صُمم الويب لعزل المواقع عن بعضها، لكن وكلاء الذكاء الاصطناعي يهدمون هذا الجدار

قد يكون بريدك الإلكتروني وحسابك المصرفي ومتجرك المفضل مفتوحاً في المتصفح نفسه، لكن المواقع لا تستطيع عادة قراءة بعضها. أما وكلاء الذكاء الاصطناعي فصُمموا للتنقل بين هذه الحدود نيابة عنك. وهنا تتحول الراحة إلى مسار محتمل نحو بياناتك وحساباتك المفتوحة.

سبعة أنظمة لوكلاء المتصفح
قارن الباحثون سبعة منتجات، ووجدوا اختلافات كبيرة في مقدار ما يستطيع الوكيل قراءته وتنفيذه داخل الويب.

الجدار الذي يفصل المواقع

يبدو الويب مساحة واحدة، لكن المتصفح يعامل كل موقع كبيئة مستقلة قد تكون غير موثوقة. وتمنع قاعدة أساسية تسمى سياسة المصدر الواحد (Same-Origin Policy) الشيفرة الموجودة في موقع من قراءة محتوى حساس تابع لموقع آخر أو تغييره بصورة تلقائية.

إذا فتحت صفحة خبيثة بينما بريدك أو حسابك المصرفي يعمل في تبويب آخر، يفترض ألا تستطيع الصفحة التجسس على الحساب لمجرد وجودهما في المتصفح نفسه. وتضيف تقنيات عزل المواقع وصناديق الحماية وضوابط ملفات الارتباط طبقات أخرى من الأمان.

هذا الفصل بين المواقع من الإنجازات الصامتة التي سمحت للويب الحديث بالنمو. لكن وكيل المتصفح (Browser Agent) يختبر هذا المبدأ، لأن فائدته تعتمد على جمع معلومة من خدمة واستخدامها داخل خدمة أخرى.

كيف يغير الوكيل مستوى الخطر؟

يستطيع وكيل المتصفح فهم الطلب، وقراءة الصفحات، والتنقل بينها، والنقر وملء النماذج. وتعمل بعض التطبيقات عبر إضافات قوية، كما تستخدم ملف متصفح يحتوي على حسابات مفتوحة بالفعل.

تخيل أنك طلبت منه تلخيص صفحة وإضافة المنتجات المقترحة إلى سلة التسوق. عليه أن يقرأ محتوى غير موثوق، ثم ينفذ إجراء في موقع آخر. فإذا فهم نصاً خبيثاً مخفياً داخل الصفحة على أنه أمر جديد، قد ينحرف عن هدف المستخدم.

يسمى ذلك حقن الأوامر غير المباشر (Indirect Prompt Injection). ويمكن أن تختبئ التعليمة العدائية في صفحة أو إعلان أو مستند أو تعليق أو إطار مضمّن. يفترض أن يقرأها الذكاء الاصطناعي كمحتوى، لكنه قد ينفذها كأمر.

ماذا أثبت الباحثون؟

اختبر الباحثان فرانزيسكا روسنر وديفيد كولبرينر أنظمة Brave Leo AI وChatGPT Atlas وChrome مع Gemini وClaude for Chrome وMicrosoft Edge مع Copilot وFirefox AI Mode وPerplexity Comet.

وفي تجربة كاملة على ChatGPT Atlas باستخدام وضع الوكيل، دفعت تعليمات خبيثة موجودة في صفحة الوكيل إلى تضمين معلومات من موقع آخر داخل ملخص، ثم إرسال النص عبر نموذج يسيطر عليه المهاجم. وهكذا أصبح الوكيل جسراً عبر حد أمني لا تستطيع شيفرة الصفحة العادية تجاوزه.

ذكر الباحثون أيضاً وجود شروط مهمة قد تسمح بهجمات عابرة للمواقع (Cross-Origin Attacks) في Chrome مع Gemini وClaude for Chrome وPerplexity Comet إذا نجح حقن الأوامر. كما رصدوا مخاطر أخرى، منها تنفيذ إجراءات في موقع مختلف، وقراءة مدخلات مقنّعة، والتأثير في ذاكرة المحادثة.

وركز بحث منفصل من Manifold Security على البرمجيات المحيطة بـClaude for Chrome. وقالت الشركة إن سلوك الإضافة وآلية الأذونات قد يفتحان مسارات مرتبطة بـGmail وGoogle Docs وخدمات أخرى. هذه نتائج تخص نسخاً وإعدادات محددة، ولا تثبت أن كل جلسة Claude أو كل متصفح ذكي تعرض للاختراق.

لماذا لا يكفي نموذج أكثر ذكاءً؟

صُممت النماذج اللغوية لتفسير اللغة، ولذلك يصعب عليها الفصل بدقة مطلقة بين أمر موثوق ونص خبيث. يمكن للتدريب والمرشحات وكواشف الهجوم تقليل الأخطاء، لكن لا ينبغي أن يعتمد إجراء خطير بالكامل على أن يصدر النموذج الحكم الصحيح في كل مرة.

السؤال الأمني الأهم هو: إذا التبس الأمر على النموذج، فما الذي تسمح له بنية المتصفح بقراءته أو تغييره أو إرساله؟

وصفت غوغل نظام حماية متعدد الطبقات لقدرات الوكيل في Chrome. يتضمن مراجعة الإجراء المقترح عبر نموذج منفصل لا يرى المحتوى الخام غير الموثوق، وتحديد المواقع المسموح بها لكل مهمة، وكشف التعليمات المشبوهة، وطلب تأكيد المستخدم قبل الدفع أو إرسال الرسائل أو تنفيذ إجراءات حساسة.

تنقل هذه الفكرة جزءاً من الحماية من ذكاء النموذج إلى قواعد يفرضها المتصفح. لكن الموازنة صعبة: الصلاحيات الضيقة قد تجعل الوكيل مزعجاً، بينما تزيد الصلاحيات الواسعة فائدته وحجم الضرر المحتمل عند الخطأ.

كيف نجعل وكلاء المتصفح أكثر أماناً؟

• أقل قدر من الصلاحيات (Least Privilege): يحصل الوكيل على المواقع والإجراءات الضرورية للمهمة فقط، ثم تُسحب الصلاحية.
• منع انتقال البيانات بلا سبب: لا ينبغي لمعلومة حساسة من موقع أن تصل إلى وجهة لا ترتبط بالمهمة.
• طلب التأكيد: يجب أن تتوقف المدفوعات والرسائل وتغييرات الحساب وتنزيل الملفات عند نقطة يفرضها المتصفح.
• إظهار سجل واضح: يحتاج المستخدم إلى معرفة ما قرأه الوكيل وما حاول تنفيذه وما غيّره.
• إنهاء ذاكرة المهمة: يجب ألا يستمر تأثير صفحة غير موثوقة بصمت في جلسات لاحقة.

من الأفضل تجربة وكلاء المتصفح في ملف منفصل لا يُستخدم للبنوك أو السجلات الصحية أو صلاحيات العمل الإدارية. ويُستحسن تعطيل التنفيذ التلقائي، والتعامل بحذر مع أي محاولة غير متوقعة لنقل معلومات بين مواقع لا ترتبط بالمهمة.

يمكن للوكلاء ربط الخدمات المجزأة وإزالة كثير من العمل المتكرر. والتحدي ليس منعهم من عبور الحدود، بل جعل كل عبور محدوداً ومرئياً وقابلاً للتراجع. الوكيل الأكثر أماناً ليس من يستطيع الذهاب إلى كل مكان، بل من يثبت حاجته إلى الوصول قبل أن يتصرف.