عندما يتخذ نظام مدعوم بالذكاء الاصطناعي قراراً خاطئاً أو يتسبب في تعطيل خدمة، لا تكمن الصعوبة في اكتشاف النتيجة فقط، بل في تحديد ما حدث قبلها. فقد يكون السبب هجوماً سيبرانياً، أو مدخلاً جرى التلاعب به، أو خللاً في البنية التحتية، أو خطأ في النموذج، أو إجراءً آلياً نُفّذ بطريقة غير مقصودة. وبين هذه الاحتمالات، تحتاج المؤسسات إلى سجل موثوق يعيد بناء الحادث خطوة بخطوة.
يرى غوراف موهان، النائب الأول للرئيس لمنطقة آسيا والمحيط الهادئ والهند والشرق الأوسط لدى شركة «نتسكاوت» أن جاهزية المؤسسات السعودية لعصر الذكاء الاصطناعي لا ينبغي أن تُقاس بعدد الأنظمة التي نشرتها، بل بقدرتها على تفسير سلوكها عند وقوع خلل وتحديد المسؤولية واستعادة العمل بسرعة استناداً إلى أدلة لا يمكن تعديلها بعد الحادث.
ويقول إن المطلوب هو «سلسلة موثوقة من الأدلة لا يمكن تغييرها بعد وقوع الواقعة» تجمع بين بيانات الشبكة على مستوى الحزم وسجلات التطبيقات والبنية التحتية ومنصات الذكاء الاصطناعي. ومن خلال هذا الربط، تستطيع فرق الأمن والتقنية التمييز بين هجوم متعمد وخلل تشغيلي، وتسريع تحليل السبب الجذري واحتواء الأثر.
فجوة بين القرار والدليل
تستطيع تطبيقات الذكاء الاصطناعي اليوم تنفيذ سلسلة طويلة من العمليات قبل الوصول إلى نتيجة واحدة. فقد يبدأ المسار من إدخال يقدمه المستخدم، ثم ينتقل إلى نموذج خارجي، وقاعدة بيانات داخلية، وواجهة برمجية، وخدمة سحابية، قبل أن ينفذ إجراءً آلياً في نظام آخر.
لكن معظم المؤسسات، بحسب موهان، لا تستطيع إعادة بناء هذا المسار كاملاً من البداية إلى النهاية. ويرجع ذلك إلى أن الأدلة موزعة بين أنظمة منفصلة، لكل منها طريقة تسجيل مختلفة، وفترة احتفاظ خاصة بها، ومستوى محدود من الرؤية. كما أن الساعات الزمنية لا تكون متزامنة دائماً، مما يجعل ترتيب الأحداث بدقة أكثر صعوبة.
ويرى أن «معظم المؤسسات لا تستطيع إعادة بناء التسلسل من البداية إلى النهاية». ويضيف أن البيانات المستمدة من الشبكة يمكن أن توفر مرجعاً موحداً وعالي الدقة يربط بين الأجزاء المتفرقة، بحيث يصبح من الممكن تتبع الانتقال من المدخل الأول إلى النتيجة التشغيلية النهائية.
كما تزداد أهمية هذه القدرة عندما تعتمد المؤسسة على أكثر من مزود. فإذا كان النموذج مستضافاً لدى جهة خارجية، والبيانات موزعة بين بيئة داخلية وسحابتين عامتين، والتنفيذ يتم عبر واجهات برمجية تابعة لشركاء، يصبح التحقيق مرتبطاً بمدى توفر الأدلة لدى أطراف متعددة، وليس فقط بما تحتفظ به المؤسسة داخل أنظمتها.
ما الذي يجب الاحتفاظ به؟
لا تعني إمكانية التحقيق أن تحتفظ المؤسسة بكل ما يمر عبر نظام الذكاء الاصطناعي. فالتخزين الشامل قد يخلق مخاطر إضافية تتعلق بالخصوصية والتكلفة وحماية البيانات الحساسة. ولهذا يركز موهان على الاحتفاظ بالقدر الكافي من البيانات الوصفية لإعادة بناء القرار، من دون تخزين محتوى لا يلزم للتحقيق.
وتشمل السجلات الأساسية الطوابع الزمنية ومعرفات المستخدمين والأنظمة وتصنيف التعليمات وإصدارات مصادر البيانات ونسخة النموذج المستخدمة وأرقام معاملات الواجهات البرمجية والأخطاء المسجلة والإجراءات الآلية والموافقات البشرية وحالات التجاوز أو التعديل والنتائج النهائية.
ويشير إلى أن القيمة لا تأتي من حجم السجلات وحده، بل من كونها متزامنة زمنياً، وخاضعة لضوابط وصول، وقابلة للربط بين البيئات المختلفة. فالسجل الذي يوضح أن النموذج قدم توصية معينة لا يكفي إذا لم يكن من الممكن معرفة مصدر البيانات، أو الواجهة التي نقلت الأمر، أو النظام الذي نفذه، أو الشخص الذي وافق عليه.
تعدد السحب يوسع منطقة الغموض
تواجه المؤسسات التي تعمل في بيئات هجينة ومتعددة السحب فجوة خاصة في الرؤية. فالكثير من أدوات المراقبة تركز على الحركة الداخلة إلى الأنظمة والخارجة منها، بينما تغيب عنها الحركة الجانبية بين أعباء العمل داخل مراكز البيانات والسحب العامة والخاصة.
ويصف موهان هذه الفجوة بأنها الأكبر في كثير من البيئات، قائلاً إن «معظم الأدوات تراقب الباب الأمامي وتفوتها الحركة الجانبية». وفي حادث مرتبط بالذكاء الاصطناعي، قد ينتقل الطلب بين عدة خدمات داخلية، ويتغير أثناء المرور، أو يُستخدم للوصول إلى بيانات إضافية، قبل أن يخرج إلى نظام آخر.
ومن دون رؤية على مستوى الحزم لهذه الحركة، قد يستمر الحادث عبر أكثر من بيئة قبل أن تمتلك فرق التحقيق ما يكفي لتحديد أين بدأ، وأين تغير السلوك، وما الأنظمة التي تأثرت.
ولا يتعلق ذلك بالأمن فقط، حيث يبدو تعطل خدمة ذكاء اصطناعي وكأنه فشل في النموذج، بينما يكون السبب الفعلي ازدحاماً في الشبكة، أو تأخراً في واجهة برمجية، أو انقطاعاً في قاعدة بيانات. والعكس ممكن أيضاً، إذ قد يُفسر نشاط خبيث بوصفه خللاً تشغيلياً إذا لم تكن الأدلة مترابطة.
الهجوم يترك نمطاً مختلفاً
للتمييز بين التلاعب المتعمد وخطأ النموذج، يركز موهان على الارتباط بين مصادر البيانات. فالهجوم، وفق شرحه، يترك آثاراً في حركة الشبكة وأنماط الوصول وسلوك الواجهات البرمجية لا تظهر عادة في خطأ النموذج نفسه. قد تكشف السجلات، مثلاً، أن طلباً وصل من مصدر غير معتاد، أو أن النظام حاول الوصول إلى بيانات لا يحتاجها عادة، أو أن واجهة برمجية تلقت عدداً غير طبيعي من الطلبات، أو أن إجراءً آلياً حدث بعد تغيير في بيانات الإدخال.
ويشرح موهان بأنه «عندما تتطابق أدلة الحزم مع سجلات النموذج والبنية التحتية ضمن توقيت واحد، يتوقف الهجوم عن الظهور كأنه خلل». فبدلاً من الاعتماد على مؤشر منفرد، تُبنى الصورة من عدة إشارات تؤكد بعضها بعضاً.
ولهذا يؤدي القياس اللحظي للشبكة والعمليات دوراً مزدوجاً؛ فهو يساعد على اكتشاف السلوك غير الطبيعي أثناء حدوثه، ثم يوفر مادة التحقيق بعد الحادث. ويمكنه تحديد حركة مرور غير معتادة، أو نشاط شاذ في الواجهات البرمجية أو أنماط وصول جديدة أو اضطرابات في الخدمة أو إجراءات آلية خرجت عن المتوقع.
الأدوات التقليدية لا تكفي وحدها
لا يرى موهان أن أدوات المراقبة والاستجابة التقليدية أصبحت بلا قيمة. فهي لا تزال ضرورية لرصد التهديدات المعروفة، ومتابعة الأنظمة، وعزل الأجهزة المتأثرة. لكن الأحداث المرتبطة بالذكاء الاصطناعي تفرض أسئلة لا تجيب عنها هذه الأدوات دائماً.
فهي قد لا تعرف ما التعليمات التي تلقاها النموذج، أو مصدر البيانات التي اعتمد عليها، أو النسخة التي كانت قيد التشغيل، أو سبب تغير قراره، أو ما الإجراء الآلي الذي نفذه لاحقاً.
ولهذا تحتاج المؤسسات إلى طبقة إضافية من القياس تربط الشبكات بالتطبيقات والسحابة ومسارات الذكاء الاصطناعي. ويؤكد موهان أن هذه الطبقة يجب أن تكون عالية الدقة ومتزامنة زمنياً حتى تدعم التحقيق والمساءلة، لا أن تكتفي بإطلاق تنبيهات منفصلة.
تحديث النموذج كتغيير تشغيلي
تزداد صعوبة المساءلة عندما يتغير النموذج بمرور الوقت، أو يُحدّث من جانب مزود خارجي من دون أن تملك المؤسسة السيطرة الكاملة على التغيير. فقد يعطي النموذج النتيجة نفسها بطريقة مختلفة، أو يتغير سلوكه في حالات معينة بعد تحديث لم تُفصح تفاصيله بوضوح.
ويقترح موهان التعامل مع كل تحديث للنموذج كما لو كان عملية نشر خاضعة للضبط. ويشمل ذلك تسجيل إصدار النموذج وإعداداته ونتائج اختباره وتاريخ التغيير وأي تحول ملحوظ في السلوك.
ويصرح: «تعاملوا مع كل تغيير في النموذج كنشر خاضع للرقابة». وعندما يكون التحديث من مزود خارجي، ينبغي أن تمنح العقود المؤسسة سجلاً واضحاً للتغيير، وأدلة تساعدها على التحقيق عند الحاجة.
كما تتطلب المساءلة تحديد مالك واضح للنظام، وإبقاء الرقابة البشرية في القرارات المؤثرة، ووجود مسار يسمح بالعودة إلى إصدار سابق إذا ظهرت مشكلة.
اختبار بسيط للمزودين
لا يقدم موهان نموذجاً موحداً للالتزامات التعاقدية التي يجب فرضها على مزودي النماذج والسحابة ومتكاملي الأنظمة، لكنه يطرح معياراً عملياً: هل يستطيع المزود أن يعيد، عند الطلب، ما فعله نظامه ومتى فعله؟
هذا الاختبار يرتبط مباشرة بالقدرة على التحقيق. فإذا لم يحتفظ المزود بسجلات كافية، أو لم يشاركها في الوقت المناسب، أو لم تكن متزامنة مع أنظمة العميل، فقد يبقى جزء حاسم من الحادث خارج نطاق الفحص. ويعني ذلك أن متطلبات الأدلة يجب ألا تُترك إلى ما بعد وقوع الحادث، بل تُدرج في العقود والتصميم منذ البداية، بما يشمل مدد الاحتفاظ، وإتاحة السجلات، وتوثيق التغييرات، وتحديد المسؤولية عند تعطل خدمة أو تغير نموذج.
سجل واحد تقوده جهة واحدة
عند وقوع حادث، تتوزع المسؤوليات بين فرق الأمن والتقنية والقانون والمخاطر والأعمال. ويرى موهان أن تعدد الفرق لا ينبغي أن ينتج عدة روايات متعارضة، بل يجب أن تكون هناك جهة واحدة مسؤولة عن سجل الأدلة الموحد. تتولى فرق الأمن احتواء التهديد وحماية الأدلة، بينما تحلل الفرق التقنية سلوك النموذج والشبكة والبنية التحتية. ويعالج الفريق القانوني قضايا الخصوصية والالتزامات التعاقدية، في حين يقيم فريق المخاطر حجم التعرض، وتحدد الإدارة التشغيلية أثر الحادث على الأعمال.
ويقول إن المبدأ الأساسي هو أن «فريقاً واحداً يقود سجل الأدلة، بينما تغذيه بقية الفرق». ويقلل هذا النهج من تضارب التوقيتات والاستنتاجات، ويمنح الإدارة مرجعاً واحداً عند اتخاذ قرارات التعافي والإفصاح والمساءلة.
ما الذي يجب أن تثبته المؤسسات السعودية؟
بالنسبة إلى المؤسسات في السعودية، لا ينبغي أن تقتصر الجاهزية على وجود سياسات امتثال أو أدوات مراقبة متفرقة. فالمعيار العملي كما يرى موهان هو القدرة على التحقيق في حادث مرتبط بالذكاء الاصطناعي وشرحه من البداية إلى النهاية. ويتطلب ذلك رؤية متزامنة وعالية الدقة تمتد عبر الشبكات والتطبيقات والخدمات السحابية ومصادر البيانات ومنصات الذكاء الاصطناعي، إلى جانب خطط استجابة جرى اختبارها، ومسؤوليات محددة، وقدرة مثبتة على تحليل السبب الجذري. كما ينبغي أن تستطيع المؤسسة تقديم أدلة موثوقة توضح حجم التأثير، والمسار الذي أدى إلى النتيجة، والجهة المسؤولة، والإجراءات التصحيحية التي اتخذتها.
وفي هذا الإطار، ترتبط المرونة بقدرة المؤسسة على تفسير الحادث بقدر ارتباطها بمنعه. فالنظام الذي يعود إلى العمل من دون معرفة سبب الخلل قد يكرر السلوك نفسه، بينما يسمح سجل الأدلة المتكامل بتحديد السبب، وتصحيح الإعدادات، وتعديل النموذج أو العملية، وتقليل زمن التعطل في الحوادث اللاحقة.
