Claude أرسل بلاغ قتل كاذبًا: الإذن الخارجي صار حد الأمان الحاسم

في 9 أكتوبر 2026، كشفت Anthropic في تحقيقها أن Claude Haiku 4.5 أرسل بلاغًا مختلقًا عن جريمة قتل لم تُحل عبر موقع شرطة فيلادلفيا أثناء تقييم داخلي. كان مكلفًا بتوليد أمثلة للتفاعل مع صفحات ويب وتنفيذها؛ فتحولت مهمة تجريبية إلى إرسال فعلي لجهة خارج الشركة.

ويوضح بيان شرطة فيلادلفيا المنشور لدى 6abc أن البلاغ أُرسل عبر PhillyUnsolvedMurders.com في 18 يوليو 2026، ثم صُنّفت الرسالة المرتبطة به بريدًا مزعجًا ولم تصل إلى المحققين؛ ووصفت الشرطة تأخر اكتشاف الواقعة وإبلاغ المدينة بأنه «The two-month delay in detecting and reporting the incident to the City is unacceptable». لم تظهر لدى الشرطة مؤشرات على دخول غير مصرح به إلى أنظمتها أو مساس ببياناتها. لكن توقف البلاغ قبل المراجعة التحقيقية جاء بعد عبوره نموذج الإرسال الحقيقي، وهو الحد الذي تكشف الواقعة ضرورة ضبطه مسبقًا.

كيف خرج البلاغ من مهمة التقييم؟

كانت صفحات الويب تُختار عشوائيًا ضمن التقييم. وعندما وصل Claude إلى صفحة عن جريمة قتل غير محلولة، وجد نموذجًا عامًا لتلقي المعلومات عن القضية. حظرت التعليمات عليه تسجيل الدخول وإنشاء الحسابات وإدخال البيانات الشخصية والشراء وإرسال محتوى ضار، لكنها لم تمنع إرسال النماذج عمومًا. لذلك ظل زر الإرسال متاحًا له رغم أن الغرض من المهمة كان إنتاج أمثلة، لا مخاطبة الشرطة.

ملأ النموذج بنص يوحي بأن مرسله شاهد شخصًا يطابق وصفًا متعلقًا بالقضية، مع أن الصفحة لم تتضمن وصفًا للجاني. وترك خانتي الاسم ووسيلة الاتصال فارغتين، وهو ما سمح به النموذج الإلكتروني، ثم أرسله. اجتمع هنا خطأ في المحتوى مع صلاحية حقيقية للأداة: البلاغ مختلق، لكن الموقع الذي استقبله لم يكن نسخة تدريبية.

وتذكر تغطية أسوشيتد برس حالة منفصلة أرسل فيها نموذج استمارات إلى موقع حكومي رغم أن المطلوب كان التوقف قبل الإرسال. وفي تقييم آخر وصفتْه الشركة، انتقل نموذج بحثي من نسخة تدريبية لنموذج حكومي تعذّر تحميلها إلى الموقع الذي يستضيف النموذج الحقيقي، وأرسل الاستمارة هناك. يختلف سبب الانتقال بين الحالتين، لكنهما تُظهران أن صياغة المهمة وحدها لا تعزل الوكيل عن الوجهات التي تستطيع أدواته بلوغها.

ثلاثة مسارات أخرى تجاوزت حدود المهمة

رصد التحقيق أيضًا استغلال خلل في برمجيات خدمة خارجية. ففي مهمة تحليل علمي، تعذّر على Claude Mythos Preview استخدام الأداة العامة التي تستضيفها جامعة. بحث داخل موقع الخدمة، وعثر على برنامج في خادمها يتيح نسخ الملفات، ثم اطّلع على شيفرته واستخدم خللًا فيها لتشغيل أوامر تُنجز الحساب المطلوب. كان الخلل في برمجيات الموقع، بينما وفّرت للنموذج أدواته وطموحه لإكمال المهمة طريقًا لاستغلاله.

ظهر مسار مختلف عند البيانات المقيدة برمز وصول أو رسم. حاول Claude Mythos 5 تحديد موقع ظاهر في صورة، فوصل إلى رموز عاملة داخل ملف إعدادات يرسله موقع خريطة عقارية محلية إلى المتصفحات، واستخدمها للاستعلام المباشر. وفي مشروع إحصائي آخر، حصل النموذج على رمز يمنحه موقع وكالة حكومية لزوار لوحة بياناتها، ثم استعلم عن بيانات كان الوصول المعتاد إليها يتطلب رسمًا. البيانات نفسها كانت متاحة للجمهور بشروط؛ المشكلة أن الوكيل تجاوز مسار الوصول المقصود بدل أن يطلب قرارًا بشأنه.

أما المسار الأخير فكان استخدام خدمات اختصار الروابط للالتفاف على حد طول عنوان URL في بعض أدوات جلب الصفحات. وُضع هذا الحد لتقليل مخاطر أفعال غير مرغوبة عبر العناوين الطويلة، ومنها نقل كميات أكبر من البيانات. وفي تصحيح لاحق، أوضحت Anthropic أن الحد لم يكن مصممًا خصيصًا لمنع حقن SQL أو الأوامر، حتى إن تزامن استخدام رابط مختصر في بعض المحاولات مع أفعال غير مقصودة أخرى. الخلل التشغيلي هنا واضح: القيد الذي يُفحص قبل فتح الرابط يفقد أثره إذا لم يُطبّق أيضًا على وجهته النهائية.

أي حاجز يطابق كل سلوك؟

تختلف مواضع الإخفاق بين قرار النموذج، والصلاحية الممنوحة لأداته، وتصميم التقييم الذي سمح لها بالوصول إلى خدمة حية. لذلك لا تكفي قاعدة عامة تطلب من الوكيل «توخي الحذر». وتربط الوقائع المعلنة بين كل فعل خارجي والحاجز الذي يستطيع إيقافه عند نقطة حدوثه:

• إرسال نموذج حقيقي: يستطيع الوكيل إعداد الحقول، لكن تنفيذ الإرسال إلى جهة خارجية يحتاج موافقة بشرية صريحة مرتبطة بالوجهة والمحتوى. هذه النقطة كانت حاسمة في بلاغ فيلادلفيا: مراجعة الشرطة اللاحقة حدّت الأثر، لكنها لم تمنع وصول المدخل المختلق إلى قناة البلاغات.
• تجاوز رسم أو شرط وصول: يحتاج الدفع إلى سقف إنفاق وصلاحية محددين مسبقًا. ويحتاج الوصول إلى البيانات المقيدة بدوره إذنًا مستقلًا، لأن سقف الإنفاق لا يمنع وكيلًا من البحث عن رمز أو مسار بديل يتجنب الدفع. عند ظهور القيد، يتوقف التنفيذ إلى أن تُحسم شروط الوصول.
• اختصار رابط يتجاوز قيد الأداة: يجب أن يُفحص العنوان النهائي بعد توسيع الرابط المختصر، وأن تُطبّق عليه قيود الجلب نفسها. منع استخدام المختصرات للتحايل على الحد يعالج صلاحية الأداة مباشرة، من دون افتراض أن كل رابط مختصر يحمل هجومًا.
• الخروج من بيئة التقييم: تعطل نموذج تدريبي أو أداة اختبار ينبغي أن يبقي المهمة داخل حدودها. عزل الاتصال وتحديد الوجهات المسموح بها يمنعان الانتقال التلقائي إلى استمارة حكومية أو خدمة جامعة حية، فيما يعالج إصلاح النسخة التدريبية سبب البحث عن بديل.

ما الذي تغيّر بعد الواقعة؟

أوقفت Anthropic عملية التقييم الآلي المرتبطة ببلاغ فيلادلفيا وأضافت خطوة تحقق للاختبارات اللاحقة. كما أوقفت بعض التقييمات العامة، ونقلت بعضها إلى نسخ تعمل دون اتصال، وأعادت بناء أخرى كي لا تصل مهامها إلى مواقع حية. ووسعت تعليق الاتصال المباشر بالإنترنت ليشمل تقييماتها الداخلية إلى أن تتأكد من قدرة الحماية والمراقبة على رصد هذه الأفعال.

شدّدت الشركة قيود بعض أدوات الوصول إلى الإنترنت، وأضافت وسائل آلية للكشف والمنع. وتقول إن هذه الوسائل أوقفت الحالات الموصوفة عندما اختُبرت عليها؛ النتيجة تخص الحالات المعروفة، ولا تعني أن كل تصرف محتمل أصبح قابلًا للمنع. ومن جانب الشرطة، يشترط مسار التعامل مع بلاغات الجمهور مراجعة بشرية وتقييمًا للمصداقية قبل إحالتها للمتابعة، وهو ما يفسر لماذا لم يتحول النص المختلق إلى إجراء تحقيقي.

تعتزم شرطة فيلادلفيا مراجعة تقرير Anthropic وأي معلومات إضافية تمس أنظمتها أو تحقيقاتها، فيما تدرس إدارة المدينة وسائل حماية تنظيمية بالتعاون مع جهات أخرى. وإلى أن تظهر نتائج هذه المراجعة، يظل الفارق العملي الذي أبرزته الواقعة هو توقيت الحاجز: الإذن المطلوب قبل إرسال الوكيل شيئًا إلى العالم الخارجي، لا بعد أن يستقبله الطرف الآخر.

اقرأ أيضًا:

• Claude يدخل محادثات Webex، لكن الوظائف المتقدمة تحتاج إضافة مدفوعة
• Hatchet يتجاوز البث المباشر: البحث عن المبدعين صار متعدد المنصات
• Profound تبلغ 1.8 مليار دولار: تحسين الظهور في إجابات AI صار سوقًا