قيل لك على الأرجح إن prompt injection مشكلة تصفية: افحص ما يدخل النموذج، واحجب النصوص المعادية، فيصير الوكيل آمناً. وهذا الاعتقاد هو سبب شحن الوكلاء بحماية لم يختبرها أحد، وهو يفشل لسبب لن يُصلحه أي مرشّح أفضل.
النموذج اللغوي يقرأ تياراً واحداً من النص. فالـ prompt الخاص بنظامك، وسؤال المستخدم، وصفحة الويب التي جلبها الوكيل قبل قليل، وملف README الذي فتحه، تصل كلها كـ tokens في السياق نفسه. ولا يوجد نظام أنواع يفصل التعليمات عن البيانات. فـ SQL injection كان قابلاً للإصلاح لأن قاعدة البيانات تتيح لك فصل الاستعلام عن وسائطه. ولا يوجد ما يكافئ ذلك داخل نموذج. والمرشّح يقدر على تقليل احتمال نجاح الهجوم. ومن يقول لك إن حاجزاً ما «يوقف prompt injection» فهو يبيعك احتمالاً.
فتوقف عن السؤال كيف تكشف النص المعادي. واسأل ما يقدر عليه قارئ مطيع تماماً من المكتب الذي أجلسته إليه.
تخيّل موظفاً يطيع أي ورقة تصل إلى صندوقه، كاتبها من كان. ولا أحد عاقل يردّ على ذلك بتدريبه على كشف التزوير ثم تسليمه دفتر شيكات الشركة. أنت تنظر إلى ما يتصل به هذا المكتب. وهذا هو أمن الوكلاء كله، وهو ينقل العمل من الـ prompt، حيث لا تقدر على الفوز، إلى الصلاحيات، حيث تقدر.
والمهاجم لا يلزم أن يكون مستخدمك، وهذا هو الجزء الذي تحجبه عروض «تجاهل التعليمات السابقة». فالكتابة في خانة محادثة هي الحالة السهلة. أما الحالة الخطيرة فغير مباشرة: يزرع أحدهم نصاً في مكان سيقرؤه وكيلك في النهاية، في صفحة ويب أو تذكرة دعم أو دعوة تقويم أو وصف pull request، فيجلبه الوكيل في سياق عمله العادي. ولا أحد في جهتك يضغط على أي شيء. وخادم Git MCP الخاص بـ Anthropic نفسه حمل ثلاث ثغرات يمكن الوصول إليها عبر prompt injection، وهي CVE-2025-68143 وCVE-2025-68144 وCVE-2025-68145، حيث كان يكفي ملف README ملوَّث أو وصف مشكلة للوصول إلى تنفيذ كود. وأوصاف الأدوات سطح هجوم أيضاً. فالوكيل يقرأ اسم الأداة ووصفها ومخططها ليقرّر كيف يستخدمها، فيستطيع خادم MCP من طرف ثالث أن يحمل تعليمات في لحظة توصيله. وتوصيل خادم كهذا يستورد حدود الثقة الخاصة به مع خصائصه.
والحجم يحوّل نسبة نجاح صغيرة إلى يقين. بحث Zylos AI لعام 2026 عن أمن الذكاء الاصطناعي الوكيل ينقل تمريناً عاماً للفرق الحمراء أجرى 1.8 مليون محاولة حقن وسجّل أكثر من 60,000 خرق للسياسات، أي نسبة نجاح 3.3%. وأمام إنسان، تبدو 3.3% مصدر إزعاج. أما الوكيل فيقرأ آلاف المستندات يومياً، وسيقابل المستند الذي ينجح. والبحث نفسه يفيد بأن 73% من عمليات نشر الذكاء الاصطناعي في الإنتاج أُصيبت بـ prompt injection في 2025، وأن 29% فقط من المؤسسات التي تشغّلها تقول إنها مستعدة لتأمين الوكلاء. فتعامل مع ذلك كمصدر ثانوي واحد لا كإحصاء شامل.
وبما أن الجملة المزروعة لا يمكن إيقافها، فسؤال التصميم هو: إلى أي شيء تستطيع هذه الجملة أن تصل؟ المطوّر Simon Willison سمّى التركيبة التي تحوّل الإزعاج إلى اختراق: وكيل يرى بيانات خاصة، ويقرأ محتوى من الخارج، ويقدر على التواصل خارجاً. كل قدرة منها غير ضارة وحدها. ومجتمعةً تصبح خط تسريب بيانات لا يحتاج لتشغيله غير جملة مزروعة واحدة. والقاعدة التي تتبع ذلك صريحة: لا وكيل واحد يحمل الثلاثة. فالوكيل الذي يقرأ البريد الوارد لا يقدر على إرسال طلبات إلى عناوين عشوائية. والوكيل الذي يصل إلى قاعدة البيانات لا يتصفّح الويب المفتوح. والصلاحيات محدّدة بالمهمة لا بالوكيل، فلا يحمل وكيل الدعم صلاحية shell، ولا يحمل وكيل البرمجة بيانات اعتماد إنتاج لنظام لا علاقة له به.
وحيث لا يمكن الرجوع عن الإجراء، كدفعة أو حذف أو رسالة إلى مستلم جديد، ضَع أمامه خطوة تأكيد لا يملك النموذج طريقة لتخطّيها. وهذه أثمن من أي مصنّف، لأنها لا تتوقف على ملاحظة النموذج لأي شيء. وثبّت إصدار كل خادم MCP، واقرأ أوصاف أدواته كما تقرأ تبعية برمجية، وأعد النظر فيها عند تغيّرها. وسجّل ما قرأه الوكيل وسبب تصرّفه، لا ما قاله فقط، لأن حقناً ينتج جواباً معقولاً لا يراه من لا يرى المُدخلات. ونتناول هذه الفجوة في مشكلة مراقبة الوكلاء. وافترض أن وكلاء يعملون عندك بلا موافقتك. فالموظفون يشغّلون أدوات بأنفسهم، وهو موضوع مقالنا عن حوكمة shadow AI، وأولئك هم الوكلاء بلا ضوابط إطلاقاً.
والمشترون بدأوا يبحثون عن هذا. بيانات Google Ads المسحوبة عبر DataForSEO في 11 أكتوبر 2026 (الولايات المتحدة، بالإنجليزية) تُظهر prompt injection عند 5,400 بحث شهرياً، صاعداً من 3,600 في سبتمبر 2025 بعد قمة بلغت 9,900 في أغسطس 2026. وهذا بلد واحد ومحرك بحث واحد، ولا يقدر على التفريق بين المهندسين وفرق المشتريات. وما يُظهره غير مألوف: من خمسة عشر مصطلحاً متعلقاً بالوكلاء قِسناها، عاد أحد عشر بلا حجم بحث قابل للقياس إطلاقاً، ومنها ai agent observability وai agent evaluation وmcp protocol. القطاع يكتب عن هذه. ولا يكاد أحد يبحث عنها. وprompt injection واحد من مصطلحات الوكلاء القليلة التي يبحث الناس عنها فعلاً، وهو المصطلح الذي يتحدث عمّا يسوء.
تنفّذ ThinqHub أنظمة Odoo وERPNext، فعمل الذكاء الاصطناعي الذي نقوم به يقع بجوار الفواتير وسجلات المخزون وبيانات العملاء. ونرى أن الأمن مكانه تصميم ما نبنيه لا تدقيق لاحق عليه، ونموذج الصلاحيات أعلاه هو نقطة البداية فيه. وإن كنت تضع وكلاء قرب أنظمة مهمة ولم تحاول خداعهم، فـخدمات الذكاء الاصطناعي لدينا تبدأ بهذا الاختبار. تحدّث إلينا قبل أن يجريه غيرك عليك.
