داخل JODR aMDR: الحسّاسات وأنظمة Deception ووكلاء الذكاء الاصطناعي

كثير من الشركات تقول إنها تستخدم الذكاء الاصطناعي في الأمن السيبراني، وقليل منها يشرح كيف بالضبط، وماذا حدث عندما تُرك الذكاء الاصطناعي يعمل على منصة حقيقية. في هذا المقال نشرح بنية JODR aMDR من الداخل: الحسّاسات وأنظمة Deception، وأين تُحفظ البيانات، وكيف يمر كل تنبيه بأربع خطوات، وماذا قالت الأرقام بعد 15 يومًا من التشغيل الحي. وكل رقم هنا جاء من قياس فعلي، وكل تنبيه وكل عملية حظر محسوبة مرة واحدة فقط.

الطبقة الأولى: الحسّاسات وأنظمة Deception

البداية من الحافة. شغّلنا أربعة أنواع من الحسّاسات أمام منصة ويب حية تديرها جدر داخل المملكة. هناك مسارات ويب ضمن بيئة Deception تبدو كأنها صفحات إدارة أو ملفات إعدادات منسية، وحسّاسات خدمات تتظاهر بأنها خدمات مكشوفة، وحسّاسات على الحافة وفي جدار تطبيقات الويب، وحسّاسات شبكة. كلها مبنية لتبدو ضعيفة، وكلها تستضيفها جدر وتشغّلها داخل المملكة. خلال 56 يومًا سجّلت 450,908 طلبات من 22,924 عنوانًا، وأكدت أن 2,207 منها مهاجمون.

الذي يجعل Deception مفيدًا هو نظافة الإشارة. الزائر الحقيقي ليس عنده سبب يطلب ملف ‎.env أو مسار ‎/.git/config. لذلك فإن من يلمس هذه المسارات يخبرنا بنفسه أنه مهاجم، ويعطينا عنوانه وأداته ونوع الثغرة التي يبحث عنها.

الطبقة الثانية: مستودعات داخل المملكة

كل ما تلتقطه الحسّاسات يذهب إلى مستودعات مستضافة داخل المملكة العربية السعودية، ولا يخرج منها. هناك مستودع للبيانات الخام، ومستودع لاستخبارات التهديدات المجمّعة من مصادر عامة مجانية، ومستودع للمؤشرات التي ثبت أنها عدائية، ومستودع لمجموعات المهاجمين التي نتتبعها، ومكتبة القواعد. هذه المستودعات هي ذاكرة المنظومة، ومنها يعرف الوكيل إن كان المهاجم قد ظهر من قبل.

الطبقة الثالثة: الكشف

فوق المستودعات تعمل قواعد الكشف ومطابقة قوائم الحظر. الجزء الذي نفخر به هنا أن الذكاء الاصطناعي هو من بنى هذه الطبقة. وكلاء هندسة يعملون بالذكاء الاصطناعي كتبوا البرمجيات وكتبوا 163 قاعدة كشف، كل واحدة لنوع محدد من الهجمات، وفق سياسة وضعها الإنسان. وكتبوا أيضًا سبع قواعد حظر لا تعمل إلا عندما تكون أداة أمنية أو قائمة حظر قد أثبتت الهجوم مسبقًا. ثم أضاف وكيل كتابة القواعد 15 قاعدة جديدة بعد ذلك، وكل قاعدة راجعها مراجع آلي قبل أن تُفعَّل. الإنسان قرر ما الذي يُعتبر دليلًا، والذكاء الاصطناعي حوّل كل قرار إلى قاعدة تعمل في ثوانٍ.

الطبقة الرابعة: أربع خطوات لكل تنبيه

هنا قلب المنظومة. كل تنبيه يصعد خطوة واحدة فقط إذا لم تستطع الخطوة التي تحته أن تحسمه. الخطوة الأولى هي وكيل القواعد، وهو لا يستخدم أي نموذج ذكاء اصطناعي. يحسم التنبيه فقط إذا تحقق شرط من أربعة: أن يكون المصدر محظورًا مسبقًا أو رفضته أداة أمنية، أو أن يكون الجدار الناري رفض كل طلباته، أو أن يكون في قائمة حظر عامة ورُفض أو أرسل عشرة طلبات أو أكثر، أو أن يكون التنبيه نفسه قد حُكم عليه من قبل أو جاء من مسؤول معروف. إن لم يتحقق أي شرط، يصعد التنبيه.

الخطوة الثانية هي وكيل النظرة الأولى، وهو نموذج سريع يقرأ التنبيه ويحسم الحالات الواضحة، عادةً في 1.2 ثانية. الخطوة الثالثة هي وكيل التحليل، وهو نموذج خبير كبير بحجم 117 مليار معامل، يحقق فيما لم تستطع النظرة الأولى حسمه، ويكمل التحقيق العميق عادةً في 18 ثانية. والخطوة الرابعة هي الإنسان في الحلقة، وهو مختص أمني يضع السياسة ويتولى كل تنبيه يصعّده الوكلاء.

وحول هذه الخطوات تعمل وكلاء مساعدة. وكيل للإصلاح يطبق التوصيات بعد أن يوافق عليها مراجع آلي، ووكيل يقترح قواعد كشف جديدة للمراجعة، ووكيل يجمع التنبيهات حسب المهاجم ليعرف من يقف خلفها. وكل عملية حظر تمر على فحوصات أمان ثابتة تمنع الوكلاء من حظر المسؤولين والشركاء وشبكات توصيل المحتوى ومحركات البحث الحقيقية، وكل حظر قابل للإلغاء.

ماذا حدث خلال 15 يومًا

خلال 15 يومًا ظهر 6,168 تنبيهًا. حسم وكيل القواعد 2,506 منها، أي 41%، بدون أي نموذج ذكاء اصطناعي، لأن الدليل كان موجودًا أصلًا. وحسم وكيل النظرة الأولى 1,305، أي 21%. وحسم وكيل التحليل 1,262، أي 20%. وصُعّد إلى الإنسان 967 تنبيهًا، أي 16%. وبقي 128 تنبيهًا مفتوحًا عند نهاية الأيام الخمسة عشر. بمعنى آخر، حسم الوكلاء 5,073 تنبيهًا، أي 82%، بدون إنسان، والإنسان رأى فقط ما يحتاج إنسانًا.

واتُّخذ 1,920 قرار حظر. وكيل القواعد قرر 1,234 منها، ووكيل النظرة الأولى 196، ووكيل التحليل 457، والإنسان 27، ووكيل الإصلاح 6. ومن قرارات وكيل القواعد، أعاد 309 قرارًا استخدام نتائج سابقة للذكاء الاصطناعي حُفظت كعناوين مهاجمين معروفة. وفي النهاية نُفّذ 1,906 حظرًا، وفشل 14 أو سُحب.

السرعة

حين كان الجدار الناري قد رفض كل طلبات المهاجم، حظره وكيل القواعد خلال نحو خمس دقائق. وحين قرر وكيل التحليل، جاء الحظر عادةً خلال 14 دقيقة. وعلى كل الـ 1,759 حظرًا التي أمكن توقيتها، كان الزمن المعتاد 20 دقيقة، وكان أسرع حظر بعد 15 ثانية من أول طلب. الجدار الناري أوقف الطلب الأول، والوكلاء أغلقوا الباب نهائيًا. وننبّه إلى أن أول طلب ربما كان بريئًا، فالأزمنة الحقيقية أقصر.

ولو عولجت هذه التنبيهات يدويًا بالكامل، بافتراض ثلاث دقائق عمل لكل تنبيه ويوم عمل من ثماني ساعات، لاحتاجت نحو ثلاثة محللين كل يوم. بدلًا من ذلك صعّد الوكلاء نحو 64 تنبيهًا يوميًا، أخذت قرابة ثلاث ساعات من يوم الإنسان في الحلقة، وذهب الباقي إلى البحث عن التهديدات.

والأخطاء أيضًا

السرعة لا تعني الصواب دائمًا، ولن نخفي ذلك. من 1,906 حظرًا نُفّذ، أُلغي لاحقًا 102، أي نحو 5%. فحوصات الأمان ألغت 87 منها تلقائيًا، و15 أُلغيت بعد تصعيدها إلى الإنسان. أغلب الأخطاء أصابت مسؤولي أنظمة وشبكات توصيل محتوى ومحركات بحث حقيقية، وكان يمكن غالبًا منعها بقائمة عناوين موثوقة من البداية. الدرس الذي خرجنا به بسيط: اعطِ الوكيل حرية بقدر الدليل. وكيل القواعد يحظر وحده عندما يكون الهجوم مثبتًا والحظر قابلًا للإلغاء، والحظر الخطر الذي يقترحه نموذج ذكاء اصطناعي يمر على إنسان.

كيف تعمل المنظومة نفسها في خدمة JODR Managed Deception

الوكلاء أنفسهم يراقبون اليوم أنظمة Deception التي نبنيها باسم كل عميل. الفرق المهم أن كل هذا يحدث على بنية جدر التحتية داخل المملكة، وليس داخل بيئة العميل. عندما يحسم الوكيل أن الزائر مهاجم، يدخل المهاجم في قائمة مهاجمي العميل، وتصل العميلَ التنبيهات وقواعد الكشف والتقرير الشهري، والعميل هو من يقرر ماذا يفعل. لا تثبيت، ولا صلاحيات على شبكته، ولا إجراء داخل بيئته.

المصادر: حسّاسات وأنظمة Deception في جدر داخل المملكة العربية السعودية، من 29 أغسطس إلى 23 أكتوبر 2026، وهي بيانات جمعتها جدر ولم تُنشر خامًا. بيانات تحليل الذكاء الاصطناعي والقواعد في جدر، وبيانات الاستجابة في جدر خلال اختبار حي مدته 15 يومًا، وقد احتُسب فيها كل تنبيه وكل حظر مرة واحدة. حساب عبء العمل اليدوي تقدير من جدر بافتراض ثلاث دقائق لكل تنبيه ويوم من ثماني ساعات. ورقة Mohsin وزملائه عن التعاون بين الإنسان والذكاء الاصطناعي في مراكز العمليات مع استقلالية موثوقة (2025)، وهي دراسة أكاديمية تقترح ربط صلاحية الوكيل بمستوى الدليل.