قواعد سيغما لحماية الوكلاء الذكيين (AgentShield Sigma Rules)

ما هو هذا المستودع؟

يحتوي هذا المستودع على قواعد كشف تساعد في تحديد ما إذا كان أحد الوكلاء الذكيين يتعرض لهجوم أو تلاعب. فكر فيه كمجموعة من "توقيعات التهديدات" -- تصف كل قاعدة نمطاً معيناً، وعند مطابقته مع بيانات سجلات الوكيل، يشير إلى أن شيئاً مشبوهاً قد يحدث.

AgentShield هو طبقة أمان مفتوحة المصدر للوكلاء الذكيين. يراقب سلوك الوكيل في الوقت الفعلي ويستخدم قواعد سيغما هذه لكشف الهجمات العدائية مثل حقن الأوامر (prompt injection)، وسرقة البيانات، وتسميم الأدوات، وتصعيد الصلاحيات -- قبل أن تسبب ضرراً.

ما هي قواعد سيغما؟

سيغما هو معيار مفتوح يُستخدم في مجال الأمن السيبراني لكتابة قواعد الكشف. إذا كانت تواقيع مضادات الفيروسات تخبر حاسوبك بأن "هذا الملف ضار"، فإن قواعد سيغما تخبر منصتك الأمنية بأن "هذا النمط من النشاط في السجلات مشبوه".

قاعدة سيغما هي ملف YAML قصير يقول: "إذا رأيت هذا النمط في السجلات، أطلق تنبيهاً." على سبيل المثال، قد تبدو قاعدة مبسطة كالتالي:

إذا كان حدث السجل هو user_input
وكانت الرسالة تحتوي على "تجاهل التعليمات السابقة"
فأطلق تنبيهاً حرجاً لحقن الأوامر

لأن سيغما معيار محايد بائعياً، فإن هذه القواعد تعمل مع أي محرك كشف متوافق مع سيغما -- وليس فقط AgentShield. وهذا يعني أن فرق الأمن يمكنها دمجها في أدواتها الحالية دون تقييد ببائع معين.

ما التهديدات التي تكشفها هذه القواعد؟

حقن الأوامر (Prompt Injection)

عندما يحاول شخص ما تجاوز تعليمات الوكيل -- إما مباشرة (بكتابة "تجاهل التعليمات السابقة") أو بشكل غير مباشر (إخفاء التعليمات في مستندات يقرأها الوكيل).

سرقة البيانات والتصدير (Data Theft and Exfiltration)

عندما يُخدع الوكيل لإرسال بيانات حساسة إلى مهاجم -- عبر تحميلات HTTP، نفق DNS، صور ماركداون مخفية، أو تقنيات إخفاء المعلومات.

التلاعب بالأدوات وتسميمها (Tool Manipulation and Poisoning)

عندما تُخفى بيانات وصفية ضارة في أوصاف أدوات MCP، أو تغير الأدوات سلوكها بعد أن أصبحت موثوقة (هجمات "rug pull").

سرقة بيانات الاعتماد (Credential Theft)

عندما يصل الوكيل إلى ملفات حساسة مثل مفاتيح SSH، رموز API، بيانات اعتماد السحابة، أو متغيرات البيئة التي تحتوي على أسرار.

تصعيد الصلاحيات (Privilege Escalation)

عندما يحاول الوكيل الحصول على وصول أكثر مما هو مقصود -- عبر sudo، الهروب من الحاويات، التلاعب بـ IAM السحابي، أو العبث بملفات النظام.

الاستمرارية (Persistence)

عندما يحاول المهاجم الحفاظ على وصول طويل الأمد -- عبر مهام cron، تعديل ملفات الإعدادات الشخصية (profile shells)، وكلاء الإطلاق، أو تسميم ذاكرة الوكيل.

تنفيذ التعليمات البرمجية عن بُعد (Remote Code Execution)

عندما يُخدع الوكيل لتنزيل وتشغيل نصوص ضارة، إنشاء قذائف عكسية، أو تنفيذ أوامر مشوشة.

الاستطلاع (Reconnaissance)

عندما يقوم الوكيل بإجراء مسح للشبكة أو تعداد DNS لرسم خريطة للبيئة المستهدفة.

العبث بالتكوين (Configuration Tampering)

عندما يُعدل الوكيل ملفات التكوين الحساسة للأمن لإضعاف الدفاعات -- إعدادات الموافقة التلقائية، تكوينات MCP، أو ملفات قواعد المساعد الذكي.

هجمات سلسلة التوريد (Supply Chain Attacks)

عندما تُثبت حزم أو مهارات من مصادر غير موثوقة -- عناوين URL مباشرة، مستودعات GitHub، أو أرشيفات tarball.

هيكل الدليل

rules/
└── ai_agent/
    ├── ai_agent_prompt_injection_direct.yml
    ├── ai_agent_credential_access.yml
    ├── ai_agent_mcp_tool_poisoning.yml
    └── ... (جميع القواعد في دليل مسطح واحد)

القواعد منظمة حسب المنتج (ai_agent) باتباع اصطلاحات SigmaHQ. فئة التهديد الخاصة بكل قاعدة مُسجلة في البيانات الوصفية YAML للقاعدة (عبر علامات MITRE ATT&CK وحقول logsource)، وليس هيكل الدليل. يحافظ هذا التصميم المسطح على بساطة المستودع ويتجنب الغموض عندما تمتد القاعدة عبر فئات هجوم متعددة.

كيفية استخدام هذه القواعد

مع محرك AgentShield

# استنساخ مستودع القواعد
git clone https://github.com/agentshield-ai/sigma-ai.git

# الاستخدام مع محرك AgentShield
export AGENTSHIELD_AUTH_TOKEN="replace-with-at-least-32-characters"
agentshield serve --rules ./sigma-ai/rules --port 8433

# التحقق من صحة القواعد
agentshield rules validate --path ./sigma-ai/rules

مع أدوات سيغما العامة

تتبع هذه القواعد تنسيق سيغما القياسي ويمكن استخدامها مع أي أداة متوافقة مع سيغما:

# التحقق باستخدام sigma-cli
sigma check rules/

# التحويل إلى تنسيقات أخرى
sigma convert -t <target> rules/ai_agent/

فهم القاعدة

أدناه مثال مشروح بالكامل يوضح تشريح قاعدة سيغما. كل حقل مشروح بلغة بسيطة.

title: Direct Prompt Injection Attempt          # اسم قابل للقراءة البشرية
id: eddcdc94-698c-577f-900d-28b1b5491a80         # معرف فريد (UUID v5)
related:                                         # روابط لقواعد ذات صلة
  - id: agent-prompt-injection-direct-001        # معرّف سابق يستبدله هذا
    type: obsoletes
status: stable                                   # مستوى النضج (انظر أدناه)
description: |                                   # ما تكشفه هذه القاعدة
  يكتشف محاولات حقن أوامر مباشرة في مدخلات الوكيل الذكي التي تحتوي على
  عبارات اختراق شائعة، أوامر تجاوز النظام، وهياكل التلاعب بالسياسات.
  تشير هذه الأنماط إلى محاولات لاختراق سلوك الوكيل من خلال تعليمات ضارة.
references:                                      # قراءات إضافية
  - https://owasp.org/www-project-top-10-for-large-language-model-applications/
author: AgentShield                              # من كتب هذه القاعدة
date: "2026-02-16"                               # تاريخ الكتابة الأولي
modified: "2026-02-24"                           # تاريخ آخر تعديل
tags:                                            # خرائط MITRE ATT&CK
  - attack.initial_access
  - attack.t1190
logsource:                                       # تنسيق السجل المتوقع
  product: ai_agent
  category: agent_events
detection:                                       # منطق المطابقة
  selection_jailbreak_keywords:
    event_type: user_input
    message|contains:
      - 'ignore previous instructions'
      - 'developer mode'
  condition: selection_jailbreak_keywords
falsepositives:                                  # مسببات إيجابية كاذبة معروفة
  - بحث أمان شرعي للذكاء الاصطناعي
level: critical                                  # الخطورة (حرج/عالي/متوسط/منخفض)

إليك ما يفعله كل قسم:

• title / id -- اسم قابل للقراءة البشرية ومعرف فريد عالمي. يضمن UUID إمكانية الإشارة إلى القواعد دون لبس عبر أنظمة مختلفة.
• related -- يربط هذه القاعدة بأخرى تستبدلها أو تمدها أو تشابهها. مفيد لتتبع نسب القاعدة مع تطور منطق الكشف.
• status -- مستوى نضج القاعدة (انظر مستويات نضج القاعدة أدناه).
• description -- شرح نثري لما تكتشفه القاعدة ولماذا هو مهم.
• references -- روابط لأوراق بحثية أو منشورات مدونات أو معايير استندت إليها القاعدة.
• author / date / modified -- بيانات الأصل: من كتب القاعدة ومتى.
• tags -- يربط الكشف بإطار MITRE ATT&CK، ويربطه بتكتيكات وتقنيات الخصم المعروفة.
• logsource -- يخبر محرك الكشف عن نوع بيانات السجل التي تنطبق عليها هذه القاعدة. هنا، product: ai_agent مع category: agent_events يعني أنها تستهدف سجلات أحداث الوكيل الذكي.
• detection -- منطق المطابقة الأساسي. كل كتلة selection_* تحدد مجموعة من الشروط، ويجمع حقل condition بينها باستخدام المنطق البولياني (and، or، not).
• falsepositives -- يوثق سيناريوهات واقعية حيث قد تُشغّل القاعدة على نشاط غير ضار، مما يساعد المحللين في فرز التنبيهات.
• level -- شدة التنبيه: critical، ، ، أو .

مستويات نضج القاعدة

الإضافات المخصصة

تستخدم بعض القواعد حقولاً تتجاوز مواصفات سيغما القياسية. تتطلب هذه الحقول محرك كشف AgentShield ويتم تمييزها بوضوح بتعليقات مضمنة في كل قاعدة.

الربط الزمني

• time_window -- نافذة زمنية لربط الأحداث المتسلسلة (مثلاً '60s')
• time_between -- أقصى وقت بين حدثين مرتبطين

التحليل السلوكي

• cross_plugin_data_flow -- يكتشف تدفق البيانات بين الإضافات المختلفة
• suspicious_data_pattern -- يشير إلى أنماط بيانات مشبوهة يحددها المحرك
• actual_behavior_matches_description -- يتحقق مما إذا كان السلوك الفعلي للأداة يطابق وصفها

تحليل المحتوى

• description_similarity_score -- درجة التشابه بين أوصاف الأدوات
• description_length_ratio -- نسبة طول الوصف الجديد إلى الأصلي
• byte_size_to_visible_char_ratio -- يكتشف المحتوى المخفي عبر عدم تطابق نسبة البايت إلى الأحرف المرئية
• visibility_analysis -- يحلل المحتوى بحثاً عن نص مخفي

تحليل الشبكة

• query_length -- طول سلسلة استعلام DNS
• subdomain_count -- عدد النطاقات الفرعية في استعلام DNS
• domain_entropy -- إنتروبيا شانون لأسماء النطاقات

تتبع السياق

• destination_discovered_recently -- ما إذا كان المضيف الهدف قد اكتشف مؤخراً
• sensitive_files -- ما إذا كانت العملية تتضمن ملفات حساسة
• parent_agent_context -- سياق الوكيل الأصلي
• hosts_count -- عدد المضيفين المتورطين في العملية
• credential_source -- مصدر بيانات الاعتماد المستخدمة

تحليل الملفات

• size_increase_ratio -- نسبة تغير حجم الملف بعد التعديل

القواعد التي تستخدم هذه الحقول مُوسومة بحالة test أو experimental للإشارة إلى أنها تحتاج دعماً خاصاً من المحرك.

المساهمة

نرحب بالمساهمات! يُرجى اتباع هذه الإرشادات:

1. ابحث في الهجوم -- افهم كيف يظهر الهجوم في سجلات الوكيل الذكي
2. اتبع تنسيق سيغما -- استخدم ترتيب الحقول كما هو موضح في "فهم القاعدة"
3. اختبر بدقة -- تحقق من الصحة ضد عينات ضارة وسليمة
4. وثق الإيجابيات الكاذبة -- قم بتضمين سيناريوهات واقعية قد تؤدي إلى تشغيل القاعدة
5. اربط بـ MITRE ATT&CK -- أضف علامات التقنيات المناسبة
6. اختر الحالة المناسبة -- ابدأ بـ test أو experimental للقواعد الجديدة

تسمية الملفات

• التنسيق: ai_agent_<description>.yml
• استخدم الأحرف الصغيرة وشرطات underscroll
• ضع جميع القواعد في rules/ai_agent/

عملية التقديم

1. انسخ (Fork) هذا المستودع
2. أنشئ فرع ميزة (git checkout -b feat/new-detection-rule)
3. أضف قاعدتك باتباع الاصطلاحات أعلاه
4. اختبر وتحقق من صحة قاعدتك
5. افتح طلب سحب (Pull Request) مع وصف ونتائج الاختبار

القيود المعروفة

• دعم الحقول المخصصة -- القواعد الموسومة بـ test أو experimental تستخدم حقول إضافية مخصصة تتطلب محرك كشف AgentShield. أدوات سيغما القياسية ستتجاهل هذه الحقول.
• معدّل not -- عدد صغير من القواعد يستخدم المعدّل not الذي قد لا تدعمه جميع محركات سيغما. تتضمن هذه القواعد منطق كشف بديل كحل.
• الربط الزمني -- القواعد التي تكتشف تسلسلات من الأحداث (مثل "تصفح ويب ثم تنفيذ") تتطلب محركاً قادراً على الربط الزمني القائم على الحالة.
• التحقق السلوكي -- بعض القواعد تتحقق مما إذا كان السلوك الفعلي للأداة يطابق وصفها. يتطلب هذا أدوات تتبع وقت التشغيل تتجاوز مطابقة السجلات البسيطة.

مقايضات التهرب والكشف

سؤال طبيعي هو ما إذا كان الخصم يمكنه ببساطة إعادة الصياغة أو التعتيم على هجومه لتجاوز هذه القواعد. الإجابة تعتمد على فئة القاعدة، وهناك توتر حقيقي -- لكن غير متساوٍ -- بين التهرب وفعالية الهجوم.

كيف يطبق AgentShield هذه القواعد

فهم التهرب يتطلب فهم أين يحدث الكشف. يسجل AgentShield خطافاً قبل استدعاء الأداة يعترض وسيطات استدعاء الأداة المهيكلة قبل تنفيذ الأداة. بالنسبة لأمر bash، يحتوي حقل command على سلسلة الأمر الفعلية التي سينفذها الوكيل؛ بالنسبة لكتابة ملف، يحتوي حقل file_path على مسار نظام الملفات الحقيقي. تتم المطابقة ضد هذه الحقول المهيكلة، وليس ضد النص الحر.

هذه خاصية معمارية مهمة: لا يمكن للخصم تعتيم الأمر بعد الاعتراض، لأن السلسلة التي يتم مطابقتها هي بالضبط السلسلة التي سيتم تنفيذها.

كشف مستوى الأوامر: التهرب يتطلب استبدال الأداة

لأن القواعد تطابق وسيطات الأوامر الفعلية، لا يستطيع الخصم إعادة صياغة أمر وما زال يعمل. يجب أن يكون nmap هو nmap لكي يتم تنفيذ البرنامج الثنائي، وسيلتقطه command|contains: 'nmap' في كل مرة. وبالمثل، file_path|startswith: '/etc/' يطابق معلمة المسار الحقيقية -- يحتاج نظام التشغيل إلى المسار الحقيقي لفتح الملف، لذلك لا يوجد شيء لتعتيمه.

المتجه المتبقي للتهرب هو استبدال الأداة: بدلاً من nmap، يجب على الخصم إقناع الوكيل بكتابة وظائف مكافئة من الصفر -- على سبيل المثال، نص Python متعدد الأسطر باستخدام sockets الخام. هذا عقبة أكبر بكثير من مجرد إعادة الصياغة:

• نماذج اللغة تفضل بشدة استخدام أداة CLI الواضحة عندما تكون موجودة. توجيهها لتجنب أسماء أدوات معينة وكتابة كود مكافئ أصعب وأقل موثوقية.
• هجمات استبدال الأداة قابلة للكشف بحد ذاتها -- وكيل يكتب ماسح منافذ sockets خام في Python مشبوه بغض النظر عما إذا كان يستدعي nmap.
• يجب على الخصم توقع أي أسماء الأدوات محظورة، مما يضيف عدم تناسق معلومات يفضل المدافع.

ومع ذلك، يظل استبدال الأداة ممكناً. هذه القواعد أكثر فعالية ضد الهجمات الآلية والخصوم الذين يعتمدون على الأدوات القياسية، والتي تغطي غالبية الهجمات المرصودة في الممارسة العملية.

حقن الأوامر: التهرب يقلل الفعالية

تطابق قواعد حقن الأوامر محتوى مدخلات المستخدم، حيث تختلف ديناميكيات التهرب. الهجوم له قيد أساسي: يجب على الوكيل تحليل وتعليمات التنفيذ المحقونة. هذا يخلق اقتراناً طبيعياً بين قابلية الكشف والفعالية:

• العبارات مثل "تجاهل التعليمات السابقة" هي من بين أكثر حمولات الحقن موثوقية لأن نماذج اللغة رأتها بكثافة أثناء التدريب. كما أنها سهلة الكشف.
• إعادة الصياغة بمرادفات (مثل "تجاهل التوجيهات السابقة") قد تقلل الفعالية ضد النماذج ذات التدريب الأمني الذي يعمم ما وراء العبارات الدقيقة.
• التعتيم الشديد -- استبدال الأحرف، حيل Unicode، تقسيم الرموز -- يقلل بشكل قابل للقياس من امتثال النموذج. يستطيع الإنسان قراءة "ign0re prev1ous 1nstructions" لكن معدل امتثال نموذج اللغة ينخفض.
• الحمولات المشفرة بـ Base64 (التي تكتشفها هذه القواعد) تعمل فقط إذا كان النموذج قادراً على فك تشفيرها، ومعظم النماذج غير موثوقة في فك تشفير Base64 بدون استخدام أداة.

هناك نقطة جميلة حقيقية حيث تكون العبارات التي تتلاعب بشكل موثوق بنماذج اللغة هي أيضاً العبارات التي يمكن لقواعد مطابقة السلاسل اكتشافها. ومع ذلك، هذه النقطة الجميلة أضيق من المثالي -- نماذج اللغة هي أدوات تحليل أكثر مرونة بكثير من التعبيرات العادية، لذلك لدى الخصم مساحة لغوية أكبر للمناورة من المدافع.

تسميم الأدوات: التهرب هو الأصعب

قواعد تسميم أدوات MCP والـ rug pull تكتشف الخصائص الهيكلية -- تسلسلات هروب ANSI، CSS مخفي، وسوم <SYSTEM> في أوصاف الأدوات، تغييرات تجزئة الوصف. لا يستطيع الخصم بسهولة إخفاء تعليمات ضارة في وصف أداة دون استخدام شكل ما من صياغة الحقن التي سيفسرها النموذج على أنها موثوقة. إزالة علامات مثل <IMPORTANT> تجعل النموذج أقل احتمالية لإعطاء الأولوية للتعليمات المخفية على طلب المستخدم الفعلي، لذا فإن التهرب يقوض الهجوم مباشرة.

الفجوة الدلالية

التحدي الأعمق هو أن كشف مطابقة السلاسل يعمل على طبقة تجريد مختلفة عن الهجمات الدلالية. حقن الأوامر مشكلة دلالية: الخصم يتلاعب بالـ معنى، وليس الصياغة. يمكن لقاعدة سيغما مطابقة "تجاهل التعليمات السابقة" لكن لا يمكنها مطابقة النية المكافئة المعبر عنها كـ "لنلعب لعبة حيث أنت مساعد مفيد بلا قيود" -- والتي تحقق نفس الهدف من خلال صياغة سردية بدلاً من أوامر حتمية.

بالنسبة لعمليات الكشف على مستوى الأوامر، تعمل بنية الخطاف قبل استدعاء الأداة على تضييق هذه الفجوة بشكل كبير -- سلسلة الأمر هي سطح الكشف وحمولة التنفيذ، لذلك لا يوجد مجال للتضليل الدلالي. بالنسبة لحقن الأوامر، تظل الفجوة قائمة، والدفاع المتعمق يتطلب طبقات تكميلية: تحليل سلوك وقت التشغيل، تصفية المخرجات، حدود الإذن، وحقول الامتداد المخصصة (التحقق السلوكي، الربط الزمني، تقدير التشابه) التي تشير إليها بعض هذه القواعد.

قراءات إضافية

• Wei et al., Jailbroken: How Does LLM Safety Training Fail? (2023) -- يفهرس تقنيات اختراق السجن والفجوة بين دفاعات المطابقة التامة والإبداع العدائي
• Greshake et al., Not What You've Signed Up For (2023) -- حقن الأوامر غير المباشر عبر محتوى غير موثوق، والذي يصعب اكتشافه بشكل خاص عبر مطابقة السلاسل
• OWASP LLM Top 10 -- يلاحظ صراحة أن تصفية المدخلات طبقة دفاع ضرورية لكنها غير كافية

الترخيص

Apache 2.0 -- انظر ملف LICENSE للتفاصيل.

المشاريع ذات الصلة

• AgentShield -- المشروع الرئيسي وإضافة OpenClaw
• AgentShield Engine -- محرك الكشف بلغة Go
• Sigma -- مشروع سيغما الأصلي ومواصفاته
• MITRE ATT&CK -- تصنيف التهديدات المستخدم لوسم القواعد
• OWASP LLM Top 10 -- مخاطر أمان نماذج اللغة الكبيرة

قواعد كشف لأمن الوكلاء الذكيين -- المساعدة في الحفاظ على أمان الوكلاء من الهجمات العدائية.