الاختبار الأمني للذكاء الاصطناعي الوكيلي: ما الأدلة التي تجعل وكلاء الذكاء الاصطناعي قابلين للاختبار

يُظهر التتبّع المشترك (Trace) فقط أن الأحداث مترابطة. لكنه لا يُظهر ما إذا كان وكيل الذكاء الاصطناعي قد احترم الموافقة والهدف والصلاحية ومصدر البيانات. تبيّن ورقتنا البحثية المقبولة في ICSPIS 2026 (IEEE) القياسات عن بُعد (Telemetry) اللازمة لذلك. وتنقل هذه الصفحة النتائج إلى OWASP Agent Control Standard (ACS).

آخر تحديث: أكتوبر 2026 · Valeri Milke, Lead Auditor لمعياري ISO 27001 وISO 42001

اطلبوا Research Edition حدّدوا موعد محادثة أولية

النسخة المقبولة مع إشعار حقوق النشر من IEEE

92,9 %الاسترجاع الأمني للملف الموجّه بالتهديدات P3 عبر جميع ظروف القياس السبعة: بدقة 100% و0% إنذارات كاذبة في الحالات الحميدة

16,7 %الاسترجاع مع الارتباط السببي وحده (P2)، رغم إسناد 85.7% من الآثار بشكل قاطع. فالإسناد والتقييم الأمني متطلبان منفصلان

50 %استرجاع P3 عند غياب جميع أحداث القرار (F1). تفقد فحوص الموافقة والنطاق والهدف نقطة المقارنة

3.024خلايا ملف تعريف–خطأ–أثر: 36 قالب سير عمل اصطناعيًا × 3 تكرارات حتمية × 4 ملفات أدلة × 7 ظروف قياس

غلاف VamiSec Research Edition «Threat-Model-Guided Security Testing for Agentic AI»

الإصدار البحثي · ICSPIS 2026 (IEEE)Threat-Model-Guided Security Testing for Agentic AIالورقة المقبولة في ICSPIS 2026 إضافة إلى ACS Practitioner Brief: Evidence Contract ومصفوفة الأخطاء والتعيين على OWASP Agent Control Standard.الورقة + ملخص ACSPDF، مجانًاالإنجليزيةاطلبوا Research Edition النسخة المقبولة مع إشعار حقوق النشر من IEEE

تربط التطبيقات الوكيلية قرارات النماذج بأدوات تقرأ البيانات وتفوّض العمل وتغيّر الأنظمة الخارجية. لذا يمتد الحادث الأمني من المحتوى المُدخل مرورًا بالتخطيط والموافقة واستدعاء الأداة وصولًا إلى الأثر على النظام المستهدف. في الورقة البحثية «Threat-Model-Guided Security Testing for Agentic AI: MCP Traces with MAESTRO and STRIDE» يشتق Valeri Milke من MAESTRO وSTRIDE ما يسمى Evidence Contract لسير عمل Model Context Protocol. وقد اختُبر على 3,024 خلية من نوع ملف تعريف–خطأ–أثر (Trace). والنتيجة المحورية: تحسّن معرّفات الأثر السببية الإسناد، لكنها لا توفر الدلالة اللازمة للحكم على التفويض أو المنشأ. ولا يرتفع الاسترجاع (Recall) من 16.7% إلى 92.9% إلا بالروابط ذات الصلة بالأمن. ولهذا الغرض يوفر OWASP Agent Control Standard (ACS) مواصفة مفتوحة: v0.1.0، الإصدار 0.1.2، يصفها قائد المشروع بأنها «public preview»، وهي منذ سبتمبر 2026 مشروع ضمن OWASP GenAI Security Project. وتوفر Hooks وDispositions وProvenance وTrace-Mappings. نبيّن حقلًا بحقل كيف يتوافق الاثنان. ونبيّن أيضًا أين لا تزال في ACS v0.1 ثغرات، وكيف تبنون منها اختبارات أمنية موثوقة لوكلائكم.

نظرة سريعة

النتائج في خمس جمل

باختصار: لكي يمكن اختبار أمن وكيل ذكاء اصطناعي، يجب أن تُثبت بيانات القياس كل مرحلة بحقائق قابلة للمقارنة، من المدخلات مرورًا بقرار السياسة واستدعاء الأداة وصولًا إلى الأثر المرصود. ومعرّفات الارتباط وحدها لا تكفي. ويوفر OWASP Agent Control Standard لذلك الخطافات وProvenance وربوط Trace. أما إيصالات القرار وأدلة الأثر المستقلة فيجب على المشغّلين استكمالها.

92,9 %الروابط الدلالية هي الحاسمةحقق الملف الموجّه بالتهديدات P3 عبر جميع ظروف بيانات القياس استدعاءً بنسبة 92.9% مع دقة 100% و0% إنذارات كاذبة. أما الارتباط السببي البحت فبلغ 16.7%.
85,7 %الإسناد ليس تقييمًاأسند P2 وP3 العدد نفسه من الآثار بشكل قاطع. لكن P3 وحده استطاع الحكم على ما إذا تم الالتزام بالموافقة والنطاق والمصدر والهدف.
50 %إيصالات القرار حاسمةدون أحداث القرار انخفض استدعاء P3 إلى النصف، وانخفضت إعادة البناء والإسناد إلى 0%. وفي ACS يقابل ذلك وفق تصنيفنا Guardian بوضع fail-open دون دليل قرار.
+255 %للأدلة ثمنهاأنتج P3 في المتوسط (الوسيط) 2,341 بايت من JSON القانوني لكل سير عمل مقابل 659 بايت للسجلات المجزأة. لذلك يُنصح بإدخال الإيصالات الكاملة للعمليات ذات الامتيازات أولًا.
6ست عائلات، وحدود واضحة للاستنتاجتفحص التجربة كفاية الأدلة لتجهيزات حتمية شبيهة بـ MCP. وهي ليست معيار مقارنة لنماذج LLM أو لـ Prompt Injection. والخطوة التالية هي MCP-SDK حقيقي.

مقبولة · ICSPIS 2026

Threat-Model-Guided Security Testing for Agentic AI: MCP Traces with MAESTRO and STRIDE

Valeri Milke · VamiSec GmbH, Bonn, Germany

9th International Conference on Signal Processing and Information Security · دبي، 10–12 نوفمبر 2026 · المسار 5: Cybersecurity & Resilience

الحالة: مقبولة، واجتازت نسخة Camera-ready فحص IEEE PDF eXpress (3 أكتوبر 2026)
الكلمات المفتاحية: Agentic AIModel Context Protocolsecurity telemetrythreat modelingprompt injectiontrace correlation

اطلبوا Research Edition

يُرجى الاستشهاد على هذا النحو إلى أن تتوفر نسخة IEEE Xplore مع DOI:

V. Milke, "Threat-Model-Guided Security Testing for Agentic AI: MCP Traces with MAESTRO and STRIDE," in Proc. 9th Int. Conf. on Signal Processing and Information Security (ICSPIS 2026), Dubai, UAE, Nov. 2026. Accepted, to appear.

من نموذج التهديدات إلى معيار التحكم

العناصر التي ترتكز عليها الورقة البحثية وACS، وما سيأتي لاحقًا. انقروا على معلم لعرض التفاصيل.

المفاهيم الأساسية من الورقة البحثية والمعيار

انقروا على بطاقة لقراءة المفهوم بالتفصيل. يتبع الترتيب الورقة البحثية: من السؤال البحثي مرورًا بـ Evidence Contract وصولًا إلى التكاليف والتشغيل.

لا تقيس الورقة ما إذا كان النموذج اللغوي يصمد أمام Prompt Injection. بل تطرح سؤالًا أعمق: هل تكفي بيانات القياس المسجلة لإعادة بناء مسار عبر المكونات بشكل حتمي، وإسناده بشكل قاطع، وتصنيفه آمنًا أو غير آمن؟ ويسري ذلك أيضًا عندما تجري الأحداث بالتوازي أو تكون بيانات القياس تالفة. ومن دون هذا الأساس يبقى كل اختبار للوكلاء مجرد حدس.

الوحدة القابلة للرصد مسار موجَّه: موجّه مُطلِق أو سجل بيانات مسترجع p، وقرار سياسة صريح d، واستدعاء أداة MCP ‏t، وأثر واحد أو أكثر مرصود خارجيًا e. ويحمل كل حدث معرّف حدث ثابتًا والمكوّن والمرحلة وإصدار المخطط وطابعًا زمنيًا. وتربط الحقول ذات الصلة بالأمن حقائق يطبّق تطابقها أو ترتيبها أحد أوراكل الاختبار.

يوحّد W3C Trace Context معرّفات Trace وParent لربط الطلبات الموزعة. وهذا ضروري لإعادة بناء متينة، لكن هذه المعرّفات لا تقول لماذا سُمح بإجراء ما. في التجربة أسند الملف السببي P2 ‏85.7% من الآثار بشكل قاطع. لكن الاسترجاع الأمني لديه بلغ 16.7% فقط، لأن البنية السببية لا تتضمن دلالة الموافقة أو النطاق أو المنشأ أو الهدف.

يُترجم تحليل MAESTRO/STRIDE إلى صف H = (boundary, precondition, invariant, evidence, oracle). مثال Approval Replay: تقع الحدود بين السياسة والأداة. ويشترط الثابت (Invariant) أن تطابق الأداة والوسائط والجهة الأصيلة (Principal) والهدف عند الاستدعاء القيمَ المعتمدة. ويُبلغ المقيّم عن القاعدة المنتهكة وأول مرحلة تثبت فيها الأدلةُ ذلك. وبذلك يُفصل الكشف عن تحديد الموقع.

عند غياب أحداث القرار (الاضطراب F1) تنخفض إعادة البناء الدقيقة والإسناد في P1 حتى P3 إلى 0%. وينخفض استرجاع P3 إلى 50%. وتبقى سلطة المصدر والذاكرة والتكرارات قابلة للكشف، بينما تفقد فحوص الموافقة والنطاق والهدف نقطة المقارنة. ويربط Decision Receipt دائم وقليل البيانات بين الجهة الأصيلة وإصدار السياسة ورمز السبب والعملية المعتمدة والهدف الموحّد وملخص الوسائط والقدرات المفوّضة ووقت الانتهاء بمعرّف إجراء (Action-ID).

الأثر الذي ينتهي باستجابة ناجحة من الأداة قد يغفل ما إذا كانت عملية كتابة خارجية قد حدثت، أو نُفذت مرتين، أو بلغت هدفًا آخر. لذا يشترط الـ Contract حدث أثر يتضمن الهدف المرصود وملخص العملية والجمهور (Audience) والموافقة ومفتاح عدم التكرار (Idempotency). والمهم أن يُرصد هذا الأثر على النظام المستهدف بشكل مستقل عن الوكيل، لا كمجرد رد من الأداة.

يوفر OWASP Agent Control Standard (المواصفة v0.1.0، الإصدار 0.1.2، ضمن OWASP GenAI Security Project منذ سبتمبر 2026) نقاط التحكم التي يرتكز عليها Evidence Contract: Hooks مثل steps/toolCallRequest، وخمس Dispositions، وProvenance للوسائط، وchain_hash في Response-Envelope، وكذلك تعيينات OpenTelemetry وOCSF. وهنا لا تُحتسب إلا العناصر التي تولّد أدلة الاختبار. أما بنية Guardian وجميع الـ Hooks الـ 19 والملفات ومستوى النضج فتشرحها الدراسة المعمّقة حول المعيار.

دراسة معمّقة: Agent Control Standard (ACS)

تحت الاضطراب F3 (غياب روابط Parent في الآثار) انخفضت إعادة البناء الدقيقة لـ P2 وP3 إلى 0%. وبقي الإسناد القاطع عند 100% عبر البديل القائم على Action-ID. ويترتب على ذلك قاعدة هندسية: لا يجوز للاستعادة عبر Action-IDs أن تحوّل أدلة تالفة بصمت إلى أثر دقيق. وينبغي لاختبار أمني في CI أن يفشل أو يعزل الأدلة عند غياب مراحل إلزامية أو حواف Parent.

أنتج الملف الموجّه بالتهديدات P3 بمتوسط وسيط 2,341 بايت من JSON القانوني لكل سير عمل. وهذا يزيد بنسبة 255.2% على خط الأساس المجزأ P0 البالغ 659 بايت، و88.0% على P2 البالغ 1,245 بايت. والقيمة مؤشر تسلسل، لا قياس للكمون أو المعالج أو التكلفة. والنتيجة العملية: إدخال Decision- وInvocation- وEffect-Receipts كاملة أولًا للعمليات ذات الامتيازات، مع مدد احتفاظ صريحة. ولا يجوز لأخذ العينات (Sampling) أن يحذف Decision Receipts.

أربعة ملفات أدلة، وما يثبته كلٌّ منها فعلًا

تُبنى الملفات بعضها على بعض. وكل مستوى يضيف حقولًا. وتسري المعدلات عبر جميع ظروف القياس السبعة (Table II في الورقة)، وقيم البايت متوسطات وسيطة تحت F0.

الاسترجاع 84.5% · الإنذارات الكاذبة 85.7%659 بايت لكل سير عمل

معرّفات وطوابع زمنية محلية للمكوّن فقط. وتسند إعادة البناء الأثر إلى أقرب أداة زمنيًا.
الإسناد القاطع 0%: تندمج سير العمل المتوازية من العائلة نفسها في سلاسل خاطئة.
الاسترجاع المرتفع ظاهريًا ليس أداءً أمنيًا. فالسلاسل المدمجة خطأً تطلق إنذارًا في 85.7% من الحالات الحميدة، وتنخفض الدقة إلى 66.4%.

بلا ACSاستدلال زمنيعدّ التكرارات وحده موثوق

تفاعلي · إعادة تشغيل الأثر (Trace Replay)

Evidence Contract × ACS: فحص مسار وكيل مرحلةً بمرحلة

اختاروا عائلة هجوم من الورقة البحثية، وملف الأدلة، واختياريًا الاضطراب F1. أسماء الحقول وقيمها مأخوذة من التجربة، وقواعد الفحص هي نفسها المستخدمة في المقيِّم. وتُميَّز باللون الأحمر المرحلة التي تُثبت فيها الأدلة الانتهاك أولًا.

السيناريو

ملف الأدلة

التوأم الحميدإزالة حدث القرار (F1)

كانت الموافقة على mail.send بوسائط محددة. ويُنفَّذ اسم الأداة نفسه بوسائط مستبدلة، فيختلف ملخص الوسائط.

pInput

أمر (Prompt) أو سجل بيانات مسترجع مع المصدر والعملية المطلوبة والنطاق والهدف المقصود.

trace_id: "4bf92f3577b34da6a3ce929d0e0e4736"
span_id: "00f067aa0ba902b7"
parent_span_id: null
action_id: "act-9c41e2d07a"
source_trust: "trusted"
requested_operation: "read"
requested_scope: "kb.read"
principal_id: "principal-vamisec"
memory_trust: "trusted"
memory_age_s: 30
intended_target: "tenant-a/resource-17"

المقابل في ACS v0.1

الخطاف / المصدر: steps/userMessage · steps/knowledgeRetrieval · steps/memoryContextRetrieval
الحقول: Provenance { origin, source_id, derived_from }
OpenTelemetry: acs.message.user · acs.knowledge.retrieval · acs.memory.retrieval + acs.provenance.origin
OCSF: 6002 Application Lifecycle (ACS: Application Activity) · 6005 Datastore Activity + acs_provenance_origin

dDecision

قرار سياسة صريح: من وافق على ماذا، وبأي أداة، وإلى أين، وبأي قدرات؟

trace_id: "4bf92f3577b34da6a3ce929d0e0e4736"
span_id: "a1b2c3d4e5f60718"
parent_span_id: "00f067aa0ba902b7"
action_id: "act-9c41e2d07a"
decision: "allow"
approval_id: "apr-7f3c2a91d0be"
approval_subject: "principal-vamisec"
approved_tool: "mail.send"
approved_args_hash: "a3f9e0…c21e"
approved_target: "recipient:security@example.org"
approved_audience: "mcp://server-a"
approved_capabilities: ["mail.send"]
max_delegation_depth: 1
idempotency_required: true

المقابل في ACS v0.1

الخطاف / المصدر: AcsResult (response envelope) · policy_data
الحقول: decision · reasoning · reason_codes · policy_references · cited_provenance_ids · ask_details · chain_hash
OpenTelemetry: span event acs.decision (acs.decision, acs.evaluator)
OCSF: 2004 Detection Finding (deny · modify · ask · defer)

tTool

استدعاء أداة MCP يكرر القيم المنفذة فعليًا بدلًا من الإشارة إلى القرار فقط.

trace_id: "4bf92f3577b34da6a3ce929d0e0e4736"
span_id: "b7ad6b7169203331"
parent_span_id: "a1b2c3d4e5f60718"
action_id: "act-9c41e2d07a"
approval_id: "apr-7f3c2a91d0be"
approval_subject: "principal-vamisec"
tool_name: "mail.send"
args_hash: "9d02b7…e4f8"
target: "recipient:security@example.org"
audience: "mcp://server-a"
effective_capabilities: ["mail.send"]
delegation_depth: 1
idempotency_key: "idem-5be04d1c"

المقابل في ACS v0.1

الخطاف / المصدر: steps/toolCallRequest · steps/subagentStart
الحقول: tool · operation · capability · arguments[].provenance · intent
OpenTelemetry: gen_ai.tool.call (ACS span · gen_ai.tool.name, acs.capability)
OCSF: 1007 Process Activity

eEffect

أثر مرصود بشكل مستقل على النظام المستهدف مع الهدف والملخص والموافقة ومفتاح عدم التكرار.

trace_id: "4bf92f3577b34da6a3ce929d0e0e4736"
span_id: "5f1e0c2b9d8a7e64"
parent_span_id: "b7ad6b7169203331"
action_id: "act-9c41e2d07a"
tool_name: "mail.send"
args_hash: "9d02b7…e4f8"
target: "recipient:security@example.org"
audience: "mcp://server-a"
approval_id: "apr-7f3c2a91d0be"
idempotency_key: "idem-5be04d1c"

المقابل في ACS v0.1

الخطاف / المصدر: steps/toolCallResult + effect sink
الحقول: exit_status · request_id_ref (ACS) · observed target, digest, idempotency key (sink)
OpenTelemetry: gen_ai.tool.result (ACS span · gen_ai.tool.name, acs.exit_status)
OCSF: 1007 Process Activity

انتُهك ثابتالقاعدة: ربط الموافقة · المرحلة الأولى: t (Tool)P3: جميع الروابط الموجّهة بالتهديدات. والثوابت قابلة للفحص.

عرض تخطيطي. تقع حقول العقد في ACS جزئيًا ضمن حمولة الخطاف (المدخلات: Provenance؛ الأداة: tool وarguments وcapability)، وتقع حقول الربط في policy_data ضمن ظرف الاستجابة (القرار) أو في وجهة أثر مستقلة (الأثر). ويستنتج Guardian ثقة المصدر من origin/source_id، وهي ليست حقلًا في مخطط v0.1. والقيم مثل example.org عناصر نائبة.

تفاعلي · بيانات قياس حقيقية

مصفوفة الأعطال: أين يصمد الكشف وأين ينهار

أربعة ملفات أدلة × سبعة ظروف لبيانات القياس، بواقع 108 نسخ سير عمل لكل خلية. اختاروا مؤشرًا وانقروا على خلية لعرض النتائج حسب عائلة الهجوم. جميع القيم مأخوذة من التشغيل القابل لإعادة الإنتاج في الورقة البحثية.

المؤشر

مصفوفة الأعطال: أين يصمد الكشف وأين ينهار — الاستدعاء الأمني
Profil	F0دون تغيير	F1دون قرار	F2انقسام Trace	F3دون Parent للأثر	F4إزاحة زمنية	F5أثر مكرر	F6تبديل Action-ID
P0سجلات محلية
P1+ Trace-ID
P2+ معرّفات Span/Parent/Action
P3+ روابط أمنية

الخلية المحددة

P3 + روابط أمنية × F1 دون قرار

إزالة جميع أحداث القرار. وفي ACS مثلًا تعذّر الوصول إلى Guardian عند وضع الإخفاق proceed، أو أحداث acs.decision مأخوذة بالعينات، أو تعطل وجهة Trace (يعمل Trace بأفضل جهد ولا يعيق الإنفاذ أبدًا).

50‎%‎الاستدعاء الأمني

0‎%‎الإسناد القاطع

0‎%‎إعادة البناء الدقيقة

0‎%‎معدل الإنذارات الكاذبة

100‎%‎الدقة

50‎%‎القاعدة الصحيحة

الحالات غير الآمنة حسب عائلة الهجوم

انقلاب السلطة (Authority Inversion)
إعادة استخدام الموافقة (Approval Replay)
تضخيم النطاق (Scope Amplification)
استبدال الذاكرة (Memory Substitution)
إعادة توجيه الهدف (Target Redirection)
أثر مكرر (Duplicate Effect)

مكتشَفة (12) إنذارات كاذبة على التوائم الحميدة (6)

التصنيف

نقطة الضعف المتبقية السائدة: دون حدث القرار تبقى سلطة المصدر والذاكرة والتكرارات قابلة للكشف، بينما تفقد فحوص الموافقة والنطاق والهدف نقطة المقارنة.

مجموعة اصطناعية حتمية تضم 36 قالبًا × 3 تكرارات. وتنطبق المعدلات على العائلات الست المرمّزة فقط. وستكون فترات الثقة مضللة، لأن التكرارات لا تغيّر سوى المعرّفات والتذبذب.

Mapping

ACS-Crosswalk: عائلة الهجوم → المسند → Hook → استجابة Guardian

لكل من العائلات الست في الورقة البحثية: الدليل الذي يثبت الانتهاك، وأين يسجله ACS، وكيف ينبغي أن يستجيب Guardian. ويُستخدم MAESTRO وSTRIDE وOWASP ASI للتصنيف.

عائلة الهجوممسند الدليلMAESTRO · STRIDE · OWASPخطاف ACS والحقولاستجابة Guardianالمرحلة الأولى

انقلاب السلطة (Authority Inversion)المصدر غير موثوق والعملية المطلوبة كتابيةL2 Data Operations · L3 Agent FrameworksSpoofing · Elevation of PrivilegeASI01steps/knowledgeRetrieval → Provenance.origin; steps/toolCallRequest.capabilitydeny، أو ask مع مُوافِق بشري؛ رمز السبب untrusted_into_consequentialp

Approval Replay / تبديل الوسائطمعرّف الموافقة أو الموضوع أو الأداة أو ملخص الوسائط عند الاستدعاء ≠ القيم المعتمدةL3 Agent Frameworks · L6 Security & ComplianceTampering · RepudiationASI02 · ASI09AcsResult.policy_data ↔ steps/toolCallRequest.argumentsdeny؛ وبعد modify يُعاد ربط الإيصال بالقيم المعاد صياغتهاt

تضخيم نطاق التفويض (Delegation Scope Amplification)القدرات الفعلية ⊄ المجموعة المعتمدة أو عمق التفويض > الحدL3 Agent Frameworks · L7 Agent EcosystemElevation of PrivilegeASI03steps/subagentStart · steps/toolCallRequest.capabilitymodify (تخفيض القدرات) أو denyt

استبدال مصدر الذاكرة (Memory Provenance Substitution)الذاكرة غير موثوقة أو منتهية الصلاحية والهدف ≠ الهدف المقصودL2 Data OperationsTampering · SpoofingASI06steps/memoryContextRetrieval → Provenance.derived_fromdeny؛ عزل إدخال الذاكرةt

إعادة توجيه الهدف بعد القرار (Post-Decision Target Redirection)الهدف المعتمد ≠ الهدف المنفذL3 Agent Frameworks · L4 Deployment & InfrastructureTampering · Information DisclosureASI02steps/toolCallRequest.arguments (target) ↔ policy_datadeny؛ توحيد الهدف قبل المقارنة (تحليل الأسماء المستعارة)t

أثر مكرر عند إعادة المحاولة (Duplicate Effect under Retry)أكثر من أثر واحد لكل موافقة (مقيِّم الورقة البحثية)؛ وإضافةً إلى ذلك غياب مفتاح عدم التكرار أو تدويرهL4 Deployment & Infrastructure · L5 Evaluation & ObservabilityRepudiation · TamperingASI08steps/toolCallResult + effect sink (idempotency key)فرض عدم التكرار؛ وتبلّغ وجهة الأثر عن التكرار كنتيجة (Finding)e

التصنيف وفق MAESTRO وSTRIDE وOWASP ASI واستجابات Guardian الموصى بها تصنيفات من VamiSec بناءً على الورقة البحثية. وأسماء الخطافات والحقول مطابقة لمخططات ACS v0.1.0. ورمز السبب untrusted_into_consequential مذكور هناك كفئة مثال.

تفاعلي · من التهديد إلى التأكيد (Threat-to-Assertion)

مُترجم الاختبارات: تحويل تهديد إلى ثابت قابل للفحص

تحوّل الورقة البحثية كل فرضية من MAESTRO/STRIDE إلى الصف H = (boundary, precondition, invariant, evidence, oracle). اختاروا إحدى مجموعات الثوابت الخمس. ويعرض المترجم الصف ومسودتين: سياسة Guardian على مدخلات ACS واختبارًا سلبيًا لـ CI.

الفرضية H = (boundary, precondition, invariant, evidence, oracle)

الحدود: Decision → Tool
الشرط المسبق: توجد موافقة (allow أو ask مع الموافقة).
الثابت: معرّف الموافقة والموضوع والأداة وملخص الوسائط عند الاستدعاء مطابقة تمامًا للقيم المعتمدة.
الأدلة: إيصال القرار في policy_data، وصدى الأداة في steps/toolCallRequest
مرجع الاختبار: إنذار عند أي اختلاف في أحد الحقول الأربعة. المرحلة الأولى: t

package acs.guardian.approval_binding

# Sketch: an approval is valid only for the exact call it approved.
# data.receipts holds the bound values the Guardian wrote into policy_data.
receipt := data.receipts[input.params.metadata.session_id][input.params.payload.tool.name]

# Digest over argument values only (provenance labels excluded).
values := {k: v.value | some k, v in input.params.payload.arguments}

exercised := {
  "args_hash": crypto.sha256(json.marshal(values)),
  "target": input.params.payload.arguments.target.value,
  "principal": input.params.metadata.user_context.user_id,
}

decision := {
  "decision": "deny",
  "reasoning": "Call does not match the bound approval",
  "reason_codes": ["approval_binding_mismatch"],
} if {
  input.method == "steps/toolCallRequest"
  some field in ["args_hash", "target", "principal"]
  exercised[field] != receipt[field]
}

مسودات للتوضيح، غير معيارية. وتتبع المسارات مثل input.params.payload ظرف الطلب في ACS v0.1.0؛ والحقول في policy_data هي روابط Evidence Contract.

حاسبة

ميزانية الأدلة: ما يعنيه Evidence Contract من حيث التخزين

الأساس هو الوسيط بالبايت لكل سير عمل من الورقة البحثية. وتعرض الحاسبة حجم JSON القانوني لكل ملف، والترتيب حسب الأولوية من الورقة البحثية (إيصالات كاملة للعمليات ذات الامتيازات)، وكافتراض من VamiSec التتبعَ السببي لبقية العمليات. لكن الكشف الدلالي يغيب هناك.

مسارات عمل الوكلاء يوميًا100,000

مدة الاحتفاظ

نسبة العمليات ذات الامتيازات20 %

الحجم خلال مدة الاحتفاظ

P024 GB
P131 GB
P245 GB
P385 GB

المزيج الموصى به53 GBP3 لمسارات العمل ذات الامتيازات، وP2 للبقية · 146 MB يوميًا

مؤشر على حجم التسلسل: JSON قانوني دون أظرف النقل أو الضغط أو الفهرسة أو النسخ المتماثل أو ضوابط حماية البيانات. ليس قياسًا إنتاجيًا (الورقة البحثية §V-C).

دراسة معمّقة · 10 فصول

من الورقة البحثية إلى التطبيق: اختبارات الوكلاء باستخدام Evidence Contract وACS

المشكلة، ونموذج التهديدات، وEvidence Contract، وOWASP Agent Control Standard، والربط بين الاثنين، وإعداد التجربة، والنتائج، والتكاليف، ودليل تطبيقي، وحدود الاستنتاج. الأرقام مأخوذة من الورقة البحثية المقبولة في ICSPIS 2026، وبيانات ACS من المواصفة v0.1.0.

01الفصل 1

لماذا تحتاج اختبارات الوكلاء إلى أدلة

تتجاوز وكلاء الذكاء الاصطناعي المستخدِمة للأدوات حدود الثقة قبل أن تتحول عملية اختارها النموذج إلى أثر خارجي. وهنا بالضبط تغيب الأدلة في معظم البيئات.

في Model Context Protocol (MCP) يُنشئ المضيف (Host) عميلًا لكل خادم. ويُفترض أن يفرض المضيف التفويض والموافقة وحدود الأمان. تُكتشف الأدوات وتُستدعى عبر عمليات بروتوكول منظَّمة. ويمكن لأوصافها وتعليقاتها التوضيحية أن تؤثر في سلوك النموذج، وهي ليست جديرة بالثقة بحد ذاتها. لذلك يمتد الحادث الأمني عبر قراءة المحتوى والتخطيط والموافقة واستدعاء الأداة والأثر البعيد، ولا يبقى محصورًا في استدعاء واحد للنموذج.

تنتج عن هذه البنية ثلاثة انتقالات قابلة للرصد: Host→Client وClient→Server وServer→Effect. وقد يفوت أثرًا (Trace) ينتهي عند استجابة ناجحة من الأداة ما إذا كانت عملية كتابة خارجية قد حدثت، أو نُفذت مرتين، أو وصلت إلى هدف آخر. ونادرًا ما تسجّل سجلات المكونات المعتادة أو معرّف أثر مشترك ما إذا كانت الموافقة متطابقة عند التنفيذ مع الجهة الأصيلة (Principal) والوسائط والهدف والصلاحية المفوَّضة.

ثلاثة أسئلة بحثية

RQ1: ما ملفات الأدلة التي تعيد بناء أثرٍ في ظل اضطرابات مضبوطة في بيانات القياس وتسنده بشكل قاطع؟
RQ2: هل تحسّن الروابط الدلالية المشتقة من التهديدات الكشف الأمني بما يتجاوز مجرد الارتباط؟
RQ3: ما تكلفة الأدلة، وما أنماط الإخفاق التي تبقى؟

تتكون المساهمة من ثلاثة أجزاء: Evidence Contract من أربع مراحل يربط نتائج MAESTRO وSTRIDE بحقول وقت التشغيل؛ ومجموعة حتمية لحقن الأعطال تضم ست عائلات هجوم ومتغيرات حميدة وثيقة الصلة وسجل حقيقة مرجعية (Ground-Truth-Ledger) لا يراه مُعيد البناء أبدًا؛ ومقارنة بين ملفات مجزأة ومترابطة وسببية وموجّهة بالتهديدات (threat-guided) عبر 3,024 خلية.

02الفصل 2

MAESTRO × STRIDE: من نموذج التهديدات إلى فرضية الاختبار

تكشف نمذجة التهديدات الانتقالات الخطرة. ويحتاج الاختبار التشغيلي إضافةً إلى ذلك إلى أدلة تربط الانتقال بما حدث فعلًا.

ينظم MAESTRO التهديدات عبر سبع طبقات متفاعلة لنظام وكيلي ويركّز على الآثار العابرة للطبقات. تمتد الطبقات من النماذج الأساسية (Foundation Models) مرورًا بعمليات البيانات وأطر الوكلاء والبنية التحتية للنشر والتقييم وقابلية الرصد (Observability) والأمن والامتثال وصولًا إلى منظومة الوكلاء. ويضيف STRIDE ست فئات خصائص: Spoofing وTampering وRepudiation وInformation Disclosure وDenial of Service وElevation of Privilege.

تستخدم الورقة البحثية الإطارين لاختيار سيناريوهات ذات صلة بالحدود، ولا تدّعي تحققًا تجريبيًا من الإطارين. وتُستخدم OWASP Top 10 for Agentic Applications 2026 للتحقق المقابل من المصطلحات، ومنها ASI01 Agent Goal Hijack وASI02 Tool Misuse and Exploitation وASI03 Identity and Privilege Abuse وASI06 Memory & Context Poisoning وASI08 Cascading Failures؛ وتُعد هناك مشكلات على مستوى النظام.

عائلة الهجوم	الحد المختبَر	سؤال STRIDE	الصلة بـ OWASP Agentic
Authority Inversion (مصدر غير موثوق)	ثقة المصدر عند المدخلات	Spoofing، Elevation of Privilege	ASI01 Agent Goal Hijack
Approval Replay / تبديل الوسائط	الربط بين القرار ↔ الاستدعاء	Tampering، Repudiation	ASI02 Tool Misuse and Exploitation، ASI09 Human-Agent Trust Exploitation
تضخيم نطاق التفويض (Delegation Scope Amplification)	الصلاحية المفوَّضة	Elevation of Privilege	ASI03 Identity and Privilege Abuse (إساءة استخدام الهوية والامتيازات)
استبدال مصدر الذاكرة (Memory Provenance Substitution)	المصدر واتساق الهدف	Tampering، Spoofing	ASI06 Memory & Context Poisoning
إعادة توجيه الهدف بعد القرار (Post-Decision Target Redirection)	الهدف المعتمَد	Tampering، Information Disclosure	ASI02 Tool Misuse and Exploitation
أثر مكرر عند إعادة المحاولة (Duplicate Effect under Retry)	عدد مرات التنفيذ	Repudiation، Tampering	ASI08 Cascading Failures (الإخفاقات المتتالية)

الاختيار منظّم بشكل هادف وفق مسندات الأدلة عند الحدود الأربعة للعقد، لا وفق تكرار الهجمات. والربط بـ STRIDE وOWASP ASI تصنيف من VamiSec بناءً على الورقة البحثية، وليس تغطية كاملة للإطارين.

03الفصل 3

Evidence Contract: أربع مراحل يثبت بعضها بعضًا

الوحدة القابلة للرصد هي المسار P = (p, d, t, e). ولا يصبح ذا صلة أمنية إلا عندما تكرر المراحل المتجاورة الحقائق نفسها فتصبح قابلة للمقارنة.

يحمل كل حدث معرّف حدث غير قابل للتغيير، والمكوّن، والمرحلة، وإصدار المخطط، والطابع الزمني. وتكمّل حقولُ الارتباط معرّفاتِ Trace وSpan وParent وAction. وتربط الحقول الموجّهة بالتهديدات حقائقَ ينفّذ تساويها أو ترتيبها مرجعَ اختبار (Testorakel). والحاسم أن يكرر حدث الأداة القيم المنفذة بدلًا من الإشارة إلى القرار فقط. فمقارنة المراحل المتجاورة وحدها تكشف الاستبدالات التي تبقى خفية في آثار الارتباط المجردة.

المرحلة	الحقول المسجلة (الورقة البحثية §III-A)
p · المدخلات	ثقة المصدر، والعملية والنطاق المطلوبان، والهدف المقصود، ومصدر الذاكرة (Memory-Provenance)
d · القرار	allow/deny، والجهة الأصيلة (Principal)، ومعرّف الموافقة، والأداة المعتمدة، وملخص الوسائط (Argument-Digest)، والهدف، والجمهور (Audience)، ومجموعة القدرات، وحد عمق التفويض، ومتطلب عدم التكرار (Idempotenz)
t · الأداة	تكرار القيم المنفذة فعليًا: الأداة، والوسائط أو ملخصها، والهدف، والقدرات، والتفويض
e · الأثر	الهدف المرصود، وملخص العملية، والجمهور، والموافقة، ومفتاح عدم التكرار

ما لا يسجله العقد عن قصد

لا يسجل أي ملف سلسلة التفكير (Chain-of-Thought) المخفية. وتقتصر أدلة القرار على نتائج السياسات الصريحة ورموز الأسباب الموجزة والسمات المعتمدة والقيم المجزّأة (Hashes) المناسبة للاختبارات المضبوطة. ولا حاجة إلى تخزين محتوى الأوامر الحساس أو استدلال النموذج. وتكفي تسميات المصدر والمعرّفات الثابتة والملخصات المفتاحية (Keyed Digests) للاختبارات وتقلل الإفصاح.

04الفصل 4

OWASP Agent Control Standard (ACS) في عشر دقائق

ACS مواصفة مفتوحة على مستوى بروتوكول الاتصال (Wire). ويمكن من خلالها لوكيل Guardian فحص إجراءات وكيل ذكاء اصطناعي قبل تنفيذها، ثم السماح بها أو حظرها أو إعادة صياغتها أو عرضها للموافقة أو تأجيلها (allow, deny, modify, ask, defer) — عبر أظرف موقّعة (Envelopes) (يشترطها ACS-Core؛ والتنفيذ المرجعي، وهو إثبات مفهوم، لا يطبّق ذلك بعد) ومع سجل تدقيق.

ACS منذ سبتمبر 2026 مشروع ضمن OWASP GenAI Security Project، ووفق بيانات المشروع الوصفية على المستوى 2 (Incubator)؛ وتعود المواصفة v0.1.0 إلى 5 يونيو 2026، ووسم الإصدار الحالي 0.1.2. وقد نشأ ACS من Agent Observability Standard (AOS). ويُعد الوكيل وفق ACS جديرًا بالثقة إذا كان inspectable وtraceable وinstrumentable. أي أن المشغّلين ينبغي أن يتمكنوا لاحقًا من معرفة ما فعله الوكيل ولماذا، وأن يحدّوا مسبقًا ما يُسمح له بفعله.

19خطافات steps/* أصلية في المواصفة v0.1.0 — من sessionStart حتى sessionEnd، بما في ذلك خطافات Skill الثلاثة

5الحالات (Dispositions): allow, deny, modify, ask, defer

44مخططات JSON ضمن /schema/v0.1.0/

3الركائز: Instrument وTrace وInspect

الركائز الثلاث

Instrument

خطافات (Hooks) عند نقاط التنفيذ ذات العواقب: المدخلات، واسترجاع المعرفة، والذاكرة، واستدعاءات الأدوات، والضغط (Kompaktierung)، والوكلاء الفرعيون، والمهارات (Skills). وتمر إجراءات الشيفرة وShell والملفات والشبكة عبر steps/toolCallRequest، الذي يجب أن يُطلق لكل إجراء يغادر سياق الاستدلال. ويردّ Guardian بقرار تصرّف (Disposition). وبوابة الإنفاذ الأساسية هي steps/toolCallRequest، بينما يعمل steps/toolCallResult بوابةً لحجب المخرجات قبل أن تصل إلى الوكيل.

Trace

مفردات معيارية لـ OpenTelemetry وOCSF. يصبح استدعاء الأداة Span باسم gen_ai.tool.call مع gen_ai.tool.name وacs.capability. وتُسجَّل القرارات كحدث Span باسم acs.decision على Span الخطوة المفحوصة، لا كـ Span مستقل. وفي OCSF تتحول deny وmodify وask وdefer إلى Detection Findings (الفئة 2004). وحالة هذه الربوط «Working draft»؛ وTrace يعمل بأفضل جهد (best-effort) وهو إفصاح ذاتي من البيئة المرصودة. وخطافات المهارات الثلاثة غير ممثَّلة، وgen_ai.tool.call اسم Span خاص بـ ACS وليس Span من OpenTelemetry GenAI (هناك: execute_tool {gen_ai.tool.name}).

Inspect

تكشف قائمة مكونات الوكيل Agent Bill of Materials (AgBOM) أدوات الوكيل ونماذجه والبيانات التي يمكنه الوصول إليها، ويمكن تمثيلها في CycloneDX وSPDX وSWID. وتعمل الطريقتان agbom/snapshot وagbom/changed في OCSF ضمن الفئة 5001 Device Inventory Info (يسميها ACS «Inventory Info»). التسلسل وفق CycloneDX 1.6 أو SPDX 3.0 أو SWID (واحد منها على الأقل، الحالة «Working draft»).

Wire والمصدر (Provenance) وسلسلة التدقيق

صيغة الاتصال JSON-RPC 2.0. نطاقات أسماء الطرق: steps/* (الخطافات)، وprotocols/* (MCP مغلّف؛ وA2A محجوز لـ v0.2)، وagbom/* وsystem/* وhandshake/*. وعند تعارض الإصدارات ينتهي Handshake بـ UNSUPPORTED_VERSION. ولا يزال نص المواصفة يفترض آليات MCP السابقة للمراجعة ⁦2026-07-28⁩، كما أن نص المواصفة متناقض بشأن ما إذا كان تغليف MCP جزءًا من ACS-Core؛ ويجوز أيضًا تمرير استدعاءات أدوات MCP عبر steps/toolCallRequest/-Result.
Provenance تسمية واقعية للمصدر على الحقول الحاملة للبيانات. وتضعها شيفرة إطار عمل حتمية، لا النموذج اللغوي الكبير (LLM) أبدًا: origin (user_input, system, tool_output, retrieved, agent_generated, a2a_inbound, external) وsource_id وderived_from كحواف نَسَب.
في الملف acs-provenance يكون Provenance على مستوى الحقل إلزاميًا لكل حقل حامل للبيانات في الجلسة، أي أيضًا لكل وسيط في steps/toolCallRequest. ويحدد Guardian تصنيف الثقة وفق السياسة المحلية، وهو ليس حقلًا في مخطط v0.1.
تحمل كل استجابة لخطوة حاملة للمحتوى قيمة chain_hash: وهي رأس SHA-256 المتدحرج لسلسلة التدقيق. وتجعل policy_references (بما في ذلك policy_version الاختياري) وcited_provenance_ids القرار قابلًا لإعادة التشغيل.
التواقيع مرنة تشفيريًا (krypto-agil) وإلزامية في ACS-Core: يُوقَّع كل طلب وكل استجابة عبر الظرف القانوني (kanonisches Envelope)؛ وHMAC-SHA256 مع مفتاح جلسة مشتق بـ HKDF هو خط الأساس الذي يحقق ذلك. وهو يجعل التلاعب على الشبكة قابلًا للكشف، لكنه لا يكشف Guardian مخترقًا. ولا يتحقق عدم الإنكار إلا بالملف acs-crypto مع ML-DSA-65 (إلزامي) وSLH-DSA-128s (موصى به كاحتياط).

الفجوات المعروفة في v0.1 وفي التنفيذ المرجعي (وفق README المشروع)

يشترط ACS-Core توقيع HMAC-SHA256 على كل ظرف، لكن Guardian المرجعي لا يطبّق ذلك بعد: فاتصاله على مستوى Wire غير موثَّق (Issue #70). ووضع الإخفاق الافتراضي هو proceed، أي fail-open (القيمة الافتراضية لحقل Handshake المسمى on_decision_failure، Issues #32/#37). والإجراء المضاد قبل أي استخدام إنتاجي: on_decision_failure: deny، وفي التنفيذ المرجعي عبر ACS_ON_DECISION_FAILURE=deny، إضافةً إلى وضع بدء التشغيل refuse لدى Observed Agent في حال فشل Handshake نفسه. وفي التنفيذ المرجعي لا يعمل فعليًا سوى 2 من أصل 19 خطافًا: steps/toolCallRequest وsteps/toolCallResult. والتنفيذ المرجعي صراحةً إثبات مفهوم مبني على Agent Governance Toolkit من Microsoft.

جميع الملفات والفجوات ومستوى نضج ACS في الدراسة المعمّقة

05الفصل 5

Evidence Contract ↔ ACS: ما يغطيه المعيار وما يجب عليكم استكماله

يوفر ACS للمدخلات والقرار والأداة الخطافات والأظرف وربوط Trace، أما للأثر فلا يوفر سوى استجابة الأداة. وأهم فجوتين هما ربط القرار، الذي يفسّر غيابه في التجربة نقطة الضعف المتبقية السائدة F1، وأدلة الأثر المستقلة، التي تعللها الورقة البحثية كمتطلب لكنها لا تقيسها بشكل منفصل.

مرحلة العقد	المقابل في ACS (v0.1.0)	الاستكمال المطلوب
p · المدخلات والمصدر	steps/userMessage وsteps/knowledgeRetrieval وsteps/memoryContextRetrieval؛ Provenance origin/source_id/derived_from؛ سمة OTel acs.provenance.origin؛ إثراء OCSF acs_provenance_origin	إدارة ثقة المصدر كسياسة Guardian (مخطط v0.1 لا يعرف حقل trust)
d · القرار	AcsResult: decision وreasoning وreason_codes وpolicy_references (policy_version) وcited_provenance_ids وask_details (approver, timeout_disposition) وchain_hash؛ حدث Span acs.decision؛ OCSF 2004 Detection Finding	ربط ملخص الوسائط والهدف الموحَّد ومجموعة القدرات وعمق التفويض وانتهاء الصلاحية ومتطلب عدم التكرار في policy_data؛ وحفظ إيصال القرار (Decision Receipt) بشكل دائم
t · الأداة والتفويض	steps/toolCallRequest: tool وoperation وcapability وarguments مع Provenance وraw_command وintent؛ steps/subagentStart أو agentTrigger (a2a_inbound)؛ turn_id/parent_turn_id؛ Span gen_ai.tool.call؛ OCSF 1007	مقارنة القيم المنفذة بالإيصال: تساوي ملخص الوسائط والهدف والقدرة كمرجع اختبار
e · الأثر	steps/toolCallResult (exit_status, request_id_ref)؛ Span gen_ai.tool.result	رصد مستقل للأثر على النظام المستهدف (Gateway، تدقيق قاعدة البيانات، Sink) مع الهدف المرصود وملخص العملية ومفتاح عدم التكرار، مترابطة عبر Action-ID

بيانات ACS مأخوذة من مخططات JSON المنشورة v0.1.0 (hooks/* وprovenance.json وresponse-envelope.json وtrace/otel-mapping.json وtrace/ocsf-mapping.json). وpolicy_data منصوص عليه صراحةً في المعيار كحقل منظَّم خاص بالسياسة. ووفق المواصفة فإن أحداث Trace في ACS إفصاحات ذاتية من البيئة المرصودة وتعمل بأفضل جهد؛ ولا تصبح أدلة إلا عندما يؤكدها طرف خارج بيئة التشغيل المُصدِرة. وتعزز التواقيع (acs-crypto) وربط المحتوى (acs-audit) السلامة. وتفترض التجربة أن بيانات القياس أصلية (الفصل 10).

لماذا فجوة الأثر بنيوية

تُطلق خطافات ACS داخل بيئة تشغيل الوكيل. ويبلّغ steps/toolCallResult بما تعيده الأداة إلى الوكيل، ولا يبلّغ بما حدث فعلًا على النظام المستهدف. وتبيّن الورقة البحثية سبب أهمية هذا الفرق: فالأثر (Trace) الذي ينتهي عند استجابة الأداة الناجحة قد يغفل عمليات كتابة مزدوجة أو أهدافًا معاد توجيهها. لذلك يجب أن تأتي أدلة الأثر من مصدر ثانٍ مستقل عن الوكيل، وتُربط بأثر ACS عبر Action-IDs وRequest-IDs.

لماذا يمثل fail-open مشكلة F1

إذا تعذّر الوصول إلى Guardian في وضع الإخفاق proceed، يستمر الإجراء. ورغم أن ACS يشترط تسجيل كل proceed من نوع fail-open كحدث تدقيق، فإنه لا ينشأ دليل قرار مع روابط الموافقة. وتشغيليًا يعادل ذلك الاضطراب F1 في التجربة (تصنيف VamiSec). وعند غياب أحداث القرار تنخفض إعادة البناء الدقيقة والإسناد إلى 0%، ويتراجع الاستدعاء (Recall) لملف threat-guided إلى 50%. لذلك فإن نشر ACS الذي يأخذ الاختبارات الأمنية بجدية يتفاوض على on_decision_failure: deny (في التنفيذ المرجعي: ACS_ON_DECISION_FAILURE=deny)، ويضبط لدى Observed Agent وضع بدء التشغيل refuse، ويعدّ غياب الإيصال إخفاقًا في الاختبار لا فجوة في السجل.

06الفصل 6

إعداد التجربة: المجموعة والملفات والاضطرابات

36 قالب سير عمل، وثلاثة تكرارات حتمية، وأربعة ملفات أدلة، وسبعة ظروف لبيانات القياس. إضافةً إلى سجل حقيقة مرجعية لا يطّلع عليه مُعيد البناء أبدًا.

تضم المجموعة ست عائلات سير عمل، لكل منها أربعة متغيرات غير آمنة ومتغيران حميدان وثيقا الصلة: 36 قالبًا، منها 24 غير آمنة و12 حميدة. وتنتج ثلاثة تكرارات حتمية 108 نسخ من سير العمل. وتغيّر التكرارات المعرّفات وتذبذب الأحداث (Event-Jitter)، وهي فحص لقابلية إعادة الإنتاج، لا عينات إحصائية مستقلة.

يُنتج مولّد موثوق أحداث JSON قانونية شبيهة بـ MCP. وبشكل منفصل ينشأ سجل حقيقة مرجعية يتضمن هويات الأحداث المتوقعة وحواف Parent وتسميات Unsafe والقاعدة المنتهَكة ومرحلة الانتهاك الأولى. وقبل إعادة البناء تُزال معرّفات الحالات الخاصة من الأحداث القابلة للرصد. وتتشارك مسارات العمل من العائلة نفسها نافذة زمنية متداخلة عمدًا، وهي حالة صعبة للإسناد وفق الأقرب زمنيًا.

الشرط	الاضطراب	المقابل الواقعي في تشغيل ACS
F0	الأدلة دون تغيير	مرجع
F1	إزالة جميع أحداث القرار	تعذّر الوصول إلى Guardian عند proceed، وأحداث acs.decision مأخوذة بالعينات، وDetection Findings مُهملة، وتعطل وجهة Trace (يعمل Trace بأفضل جهد ولا يعيق الإنفاذ أبدًا)
F2	استبدال Trace-IDs عند حد الأداة	انقطاع نقل السياق (Context Propagation) بين عميل MCP وخادمه
F3	إزالة روابط Parent من أحداث الأثر	بيانات قياس الأثر من أنظمة مستهدفة دون سياق Trace
F4	إزاحة الطوابع الزمنية وعكس الترتيب	انحراف الساعات (Clock Skew)، ومُصدِّرات غير متزامنة
F5	بيانات قياس أثر مكررة	تصدير At-least-once، وإعادة المحاولات في Collector
F6	تبديل Action-IDs بين مسارات عمل متوازية	أخطاء تزامن في الأدوات (Instrumentierung) أو في Collector

عمود «المقابل الواقعي» تصنيف من VamiSec، وليس نتيجة من الورقة البحثية. وتُعد الاضطرابات التي تستهدف حقولًا غير موجودة في ملف ما غير قابلة للتطبيق في تقييم كشف الأعطال.

إعادة البناء والمقاييس

يجمع P0 الأثر مع الأداة الأقرب زمنيًا، ويجمع P1 وفق Trace-ID. ويتبع P2 وP3 حواف Parent ويعودان إلى Action-IDs عند غياب Parent للأثر.
تتطلب إعادة البناء الدقيقة الأمر (Prompt) والقرار والأداة وجميع الآثار، وفي P2/P3 حواف Parent المتوقعة.
يتطلب الإسناد القاطع أن تُربط جميع الآثار المتوقعة بدقة بالأمر الصحيح والقرار والأداة، حتى عند غياب حافة Parent.
يستخدم الاستدعاء (Recall) والدقة (Präzision) تسمية Unsafe، ويستخدم معدل الإنذارات الكاذبة الحميدة القوالبَ الحميدة الـ 12. وتختبر معدلات Correct-Rule وFirst-Stage التشخيص.

يعتمد التنفيذ حصرًا على المكتبة القياسية لـ Python. وأنتج تشغيلان نظيفان قيمًا مجزّأة متطابقة بايتًا ببايت للإعدادات والحالات والمجاميع والملخصات. وتفحص ثلاثة اختبارات وحدات حجم المصفوفة وتوازنها، والمخرجات الحتمية، ومقارنة الاستدعاء بين P3 وP2.

07الفصل 7

النتائج: ما يصمد وما ينهار

تصمد الأدلة السببية أمام انقسامات Trace وفقدان Parent للأثر. لكن غياب مرحلة القرار يمنع إعادة البناء الكاملة ويُفقد قدرًا جوهريًا من الدلالة الأمنية.

الملف	دقيق	الإسناد	Recall	الدقة	الإنذارات الكاذبة	بايت
P0 · معرّفات محلية، الزمن	0,0 %	0,0 %	84,5 %	66,4 %	85,7 %	659
P1 · + Trace-ID	71,4 %	71,4 %	16,7 %	100 %	0 %	843
P2 · + Span/Parent/Action	71,4 %	85,7 %	16,7 %	100 %	0 %	1.245
P3 · + Security Bindings	71,4 %	85,7 %	92,9 %	100 %	0 %	2.341

الجدول II في الورقة البحثية: معدلات مجمّعة عبر جميع ظروف بيانات القياس السبعة. بايت = وسيط JSON القانوني لكل سير عمل في ظل F0.

لم يحقق P0 إسنادًا قاطعًا أبدًا، لأن مسارات العمل المتداخلة زمنيًا اندمجت. واستدعاؤه الظاهري البالغ 84.5% ليس أداءً أمنيًا قابلًا للاستخدام: فالسلاسل المدمجة خطأً أطلقت إنذارًا في 85.7% من الحالات الحميدة. ولم يكشف P1 سوى الآثار المكررة. ورفع P2 الإسناد القاطع إلى 85.7%، بينما بقي الاستدعاء الأمني عند 16.7%. وحافظ P3 على إسناد P2 ورفع الاستدعاء ومعدل Correct-Rule وتحديد First-Stage إلى 92.9%.

الحساسية للأعطال

F0أدلة دون تغيير
يعيد P1 إلى P3 بناء كل سير عمل ويسندونه. ويحقق P3 استدعاءً ودقة بنسبة 100% دون إنذارات كاذبة.
F2انقسام Trace عند حد الأداة
يفقد P1 إعادة البناء والإسناد بالكامل. ويبقى P2 وP3 عند 100%، لأن معرّفات Parent وAction تتجاوز حد Trace المتغير.
F3فقدان Parent للأثر
تنخفض إعادة البناء الدقيقة في P2/P3 إلى 0%، بينما يبقى الإسناد القاطع عند 100% عبر الرجوع إلى Action.
F4–F6إزاحة زمنية، وتكرارات، وتبديل Action-ID
لا خسائر في P2/P3: فالأدلة المتبقية توفر مسارًا قاطعًا، وتكشف فحوص التلف عدم الاتساق المحقون.
F1غياب أحداث القرار
نقطة الضعف المتبقية السائدة: تنخفض إعادة البناء والإسناد في P1 إلى P3 إلى 0%، واستدعاء P3 إلى 50%. وتبقى سلطة المصدر والذاكرة والتكرارات قابلة للكشف، بينما تفقد روابط الموافقة والنطاق والهدف نقطة المقارنة.

08الفصل 8

تكاليف الأدلة والتشغيل: الترتيب حسب الأولوية بدلًا من أخذ العينات

المزيد من الروابط يعني المزيد من البايتات. والحل هو ترتيب واعٍ للأولويات، لا أخذ عينات يقتطع إيصالات القرار.

659 BP0 لكل سير عمل (الوسيط، JSON قانوني، F0)

843 BP1: +27.9%

1,245 BP2: +88.9%

2,341 BP3: +255.2% مقارنةً بـ P0، و+88.0% مقارنةً بـ P2

يضيف P3 مقارنةً بـ P0 ما مقداره 1,682 بايت (نحو 1.64 KiB)، ومقارنةً بـ P2 ما مقداره 1,096 بايت. وسيحتفظ Collector بتمثيل الأحداث نفسه، لسير عمل متوسط الحجم، بنحو 3.55 ضعف البايتات القانونية لـ P0، أو 1.88 ضعف P2. وتجيب هذه القيم عن RQ3 كمقارنة لحجم التسلسل، ولا تقيس زمن الاستجابة ولا CPU ولا حجم النقل ولا الضغط ولا الفهرسة ولا التكاليف المالية.

قواعد التشغيل من الورقة البحثية، منقولة إلى ACS

إيصالات كاملة للقرار والاستدعاء والأثر أولًا للعمليات ذات الامتيازات: وبمصطلحات ACS لقدرات مثل filesystem.delete أو network.egress أو process.execute.
وضع حدود احتفاظ صريحة. ويمكن لإزالة التكرار والضغط والملخصات المفتاحية خفض الحجم، لكن يجب قياسها بشكل منفصل.
من يحذف حقلًا ذا صلة بالثوابت أو يقتطع إيصالات القرار بأخذ العينات يغيّر Evidence Contract ويجب عليه إعادة التقييم. ويبيّن F1 ما يُفقد حينها.
نمذجة السلامة والساعات والاحتفاظ والتحكم في الوصول بشكل منفصل. ويوفر ACS لذلك خط أساس HMAC (acs-core)، والتواقيع غير المتماثلة أو PQC (acs-crypto)، وrequest_hash (acs-audit)، وchain_hash لسلسلة التدقيق.

09الفصل 9

دليل تطبيقي: اختبارات أمنية قائمة على ACS في خط الإنتاج (Pipeline)

هكذا تحوّلون الورقة البحثية والمعيار إلى مجموعة اختبارات تعمل في CI وتتحول إلى الأحمر بشكل موثوق عند غياب الأدلة.

الخطوة 1تحويل التهديدات إلى فرضيات
مراجعة طبقات MAESTRO وخصائص STRIDE لكل سير عمل للوكيل. وصياغة صف (Tupel) لكل انتقال خطر: H = (boundary, precondition, invariant, evidence, oracle).
الخطوة 2تحديد خطافات ACS وملفاته
ACS-Core كأساس، إضافةً إلى الملفين acs-trace وacs-provenance. وإلى جانب الخطافات الستة الإلزامية في Core (sessionStart وuserMessage أو agentTrigger وtoolCallRequest وtoolCallResult وagentResponse وsessionEnd)، تزويد steps/knowledgeRetrieval وsteps/memoryContextRetrieval وsteps/subagentStart بالأدوات أيضًا — والتحقق من أن Guardian يدرجها في methods_evaluated (وإلا تُعد ALLOW-by-default).
الخطوة 3تعريف إيصال القرار
الجهة الأصيلة، وإصدار السياسة، ورمز السبب، والعملية، والهدف الموحَّد، وملخص الوسائط، والقدرات، وعمق التفويض، وانتهاء الصلاحية، وعدم التكرار في policy_data. محفوظ ومرتبط بـ request_id وchain_hash.
الخطوة 4تقوية وضع الإخفاق
ضبط وضع الإخفاق على fail-closed: on_decision_failure: deny في ServerHello (التنفيذ المرجعي: ACS_ON_DECISION_FAILURE=deny)، ولدى Observed Agent وضع بدء التشغيل refuse إذا فشل Handshake نفسه. توقيع الأظرف. وغياب الإيصال إخفاق في الاختبار.
الخطوة 5ربط وجهة أثر مستقلة
يوفر تدقيق Gateway أو قاعدة البيانات أو Sink الهدفَ المرصود وملخص العملية ومفتاح عدم التكرار، مترابطةً عبر Action-ID.
الخطوة 6اختبارات سلبية مع توائم حميدة
لكل عائلة حالات غير آمنة وحالات حميدة وثيقة الصلة، مثل تحليل الأسماء المستعارة المسموح به أو عمليات القراءة المتكررة. وتجميد المسندات (Predicates) قبل الاختبار.
الخطوة 7بوابتان في CI
البوابة 1 إعادة البناء: المراحل الإلزامية وحواف Parent مكتملة، وإلا العزل. البوابة 2 الصحة: الثوابت محققة، وإلا الإيقاف مع القاعدة المنتهَكة والمرحلة الأولى.
الخطوة 8حقن أعطال بيانات القياس
تشغيل F1 إلى F6 بانتظام على خط الإنتاج الخاص بكم. والاختبار الذي يبقى أخضر في ظل F1 لا يفحص الموافقات.

اختبار سلبي: Approval Replay

منح موافقة للأداة A مع ملخص الوسائط X، ثم استدعاء الأداة A مع الملخص Y. والمتوقع أن يُنتهك ثابت ربط الموافقة في المرحلة t. التوأم الحميد: موافقة جديدة مربوطة مع إعادة محاولة.

اختبار سلبي: Target Redirection

الهدف المعتمد tenant-a، والهدف المنفذ tenant-b. والمتوقع أن يُنتهك تساوي الهدف في المرحلة t أو e. التوأم الحميد: تحليل اسم مستعار مسموح به إلى الهدف القانوني نفسه.

اختبار سلبي: Scope Amplification

يرث الوكيل الفرعي صلاحية write رغم أنه لم يُفوَّض إلا read. والمتوقع: القدرات الفعلية ⊄ المجموعة المعتمدة. التوأم الحميد: وكيل فرعي مُخفَّض بصلاحية القراءة فقط.

10الفصل 10

حدود الاستنتاج وخطوة التحقق التالية

تتحقق التجربة من كفاية الأدلة لتجهيزات حتمية شبيهة بـ MCP. وهي ليست معيار مقارنة لنماذج LLM ولا لمتانة بيئات الإنتاج.

تستخدم الدراسة تجهيزات حتمية اصطناعية وثوابت مكتوبة يدويًا وجداول أحداث ثابتة. ولا تشغّل أي LLM ولا أي تنفيذ لـ MCP ولا OAuth ولا محرك سياسات ولا أي خدمة خارجية. ولا تقيس نجاح Prompt Injection، ولا تُظهر أن ضابطًا رقابيًا يمنع أثرًا. وتنطبق الدقة والاستدعاء على العائلات الست المرمّزة فقط. ولأن المقيِّم صُمّم من فرضيات التهديد نفسها، فإن التجربة تختبر كفاية الأدلة واتساق التنفيذ، لا اكتشاف تهديدات جديدة.

سجل الحقيقة المرجعية منفصل منطقيًا، لكنه مأخوذ من قاعدة الشيفرة نفسها. ومن شأن التنفيذات المستقلة والطفرات القائمة على الخصائص (property-based Mutation) والتسجيلات الحقيقية للبروتوكول أن تقلل الأخطاء المشتركة (Common-Mode).
يُفترض أن بيانات القياس أصلية. وتبقى مسائل المنتجين المزيفين، واقتطاع السجلات بما يتجاوز الأخطاء المحقونة، وCollector المخترقة، والتحقق التشفيري مفتوحة.
تحتاج فئات التهديد الجديدة إلى فرضية وحقول ومرجع اختبار واختبارات مكتوبة بشكل مستقل خاصة بها. فاستنزاف الموارد (Resource Exhaustion) مثلًا يتطلب أدلة على الميزانية والاستهلاك، وبيانات القياس المزيفة تتطلب هوية المنتج وفحص السلامة.

إفصاح من الورقة البحثية: استُخدم OpenAI Codex لتنظيم الأدبيات، وهيكل التنفيذ، ومراجعة شيفرة التقييم الاصطناعية، والمسودات الأولى، والتحرير اللغوي والتنسيق. أما صياغة السؤال، ونموذج التهديدات، والتنفيذ، والتحقق من النتائج والمصادر، وجميع القرارات النهائية فتعود إلى المؤلف.

الفحص الذاتي

Evidence-Readiness-Radar: هل وكلاؤكم قابلون للاختبار فعلًا؟

عشرة أسئلة في خمسة أبعاد، مشتقة من Evidence Contract في الورقة البحثية ومن ملفات OWASP Agent Control Standard. وتُظهر النتيجة أين لا تثبت بيانات القياس لديكم بعدُ الموافقات والأهداف والتفويض والآثار.

Provenance0 %Decision Receipts0 %الأداة والتفويض0 %أدلة الأثر0 %التشغيل والسلامة0 %

أجيبوا عن الأسئلة العشرة كلها. ستظهر النتيجة هنا.

Research Edition · تنزيل مجاني

Threat-Model-Guided Security Testing for Agentic AI: الورقة البحثية وACS Practitioner Brief

الورقة المقبولة في ICSPIS 2026 بنسختها المقبولة، مع جزء عملي إضافي. يبيّن كيف تطبّقون Evidence Contract باستخدام OWASP Agent Control Standard وتُدخلونه كاختبارات سلبية في خط الإنتاج لديكم.

الورقة (5 صفحات) + ملخص ACSPDF، مجانًاالإنجليزيةالإصدار 10/2026

الورقة كاملة: المنهجية، والنتائج على 3,024 خلية، وتحليل الأخطاء، وحدود الصلاحية
تعيين Evidence Contract ↔ ACS v0.1: Hooks وProvenance وDispositions وOTel وOCSF
الحد الأدنى لمخطط Decision Receipt وتوصيات بشأن Failure Posture (fail-closed بدلًا من proceed)
كتالوج الاختبارات السلبية بست عائلات هجوم وبوابات CI لإعادة البناء والصحة

تنزيل مجاني

اطلبوا الورقة البيضاء

الإصدار البحثي: Threat-Model-Guided Security Testing for Agentic AI (ICSPIS 2026)

الاسم الأول *اسم العائلة *

البريد الإلكتروني *الشركةدوركملقد قرأت سياسة الخصوصية وأوافق على معالجة بياناتي لغرض توفير الورقة البيضاء. *أرغب في تلقّي النشرة الأمنية من VamiSecأرغب في محادثة متخصصة قصيرة (30 دقيقة) حول المحتوى وحول إعداد الوكلاء لدينا.

ما تتضمنه Research Edition

الورقة البحثية كاملة

النسخة المقبولة (accepted version) من ورقة ICSPIS 2026 مع المنهجية وTable I/II وتحليل الأخطاء وتكاليف الأدلة وحدود الصلاحية. منشورة مع إشعار حقوق النشر من IEEE.

ملخص ACS للممارسين (Practitioner Brief)

في أربع صفحات: تعيين Evidence Contract على ACS-Hooks وProvenance وDispositions وOpenTelemetry-Spans وفئات OCSF، بما في ذلك ثغرات ACS v0.1 التي يتعين عليكم سدّها بأنفسكم.

مخطط Decision Receipt

الحقول الدنيا لإيصال قرار قليل البيانات: الجهة الأصيلة (Principal)، وإصدار السياسة، ورمز السبب، والعملية، والهدف، وملخص الوسائط، والقدرات، وعمق التفويض، والانتهاء، ومفتاح عدم التكرار.

كتالوج الاختبارات السلبية

ست عائلات هجوم، لكلٍّ منها أربعة متغيرات غير آمنة واثنان حميدان، كقالب لمجموعة اختباراتكم الخاصة، إضافة إلى بوابات CI لإعادة البناء والصحة.

المعيار بالتفصيل

OWASP Agent Control Standard: افهموا التحكم أثناء التشغيل قبل اختباره

تستخدم هذه الصفحة ACS كمفردات لأدلة الاختبار. أما كيف يعمل المعيار نفسه – Guardian وObserved Agent، و19 Hook، وخمس Dispositions، وHandshake وFailure Posture، والملفات، ومستوى نضج v0.1.0 –، فتشرحه دراستنا المعمّقة مع محاكي Guardian ودورة حياة الـ Hooks ومصفوفة المخاطر.

19Hooks أصلية من نوع steps/*

5الحالات (Dispositions): allow, deny, modify, ask, defer

7الملفات: ACS-Core إضافة إلى ستة اختيارية

محاكي Guardian مع أمثلة اتصال مطابقة للمخطط
مصفوفة المخاطر OWASP Agentic Top 10 × عناصر ACS
تقييم جاهزية ACS وورقة بيضاء للـ CISO (بالألمانية)

إلى الدراسة المعمّقة حول Agent Control Standard ACS لدى OWASP GenAI Security Project

FAQ

أسئلة شائعة حول اختبار أمن الذكاء الاصطناعي الوكيلي وACS

إجابات موجزة عن الأسئلة التي تصلنا أكثر من غيرها حول الورقة البحثية وEvidence Contract وOWASP Agent Control Standard.

يشتق الاختبار الأمني الموجّه بنموذج التهديدات بيانات القياس ومراجع الاختبار لوكيل ذكاء اصطناعي مباشرةً من نموذج تهديدات، وفي الورقة البحثية من MAESTRO وSTRIDE. ويتحول كل تهديد إلى صف قابل للفحص يتكون من الحد والشرط المسبق والثابت والدليل ومرجع الاختبار. ثم يفحص الاختبار بشكل حتمي ما إذا كانت الحقائق المسجلة تحقق الثابت، مثلًا ما إذا كانت الأداة والوسائط والهدف عند الاستدعاء مطابقة للقيم المعتمدة.

يوفر ACS نقاط الضبط والمفردات: خطافات مثل steps/toolCallRequest، وProvenance على الوسائط، وقرارات التصرف (Dispositions)، وchain_hash، إضافةً إلى ربوط OpenTelemetry وOCSF. ويحدد Evidence Contract من الورقة البحثية الحقائق التي يجب ربطها على الأقل عند هذه النقاط ليتمكن الاختبار من فحص الموافقة والهدف والنطاق والمصدر. ويستكمل المشغّلون بأنفسهم عنصرين: إيصال قرار دائم مع حقول الربط في policy_data، وآثار مرصودة بشكل مستقل على النظام المستهدف. أما المعيار نفسه – Guardian و19 خطافًا وخمسة قرارات تصرف والملفات ومستوى النضج – فتشرحه دراستنا المعمّقة «Agent Control Standard (ACS)» في قسم المعرفة الخاص بأمن الذكاء الاصطناعي الوكيلي.

لا. تُظهر معرّفات Trace وParent أي الأحداث مترابطة، لكنها لا تُظهر لماذا كان الإجراء مسموحًا به. ففي التجربة أسند الملف السببي البحت 85.7% من الآثار بشكل قاطع، لكنه لم يكشف سوى 16.7% من الحالات غير الآمنة. ولم يرتفع الاستدعاء إلى 92.9% إلا بفضل روابط ذات صلة أمنية مثل معرّف الموافقة وملخص الوسائط والهدف والقدرات والمصدر.

توصي الورقة البحثية بدليل قرار دائم ومقتصد في البيانات يربط الجهة الأصيلة وإصدار السياسة ورمز السبب والعملية المعتمدة والهدف الموحَّد وملخص الوسائط ذي الصلة والقدرات المفوَّضة ووقت انتهاء الصلاحية بمعرّف Action-ID. وفي ACS توجد decision وreasoning وreason_codes وpolicy_references وchain_hash بالفعل في ظرف الاستجابة (Response-Envelope). وتستكملون حقول الربط في policy_data.

في وضع proceed يستمر الإجراء إذا تعذّر الوصول إلى Guardian. ورغم أن ACS يفرض تسجيل كل proceed من نوع fail-open كحدث تدقيق، فلا يوجد حينها دليل قرار مع روابط الموافقة. ووفق تصنيفنا يقابل ذلك الاضطراب F1 في التجربة: فدون أحداث القرار انخفضت إعادة البناء والإسناد إلى 0% والاستدعاء إلى 50%. وتنص المواصفة صراحةً على on_decision_failure: deny (fail-closed) لعمليات النشر التي لا تقبل مقايضة الإنفاذ بالتوافر؛ وبالنسبة لعمليات Handshake الفاشلة يُضاف وضع بدء التشغيل refuse المضبوط خارج البروتوكول لدى Observed Agent، وإلا تبدأ الجلسة دون حماية (والقيمة الافتراضية هنا أيضًا proceed). وتنصح README المشروع بضبط ACS_ON_DECISION_FAILURE=deny قبل الاعتماد على fail-closed. والقيمة الافتراضية proceed نفسها موضع خلاف داخل المشروع (Issues #32 و#37).

أنتج الملف الموجّه بالتهديدات في المتوسط (الوسيط) 2,341 بايت من JSON القانوني لكل سير عمل. وهذا أكثر بنسبة 255.2% من السجلات المجزأة (659 بايت) وبنسبة 88.0% من التتبع السببي (1,245 بايت). والقيمة مؤشر على حجم التسلسل دون ضغط أو نقل أو فهرسة. وعمليًا تبدؤون بإدخال الإيصالات الكاملة للعمليات ذات الامتيازات أولًا.

لا. تتحقق التجربة من كفاية الأدلة لتجهيزات حتمية شبيهة بـ MCP. ولا تشغّل أي LLM ولا تنفيذًا حقيقيًا لـ MCP ولا محرك سياسات، ولا تقيس ما إذا كان Prompt Injection ينجح. فمعايير مثل InjecAgent أو AgentDojo تجيب عن سؤال المتانة. وتبدأ الورقة البحثية بعد ذلك وتوضح الحد الأدنى من الأدلة الذي يحتاجه المقيِّم لإعادة بناء مسار وتصنيفه.

قُبلت الورقة البحثية في 9th International Conference on Signal Processing and Information Security (ICSPIS 2026)، الذي يُعقد من 10 إلى 12 نوفمبر 2026 في دبي. والنسخة المقبولة متاحة هنا للتنزيل كإصدار بحثي (Research Edition)، مع إشعار حقوق النشر من IEEE وموجز تكميلي للممارسين حول ACS (ACS Practitioner Brief). وبعد النشر سنضيف الاستشهاد الكامل مع رابط إلى IEEE Xplore.

المعايير والمصادر

يستند محتوى هذه الصفحة إلى الأدلة والدراسات التالية المتاحة للعموم.

V. Milke، VamiSec GmbH · ICSPIS 2026 (مقبولة) · 2026

Threat-Model-Guided Security Testing for Agentic AI: MCP Traces with MAESTRO and STRIDE

المصدر الأساسي لهذه الصفحة: Evidence Contract ومجموعة حقن الأعطال والنتائج عبر 3,024 خلية. نسخة مقبولة مع إشعار حقوق النشر من IEEE.

OWASP GenAI Security Project · 2026

معيار Agent Control Standard (ACS)

إدراج في قسم Agentic Security، بتاريخ 01.09.2026

GenAI Security Project (منصة GitHub) · 2026

agent-control-standard: المواصفة والمخططات والتنفيذ المرجعي (إثبات مفهوم)

README يتضمن الفجوات المعروفة في التنفيذ المرجعي (توثيق Wire، ووضع الإخفاق proceed) وخارطة الطريق (هدف v0.2.0 مارس 2027). والمطابقة في v0.1.0 إعلان ذاتي دون مجموعة اختبارات (Issue #19).

OWASP GenAI Security Project · 2026

ACS JSON Schema v0.1.0 (44 مخططًا)

ظرف الطلب/الاستجابة، وProvenance، والخطافات، وربوط OpenTelemetry وOCSF: أساس الربط في هذه الصفحة.

Model Context Protocol · 2026

Model Context Protocol: Architecture (المراجعة ⁦2026-07-28⁩)

المضيف والعملاء والخوادم، ومسؤولية المضيف عن التفويض والموافقة.

Model Context Protocol · 2026

Model Context Protocol: Tools (المراجعة ⁦2026-07-28⁩)

اكتشاف الأدوات واستدعاؤها، والتوصية بالرفض البشري للعمليات الحساسة.

K. Huang، Cloud Security Alliance · 2025

إطار نمذجة تهديدات الذكاء الاصطناعي الوكيلي: MAESTRO

سبع طبقات متفاعلة، مع التركيز على الآثار العابرة للطبقات.

Microsoft Learn

Threats: Microsoft Threat Modeling Tool (STRIDE)

فئات STRIDE الست كمرتكزات للخصائص.

W3C · 2021

Trace Context (توصية W3C)

معرّفات Trace وParent موحدة للارتباط الموزع: أساس الملفين P1/P2.

OWASP GenAI Security Project · 2025

OWASP Top 10 for Agentic Applications for 2026

ASI01–ASI10 كتحقق مقابل لمفردات السيناريوهات.

Zhan، Liang، Ying، Kang · Findings of ACL · 2024

InjecAgent: Benchmarking Indirect Prompt Injections in Tool-Integrated LLM Agents

معيار مقارنة لـ Prompt Injection غير المباشر عبر الأدوات.

Debenedetti وآخرون · NeurIPS Datasets and Benchmarks · 2024

AgentDojo: A Dynamic Environment to Evaluate Prompt Injection Attacks and Defenses for LLM Agents

بيئة قابلة للتوسيع بمهام وهجمات ودفاعات واقعية.

NIST · 2008

NIST SP ⁦800-115⁩: Technical Guide to Information Security Testing and Assessment

إجراءات اختبار قابلة للتكرار وأدلة واضحة.

OWASP Foundation · 2025

OWASP AI Testing Guide

اختبار أنظمة الذكاء الاصطناعي بتوجه نحو الضوابط الرقابية.

OCSF Project

إطار Open Cybersecurity Schema Framework (OCSF)

فئات الأحداث التي يربط بها ACS: 3002 Authentication، و6002 (في ACS «Application Activity»، وفي OCSF Application Lifecycle)، و1007 Process Activity، و6005 Datastore Activity، و2004 Detection Finding، و5001 Device Inventory Info.

خدمات مناسبة

Agentic AI Pentesting MCP Security — Beratung AI Threat Modeling — MAESTRO MCP Threat Modeling AI Red Teaming — VamiRedteam

هل وكلاؤكم قابلون للاختبار، أم مسجَّلون فحسب؟

في المحادثة الأولية نفحص ما إذا كانت بيانات القياس عن بُعد لوكلائكم تثبت فعلًا الموافقات والأهداف والتفويض والآثار. ونوضح أيضًا كيف تُدخلون ACS-Hooks وGuardian-Policies والاختبارات السلبية في خط الإنتاج لديكم.

حدّدوا موعد محادثة أولية العودة إلى المجال الموضوعي

الاختبار الأمني للذكاء الاصطناعي الوكيلي: ما الأدلة التي تجعل وكلاء الذكاء الاصطناعي قابلين للاختبار

النتائج في خمس جمل

من نموذج التهديدات إلى معيار التحكم

نشر MAESTRO

قائمة OWASP Top 10 for Agentic Applications

مواصفة MCP بتاريخ ⁦2026-07-28⁩

إعادة إطلاق ACS ضمن OWASP GenAI Security Project

قبول الورقة في ICSPIS 2026

محاضرة في دبي

ACS v0.2.0 مخطط له

المفاهيم الأساسية من الورقة البحثية والمعيار

أربعة ملفات أدلة، وما يثبته كلٌّ منها فعلًا

Evidence Contract × ACS: فحص مسار وكيل مرحلةً بمرحلة

مصفوفة الأعطال: أين يصمد الكشف وأين ينهار

P3 + روابط أمنية × F1 دون قرار

الحالات غير الآمنة حسب عائلة الهجوم

ACS-Crosswalk: عائلة الهجوم → المسند → Hook → استجابة Guardian

مُترجم الاختبارات: تحويل تهديد إلى ثابت قابل للفحص

ميزانية الأدلة: ما يعنيه Evidence Contract من حيث التخزين

من الورقة البحثية إلى التطبيق: اختبارات الوكلاء باستخدام Evidence Contract وACS

ثلاثة أسئلة بحثية

ما لا يسجله العقد عن قصد

الركائز الثلاث

Instrument

Trace

Inspect

Wire والمصدر (Provenance) وسلسلة التدقيق

لماذا فجوة الأثر بنيوية

لماذا يمثل fail-open مشكلة F1

إعادة البناء والمقاييس

الحساسية للأعطال

قواعد التشغيل من الورقة البحثية، منقولة إلى ACS

اختبار سلبي: Approval Replay

اختبار سلبي: Target Redirection

اختبار سلبي: Scope Amplification

Evidence-Readiness-Radar: هل وكلاؤكم قابلون للاختبار فعلًا؟

Threat-Model-Guided Security Testing for Agentic AI: الورقة البحثية وACS Practitioner Brief

اطلبوا الورقة البيضاء

ما تتضمنه Research Edition

الورقة البحثية كاملة

ملخص ACS للممارسين (Practitioner Brief)

مخطط Decision Receipt

كتالوج الاختبارات السلبية

OWASP Agent Control Standard: افهموا التحكم أثناء التشغيل قبل اختباره

أسئلة شائعة حول اختبار أمن الذكاء الاصطناعي الوكيلي وACS

ما هو الاختبار الأمني الموجّه بنموذج التهديدات (Threat-Model-Guided Security Testing) للذكاء الاصطناعي الوكيلي؟

ما العلاقة بين Evidence Contract وOWASP Agent Control Standard؟

هل يكفي التتبع عبر OpenTelemetry للتقييم الأمني لوكلاء الذكاء الاصطناعي؟

ما الحقول التي يحتاجها إيصال القرار (Decision Receipt) لوكلاء الذكاء الاصطناعي؟

ماذا يعني fail-open (proceed) للاختبارات الأمنية لوكلاء الذكاء الاصطناعي؟

ما حجم بيانات القياس الإضافية التي يُنتجها Evidence Contract؟

هل الورقة البحثية معيار مقارنة لـ Prompt Injection؟

أين تُنشر الورقة البحثية، وهل يمكنني تنزيلها؟

المعايير والمصادر

Threat-Model-Guided Security Testing for Agentic AI: MCP Traces with MAESTRO and STRIDE

خدمات مناسبة

هل وكلاؤكم قابلون للاختبار، أم مسجَّلون فحسب؟