1. ما الذي بنته OpenAI فعلياً؟

GPT‑Red ليس منتجاً عاماً ولا نموذجاً دردشياً جديداً. تصفه OpenAI بأنه نموذج داخلي مخصص للهجوم على نماذج ووكلاء أخرى. يرسل محاولة، يراقب رد المدافع أو استدعاءاته للأدوات، ثم يكرر ويعدل هجومه. دُرّب المهاجم عبر التعلم المعزز بالتوازي مع مجموعة من نماذج مدافعة؛ يكسب المهاجم عندما يسبب فشلاً قابلاً للتحقق، ويكسب المدافع عندما يرفض التلاعب ويكمل المهمة الأصلية.

الجديد اقتصادياً وتشغيلياً هو قابلية التوسع. بدلاً من انتظار فريق بشري يكتب مجموعة ثابتة من الاختبارات، يمكن للنظام توليد هجمات خلال التدريب والاستفادة من وقت استدلال إضافي للبحث عن ثغرات. تقول الورقة إن حجم حوسبة تشغيل السلامة كان قريباً من بعض أكبر عمليات ما بعد التدريب لدى OpenAI. لا تنشر الشركة تكلفة التشغيل أو تفاصيل النموذج أو الأوزان، وتقول إنها تبقي GPT‑Red منفصلاً عن النماذج المتاحة للمستخدمين حتى لا توزع القدرات الهجومية التي دربتها عمداً.

2. كيف تعمل حلقة المهاجم والمدافع؟

تبدأ كل بيئة بنموذج تهديد واضح: أي جزء يستطيع المهاجم التحكم فيه، وما الفعل الذي يحسب نجاحاً. قد يكون الجزء الخبيث نصاً داخل ملف محلي، أو لافتة في صفحة ويب، أو رسالة بريد، أو نتيجة أداة. هذا مهم لأن حقن الأوامر غير المباشر لا يأتي من المستخدم نفسه؛ قد يقرأ الوكيل تعليمات مدسوسة داخل البيانات التي طُلب منه تحليلها.

يتدرب GPT‑Red ضد مجموعة متنوعة من المدافعين لا ضد نموذج واحد. الفكرة هي منع حفظ نقطة ضعف محددة وإجبار المهاجم على اكتشاف استراتيجيات تتكيف مع سلوك الهدف. ثم تُستخدم الهجمات التي يجدها النظام كبيانات تدريب للمدافع. إنه سباق تسلح مصغر: كلما تحسن المدافع، احتاج المهاجم إلى بحث أوسع؛ وكلما نجح المهاجم، وفر أمثلة أصعب لتقوية الإصدار التالي.

  • التحكم: تحديد القناة التي يستطيع المهاجم تلويثها، مثل صفحة أو بريد أو ملف.
  • المعيار: تعريف فشل قابل للقياس، مثل تسريب سر أو تنفيذ فعل غير مصرح.
  • البحث: تجربة عدة صيغ ومراقبة استجابة المدافع بدلاً من إرسال رسالة واحدة.
  • التدريب: إعادة إدخال الهجمات الناجحة لتقوية نماذج الإنتاج.

3. ماذا تقول الأرقام—وماذا لا تقول؟

في نسخة طبق الأصل داخلية من تحدي الحقن غير المباشر لعام 2025، هاجم GPT‑Red والبشر GPT‑5.1 في سيناريوهات لم تُستخدم لتدريبه. تقول OpenAI إنه نجح في 84% من السيناريوهات مقابل 13% للبشر. الورقة نفسها تضيف قيداً مهماً: لا يعني ذلك أنه أفضل من البشر في كل أشكال الاختبار؛ قد يجد البشر فئات أو سيناريوهات لم تدخل بيئة GPT‑Red أصلاً.

بعد استخدام الهجمات في تدريب GPT‑5.6، تقول OpenAI إن GPT‑5.6 Sol سجّل 0.05% فشلاً أمام حقن GPT‑Red المباشر في مجموعة منشورة الوصف، وإن هجمات «سلسلة التفكير الزائفة» انخفضت من نجاح يتجاوز 95% على GPT‑5.1 إلى أقل من 10% على GPT‑5.6 Sol. هذه نتائج مورد واحد على نماذجه ومقاييسه؛ لا تساوي ضماناً احتمالياً بأن 99.95% من هجمات العالم ستفشل، ولا تختبر كل تركيب محتمل للأداة والذاكرة والهوية والبيانات.

4. آلة البيع تشرح الخطر أفضل من المعيار

اختبرت OpenAI GPT‑Red ضد وكيل إنتاج يدير آلة بيع في مكتبها. بعد التدريب في محاكاة، نجح الهجوم المنقول في خفض سعر منتج مكلف إلى 0.50 دولار، وطلب سلعة تتجاوز 100 دولار وعرضها بالسعر نفسه، وإلغاء طلب عميل آخر. وفق الورقة، استغل الهجوم بيانات وصفية مصطنعة تزعم أن الرسالة جاءت من مسؤول موثوق. تقول الشركة إن الثغرات أُبلغ عنها وإن ضمانات جديدة قيد الاختبار.

كما هاجم GPT‑Red وكيلاً مبنياً على Codex CLI وGPT‑5.4 mini في عشر حالات محجوزة لتسريب البيانات، وكان أنجح وأكثر كفاءة في الرموز من خط أساس GPT‑5.5 موجّه. لكن عشر حالات دراسة ليست معدل اختراق شاملاً. القيمة هنا نوعية: عندما يملك الوكيل أداة، يتحول الخطأ من إجابة سيئة إلى تغيير سعر أو إلغاء طلب أو تسريب ملف.

5. الفجوات التي يجب ألا تختفي خلف الرقم

تقول الورقة صراحة إن GPT‑Red حصل حتى الآن على تدريب أقل في البيئات متعددة الوسائط، والهجمات متعددة الجولات، وكسر سياسات المحتوى. كما أن كثيراً من النتائج على مقاييس داخلية، ولا تنشر OpenAI مطالبات الهجوم التفصيلية أو النموذج المهاجم للعامة لأسباب أمنية. هذا مفهوم من زاوية الحد من الانتشار، لكنه يجعل إعادة الإنتاج المستقلة محدودة.

هناك أيضاً مشكلة تغير التوزيع. هجوم جديد قد يأتي من صورة، أو مستند مشترك، أو ملحق خارجي، أو بروتوكول بين وكلاء، أو سلسلة طويلة من الأفعال الصغيرة. وقد ينجح المهاجم في طبقة الهوية أو واجهة الأداة حتى لو قاوم النموذج النص الخبيث. لذلك يجب أن تقيس المؤسسة النظام كاملاً، لا النموذج منفرداً، وأن تفترض وجود حقن ناجح يوماً ما.

6. ماذا ينبغي للشركات والحكومات أن تفعل الآن؟

تنسجم خلاصة NIST مع هذا الحذر: لأن الحماية الكاملة من الحقن غير المباشر غير متاحة، ينبغي تصميم الأنظمة على افتراض إمكان تعرض النموذج لمحتوى خبيث. عملياً، لا تعطي الوكيل العام وصولاً دائماً إلى البريد والملفات والمدفوعات. افصل القراءة عن التنفيذ، ومرر البيانات غير الموثوقة في سياق واضح، واستخدم أقل صلاحية ورموز وصول قصيرة العمر، واطلب موافقة بشرية على التحويلات والحذف والنشر.

للجهات العربية والخليجية، يجب أن تشمل الاختبارات العربية واللهجات والنص المختلط واتجاه الكتابة من اليمين لليسار والمستندات الممسوحة. النموذج الآمن في معيار إنجليزي قد يفشل مع تعليمات مخفية في فاتورة عربية أو ملف ثنائي اللغة. المشتريات الجيدة لا تسأل فقط عن نتيجة معيار المورّد؛ بل تطلب حدود القياس، واختباراً مستقلاً على بيانات الجهة، وسجل حوادث، وزمناً معلوماً لتعطيل الأداة أو سحب الصلاحية.

  • اختبر النظام من مصدر البيانات إلى الفعل، وليس النموذج وحده.
  • افصل الأدوات الحساسة واجعل الكتابة والحذف والدفع خاضعة لموافقة.
  • سجّل المصدر الذي أدى إلى كل قرار واستدعاء أداة.
  • أعد الاختبار بعد تغيير النموذج أو الموجه أو الأداة أو موصل البيانات.
  • أدرج العربية والوسائط والمحادثات الطويلة في برنامج الاختبار المحلي.

7. الإشارة الاستراتيجية: سوق جديد لاختبار الوكلاء

يشير GPT‑Red إلى تحول السلامة من وثيقة قبل الإطلاق إلى بنية حوسبة مستمرة. سيحتاج كل وكيل مهم إلى خصم آلي، وبيئات محاكاة، وقضاة للفشل، ومجموعات احتجاز، ومراقبة إنتاج. هذا يفتح سوقاً للأمن والتقييم كخدمة، لكنه يخلق أيضاً حافزاً للمقاييس المغلقة التي يصعب على العميل تدقيقها.

الميزة التنافسية لن تكون ادعاء «غير قابل للحقن»، بل سرعة اكتشاف الفشل واحتوائه وإصلاحه دون تعطيل العمل. على المستثمر مراقبة إن كانت أدوات التقييم تدخل دورة التطوير والشراء فعلاً، وعلى المنظم التركيز على الأدلة القابلة لإعادة الاختبار ومسؤولية الأفعال. قوة المهاجم الآلي خبر جيد للمدافعين فقط عندما تكون نتائج الدفاع قابلة للقياس خارج مختبر المورد.