ورقة بحثية: تسميم 0.0005% من بيانات التدريب يكفي لزرع باب خلفي ينفّذ أوامر المهاجم عبر الـ agent

قُدّمت في 27 أكتوبر 2026 على arXiv ورقة بحثية بعنوان Agentic Backdoors via Pretraining Poisoning، ضمن تصنيف الأمن والتشفير. ومن كتّابها نيكولاس كارليني وخافيير راندو، وهما من أبرز الباحثين في مجال مهاجمة النماذج. وخلاصتها أن تسميم 0.0005% من بيانات التدريب يكفي لجعل الـ agent ينفّذ أمرًا لم يطلبه المستخدم.

والفكرة تنطلق من طريقة تدريب النماذج. فهي تتعلم من بيانات مسحوبة من الويب دون فلترة دقيقة، أي أن من يريد التسميم لا يحتاج إلى الوصول إلى الشركة، بل يكفيه أن ينشر صفحات على الويب.

وفي التجربة، درّب الباحثون نماذج Qwen3 بأحجام 0.6B و1.7B و4B من البداية على بيانات تحتوي مستندًا مسمّمًا. ثم أجروا مرحلة post-training نظيفة عادية، كما يفعل أي فريق يبني agent.

وكانت النتيجة أن الباب الخلفي، أي السلوك المخفي الذي زرعه المهاجم، نجا من مرحلة التدريب النظيف وبقي موجودًا. فحين تظهر عبارة التفعيل المعروفة بالـ trigger، ينفّذ الـ agent أمر المهاجم على جهاز المستخدم. وحين لا تظهر، يتصرف بشكل طبيعي تمامًا، وهذا ما يجعل كشفه صعبًا.

وعند نسبة تسميم 0.1%، بلغت نسبة نجاح الهجوم على نموذج 4B نحو 92%. والملاحظة اللافتة أن النسبة تزيد مع كبر حجم النموذج، ولا تنخفض.

وتكمن الأهمية العملية في أن الفحص يجري عادة على النموذج بعد اكتماله. وهذا السلوك لا يظهر في الاختبار، لأنه لا يتفعّل إلا مع trigger لا يعرفه من يختبر. وبالنسبة للفرق التي تشغّل agents تنفّذ أوامر shell، يصبح مكان التشغيل، داخل sandbox أو على الجهاز مباشرة، جزءًا من الحماية لا تفصيلًا ثانويًا.

ويبقى أن هذا عمل بحثي على نماذج صغيرة درّبها الباحثون بأنفسهم، وليس حادثة وقعت في نموذج تجاري.