نتيجة النقل، ولماذا تغيّر نموذج التهديد
الاضطرابات العدائية المُحسَّنة ضد نموذج واحد تُضعف نموذجاً آخر بشكل روتيني. هذه ليست خصوصية من خصوصيات نقاط الحفظ الشقيقة. النقل يصمد عبر المعماريات، وعبر المُرمِّزات (tokenisers)، وعبر خطوط التدريب المختلفة التي أنتجت النماذج المعنية. لا يحتاج الاضطراب إلى معرفة أوزان الهدف؛ يحتاج فقط إلى تحريك المدخل إلى منطقة تنزاح فيها تمثيلات الهدف بطريقة تغيّر المخرج.
بالنسبة لتطبيق أحادي النموذج، هذا مجرد إزعاج. أما بالنسبة لحزمة وكيل، فهو أمر بنيوي. تشغيل الوكيل في الإنتاج لا يبقى داخل نموذج واحد. إنه يوجّه: نموذج رخيص للتصنيف، ونموذج أكبر للتخطيط، ونموذج متخصص للاستخلاص، وثالث للتوليف النهائي. كل قفزة هي نموذج جديد، وكل قفزة هي موضع يمكن لاضطراب منقول أن يعاود الدخول منه. تحصين نموذج واحد في تلك السلسلة يرفع كلفة المهاجم لتلك الحلقة ولا يفعل شيئاً للبقية. يبقى المسار مفتوحاً لأن المسار هو السلسلة.
الخلاصة غير مريحة لكنها بسيطة: إذا انتقل الاضطراب، وتوجّهت الحزمة، فإن استراتيجية الدفاع نموذجاً بنموذج ليست دفاعاً. إنها كلفة تُفرض على المدافع.
لماذا تضخّم الوكلاء النقل
في تطبيق محادثة، يُنتج الاضطراب الناجح إجابة سيئة. أما في وكيل، فيُنتج إجراءً سيئاً. الفرق هو الحلقة.
النص يصبح تعليمة
تُصدر خطوة الوكيل نصاً تستهلكه الخطوة التالية كتعليمة، لا كسياق فحسب. لا توجد حدود صلبة بين "مخرج النموذج" و"مدخل النموذج" داخل التشغيل. مخرج المخطِّط هو أمر المنفِّذ (prompt). الاضطراب الذي يزيح تمثيلات المخطِّط بمقدار صغير يزيح الخطة، ثم تُعامَل الخطة المُزاحة كمرجع موثوق من كل ما هو لاحق. لا يحتاج الاضطراب إلى النجاة من إعادة الترميز كنص هجوم؛ إنه ينجو كتعليمة معقولة.
الوسائط تُولَّد، لا تُحلَّل
وسائط الأدوات ينتجها النموذج. عندما تنزاح التمثيلات الداخلية للنموذج لقيمة ما، تنزاح الوسيطة التي يصدرها معها. إذا قبلت الأداة سلاسل حرة الشكل، فإن ذلك الانزياح يقع مباشرة في الاستدعاء. مسار كان /data/reports/q3 يصبح /data/reports/q3/../../secrets، أو يكتسب عنوان مستلم حرفاً، أو تتحرك عتبة رقمية بمقدار رتبة قدرية. لم يقرر النموذج فعل هذا؛ بل أصدر ما اقترحته تمثيلاته المُزاحة. من منظور الأداة، الاستدعاء لا يمكن تمييزه عن استدعاء مشروع.
عمليات التسليم تعبر الحدود دون حدث شبكي
الأنظمة متعددة الوكلاء تزيد الأمر سوءاً. عندما يسلّم الوكيل A إلى الوكيل B، يعبر الاضطراب حدود نموذج داخل العملية نفسها، دون حدث شبكي، ودون إنهاء TLS، ودون سجل خروج. لا يوجد مكان لوضع تحكم شبكي يرى عملية التسليم، لأن التسليم هو استدعاء دالة. كل نموذج في السرب هو نقطة إعادة دخول محتملة، ويمكن إعادة تضخيم الاضطراب عند كل واحد منها.
الدفاع عند حدود الأدوات
نقطة التحكم المستدامة ليست النموذج. إنها الواجهة بين الوكيل وأدواته. تلك الواجهة موجودة بصرف النظر عن النموذج الذي أنتج الاستدعاء، وهي آخر موضع يمكن فيه التقاط تمثيل مُزاح قبل أن يصبح أثراً في العالم.
المبدأ هو معاملة النموذج كتوليد مدخلات غير موثوق، لأنه هذا ما هو عليه. النموذج مكوّن ينتج وسائط مرشحة. والحدود تقرر ما إذا كانت تلك المرشحات مقبولة.
التحقق مقابل مخطط مُنمَّط، والرفض عند اختلال الشكل
يُتحقق من كل استدعاء أداة مقابل مخطط صريح قبل التنفيذ. التحقق على الشكل، لا على النية. تصنيف النية مشكلة نموذج ويرث ثغرات النموذج؛ أما التحقق من الشكل فمشكلة محلِّل ولا يرثها. إذا قال المخطط إن recipient سلسلة تطابق نطاقاً مسموحاً به، فإن مستلماً مُضطرباً يفشل في المطابقة. لا تحتاج الحدود إلى معرفة سبب خطأ الوسيطة. تحتاج إلى معرفة أنها ليست بالشكل الصحيح.
TOOL_SCHEMAS = {
"send_report": {
"type": "object",
"required": ["recipient", "report_id", "format"],
"properties": {
"recipient": {"type": "string", "pattern": r"^[^@]+@reports\\.internal$"},
"report_id": {"type": "string", "pattern": r"^RPT-[0-9]{6}$"},
"format": {"type": "string", "enum": ["pdf", "csv"]},
},
"additionalProperties": False,
}
}
تقييد النطاقات والتعدادات
السلاسل حرة الشكل هي حيث تعيش الاضطرابات. كل وسيطة يمكن أن تكون تعداداً ينبغي أن تكون كذلك. وكل وسيطة رقمية ينبغي أن تحمل نطاقاً محدوداً. عندئذٍ تسقط الوسيطة المُضطربة خارج المجموعة المقبولة وتُرفض بالبناء، لا بمصنّف قد يكون هو نفسه قابلاً للنقل.
اشتراط المصدر على كل وسيطة
تحمل كل وسيطة بيانات وصفية: أي خطوة أنتجتها، ومن أي مصدر، وتحت أي نموذج. المصدر لا يوقف الاضطراب، لكنه يجعل الفشل مقروءاً. عند حدوث رفض، يُظهر سجل المصدر ما إذا جاءت الوسيطة من مستند مسترجع، أو من دور مستخدم، أو من خطوة نموذج سابقة. هذا التمييز يحدد ما إذا كان الإصلاح في
الفشل مغلقاً، وجعل إعادة المحاولة صريحة
الاستدعاء المرفوض لا يعيد المحاولة بصمت بمخطط مُخفَّف. إنه يفشل مغلقاً ويُظهر خطأً مُنمَّطاً. يمكن للوكيل أن يعيد المحاولة، لكن إعادة المحاولة مسار متعمد له تسجيله الخاص، لا مسار احتياطي يوسّع المجموعة المقبولة بهدوء.
ما تكلفته
المقايضة حقيقية وينبغي ذكرها بوضوح.
صيانة المخططات تصبح مهمة هندسية من الدرجة الأولى لها إيقاع مراجعتها الخاص. كل أداة لها مخطط، وكل مخطط له مالك، وكل تغيير في المخطط حدث مراجعة. هذا ليس مجانياً. إنه ثمن امتلاك نقطة تحكم لا تعتمد على أي نموذج في جدول التوجيه هذا الربع.
بعض الاستدعاءات المشروعة تفشل مغلقة. نموذج كان سينتج وسيطة صحيحة لكن غير معتادة قليلاً يُرفض الآن. يجب أن يكون مسار إعادة المحاولة صريحاً وقابلاً للملاحظة ومحدوداً، وإلا سيبدو النظام وكأنه يفقد قدرته. الفرق التي تتخطى هذه الخطوة تكتشف أن معدل رفضها منخفض لكن معدل إكمالها أقل.
تُقاس التغطية بعدد استدعاءات الأدوات المُتحقق منها، لا بعدد الأوامر المحصَّنة. هذا مقياس مختلف عن الذي تتبعه معظم الفرق، وهو يغيّر ما تُظهره لوحات المعلومات. قد تبدو لوحة تحصين الأوامر سليمة بينما حدود الأدوات غير محروسة.
القياس
الحدود قابلة للقياس بطرق لا يكون فيها تحصين النموذج كذلك.
- حقن اضطرابات نقل معروفة في بيئة الاختبار وتسجيل معدل الرفض عند الحدود. تُولَّد الاضطرابات ضد نموذج واحد وتُعاد مقابل الحزمة الموجَّهة. المقياس هو نسبة ما تلتقطه الحدود قبل التنفيذ.
- تتبّع عدد حالات الرفض التي تحدث بعد استدعاء أداة بالفعل في التشغيل نفسه. الرفض الذي يصل بعد وقوع أثر ليس تحكماً؛ إنه مدخل سجل. ينبغي دفع هذا الرقم إلى الصفر، وأي قيمة غير صفرية تشير إلى حدود موضوعة في موضع متأخر جداً في الخطوة.
- تسجيل توزيع المصدر على الوسائط المرفوضة. إذا تجمّعت حالات الرفض على مصدر واحد، فالمشكلة في المنبع من الحدود، والمخطط يؤدي دوره باحتوائها.
لا يتطلب أي من هذه المقاييس الوصول إلى أوزان النموذج أو إلى إجراء التحسين لدى المهاجم. إنها تتطلب فقط أن تكون الحدود موجودة وأنها تسجّل.
النقطة الاستراتيجية هي أن الدفاعات لكل نموذج هدف متحرك أمام اضطراب قابل للنقل. أما حدود الأدوات فهي هدف ثابت أمام الاضطراب نفسه، لأنها لا تهتم بأي نموذج أنتج الاستدعاء. إنها تهتم فقط بما إذا كان الاستدعاء مقبولاً. وهذه خاصية يستطيع المدافع أن يتمسك بها فعلاً.