النمط في تقارير حوادث هذه الدورة
يستحق ذلك التوقف، لأنه يغيّر ماهية الحادث. الاختراق يفترض وجود خصم وثغرة. أما الوجهة غير المصرّح بها فتفترض فجوة بين ما اعتقد المشغّل أنه صلاحية الوكيل وما سمح به وقت التشغيل فعليًا. هاتان فئتان مختلفتان من الإخفاق، وتتطلبان معالجة مختلفة.
التقارير تصف سلوكًا مكتشفًا، لا سلوكًا مُنع
كل رواية في هذه الدورة استرجاعية. لاحظ أحدهم السلوك، ثم أعاد بناءه. هذه خاصية تسجيل، لا خاصية نموذج. النظام الذي يمنع خروجًا غير مصرّح به والنظام الذي يسمح به ثم يبلّغ عنه لاحقًا يمكن أن يشغّلا نفس محرك السياسات؛ يختلفان فقط في ما إذا كان الحدّ قد فُرض قبل الواقعة أم بعدها، وفي ما إذا سُجّلت المحاولة أصلًا.
التضمين المقلق هو أن القطاع لا يستطيع حاليًا إنتاج الأدلة التي تحسم حادثًا متنازعًا عليه عند الطلب. عندما يسأل منظّم ما إذا حاول وكيل الوصول إلى وجهة معينة في تشغيل معين، فالجواب الصادق لمعظم عمليات النشر هو أن النص موجود لكن الصلاحية غير موجودة. النص يُظهر ما قاله النموذج. لا يُظهر أي بيانات اعتماد قُدّمت عند الحدّ، وبموجب أي تفويض، أو ما إذا كان فرع من السياسة قد قُيّم ورُفض.
هذا هو السياق للدفع التنظيمي الحالي: تحقيقات FTC، والتعهدات الطوعية المتداولة بين المختبرات، ومشاريع القوانين على مستوى الولايات، كلها تُصاغ في مواجهة مجموعة أدلة ظنية إلى حد كبير. والقواعد المصاغة في مواجهة الحكايات الظنية تنزع إلى العموم وعدم القابلية للإنفاذ، لأن الصائغين لا يستطيعون الإشارة إلى تشغيل معين وقول: هذا هو شكل الإخفاق. البديل ليس إلغاء التنظيم. البديل هو إنتاج السجل.
الأثر الثلاثي الذي يجعل الحادث قابلًا لإعادة البناء
يحتاج الحادث القابل لإعادة البناء إلى ثلاثة سجلات، ولكل منها موضع طبيعي ليس داخل إطار الوكيل نفسه.
سجل النية
الهدف كما أُعلن للوكيل، يُلتقط قبل اختيار الأداة بدلًا من استنتاجه لاحقًا من النص. الاستنتاج هو المشكلة: النص سرد كتبه النموذج عن نفسه، وهو مشكّل بنفس السياق الذي أنتج السلوك. سجل النية هو المدخل، لا رواية النموذج عن المدخل. ينبغي أن يحمل معرّف المهمة، والجهة الطالبة، والهدف المعلن، ونطاق الصلاحية الممنوح لذلك الهدف.
سجل الخروج
كل وجهة، وكل بيانات اعتماد مستخدمة، وفئة الحمولة، تُكتب عند الحدّ بدلًا من داخل إطار الوكيل. الحدّ هو الموضع الوحيد الذي يمكن الوثوق بالسجل فيه، لأنه الموضع الوحيد الذي يرصد المحاولة بغض النظر عما قصده الإطار. إذا كتب إطار الوكيل سجل خروجه بنفسه، فإن إطارًا مخترقًا أو سيئ التهيئة يكتب سجلًا مضللًا.
آلية ملموسة: وكيل أمامي (forward proxy) ينهي كل حركة الخروج من وقت تشغيل الوكيل، ويحل الوجهة، ويتحقق منها مقابل النطاق الممنوح للمهمة، ويصدر سجلًا منظمًا قبل التمرير أو الرفض. السجل يكتبه الوكيل الأمامي، لا الوكيل. لا يستطيع الوكيل كتمه، لأن الوكيل ليس في مسار الكتابة.
سجل القرار
أي سياسة قُيّمت، وأي فرع سُلك، وما كان سيكون البديل الاحتياطي. الجملة الأخيرة هي الأهم وهي الأكثر إغفالًا. معرفة أن طلبًا رُفض مفيدة؛ ومعرفة أن الرفض انتهى إلى سماح افتراضي هي الفرق بين سياسة وزينة. ينبغي أن يسمّي سجل القرار إصدار السياسة، ومدخلات التقييم، والنتيجة، وحالة البديل الاحتياطي.
لماذا لا تكفي لوحات المعلومات
المقاييس المجمّعة تجيب عن كم مرة. لا تجيب عن ما حدث بالضبط في التشغيل 41,208. عندما يكون حادث قيد المراجعة، يكون السؤال دائمًا محددًا: هذا التشغيل، هذه الوجهة، بيانات الاعتماد هذه، هذmedia/server-rack-circuit-board-1958b2-bf296a.jpg)
التتبعات المُعيّنة (sampled traces) فيها نفس العيب بصورة أحدّ. التعيين مصمم للحفاظ على التمثيلي وإسقاط الذيل. والتشغيلات الشاذة التي تهم هي بالضبط الذيل. النظام الذي يحتفظ بواحد بالمئة من التتبعات سيسقط، بحكم بنيته، التشغيلات التي يحتاجها المحقق، وسيفعل ذلك بشكل غير مرئي، لأن غياب السجل لا يمكن تمييزه عن غياب الحدث.
لذلك تصبح سياسة الاحتفاظ معامل أمان، لا معامل تكلفة تخزين. هذه هي المقايضة الصادقة في التصميم كله. السجلات كاملة الدقة لكل نية وكل محاولة خروج كبيرة، وهي حساسة، لأنها تصف ما كانت المنظمة تحاول فعله. الموقف العملي هو احتفاظ متدرّج: دقة كاملة لنافذة طويلة بما يكفي لتغطية اكتشاف الحادث، ومجمّعة ومُنقّاة بعدها، مع الحفاظ على المخطط بحيث يظل تشغيل معين قابلًا للتحديد حتى بعد أن يتقادم تفصيل حمولته. هذا خيار سياسي، وينبغي اتخاذه صراحةً بدلًا من ترك الأمر لما يوفره بائع الرصد.
تنفيذ أدنى قابل للتطبيق
ثلاث خصائص تكفي لإحداث الفرق بين حادث قابل لإعادة البناء وحكاية ظنية.
الكتابة خارج نطاق كتابة الوكيل. يذهب سجلا النية والخروج إلى مخزن إضافي فقط (append-only) لا يملك وقت تشغيل الوكيل بيانات اعتماد لتعديله أو حذفه. الإضافة فقط ليست تفضيلًا تخزينيًا؛ إنها الخاصية التي تجعل السجل دليلًا لا شهادة.
ربط السجلات بمعرّفات يمكن أن يستهدفها الإبطال. يحمل كل سجل معرّف مهمة ومعرّف بيانات اعتماد. بدون الربط، يكون الإبطال أداة فظة: يمكنك إيقاف الوكيل، لكن لا يمكنك إبطال التفويض المحدد الذي سمح بالخروج المحدد. ومعه، تكون الاستجابة للحادث إبطالًا محدود النطاق بدلًا من إغلاق كامل.
التعامل مع مخطط السجل كواجهة مُصدَّرة بإصدارات. ستعتمد أدوات المسؤولية والتدقيق اللاحقة على أسماء الحقول ودلالاتها. المخطط الذي يتغير دون إصدارات يكسر الأدوات بصمت، ومسار تدقيق مكسور أسوأ من مسار مفقود، لأنه يبدو كاملًا.
{
"schema_version": "1.2",
"task_id": "...",
"credential_id": "...",
"intent": {"principal": "...", "objective": "...", "granted_scope": ["..."]},
"egress": {"destination": "...", "payload_class": "...", "outcome": "allowed|denied"},
"decision": {"policy_version": "...", "branch": "...", "fallback": "..."}
}
المقايضة حقيقية وينبغي تسميتها. هذا الرصد يكلّف زمن استجابة عند الحدّ، وتخزينًا للسجلات، وانتباهًا هندسيًا للمخطط. لا يجعل الوكيل آمنًا. بل يجعل سلوك الوكيل مقروءًا، وهو الشرط المسبق لكل ادعاء أمان يليه. السياسة بلا قياس عن بُعد بيان نية؛ وقياس عن بُعد بلا سياسة سجل انحراف. تشير دورة الحوادث الحالية إلى أن القطاع يملك من الأول أكثر مما يستطيع إثباته، وأن الاستثمار الأول هو السجل.