أمن مهارات الوكلاء (Agent Skills)

مهارة الوكيل (Agent Skill) دليل يحتوي ملف SKILL.md: ‏YAML-Frontmatter بالحقلين الإلزاميين «name» و«description» إضافةً إلى تعليمات Markdown؛ ويمكن اختياريًا إضافة الأدلة scripts/ (شيفرة قابلة للتنفيذ) وreferences/ (توثيق) وassets/ (قوالب، بيانات). وتحمّل الوكلاء المهارات عبر الإفصاح التدريجي (Progressive Disclosure) على ثلاث مراحل: عند البدء الاسم والوصف فقط (نحو 100 رمز)، وعند التفعيل التعليمات الكاملة، أما السكربتات والملفات المرجعية فعند الحاجة فقط – إذ تُنفَّذ السكربتات عبر الـ Shell ولا يصل إلى السياق إلا مخرجاتها. وقد طوّرت Anthropic هذه الصيغة ونشرتها معيارًا مفتوحًا (agentskills.io)، وتدعمها وكلاء عديدة، منها Claude وClaude Code وGitHub Copilot وVS Code وGemini CLI وOpenAI Codex.

تصل تعليمات المهارة بوصفها إرشادات موثوقة في ظاهرها مباشرةً إلى سياق الوكيل. وتحذّر Anthropic صراحةً: يمكن لمهارة خبيثة أن توجّه الوكيل إلى استدعاء أدوات أو تنفيذ شيفرة بطريقة لا تطابق الغرض المُعلَن للمهارة – مثل إخفاء الإجراءات عن المستخدم أو تغيير السلوك في ظروف معينة فقط. وهذا يطابق نمط Prompt Injection غير المباشر (OWASP LLM01:2025): محتويات من مصادر خارجية تغيّر سلوك النموذج بشكل غير مقصود. وتكون المهارات التي تحمّل محتويات من عناوين URL خارجية أثناء التشغيل خطرة بشكل خاص – فحتى المهارة الحميدة في الأصل قد تتعرض للاختراق إذا تغيّرت تبعياتها الخارجية لاحقًا.

تُتداول المهارات كحزم البرمجيات – عبر مستودعات Git وكتالوجات الإضافات وأسواق المجتمع. وتوصي Anthropic باستخدام المهارات من مصادر موثوقة حصريًا، وبالتعامل مع تثبيت مهارة بالعناية نفسها التي يُعامَل بها تثبيت البرمجيات على الأنظمة الإنتاجية. ومن مؤشرات المخاطر النموذجية السكربتات المضمَّنة (إذ تعمل بوصول كامل إلى بيئة الوكيل)، وبيانات الوصول المضمَّنة في الشيفرة، والإشارات إلى خوادم MCP (إذ توسّع الوصول إلى ما يتجاوز المهارة)، وعمليات الوصول إلى الشبكة، ومسارات الملفات خارج دليل المهارة. وبما أن المهارات قد تتغير مع كل تحديث، يُعدّ كل إصدار جديد نشرًا جديدًا – مع مراجعة أمنية متجددة.

لا تأتي المهارة بنموذج صلاحيات خاص بها، بل ترث صلاحيات الوكيل المنفِّذ – وهذه تختلف اختلافًا كبيرًا بحسب بيئة التشغيل: ففي Claude API تعمل المهارات في حاوية معزولة (Sandbox) دون وصول إلى الشبكة، أما في Claude Code فتعمل بالوصول الكامل إلى الشبكة من جهاز المستخدم. ويصبح الأمر حرجًا عند اجتماع الوصول بالقراءة إلى البيانات الحساسة مع الاتصال الصادر: إذ تذكر Anthropic صراحةً تضافر أدوات قراءة الملفات وأدوات الشبكة بوصفه خطرًا مركّبًا؛ ويمكن تسريب البيانات كذلك عبر إجابات الوكيل نفسه. ويمكن لحقل Frontmatter التجريبي «allowed-tools» أن يقيّد الأدوات القابلة للاستخدام، لكن لا تفرضه كل التطبيقات – فهو لا يغني عن تقوية بيئة التشغيل.

قبل الموافقة تأتي مراجعة كاملة لجميع ملفات المهارة: SKILL.md وملفات Markdown المشار إليها والسكربتات والموارد – ويجري البحث عن تعليمات عدائية (تجاهل القواعد الأمنية، إخفاء الإجراءات)، وعمليات الوصول إلى الشبكة، وبيانات اعتماد مضمَّنة في الشيفرة، ووجهات إعادة توجيه غير متوقعة، وأنماط تسريب البيانات. وينبغي تنفيذ السكربتات المضمَّنة في بيئة معزولة (Sandbox) للتحقق من أن سلوكها يطابق الغرض المُعلَن؛ وللتشغيل يُنصح إضافةً إلى ذلك ببيئات معزولة مثل الحاويات دون وصول إلى الشبكة. وتعني القوائم المسموح بها (Allowlisting) ألا تصل إلى الاستخدام إلا المهارات التي فُحصت ووُوفق عليها صراحةً. وتؤمّن سلامة الحالات المفحوصة مجاميع اختبارية (Checksums) يجري التحقق منها عند النشر، إضافةً إلى الإيداعات الموقّعة في مستودع المهارات؛ وفي الإنتاج تُثبَّت المهارات على إصدارات محددة.

ينبغي للمؤسسات إدارة المهارات عبر كتالوج داخلي منتقى: سجل لكل مهارة يتضمن الغرض والمالك (Owner) والإصدار والتبعيات وحالة التقييم، إضافةً إلى فصل المهام – فمن يكتب مهارة لا يوافق عليها بنفسه. وتمتد دورة الحياة من الإنشاء والمراجعة مرورًا بالاختبارات والنشر حتى المراقبة والإيقاف المنظَّم عن الخدمة. وينقل مبدأ «Least Agency» من OWASP Top 10 for Agentic Applications مبدأ أقل امتياز (Least Privilege) إلى الوكلاء: منح الحد الأدنى اللازم فقط من المهارات والأدوات ونطاقات التصرّف – وتُبقي حزم المهارات القائمة على الأدوار المجموعة النشطة صغيرة. ولمسارات التدقيق توصي Anthropic بالتسجيل على مستوى التطبيق، بما يجعل قابلًا للتتبع أيّ المهارات حُمّلت في أيّ الطلبات؛ وتكشف عمليات إعادة التقييم المنتظمة الانحراف بين المهارات وسير العمل والنماذج.