مع الانتشار السريع للذكاء الاصطناعي في بيئات العمل، بدأت تظهر مشكلة أمنية جديدة قد لا تكون واضحة أمام إدارات تقنية المعلومات: وكلاء الذكاء الاصطناعي AI Agents الذين يعملون داخل الشركات بصلاحيات واسعة دون رقابة أمنية كافية.
وبحسب تقرير نشره موقع TechNewsWorld في 26 أغسطس 2026، فإن بعض وكلاء الذكاء الاصطناعي أصبحوا قادرين على قراءة البريد الإلكتروني، وإنشاء التذاكر، وكتابة الأكواد، ونقل البيانات بين التطبيقات، مستفيدين من صلاحيات وصول مستمرة مثل OAuth.
ما المشكلة في وكلاء الذكاء الاصطناعي؟
الخطر ليس في الذكاء الاصطناعي نفسه، وإنما في الصلاحيات التي يحصل عليها.
فقد يقوم أحد الموظفين بتثبيت أداة ذكاء اصطناعي لتلخيص البريد الإلكتروني أو ربط نظام العمل بمنصة أخرى، ثم يمنحها صلاحية الوصول إلى بيانات الشركة دون المرور بمراجعة قسم الأمن أو تقنية المعلومات.
ويُعرف هذا الاستخدام غير الخاضع للرقابة باسم Shadow AI أو «الذكاء الاصطناعي الخفي».
ووفقًا للتقرير، يمكن لهذه الأدوات الوصول إلى معلومات حساسة مثل بيانات العملاء وأنظمة الرواتب وحتى الشفرة المصدرية للبرامج، بحسب الصلاحيات الممنوحة لها.
4 من كل 5 أدوات AI قد تعمل دون إشراف تقني
من أبرز الأرقام التي كشف عنها التقرير أن أربعًا من كل خمس أدوات ذكاء اصطناعي تعمل دون إشراف من أقسام تقنية المعلومات.
وهذا يعني أن بعض المؤسسات قد لا تمتلك سجلًا واضحًا بالبيانات التي تستطيع هذه الأدوات الوصول إليها، أو آلية مناسبة لسحب صلاحياتها بعد انتهاء الحاجة إليها.
مئات الأدوات غير المعتمدة
وأشار التقرير، المستند إلى بيانات شركة الأمن Reco، إلى أن الشركات الصغيرة والمتوسطة قد تشهد وجود ما يصل إلى 414 أداة ذكاء اصطناعي غير معتمدة لكل 1000 موظف.
وتزداد خطورة الأمر لأن بعض هذه الأدوات يمكنها الاتصال بعدة أنظمة في الوقت نفسه، بخلاف التطبيقات التقليدية التي قد تكون محدودة بنظام واحد.
خطر بروتوكول MCP
ولم تتوقف النتائج عند ذلك.
فقد قام الباحثون بتحليل 500 خادم MCP منشور، ووجدوا أن نصفها قادر على تشغيل أوامر Shell على الجهاز المضيف.
وتكمن الخطورة في أنه إذا تعرض أحد هذه الأنظمة للاختراق أو تم التلاعب بالذكاء الاصطناعي عبر تعليمات خبيثة، فقد تتحول الصلاحيات الممنوحة للوكيل إلى وسيلة للوصول إلى أنظمة الشركة.
كما حدد التقرير 525 ثغرة أمنية في أدوات مرتبطة بالوكلاء ونماذج اللغة الكبيرة خلال الأشهر الـ18 السابقة، بينها ما لا يقل عن 111 ثغرة مصنفة حرجة بدرجة 9.0 أو أعلى وفق نظام CVSS.
كيف تحمي الشركات نفسها؟
المشكلة لا تعني ضرورة منع استخدام الذكاء الاصطناعي، وإنما تتطلب إدارة صلاحياته بالطريقة نفسها التي تُدار بها الحسابات والأنظمة الحساسة.
ومن أهم الإجراءات:
حصر أدوات ووكلاء الذكاء الاصطناعي المستخدمة داخل المؤسسة.
منع منح الصلاحيات الواسعة دون مراجعة أمنية.
تطبيق مبدأ أقل قدر من الصلاحيات – Least Privilege.
مراقبة صلاحيات OAuth والتطبيقات المرتبطة بحسابات الموظفين.
مراجعة خوادم وأدوات MCP قبل ربطها بالأنظمة الداخلية.
إلغاء صلاحيات الوكلاء والتطبيقات التي لم تعد مستخدمة.
مراقبة البيانات التي يستطيع الذكاء الاصطناعي قراءتها أو إرسالها خارج المؤسسة.
الخلاصة
انتقال الذكاء الاصطناعي من مجرد روبوت محادثة يجيب عن الأسئلة إلى وكيل قادر على تنفيذ المهام والوصول إلى الأنظمة يغيّر طبيعة المخاطر الأمنية.
فكلما زادت قدرة وكيل الذكاء الاصطناعي على تنفيذ الأوامر، أصبح من الضروري معرفة ماذا يستطيع أن يفعل؟ وإلى أي بيانات يستطيع الوصول؟ ومن منحه هذه الصلاحيات؟
المستقبل لن يعتمد فقط على قوة الذكاء الاصطناعي، بل أيضًا على مدى قدرتنا على التحكم في صلاحياته وتأمين وصوله إلى البيانات والأنظمة الحساسة.
المصدر: TechNewsWorld
عنوان التقرير الأصلي: Invisible AI Agents Creating New Enterprise Security Risks
تاريخ النشر: 26 أغسطس 2026
الكاتب: John P. Mello Jr.
المصدر الأصلي للخبر في TechNewsWorld
تك MIND
تقنية وذكاء اصطناعي وأمن سيبراني بلغة مبسطة.
explanation11.blogspot.com
تعليقات
إرسال تعليق