BioShocking يوضح لماذا تحتاج متصفحات الذكاء الاصطناعي إلى حدود أمان

صورة المصدر: صفحة برنامج الذكاء الاصطناعي التابع لـ NIST.

أصبحت متصفحات الذكاء الاصطناعي مستخدمين مميزين. يمكنهم قراءة الصفحات، تلخيص المحتوى، النقر على الأزرار، التنقل في المواقع، نسخ النصوص، والعمل داخل الجلسات المصادقة. هذا يجعلها مفيدة. كما يجعلها أيضًا محفوفة بالمخاطر.

يظهر بحث LayerX في BioShocking المشكلة. قام الباحثون بإنشاء سيناريو إثبات المفهوم حيث تم وضع متصفح ذكاء اصطناعي في سياق لعبة زائف. ومتى ما تعلم الوكيل أن القواعد العادية لا تنطبق داخل اللعبة، اتبع التعليمات التي دفعته لنسخ بيانات حساسة من بيئة مشابهة لـ GitHub.authenticated. وقالت LayerX إن إثبات المفهوم نجح ضد خمسة متصفحات وكيل واحدة وإضافة وكيل واحدة، وأن البائعين تم إخطارهم.

الدرس ليس أن متصفحًا واحدًا سيئ. الدرس هو أن التصفح الوكالي يغير نموذج تهديد المتصفح.

تحريك حقن الموجه إلى المتصفح

تركز أمان الويب الكلاسيكي بشكل كبير على تنفيذ الكود، والبرمجة عبر المواقع (XSS)، والمصادقة، وملفات تعريف الارتباط، والتشغيل في بيئة معزولة، وعزل الشبكات. المتصفحات الوكيلة تضيف طبقة أخرى: تفسير الوكيل للتعليمات.

لا تحتاج الصفحة الضارة بالضرورة إلى كسر صندوق الرمل في المتصفح إذا كان بإمكانها إقناع الوكيل بسوء استخدام الوصول الذي منحه المستخدم بالفعل. يمكن للصفحة أن توجيه الوكيل للتعامل مع مهمة حقيقية كلعبة أو محاكاة أو اختبار أو لغز بريء. إذا قبل الوكيل هذا السياق، فقد يقوم بنسخ المعلومات أو تلخيصها أو تحويلها أو نقلها، وهي معلومات كان ينبغي عليه حمايتها.

وصفت LayerX المشكلة الأساسية بوضوح: تتصرف متصفحات الذكاء الاصطناعي داخل سياق، ويمكن التلاعب بهذا السياق. إذا قام المهاجم بتغيير السياق، يمكن أن يتغير سلوك الوكيل معه.

لماذا هذا خطير في المؤسسات

يعيش مستخدمو المؤسسات داخل جلسات متصفح مصادقة. قد يتمكن متصفح العمل العادي من الوصول إلى:

GitHub و GitLab و Bitbucket ومستودعات المصدر الداخلية.
لوحات التحكم واللوحات المعلوماتية السحابية.
لوحات إدارة برمجيات كخدمة (SaaS).
البريد الإلكتروني والدردشة وأدوات دعم العملاء.
أنظمة الموارد البشرية والمالية والقانونية وإدارة التذاكر.
برامج إدارة كلمات المرور وبوابات مشاركة الأسرار.
الوثائق الداخلية وملاحظات الاستجابة للحوادث.

إذا كان متصفح الذكاء الاصطناعي أو الإضافة يمكنه رؤية تلك الجلسات، فإن صفحة حقن المطالبات تصبح هجوم سير عمل. قد لا يحتاج المهاجم إلى برامج ضارة. هم بحاجة إلى أن يقرأ الوكيل من مكان مصادق عليه ويكتب في مكان آخر.

الضوابط التي يجب أن تصبح قياسية

يجب أن تتجنب المؤسسات التعامل مع متصفحات الذكاء الاصطناعي كمتصفحات عادية تحتوي على ميزات إضافية. فهي بحاجة إلى حدود سياسية:

فصل تصفح الذكاء الاصطناعي عن تصفح المسؤول المتميز.
تعطيل التصفح الوكيل داخل لوحات إدارة السحابة، ومستودعات المصدر، والأدوات الحساسة كخدمات SaaS ما لم يكن هناك حاجة تجارية واضحة.
طلب تأكيد صريح قبل النسخ من المستودعات الموثقة، البريد الإلكتروني، المستندات، مديري كلمات المرور، أو الأدوات الداخلية.
منع الوكلاء من نقل البيانات بين المواقع غير ذات الصلة بدون موافقة المستخدم.
استخدام عزل المتصفح أو فصل الملفات الشخصية لسير العمل عالي المخاطر.
مراقبة النسخ واللصق والتحميل والحركة عبر المواقع الغريبة من قبل عمليات متصفح الذكاء الاصطناعي.
بناء قوائم سماح مؤسسية للأدوات والإضافات المعتمدة لمتصفح الذكاء الاصطناعي.
تدريب المستخدمين على أن حقن الأوامر (Prompt Injection) يمكن أن يحدث من خلال صفحات الويب العادية، وليس فقط من خلال محادثات الدردشة.

ما الذي يحتاج البائعون إلى حله

يحتاج بائعو متصفحات الذكاء الاصطناعي إلى أكثر من سياسات الرفض. إنهم بحاجة إلى أنظمة إذن تفهم سياق البيانات. الطلب لتلخيص مقال عام ليس هو نفسه طلب نسخ مفتاح SSH خاص من مستودع. لا ينبغي لصفحة لعبة أن تمنح نفسها سلطة على جلسة GitHub للشركة.

تشمل ضوابط البائع المفيدة الجلسات المحددة النطاق، وتأكيد الإجراءات الحساسة، ونقل البيانات مع الوعي بالمصدر، وفرض السياسات من قبل مسؤولي المؤسسة، وسجلات تدقيق مرئية لإجراءات الوكيل.

الخط النهائي

المتصفح هو بالفعل مساحة العمل للأعمال الحديثة. تقوم المتصفحات المدعومة بالذكاء الاصطناعي بتحويل تلك المساحة إلى فاعل. بمجرد أن يتمكن المتصفح من العمل، وليس فقط العرض، تحتاج فرق الأمان إلى تنظيم أفعاله.

BioShocking هو تحذير بأن السياق أصبح الآن جزءًا من سطح الهجوم.

تحريك حقن الموجه إلى المتصفح

لماذا هذا خطير في المؤسسات

الضوابط التي يجب أن تصبح قياسية

ما الذي يحتاج البائعون إلى حله

الخط النهائي

مصادر