتى عندما يتصرف أحد المكونات على نحو غير متوقع.

استخدم هويات منفصلة بأقل قدر من الصلاحيات

أنشئ هويات مستقلة للوكلاء والبيئات والمستأجرين. وتجنب استخدام بيانات اعتماد الموظفين تلقائيًا، أو منح الوكلاء صلاحيات إدارة الإنتاج، أو تزويدهم بأسرار قابلة لإعادة الاستخدام على نطاق واسع. يجب أن تقتصر كل هوية على الموارد والعمليات اللازمة للمهمة المحددة.

قيّد نظام الملفات والشبكة

• اربط الوكيل بجذر مساحة عمل مخصص فقط.
• اجعل المسارات غير المرتبطة بالمهمة غير قابلة للوصول، بدل الاكتفاء بإخفائها.
• اسمح بقائمة محددة من وجهات الشبكة والأساليب والمنافذ، وحجّم حركة الخروج عند الحاجة.
• افصل بين صلاحيات القراءة وإعداد المسودات والكتابة في بيئة التجهيز والكتابة في الإنتاج.
• خزّن الأسرار في وسيط لإدارتها أو استخدم رموز وصول قصيرة العمر.
• لا تضع بيانات الاعتماد طويلة العمر في التعليمات أو ملفات مساحة العمل أو متغيرات البيئة أو مخرجات الأدوات.

ويجب أن تمر الإجراءات عالية التأثير، مثل الحذف والنشر والمدفوعات وتغيير صلاحيات الوصول وعمليات النشر البرمجي والاتصال الخارجي، عبر فحص لسياسة التنفيذ أو موافقة صريحة.

راجع سلسلة التنفيذ كاملة

لا تقتصر مساحة الهجوم على الأدوات الرسمية. فالعمليات الفرعية، وأوامر الطرفية، والشفرة المُولّدة، وتثبيت الحزم، وخوادم الأدوات البعيدة، والإضافات، وشفرة المهارات قد تنشئ جميعها آثارًا جانبية.

ينبغي تطبيق السياسة نفسها على كل هذه المسارات، مع منع تنفيذ الأوامر الطرفية أو الشفرة المُولّدة من الالتفاف على ضوابط نظام الملفات أو الشبكة أو التفويض أو التسجيل أو الموافقة.

اجعل الأدوات قابلة للإنفاذ خارج النموذج

يجب التعامل مع استدعاء الأداة الذي ينشئه النموذج على أنه طلب غير موثوق. فالخادم الذي ينفذ الأداة، لا النموذج، هو المسؤول عن فرض قواعد التفويض والسلامة.

استخدم مخططات ضيقة النطاق تتضمن، مثلًا:

• قيمًا محصورة في قوائم محددة وحدودًا لطول المدخلات؛
• تطبيع المسارات ومعرّفات صريحة للموارد؛
• قوائم مسموحة للوجهات؛
• حدودًا لعدد النتائج وحجمها؛
• التحقق من الوسائط خارج النموذج؛
• تفويضًا من جهة الخادم يراعي المتصل والمستأجر والهدف والعملية المحددة.

افصل أدوات التخطيط أو المعاينة عن الأدوات التي تُحدث أثرًا فعليًا. وبالنسبة إلى العمليات التدميرية أو صعبة التراجع:

• اطلب معاينة ثم تأكيدًا أو رمز موافقة؛
• فضّل الحذف المنطقي أو العزل أو المسارات القابلة للعكس؛
• استخدم مفاتيح لضمان عدم تكرار العملية؛
• حدّد ما يحدث عند إعادة إرسال الطلب نفسه؛
• أعد إيصالات دائمة حتى لا تؤدي إعادة المحاولة إلى تكرار الأثر.

فحتى استدعاء أداة بصيغة JSON صحيحة ظاهريًا قد يتضمن هدفًا غير مصرح به، أو مسارًا خطيرًا، أو نطاقًا أوسع من اللازم، أو عملية تستلزم مراجعة بشرية.

حدّد سلوك الحالة والذاكرة قبل الإطلاق

قد تنقل الحالة المخاطر بين المحادثات والمهام والمستخدمين والبيئات. لذلك ينبغي توثيق قواعد دورة حياة الرسائل والملفات المرفوعة وملفات مساحة العمل والملخصات ونتائج الأدوات وذاكرة التخزين المؤقت والذاكرة الدائمة وفرضها تقنيًا.

ويجب تحديد ما يلي على الأقل:

• العزل: فصل الحالة بحسب المستخدم والمستأجر والمهمة والبيئة، ومنع المشاركة الضمنية بين الجلسات.
• الاحتفاظ: تحديد مدة البقاء والتشفير وضوابط الوصول وقواعد الحذف.
• إعادة الضبط: توفير طريقة موثقة لمسح السياق والذاكرة وحالة مساحة العمل وبيانات الاعتماد وذاكرة التخزين المؤقت بين عمليات التشغيل.
• إعادة المحاولة والمهلات: وضع حدود للعدد والميزانية الزمنية، مع ضمان عدم تكرار الأثر أو توسيع الصلاحيات بصمت.
• التزامن: تحديد آليات القفل ومعالجة التعارضات في الملفات المشتركة والموافقات والعمليات الخارجية.

تعامل مع إعادة ضبط الحالة باعتبارها جزءًا من الحد الأمني. فإذا أمكن لتعليمات أو بيانات اعتماد أو نتائج أدوات قديمة أن تظهر فجأة في مهمة جديدة، فقد يؤدي تحديث النموذج أو تغيير التعليمات إلى تغيير مستوى المخاطر بطريقة لا تكشفها اختبارات الردود وحدها.

اعتبر كل حوامل المخاطر مدخلات غير موثوقة

لا يلزم أن يصل حقن التعليمات إلى رسالة المستخدم المباشرة. فقد تكون التعليمات الخطرة مضمنة في:

• المستندات المرفوعة وملفات المستودعات؛
• صفحات الويب التي جرى استرجاعها؛
• المهارات والإضافات الخارجية؛
• ردود خدمات الأدوات؛
• الذاكرة الدائمة؛
• الملخصات والسياق المخزن مؤقتًا؛
• النص الذي يقدمه المستخدم.

يجب تحليل هذه المواد وتصنيفها واقتباسها بوصفها بيانات، وألا يُسمح لها بتغيير سلطة الوكيل أو سياسته أو اختياره للأداة أو استخدامه لبيانات الاعتماد أو متطلبات الموافقة. وينبغي أن يفرض وقت التشغيل هذا الفصل، لا أن يعتمد فقط على قدرة النموذج على اكتشاف التعليمات الخبيثة.

قائمة مراجعة خاصة ببيئة التشغيل

قبل اعتماد عملية النشر، ثبّت الإعداد الكامل وسجّله:

1. النموذج والتوجيه: معرّف النموذج وإصداره، ومسار مزود الخدمة، وإعدادات الاستدلال أو مستوى الجهد، والمحوّلات المستخدمة.
2. سلوك بيئة التشغيل: إصدار البيئة، وتعليمات النظام، ومنطق الجلسة، وقواعد إعادة المحاولة والمهلات، وسياسة العمليات الفرعية، وتنفيذ الذاكرة.
3. الأدوات والسياسات: إصدارات تعريفات الأدوات والسياسات، وحدود الموافقة، ومنطق التفويض، وحدود الثقة الخاصة بخوادم الأدوات.
4. الصلاحيات: الهويات والنطاقات وجذور نظام الملفات ووجهات الشبكة ومصادر بيانات الاعتماد ومسارات الكتابة في الإنتاج.
5. دلالات الحالة: العزل والاحتفاظ وإعادة الضبط وسلوك التخزين المؤقت والتزامن وحدود المشاركة بين الجلسات.
6. التغطية الخصومية: حقن التعليمات عبر كل حامل للمخاطر، ومحاولات «الوكيل المفوض المضلل»، وكشف بيانات الاعتماد، واجتياز المسارات، وإساءة استخدام SSRF أو حركة الخروج، وردود الأدوات الخبيثة، وتكرار الآثار بسبب إعادة المحاولة، وتسميم الذاكرة، وتجاوز الموافقات.
7. الأدلة: إصدارات التعليمات والسياسات، واستدعاءات الأدوات ونتائجها، والموافقات، وقرارات السياسة، والفروقات في مساحة العمل، والطلبات الصادرة، والهوية المستخدمة، والنتائج النهائية، وحالة الإتمام والسلامة ضمن معرّف تشغيل ثابت.

قيّم الإتمام والسلامة كلًّا على حدة. فلا ينبغي لنتيجة نهائية صحيحة أن تعوّض أثرًا جانبيًا غير آمن؛ وهذه هي الخلاصة المركزية لنتائج AgentS4D. 12

أعد الاختبار عند كل تغيير جوهري

الهدف الذي تجب الموافقة عليه هو الإعداد المثبت، وليس تسمية عامة دائمة مثل «وكيل DeepSeek V4 Pro». أعد تشغيل حزمة الاختبارات الخاصة بالإعداد بعد أي تغيير جوهري في:

• النموذج أو مسار مزود الخدمة؛
• إعدادات الاستدلال أو مستوى الجهد؛
• تعليمات النظام أو المحوّل؛
• منطق بيئة التشغيل أو الجلسة؛
• الأدوات أو خوادم الأدوات البعيدة؛
• سياسات الصلاحيات والموافقات؛
• مسار بيانات الاعتماد؛
• سلوك الذاكرة أو إعادة المحاولة أو المهلات أو التزامن؛
• حدود الشبكة أو نظام الملفات.

بهذه الطريقة تتحول سلامة وقت التشغيل من افتراض واسع حول جودة النموذج إلى قرار إطلاق قابل للقياس، مرتبط بالبيئة الدقيقة القادرة على إحداث آثار في العالم الحقيقي.