حقن الأوامر في البرية

متتبع لـتقنيات حقن الأوامر المُبلَّغ عنها علنًا من العامين الماضيين تقريبًا، يديره Rachel James (cybershujin).

تُقسَّم كل تقنية إلى العناصر الثلاثة لحقن الأوامر:

1. طريقة التوصيل — كيف تصل التعليمات المحقونة إلى النموذج (نتيجة استدعاء أداة، موقع ويب خارجي، اتصال MCP، مستند، بريد إلكتروني، صورة، إلخ).
2. الترميز — التعتيم المطبَّق على الحمولة، إن وُجد (Base64، leetspeak، محارف وسوم Unicode غير المرئية، homoglyphs، …). يُترك فارغًا عندما تكون الحمولة نصًا عاديًا أو عندما لا يذكر التقرير ذلك.
3. سلوك الانتشار — ما إذا كان الحقن مصمَّمًا للانتشار أو الاستمرار (يُسلَّم إلى أي شخص يتصل بخادم MCP مسموم، يبقى في الذاكرة طويلة المدى/ذاكرة المشروع للوكيل، ينتقل عبر سلسلة من استدعاءات الأدوات، يُجبر على إرسال بريد إلكتروني يحمل تعليمات إضافية، …). يُترك فارغًا عندما لا يوجد انتشار.

تسجّل كل مُدخلة أيضًا النماذج التي تأكّد عملها ضدها (إن وُجدت)، ورابطًا إلى المصدر المُبلِّغ، وعند المعرفة — مصدر الهجوم (الباحث أو الفريق الأحمر أو الفاعل في البرية الذي نشأ منه).

لوحة المعلومات المباشرة: https://cybershujin.github.io/Prompt-Injection-in-the-Wild/

---

النطاق والمنهجية

• داخل النطاق: تقنيات حقن تعليمات عدائية في نموذج لغوي كبير (LLM) أو وكيل مدعوم بـ LLM والتي تم الإبلاغ عنها علنًا — من قِبَل باحثي الأمن، أو الفرق الحمراء، أو المورّدين، أو كما لوحظ في نشاط في البرية. يُدرَج كل من حقن الأوامر المباشر وغير المباشر (المحمول بالبيانات).
• خارج النطاق: قوائم كلمات كسر الحماية العامة التي لا تحتوي على آلية توصيل/انتشار، والشكاوى المحضة المتعلقة بمواءمة النموذج، والتسويق الذي لا يحتوي على جوهر تقني.
• لا تخمين أبدًا. كل خلية غير فارغة مأخوذة من بيان صريح في المصدر المُستشهَد به. إذا لم يذكر التقرير الترميز، أو سلوك الانتشار، أو النماذج المؤكَّدة، أو مصدر الهجوم، تُترك تلك الخلية فارغة — الفراغ يعني "لم يُذكر"، وليس أبدًا "لا يوجد" المستنتَج.
• التحقق. تُوسَم كل مُدخلة بـ Confirmed أو Not fully vetted. تشير "Not fully vetted" إلى مُدخلة مصدرها غامض، أو غير مؤكَّد، أو آليتها غير واضحة — تُبرَز بدلًا من حذفها، ليتمكن المراجع من الحكم عليها.
• فئة الأدلة — في البرية مقابل البحث. تُوسَم كل مُدخلة بـ In-the-wild (إساءة استخدام ملحوظة في العالم الحقيقي أو حادثة إنتاجية حقيقية)، أو Research / red-team (عرض توضيحي من باحث أمني أو فريق أحمر / إفصاح مسؤول — تقنية حقيقية وعاملة، لكن لم يُلاحَظ إساءة استخدامها من قِبَل مهاجم)، أو Vendor advisory، أو Unclear. هذا محور منفصل عن التحقق: يمكن أن تكون التقنية Confirmed (متحقَّق منها وعاملة) ومع ذلك لم تُعرَض سوى في المختبر. كن على علم: لا يزال حقن الأوامر الخبيث الحقيقي في البرية نادر التوثيق علنًا، لذا فإن الغالبية العظمى من المُدخلات هنا هي إفصاحات بحثية / من الفرق الحمراء — في وقت التعبئة الأولية، كانت 29 من 32 بحثية/من الفرق الحمراء و3 فقط في البرية. استخدم مرشّح Evidence على لوحة المعلومات لعزل الحالات الواقعية.
• التحديثات. يُمسَح الإبلاغ الجديد شهريًا (Perplexity sonar-deep-research، بشبكة واسعة) ويُقترَح كـطلب سحب مسوَّدة لمراجعة المشرف. لا يُدمَج أي شيء تلقائيًا. راجع المتتبع الشقيق Threat-Actors-use-of-Artifical-Intelligence لنفس سير العمل مطبَّقًا على استخدام الفاعلين الخصوم للذكاء الاصطناعي.

كيف تُبنى البيانات

تعيش البيانات فقط في الجدول أدناه (هذا الملف هو المصدر الوحيد للحقيقة). يُجمِّعها مُولِّد حتمي بلا اعتماديات (tools/build_exports.py) عند كل إيداع إلى:

• index.html — لوحة المعلومات التفاعلية (تُقدَّم عبر GitHub Pages)،
• tracker.json — بيانات معيارية قابلة للقراءة آليًا،
• stix/prompt-injection-stix2.1.json — حزمة STIX 2.1 (كل تقنية كـ attack-pattern، موسومة بمعرّف MITRE ATLAS الخاص بها وربط Not fully vetted → ثقة منخفضة).

لا تُحرِّر هذه الملفات الثلاثة يدويًا؛ حرِّر الجدول ودع CI يعيد بناءها.

---

التقنيات