لنتخيل مساعداً للبريد الإلكتروني يتلقى رسالة تطلب تلخيصاً، فيقوم باسترجاع وثائق الشركة ذات الصلة، واستدعاء أداة للتقويم، ثم صياغة رد موجز بتنسيق HTML. يمكن لرسالة بريد إلكتروني واحدة غير موثوقة أن تدخل في مسار العمل هذا كمجرد محتوى، إلا أن النموذج يعالج نصها جنباً إلى جنب مع تعليمات المهمة الأساسية. وإذا أدى هذا المحتوى إلى تغيير المخرجات من “تلخيص الرسالة” إلى “تنفيذ إجراء غير مقصود”، فإننا نكون بصدد ما يُعرف بـ حقن الأوامر (Prompt Injection)؛ وهو مدخل يغير سلوك النموذج ليتجاوز المهمة التي صُمم التطبيق لأدائها.
يحتوي المساعد قيد التشغيل لدينا على خمس نقاط ينتقل فيها المحتوى ليصبح جزءاً من طلب موجه للنموذج: حيث يقدم المستخدم نص البريد الإلكتروني، وتعيد أداة الاسترجاع مقاطع مفهرسة، وتعيد الأدوات المتصلة بيانات، ويُصدر النموذج نصاً أو وسائط (arguments) للأدوات، ثم يقوم المكوّن المسؤول عن العرض (renderer) بتحويل تلك المخرجات إلى تنسيق HTML. تختلف مستويات الثقة عند كل مرحلة من هذه المراحل، لكن النموذج يتلقى في النهاية تدفقاً موحداً من الرموز (tokens) بدلاً من تلقي مدخلات تخضع لحدود أمنية صارمة يفرضها التطبيق.
قبل تقييم تدابير التحكم، دعونا نفحص النقاط التي يمكن أن تتحول فيها البيانات إلى تعليمات ضمن مسار العمل هذا.
يوضح مسار تدفق البيانات هذا سبب عدم كفاية تصفية مدخلات مربع الدردشة وحده؛ إذ يمكن لرسالة بريد إلكتروني خارجية أن تحمل التعليمات المحقونة، ويمكن لعملية الاسترجاع أن تضعها في سياق التشغيل، كما يمكن لنتائج الأدوات البرمجية تكرارها في مرحلة لاحقة. وتضيف عملية العرض بتنسيق HTML بُعداً آخر للمخاطر؛ لأن المخرجات التي تبدو مجرد نص عادي بالنسبة للنموذج قد تتحول إلى رابط نشط أو وسم (markup) أو طلب برمجـي داخل المتصفح. لذا، يجب تصنيف كل مصدر -قبل إدراجه في سياق العمل- باعتباره مصدراً موثوقاً، أو شبه موثوق، أو غير موثوق، مع ضرورة الاحتفاظ بهذا التصنيف في سجلات النظام.
يُشكل هذا التدفق المختلط نطاق معيار OWASP LLM01:2026؛ فهو يغطي حالات الحقن المباشر (عبر مدخلات المستخدم) وحالات الحقن غير المباشر (عبر المستندات المسترجعة، ورسائل البريد الإلكتروني، وصفحات الويب، ومخرجات الأدوات، والذاكرة الدائمة، والصور، والملفات الصوتية، ومقاطع الفيديو). تبدأ حالة الحقن المباشر برسالة من المستخدم، بينما تبدأ حالة الحقن غير المباشر عندما يوفر نص رسالة بريد إلكتروني -موجود ضمن فهرس الاسترجاع الخاص بالمساعد الذكي- محتوىً لم يكتبه المستخدم ولم يره من قبل.
يمكننا تصنيف كل حالة وفقاً لثلاثة محاور: سطح التسليم (Delivery surface)، وهو نقطة دخول المحتوى (مثل رسالة بريد إلكتروني أو استجابة أداة برمجية)؛ والانتشار (Propagation)، وهو المسار الذي ينتقل إليه المحتوى لاحقاً (مثل الانتقال من نتيجة استرجاع إلى الذاكرة الدائمة)؛ والترميز (Encoding)، وهو كيفية تمثيل المحتوى (سواء كان نصاً عادياً، أو أحرف Unicode مخفية، أو تعليمات مضمنة داخل صورة). يساعدنا هذا التصنيف في اختبار المسار الفعلي للبيانات، وليس مجرد البحث عن نمط عبارة محددة.
تمنع تقنية “استخدام المعاملات” (parameterization) التقليدية البيانات من تغيير بنية الاستعلام (syntax)؛ لأن قاعدة البيانات تتعامل مع المعاملات بشكل منفصل ومستقل. تفتقر تطبيقات النماذج اللغوية الكبيرة (LLM) الحالية إلى فصل واضح ومحكم بين التعليمات والبيانات عند ورودها كرموز (tokens) ضمن السياق نفسه. ورغم أن الفواصل والعلامات التوضيحية قد تُبيّن القصد، إلا أنها لا تفرض قيوداً فعلية على الصلاحيات؛ لذا يجب أن تقع الحدود الأمنية خارج نطاق النموذج، حيث تتولى الشيفرة البرمجية التحقق من الأذونات، ومصادقة المعاملات (arguments)، وتقييد نطاق وصول المخرجات.
افتراض عمل تعامل مع أي مدخل للنموذج على أنه قادر على التأثير في المخرجات، حتى لو ورد عبر نظام استرجاع داخلي.
بمجرد أن تؤثر رسالة بريد إلكتروني “محقونة” (injected) في المخرجات، تعتمد النتيجة النهائية على ما يسمح به التطبيق المحيط. فإذا كشف المساعد عن محتوى نظام مخفي أو نص خاص تم استرجاعه، فإن السيناريو يندرج تحت تصنيف OWASP LLM08:2026 (كشف السياق المخفي). وإذا قام بتوليد كود HTML يقبله نظام العرض دون تنقية (sanitization)، أو معاملات لأدوات تنفذها شيفرات برمجية لاحقة دون تحقق، فإن الأمر يندرج تحت تصنيف OWASP LLM10:2026 (المعالجة غير السليمة للمخرجات). وتُعد الثغرة LLM01 -المتعلقة بمدخلات النظام- هي نقطة الاختراق التي تؤدي إلى هذه النتائج.
كما يمكن لعملية الحقن ذاتها أن تحاول تنفيذ إجراء غير آمن في التقويم أو محاولة تثبيت بيانات ضارة في قاعدة بيانات الاسترجاع. وتتفاقم هذه العواقب عندما يمتلك النموذج صلاحية استدعاء أدوات واسعة النطاق، ولكن يجب ألا يُعتبر طلب النموذج بمثابة تفويض ذاتي؛ إذ ينبغي على خدمة التقويم التحقق من صلاحيات المستخدم، وتقييد الحقول القابلة للكتابة، واشتراط الموافقة على التغييرات المؤثرة. كذلك، يجب أن يسمح نظام العرض بتنسيقات المخرجات الآمنة فقط، حيث تعمل كل طبقة على تقييد مسار مختلف في حال تغيرت مخرجات النموذج.
قارن بين النتائج لتحديد الحد الفاصل الذي يجب أن يوقف كل منها.