الوكلاء البرمجيون ذاتيو التطور يعيدون إنتاج كود خبيث من مهارات مشتركة

تصف ورقة قُدِّمت إلى arXiv في 26 August بعنوان "EVOMAL: Self-Poisoning in Self-Evolving Coding Agents" نمط فشل خاص بالوكلاء الذين يتحسنون عبر كتابة المهارات في مكتبة مشتركة ثم استرجاعها لاحقًا. وهي النتيجة الأهم هذا الأسبوع في أمن الوكلاء، والرقم الذي سيُنقل عنها هو الرقم الخاطئ.

الآلية

يسترجع الوكلاء ذاتيو التطور مهارة موجودة، ويقلدون بنيتها لكتابة مهارة جديدة، ثم يخزنون الناتج لاسترجاعه مستقبلًا. وتُظهر الورقة أنه عندما تحتوي المهارة المسترجعة على حمولة خبيثة ملفوفة داخل شيفرة بنيوية تبدو بريئة — وهو ما يسميه المؤلفون banner — فإن الوكيل المقلِّد يعيد إنتاج البنية مع الحمولة، ثم يحفظ نسخته ويشغّلها. يزرع المهاجم مهارة ولا يفعّلها أبدًا. أما الوكلاء فيتولون عملية الانتشار، وتصبح كل نسخة مصدرًا لما يليها. وتتضاعف المهارات المزروعة بمقدار 4.9 إلى 9.0 مرات في مكتبة ملوثة.

ما الذي يخطئ فيه التأطير الشائع

يحتوي الملخص على 86.7%، وهذا هو الرقم الذي ستتداوله العناوين. لكنه مقاس في أكثر الظروف ملاءمة للورقة: عندما تكون المهارات المزروعة مُكيَّفة مع عائلات مهام محددة. أما النتيجة العامة — ستة نماذج، 153 مهمة — فهي معدل تسميم ذاتي يتراوح بين 20.3% و41.8%. وإذا جُرِّدت الشيفرة من الـ banner البنيوي، ينخفض المعدل إلى 11.1% على DeepSeek-V4-Pro. لذا فإن الخلاصة الصادقة هي أن نحو واحد من كل ثلاثة إلى واحد من كل خمسة تشغيلات للوكلاء يتعرض للتسميم الذاتي في الظروف الواقعية، وهو أمر مقلق بما يكفي من دون الرقم المُكيَّف، وأن تقنية banner هي التي تؤدي معظم العمل. إن اقتباس 86.7% بوصفه المعدل يصور هجومًا يتطلب إعدادًا خاصًا لكل عائلة مهام على أنه هجوم يعمل بصورة عامة.

النتيجة التي ينبغي أن تثير قلق المشغّلين

الاستمرارية هي النتيجة الحقيقية. بعد إزالة المهارات المزروعة أصلًا من المكتبة، يستمر التسميم الذاتي عند 68% بحلول الجولة الخامسة على Qwen3. لقد أصبحت نسخ الوكلاء نفسها مصدر العدوى. وهذا يكسر استجابة الحوادث القياسية للمخزن الملوث: حدِّد الإدخالات السيئة، احذفها، وانتقل إلى ما بعد ذلك. هنا، يؤدي حذف البذور إلى مكتبة تعيد العدوى، ولا توجد طريقة واضحة لتمييز مهارة خبيثة مشتقة من مهارة مشروعة كُتبت بالطراز نفسه داخل الدار نفسها.

الدفاع وحدوده

يقترح المؤلفون prompt مضادًا يخفض معدل التسميم الذاتي إلى 6.7% كحد أقصى. وهذا خفض كبير، لكنه ليس إلغاءً. فبقاء 6.7% أمام آلية تتراكم عبر الجولات وتضاعف النسخ بمقدار 4.9 إلى 9.0 مرات يعني حريقًا أبطأ، لا حريقًا منطفئًا. والاستنتاج البنيوي — أن مكتبة مهارات مشتركة قابلة للكتابة وإعادة الاسترجاع تمثل سطح هجوم يتسع مع الاستخدام — لا تعالجه أساليب prompt، بينما تتجه منصات الوكلاء أصلًا نحو مكتبات المهارات المشتركة.