2024
JFrog × Hugging Face
اكتشاف ≈ 100 نموذج خبيث — Reverse Shells تنفذ شيفرة عند التحميل.
✦SBOM · FOR · AI→
مَن يقبع فعلًا داخل ذكائكم الاصطناعي؟
SBOM للذكاء الاصطناعي — معيار G7 الجديد. والعدّ التنازلي لـ EU AI Act جارٍ.
اعتبارًا من 2 أغسطس 2026 يسري EU AI Act بالكامل. وقد نشرت مجموعة عمل الأمن السيبراني في G7 في مارس 2026 أول إرشادات مشتركة لـ AI-SBOM: 50 عنصرًا أدنى في 7 مجموعات. دون جرد منظم لسلسلة توريد الذكاء الاصطناعي لديكم يصبح الامتثال مقامرة — والمخاطر صندوقًا أسود.
2 أغسطس 2026 · 00:00 CET
حتى السريان الكامل لـ EU AI Act2 أغسطس 2026 · 00:00 CET
0
أيام
00
ساعات
00
دقائق
00
ثوانٍ
50
عناصر دنيا
7
مجموعات
9
خط أساس توافقي لـ G7
35 مليون يورو
الحد الأقصى لغرامة AI Act
✦ 01 · الكارثة الصامتة
نموذج واحد. ستة أسابيع. 847 مليون دولار.
فبراير 2025 — أحد أكبر 10 بنوك أمريكية. نظام متطور لكشف الاحتيال من مورّد مرموق. معدل كشف 94% في الاختبارات. وفي الإنتاج: قاعدة مفتوحة المصدر مسمومة من Hugging Face. مُرِّرت 100% من معاملات التشغيل دون اعتراض.
847 مليون $
تحويلات احتيالية
المصدر: CyberSecFeed (2025) — مثال على موجة حوادث سلسلة توريد الذكاء الاصطناعي 2024–2026.
✦ 02 · الحقيقة المزعجة
لا أحد يأكل الزبادي دون قائمة مكونات. ومع ذلك تنشر كل مؤسسة تقريبًا الذكاء الاصطناعي دون أن تعرف ما بداخله.
مرئي
ما ترونه
النموذج الجاهز
- اسم النموذج والإصدار
- نقطة نهاية API
- وعود تسويقية
- بعض المقاييس المعيارية
غير مرئي
ما يوجد بالداخل فعلًا
سلسلة التوريد غير المرئية
- النموذج الأساسي + أسلاف التقطير (Distillation)
- بيانات التدريب · مصدرها غير واضح
- محولات LoRA ومراحل الضبط الدقيق (Fine-Tuning)
- ملفات Pickle · خطر تنفيذ الشيفرة
- واجهات API لأطراف ثالثة وأدوات MCP
✦ 03 · حوادث حقيقية · 2024 – 2026
سلسلة توريد الذكاء الاصطناعي لم تعد مشكلة نظرية بعد الآن.
النمط: تُنقل الثقة إلى المراحل السابقة — ولا أحد يتحقق منها.
الربع الأول 2025
تسميم النماذج في الإنتاج
بنوك ومستشفيات تبلغ عن نماذج بأبواب خلفية من مصادر «موثوقة». 23% من أفضل 1,000 مُخترَقة.
03/2026
اختطاف LiteLLM على PyPI
≈ 500,000 بيانات اعتماد ربما سُرِّبت — بما فيها مفاتيح API لـ Meta وOpenAI وAnthropic.
04/2026
Bitwarden-CLI وPyTorch Lightning
مُخترَقة لمدة 90 و42 دقيقة على التوالي. الحمولة تستهدف Claude Code وCursor وCodex CLI («Mini Shai-Hulud»).
✦ 04 · إجابة G7
ما هي SBOM للذكاء الاصطناعي?
قائمة مكونات قابلة للقراءة آليًا لأنظمة الذكاء الاصطناعي — دليل إثبات منظم لجميع المكونات والاعتماديات وعلاقات سلسلة التوريد التي تدخل في نظام الذكاء الاصطناعي.
الشفافية
أي النماذج ومجموعات البيانات وأطر العمل ووحدات GPU وواجهات API لأطراف ثالثة توجد في النظام؟ جرد بدلًا من التخمين.
والامتثال
دليل إثبات لـ EU AI Act وNIS2 وCRA وBSI TR-03183 — قابل للمعالجة الآلية، قابل للتوقيع، صامد أمام التدقيق.
القدرة على الاستجابة
عند ظهور ثغرة أمنية من نوع 0-Day، المعرفة خلال ساعات بدلًا من أسابيع: هل نحن متأثرون؟ أي النماذج؟ أي نقاط النهاية؟
✦ 05 · إطار G7 · مارس 2026
سبع مجموعات. خمسون عنصرًا أدنى. خط أساس مشترك واحد.
نشرت BSI وACN وANSSI وCSE وCISA وNCSC وNCO والمفوضية الأوروبية في مارس 2026 لأول مرة عناصر دنيا مشتركة. تغطي سبع مجموعات دورة حياة الذكاء الاصطناعي بأكملها — من المصدر حتى الأداء.
10
Metadata
الـ SBOM نفسها
9
System Level Properties
النظام ككل
13
Models
دماغ الذكاء الاصطناعي
10
Datasets
وقود الذكاء الاصطناعي
2
Infrastructure
ركيزة الذكاء الاصطناعي
4
Security Properties
الدفاع
2
مؤشرات الأداء الرئيسية (KPIs)
القياس
أبرز ما يهم مسؤولي أمن المعلومات (CISO): Models + Datasets + Security Properties — هنا يكمن الفرق عن SBOM التقليدية.
✦ 06 · المجموعات · دراسة معمّقة
ثلاث مجموعات يُحسم فيها الخطر.
MODELS · 13 عنصرًا
مَن بنى الدماغ؟
الهوية، والنسب، والأوزان، والـ Hash، وطريقة التدريب، والترخيص، والمراجع الخارجية لكل نموذج في النظام.
- اسم النموذج، المعرّف، الإصدار، الطابع الزمني
- المنتِج — pre-trained / fine-tuned / distilled
- Hash + الخوارزمية (فحص السلامة)
- البنية، المعاملات، المعاملات الفائقة
- خصائص التدريب: RLHF · DPO · PPO · GRPO
- الترخيص: open weight / architecture / data
- النسب: النماذج الأصلية والمشتقة
- مراجع خارجية: Model Card · ورقة بحثية · JSON Schema
لماذا بهذا التفصيل؟ لكي تروا بعد ثغرة 0-Day في النموذج الأساسي خلال دقائق أي النسخ المضبوطة بدقة متأثرة.
DATASETS · 10 عناصر
بماذا جرى التعلم؟
المصدر، والمحتوى، والخصائص الإحصائية، والحساسية، والترخيص لكل مجموعة بيانات في دورة حياة الذكاء الاصطناعي.
- الاسم والوصف · Pre-Training / Fine-Tuning / Eval
- المحتوى والصيغة · مالية · طبية · JSON · صورة · صوت
- المعرّف والـ Hash · URL + بصمة تشفيرية
- المصدر · الزحف · الشراء · خطوات الوسم
- الخصائص الإحصائية · مؤشرات ذات صلة بالتحيز
- الحساسية · PII · حقوق النشر · طبية · الأمن الوطني
- علاقات الاعتمادية · الأدوات التي شكّلتها
- الترخيص · رابط إلى الوثيقة القانونية للترخيص
هنا يُحسم غالبًا وضعكم بشأن DSGVO وحقوق النشر وAI Act — قبل نشر النموذج بوقت طويل.
SECURITY · INFRASTRUCTURE · KPI · 8 عناصر
الركيزة والدفاعات والقياس
على ماذا يعمل النظام؟ كيف يُدافَع عنه؟ كيف نقيس المتانة والأداء؟
Security Properties
التشفير · RBAC · مرشحات الإدخال/الإخراج · المتانة ضد الهجمات العدائية · الدفاع ضد حقن الأوامر · ISO/IEC 27001 · 42001 · SOC 2 · رابط security.txt
Infrastructure
أطر العمل (PyTorch · TF · vLLM · Ollama · Triton) · مديرو الحزم · مكتبات الأطراف الثالثة · بيئات التشغيل · رابط HBOM لعتاد الذكاء الاصطناعي
مؤشرات الأداء الرئيسية (KPIs)
المتانة ضد الهجمات العدائية · مقاومة التلاعب · وقت التشغيل · زمن الاستجابة · الإنتاجية · موازنة الأحمال · زمن حل الحوادث
✦ 07 · العدّ التنازلي
2 أغسطس 2026 — EU AI Act يسري بالكامل.
التزام الشفافية وفق المادة 50. أنظمة عالية المخاطر وفق الملحق III. أدلة إثبات للتوثيق التقني وإدارة المخاطر وحوكمة البيانات والأمن السيبراني. التسجيل — كل شيء قابل للإثبات وقابل للمعالجة الآلية.
35 مليون يورو
7% من إيرادات المجموعة
للممارسات المحظورة
15 مليون يورو
3% من إيرادات المجموعة
لمخالفات الشفافية والأنظمة عالية المخاطر (بما في ذلك نقص محتويات SBOM)
الملحق III
HIGH-RISK
الموارد البشرية · الائتمان · التعليم · KRITIS · القضاء · القياسات الحيوية
✦ 08 · فجوة الجاهزية
بينما تدق الساعة، معظم المؤسسات ليست جاهزة.
26,2 %
بدأت أصلًا أنشطة ملموسة للامتثال لـ AI Act
19,4 %
تصنّف نفسها «سيئة الاستعداد»
> 50 %
لا تملك حتى جردًا كاملًا لأنظمة الذكاء الاصطناعي
Deloitte AI-Act Survey 2026 · TrueScreen Compliance Tracker 2026
✦ 09 · ما يفعله مسؤولو أمن المعلومات (CISO) الآن
خمس خطوات نحو الجاهزية لـ SBOM للذكاء الاصطناعي.
01
الجرد
قائمة كاملة بجميع نماذج الذكاء الاصطناعي ووكلائه وواجهات API المستخدمة — بما في ذلك الذكاء الاصطناعي الظلي في الإدارات.
02
التصنيف
تحديد مستوى المخاطر وفق EU AI Act. إعطاء الأولوية للأنظمة عالية المخاطر وفق الملحق III.
03
اختيار الأدوات
CycloneDX 1.7 / SPDX، مولّدات AIBOM (Cybeats، Manifest، OWASP CycloneDX AI-Working-Group).
04
الأتمتة
دمج إنشاء SBOM في CI/CD وسجل النماذج وخط MLOps. فرض توقيعات Hash.
05
التكامل
الربط مع فحص الثغرات وVEX وسجل مخاطر ISMS. تعديل عقود المشتريات.
✦ 10 · VAMISEC · من الالتزام إلى البنية المعمارية
كيف تجعلكم VamiSec جاهزين لـ SBOM للذكاء الاصطناعي.
جرد أنظمة الذكاء الاصطناعي
حصر جميع أنظمة الذكاء الاصطناعي الإنتاجية والنماذج والوكلاء وأدوات MCP — بما في ذلك الذكاء الاصطناعي الظلي.
تطبيق AIBOM
من التجربة حتى التعميم الكامل: CycloneDX 1.7، التكامل مع خطوط العمل، توقيع النماذج.
تحليل الفجوات وفق EU AI Act
تعيين أنظمتكم على المادة 50 والملحق III والتزامات التوثيق التقني.
أمن الذكاء الاصطناعي وحوكمته
اختبارات المتانة ضد الهجمات العدائية، الدفاع ضد حقن الأوامر، سجل مخاطر الذكاء الاصطناعي.
vCISO / AI Officer
خدمة مُدارة لحوكمة الذكاء الاصطناعي وISMS والامتثال — لفترة محددة.
المراقبة المستمرة
مراقبة فروقات SBOM، سير عمل VEX، خط معالجة ثغرات الذكاء الاصطناعي.
✦ تصرّفوا الآن
لنتحدث — قبل أن يحلّ 2 أغسطس.
محادثة استراتيجية مجانية لمدة 30 دقيقة حول خارطة طريقكم لـ SBOM للذكاء الاصطناعي وEU AI Act. نوفّق بين معيار G7 وBSI TR-03183 وخط ML الفعلي لديكم.
احجزوا عرضًا توضيحيًا عبر Teams لمدة 30 دقيقةموعد مباشر · 30 دقيقة · Microsoft Teams · دون أي التزام