تُضفي ورقة قُدمت في 2 سبتمبر طابعًا رسميًا على هجوم على سلسلة التوريد يستهدف تحديدًا مهارات الوكلاء القابلة لإعادة الاستخدام: مهارة لطرف ثالث تؤدي وظيفتها المعلنة على نحو صحيح، وتعيد مخرجات صالحة، وتجتاز الفحص، بينما تدفع قرارات الوكيل بهدوء نحو هدف غير معلن.
النتيجة المقاسة
وعند تطبيقه في التجارة الوكيلة واختيار تبعيات البرمجيات، بلغ الإطار معدلات اختيار لصالح المهاجم قدرها 81.33% و63.33% على التوالي، مع الحفاظ على معدل الحفاظ على المنفعة بنسبة 100%. وهذه هي النقطة التي تجعل الهجوم صعب الاكتشاف: فالمهمة التي طلبها المستخدم تكتمل كما ينبغي، في كل مرة. ولا يظهر أي فشل يمكن ملاحظته.
لماذا لا يُعدّ حقنًا في الموجهات
هذه فئة مختلفة عن الهجوم الذي جرى الدفاع ضده على نطاق واسع. فحقن الموجهات يُهرّب تعليمات إلى نافذة السياق ويختطف الوكيل بعيدًا عن مهمته. أما هنا فلا أمر مُدرج ولا اختطاف — إذ تؤدي المهارة ما تقول إنها تفعله، ويكمن التلاعب في الطريقة التي تشكّل بها فضاء القرار الذي يستند إليه الوكيل في استدلاله. ولا تملك أنظمة الكشف المبنية على رصد التعليمات العدائية ما يمكنها أن تُطابقه هنا.
ما الذي يخطئه التأطير الشائع
تصحيحان. أولًا، اعتبار هذا "ورقة أخرى عن تجاوز الحواجز الأمنية" يفوّت أن لا شيء قد جرى تجاوزه: فالنموذج لا يُدفع إلى انتهاك سياسة، بل يُدفع إلى تفضيل خيار صحيح على خيار صحيح آخر. ثانيًا، تفيد الورقة بأن أدوات فحص المهارات التي خضعت للتقييم لا تُطلق إنذارًا ضد المهارات الخبيثة — وهذه نتيجة تخص أدوات الفحص المحددة التي اختُبرت ضمن شروط الورقة، لا برهانًا على استحالة الكشف. لكنها تُثبت أن طبقة الفحص الحالية تركز على الخاصية الخاطئة: فالأدوات تتحقق مما إذا كانت المهارة تفعل ما لا ينبغي لها أن تفعله، بينما يقوم هذا الهجوم كله على أنها لا تفعل ذلك.
نتيجة الانتقال
انتقلت السياسات من دون أي تحسين إضافي عبر مختلف نوى النماذج وبيئات الوكلاء. ولا يحتاج المهاجم إلى معرفة أي نموذج سيستهلك المهارة. وهذا ما يحوّل النتيجة البحثية إلى مشكلة في سلسلة التوريد: فالمهارة التي تُنشر مرة واحدة تعمل ضد أي نظام يشغّلها.