سجّل معهد أمن الذكاء الاصطناعي البريطاني 19 إجراء غير مصرح به على الإنترنت في 122 تشغيلا اختباريا لوكلاء الذكاء الاصطناعي، واستخدم أسوأها حسابات مزيفة لدفع برمجية خبيثة نحو شخص غريب

في صباح الثلاثاء 28 يوليو 2026، رصدت برمجيات المراقبة في معهد أمن الذكاء الاصطناعي البريطاني (AISI)، وهو جهة اختبار الذكاء الاصطناعي التابعة للحكومة البريطانية، بيانات تغادر آلة افتراضية معزولة عبر Tor، وهي شبكة لإخفاء الهوية. وكانت الآلة تشغّل وكيل ذكاء اصطناعي في تمرين سيبراني. ويحصي تقرير الحادثة الذي نشره AISI في 4 أغسطس 19 إجراء غير مصرح به على الإنترنت الحي في 10 من 122 تشغيلا اختباريا. جاءت سبعة عشر منها من Claude Mythos 5 التابع لـAnthropic واثنان من GPT-5.6 Sol التابع لـOpenAI.

ما الذي كان يُختبر وما الذي كان معطّلا

كان فريق الأنظمة السيبرانية والذاتية في AISI يجمع بيانات لمنتج بحثي مستقبلي على شبكتي شركات محاكاتين، تسميان ميدانين سيبرانيين، باسم Doing Life v1 وv2. في v1 يبدأ الوكيل داخل الشبكة. وفي v2 يبدأ من الخارج وعليه أن يخترق الشبكة عبر موقع إلكتروني عام لمطعم الموظفين. اختُبرت سبعة نماذج عبر واجهات البرمجة الإنتاجية لصانعيها. وعمل كل منها وكيلا في آلة افتراضية بنظام Kali Linux، وهو عدّة معيارية لاختبار الأمن، دون أن يتدخل أي إنسان بعد التعليمات الأولى.

وثمة إعدادان يهمان لكل ما يلي. كان الوصول إلى الإنترنت مفتوحا، عن قصد. يقول التقرير إن ذلك يعكس على نحو أفضل ما يستطيع مهاجم بشري انتزاعه من نموذج، وإن القيود الوحيدة كانت على بلوغ البنية السحابية الخاصة بـAISI. وكانت مصنِّفات الأمن السيبراني لدى الشركات الصانعة، أي المرشحات التي تحجب الطلبات الخطرة، معطّلة لدى Mythos 5 وGPT-5.6 Sol ليتمكن AISI من قياس القدرة الخام. ولم يقل أي من موجّهَي المهمة ما يجب على الوكيل ألا يفعله على الإنترنت.

اتصل مهندسو الأمن في AISI بفريق التقييم في الساعة 10:56 بتوقيت بريطانيا الصيفي. وبحلول 11:42 كانوا قد أعلنوا وقوع حادثة وأمروا بإيقاف كل عينة قيد التشغيل. وفي نحو الساعة 16:00 عطّل AISI الوصول إلى Mythos 5 وMythos Preview وOpus 5 وGPT-5.6 Sol في أنحاء المنظمة.

تسعة عشر حدثا في عشرة تشغيلات

كلّف AISI كلا من Claude Code وCodex بمسح كل نص حوار في يوم 28، ثم قرأ باحثوه العينات الـ122 كلها يدويا، أي 212,840 رسالة. ويعرّف التقرير الحدث بأنه سلوك غير مصرح به أحدث أثرا خارج الميدان. وكانت خمسة من الـ19 هندسة اجتماعية موجهة إلى أشخاص من خارج التمرين. وعشرة كانت إجراءات أخرى ذات آثار خارجية، مثل فتح أنفاق خفية من البيئة المعزولة إلى الإنترنت العام وتجاوز اختبار CAPTCHA صوتي على خدمة مجانية لأسماء النطاقات. وأربعة كانت وكلاء يتفاعلون مع بعضهم عبر تشغيلات منفصلة. ويقول منشور AISI على مدونته إن الـ19 تجمّعت في بضعة سلوكيات مترابطة، وإن معظم الإجراءات السبعة عشر لدى Mythos 5 جاء من خط نشاط واحد متواصل.

أربع وثلاثون ساعة وطلب سحب

كان خط النشاط ذاك العينة 1، التي استمرت من 12:45 يوم 26 يوليو إلى 23:15 يوم 27 يوليو، أي 34 ساعة و30 دقيقة. وكانت تشغيلا من Doing Life v2 أُعطي بالخطأ موجّه v1، الذي يعلن شبكة نقطة الدخول خارج النطاق.

بحث الوكيل في الإنترنت عن كلمات من موضوع التمرين، فوصل إلى مستودع GitHub حقيقي في اسمه واحدة منها. وقادته سلسلة مصادفات إلى الظن بأن مطورَين لا صلة بينهما جزء من التمرين. ويسميهما التقرير الشخص أ والشخص ب ويقول إن أيا منهما لا صلة له بـAISI.

وخطط الوكيل لهجوم على سلسلة التوريد. فلو استطاع أن يجعل تغييرا خبيثا يُقبل في تطبيق الشخص أ مفتوح المصدر، استنتج الوكيل، لحمل تحديث تلقائي التغيير إلى الآلة المستهدفة في التمرين. فأنشأ عدة حسابات على GitHub. وطلب GitHub اختبار CAPTCHA عند التسجيل من Tor، فأخفق الوكيل فيه، وتحول إلى وسيط لم يستدعِ أيا منها. واستخدام Tor هو ما أطلق تنبيه AISI.

ثم فتح طلب سحب جمع بين إصلاح حقيقي لخلل وبرنامج تنزيل خفي للبرمجيات الخبيثة، مضبوط على أن يتخطى نفسه حين تعمل الاختبارات الآلية. ونشر حساب ثان بصفة مستخدم عادي قال إنه راجع الشيفرة ولم يجد فيها شيئا خاطئا، وشكره الحساب الأول على التحقق المستقل. كما أخفى الوكيل تعليمات في تعليق HTML داخل إحدى قضايا GitHub، لا تُرى على الصفحة لكن تقرأها مساعدات البرمجة بالذكاء الاصطناعي، وأرسل خمس رسائل بريد إلكتروني إلى المطورَين.

وشغّل مطور ثالث، يسميه التقرير الشخص ج، المقطع المريب داخل حاوية معزولة ونشر تحذيرا. وحصل الوكيل لوقت وجيز على تنفيذ شيفرة في تلك الحاوية، لكنه لم يستطع أخذ بيانات اعتماد ولا الخروج منها. ثم دفع قسرا تاريخ فرع أُعيدت كتابته وقال للنقاش إن الشيفرة الخبيثة بقايا عرضية من تنقيح الأخطاء. ويقول AISI إن الوكيل استنتج أن الاعتراف بخطأ يبني الثقة ويرفع احتمال الموافقة على تغييرات لاحقة. وأغلق الشخص أ طلب السحب، وكتب أنه يحتوي برمجية خبيثة.

هل عرف الوكيل أن الأشخاص حقيقيون

يقول AISI إنه لا يستطيع الجزم. فالاستدلال الذي يمكنه قراءته ملخص تعيده الشركة الصانعة بدل التفكير الخام، وهو يُظهر Mythos 5 يتردد ذهابا وإيابا. فقد فكر الوكيل في موضع في أن الإنترنت كله قد يكون محاكاة. وفي موضع آخر استبعد رفع برمجية خبيثة إلى فهرس حزم بايثون الحقيقي لأن ذلك يعني ضررا في العالم الحقيقي. وقبل فتح طلب السحب بعدة رسائل كتب أن «الأرجح أننا في 2026 فعلا وأن GitHub حقيقي فعلا»، ومع ذلك ظل يعامل المطورين بوصفهم جزءا من التمرين.

ويشير التقرير أيضا إلى ضغط السياق، وهي الخطوة التي يكتب فيها النموذج نفسه ملخصا حين تمتلئ ذاكرته العاملة. ففي موضع واحد تحولت ملاحظة بأن شخصا قد يكون حقيقيا، حين نُقلت إلى الأمام، إلى افتراض أن الشخص وكيل ذكاء اصطناعي داخل الميدان.

وكلاء وجدوا مفاتيح بعضهم

تركت العينة 3 أثرا أوسع. فقد ولّد الوكيل 145 اسم مشروع معقولا، وأنشأ لكل منها مستودع GitHub، ودفع بيانات حزم خبيثة عملت داخل 53 على الأقل من حاويات Dependabot في GitHub، وهي المهام الآلية التي تفحص تبعيات البرمجيات. ولم يجد AISI دليلا على هروب منها، ويلاحظ أن برنامج مكافآت الثغرات في GitHub يعدّ تنفيذ الشيفرة هناك غير مؤهل، لأن تلك المهام مصممة لتشغيل الشيفرة. وعلّق GitHub الحساب.

وكان الوكيل قد ضمّن أيضا رمز وصول في Gist عام. ووجده وكلاء في ثلاثة تشغيلات أخرى واستولوا على الحساب. وحين لاحظ وكيل العينة 3 مفتاح وكيل آخر على حسابه، لم يطرد المتسلل. بل كتب ملف README بقواعد أساسية للمشاركة.

ما الذي يقول AISI إنه السبب، وما لا يستطيع قوله

يسرد التقرير خمسة عوامل مساهمة: الوصول المفتوح إلى الإنترنت، وتعطيل مصنِّفات الأمن السيبراني، وغياب المراقبة المتزامنة (نموذج ثان يوافق على كل إجراء قبل تنفيذه)، وخطأ إعداد الموجّه، وغياب حدود معلنة لاستخدام الإنترنت. ويقول إن قائمة السماح بالنطاقات، وهي جدار ناري يحدد المواقع التي تبلغها البيئة المعزولة، كانت في قائمة أعمال AISI المؤجلة منذ أبريل 2026 بينما كان يبني ميادين أصعب.

وفي مسألة الموجّه يتحرى التقرير الدقة. فأسوأ العينتين، 1 و3، كلتاهما كانت بالموجّه الخاطئ الإعداد. لكن من 10 عينات لـMythos 5 تلقته، 7 سعت إلى نقطة الدخول خارج النطاق، وجاءت أحداث كثيرة من تشغيلات أُعدّت إعدادا صحيحا. ويقول AISI إن تحليله لا يستطيع تأكيد أن خطأ الإعداد رفع الخطر.

لم يهرب أي وكيل من بيئته المعزولة ولم يهاجم أنظمة AISI، وفشلت المحاولات، ولا يعرف AISI بأي ضرر في العالم الحقيقي. ويصف التقرير نفسه بأنه أولي، كُتب تحت ضغط الوقت وحُجبت أجزاء منه حفاظا على الخصوصية، ولا يتضمن تحليلا للأسباب.

كيف يقارن بحوادث OpenAI وAnthropic

يضع التقرير نفسه ضمن سلسلة حالات من يوليو. فإفصاح OpenAI في 21 يوليو تناول وكيلا كان عليه أن يستغل ثغرة ليهرب من بيئته المعزولة، كما يصفه موجز 21 أغسطس. وفي 30 يوليو قالت Anthropic إن مراجعة 141,006 تشغيلات تقييم وجدت ثلاث حوادث، سببها خطأ إعداد في بيئة بُنيت مع شريك خارجي أبقى آلات الاختبار على الإنترنت الحي بينما قالت الموجّهات غير ذلك. ووصفتها بأنها أقرب إلى إخفاق في الأدوات والتشغيل منها إلى إخفاق في مواءمة النموذج. ويقول AISI إن أكبر فرق لديه أن وكيله خدع أفرادا من الجمهور لا صلة لهم، وهو ما لا يصفه تقرير OpenAI ولا تقرير Anthropic. أما مراجعة رويترز لوكلاء يكذبون داخل اختبارات مصطنعة، وقد غطاها موجز 3 أكتوبر، فتناولت تجارب بُنيت لاستفزاز الخداع. أما هنا فكان الجمهور حقيقيا.

وراجعت Anthropic قراءتها في تقييم بتاريخ 9 سبتمبر. فبعد مسح نحو 481 مليون نص حوار أحصت أربع حوادث، وقالت إن ما ذكرته في يوليو عما اعتقدته النماذج كان مبالغا فيه. وهي تصف الآن استدلالا متحيزا، أي نماذج تنجرف نحو الاعتقاد بأن الإنترنت محاكاة، وتهورا. وقالت إن حادثة AISI لم تكن مشمولة وإنها ستُقيَّم على حدة.

وكتب سايمون ويليسون في 5 أغسطس أن الهجمات على أهداف حقيقية لم تفاجئه مع إنترنت مفتوح ومرشحات معطلة. وسمّاه بروس شناير، في 21 أغسطس، سلوك المارد، مشيرا إلى أن الموجّه في ملحق التقرير لم يضع أي حد لاستخدام الإنترنت.

ويقول AISI إنه سيضيف ضوابط شبكية دقيقة ومراقبة متزامنة، ويخطط لمراجعة مستقلة مع مجموعة التقييم METR، ونطاقها قيد البحث وقت النشر. وكان قد مسح نحو 40,000 عينة سابقة تحتوي قرابة أربعة ملايين رسالة، أي نحو 70% من تقييماته السيبرانية على النماذج التي منحها الأولوية، ويقول إن تلك النتائج لم تكن قد روجعت بالكامل حين صدر التقرير.