ericyoc/stego_provenance_defenseدفاع ضد حقن المطالبات عبر الإخفاء الستيغاني للذكاء الاصطناعي الوكيلي باستخدام ربط المصدر وقت فك التشفير، ومصادقة HMAC، وفرض الثقة في MCP.
إثبات مفهوم قابل لإعادة الإنتاج لناقل حقن أوامر عبر الإخفاء التضميني (steganographic) يتغلب على ماسحات المحتوى النصي، ودفاع يحتويه عند حدود فك الترميز — ربط المصدر وقت فك الترميز.
لأغراض البحث الأمني التعليمي/الدفاعي فقط. جميع الأسرار في هذا المستودع وهمية. استخدمه فقط على الأنظمة التي تملكها أو المصرّح لك باختبارها.
يرسل المهاجم إلى الضحية رسالة بريد إلكتروني تبدو عادية. شعار علامة تجارية في
توقيع البريد الإلكتروني يخفي تعليمات عبر الإخفاء التضميني (LSB أو DCT أو البيانات الوصفية).
الصورة مطابقة بصريًا للأصل ولا تحتوي على أي نص مريب، لذا
لا يرى ماسح المحتوى شيئًا ولا ينقر الضحية على أي شيء. لكن
وكيل تلخيص صندوق الوارد الروتيني لدى الضحية يعالج التوقيع، وأداة في
خط معالجته تفكّ ترميز الصورة، فيدخل التعليمات المخفية إلى سياق الوكيل
— حيث، في خط معالجة MCP متعدد الوكلاء، يُنقل بين الوكلاء كمخرجات نظير موثوق
ويقود استدعاء أداة حرجة. هذا هو غسل الثقة عبر الوسائط المتعددة (cross-modal trust laundering). الدفاع، ربط المصدر وقت فك الترميز، يصدر
تسمية UNTRUSTED موقّعة بـ HMAC في اللحظة التي تعمل فيها أداة تعكس الإخفاء،
وتجعل طبقة MCP تحافظ على سلسلة المصدر بنفسها، فتحظر أي
استدعاء أداة حرجة تكون سلسلته غير موثوقة — حتى عندما يقدّم وكيل مخترق
تسمية صالحة لقيمة موثوقة غير ذات صلة. إنه يحتوي بدلًا من أن يكتشف،
لذا فهو مستقل عن صياغة الحمولة والناقل.
معدل نجاح الهجوم (ASR) — 24 حمولة (ثلاثة نواقل × ثمانية أساليب تهرب: عادي، بصياغة حميدة، Base64، تقسيم الرموز، حروف كيريلية متشابهة، عرض صفري، محارف يونيكود متشابهة، تعليق HTML)؛ الأقل أفضل. خط أساس التلويث (taint) داخل العملية هو تحكم في تدفق المعلومات يعلّم مخرجات فك الترميز كغير موثوقة لكنه لا يحمل أي ربط تشفيري عبر النطاقات:
| الدفاع | التسريبات | n | ASR |
|---|---|---|---|
| بلا دفاع (بدون فحوصات) | 24 | 24 | 100% |
| ماسح المحتوى (كلمات مفتاحية/DLP) | 15 | 24 | 62.5% |
| محلل النوايا بالتعبيرات النمطية | 15 | 24 | 62.5% |
| تلويث تدفق البيانات (أساس IFC) | 0 | 24 | 0% |
| ربط المصدر وقت فك الترميز (خاصتنا) | 0 | 24 | 0% |
يتعادل التلويث وربط المصدر في ASR أحادي النطاق؛ لكنهما يختلفان تحت النقل العدائي (أدناه)، وهذه هي نقطة الربط التشفيري.
استبدال التسمية الصالحة — يقدّم وكيل مخترق ربطًا TRUSTED موقّعًا
بشكل شرعي من أداة حميدة مع حذف أصل فك الترميز UNTRUSTED
الذي يقود الاستدعاء فعليًا. الإصلاح هو أن طبقة MCP تحافظ على السلسلة
بنفسها وتقرر بناءً على سجلها الخاص، لا على الربط الذي يقدمه الوكيل:
| الإنفاذ | القرار |
|---|---|
| الربط المقدم من الوكيل فقط (ساذج) | سماح (تسريبات) |
| محفوظ في الطبقة، الاعتماد محذوف | حظر |
| محفوظ في الطبقة، الاعتماد في الوسائط | حظر |
| محفوظ في الطبقة، سياق نظيف | سماح |
استئصال المكونات — أربعة مكونات، كل منها يدافع ضد هجوم مميز. عطّل
واحدًا في كل مرة؛ substitution داخل النطاق، وforged relay هو تسمية TRUSTED
مزوّرة تعبر مرحّلًا غير موثوق إلى مدقق بعيد يملك فقط الربط
المقدَّم. والأهم أن HMAC وحده لا يوقف الاستبدال (السجل هو الذي يوقفه)، و
السجل وحده لا ينجو من مرحّل عبر النطاقات (HMAC هو الذي ينجو):
| الإعداد | الصادق | الاستبدال | الترحيل المزوّر |
|---|---|---|---|
| الآلية الكاملة | محظور | محظور | محظور |
| − وسم فك الترميز | تسريب | تسريب | تسريب |
| − المصادقة التشفيرية (HMAC) | محظور | محظور | تسريب |
| − تتبّع النسب الموثوق | محظور | تسريب | محظور |
| − وساطة المصبّ | تسريب | تسريب | تسريب |
الانتشار عبر السياقات — يبقى التلوّث صامدًا عبر حدود رسالة بين الوكلاء، وليس فقط عبر مقبض إرجاع أداة. يصل فك ترميز غير موثوق في الوكيل A إلى استدعاء حرج في سياق الوكيل B المنفصل، وعلى قناة موسَّطة (وهو ما يشترطه نموذج التهديد أصلًا لاتصالات ما بين الوكلاء) ينتشر التلوّث ويُحظر B. أما القناة التي لا توسّطها الطبقة فهي خارج النموذج بحكم التصميم — وليست تسريبًا ضمن النطاق:
| القناة A → B | الاستدعاء الحرج لدى B |
|---|---|
| رسالة موسَّطة بين الوكلاء (ضمن النطاق) | حظر (انتشر التلوّث) |
| قناة جانبية غير موسَّطة (خارج النموذج) | غير مغطّاة |
تدرّج الكلفة الإضافية — MintBinding بحدود O(1) (~10–14 µs بغض النظر عن العمق)؛
وEnforceCritical خطّي بالنسبة لإغلاق التبعيات الذي يعبره (≈10 µs عند العمق
1 → ≈0.66 ms عند العمق 100 → ≈6.7 ms عند العمق 1000) وثابت (~6–7 µs) بالنسبة لعدد
السياقات الملوّثة المتزامنة. تبقى الإغلاقات الواقعية (بعمق في حدود العشرات) دون
~0.1 ms.
فائدة المهمة المشروعة — مسار ترقية موثوق ومُدقَّق (إعادة وسم قيمة مفكوكة الترميز محددة، مثل رقم فاتورة مستخرج بتقنية OCR، بموجب تفويض) يزيل الحظر الكاذب بينما يبقى الهجوم محظورًا:
| النظام | الإنجاز | الحظر الكاذب | الهجوم محظور |
|---|---|---|---|
| بلا ترقية | 2/3 (67%) | 1 | نعم |
| ترقية موثوقة | 3/3 (100%) | 0 | نعم |
اكتمال مجموعة فك الترميز — افتراض التسجيل، تحت الاختبار المباشر:
| مجموعة فك الترميز | هجوم الإخفاء | الاستدعاء الحرج المشروع |
|---|---|---|
| صحيحة | محظور | مسموح |
| فك ترميز مفقود | تسريب | مسموح |
| واسعة أكثر من اللازم | محظور | حظر كاذب |
سلامة الوسم عبر عمليات التسليم — يبقى الربط صامدًا عبر الترحيل الصادق ويقاوم عاملًا مخترقًا:
| سيناريو الترحيل | قرار المدقّق |
|---|---|
| ترحيل صادق، 1 / 3 / 5 / 10 قفزات | يتحقق؛ محظور |
| مخترق: إعادة كتابة الحمولة، مع إبقاء HMAC | حظر (عدم تطابق HMAC) |
مخترق: تزوير TRUSTED | حظر (عدم تطابق HMAC) |
| مخترق: إزالة الربط | حظر (لا وسم صالح) |
الكلفة الإضافية — مجانية فعليًا عند نقطة القرار: إنشاء الربط والتحقق منه ~8–9 µs لكل منهما (~17 µs مجتمعة)، مقابل استدعاء أداة فك ترميز بـ ~11 ms — أي أقل من ~0.2% إضافة. تشويه الحامل منخفض (LSB ≈ 76 dB PSNR، والبيانات الوصفية بلا فقد؛ DCT ≈ 18 dB — وهو مقياس تشويه، وليس ادعاءً بعدم الإدراك الحسّي).
stego_provenance_defense_poc.ipynb # the full PoC (run top-to-bottom)
requirements.txt # dependencies (mcp pinned <2)
يؤدي تشغيل دفتر Jupyter إلى كتابة جميع الأشكال والجداول وملفات CSV إلى
MyDrive/stego_provenance_poc/{figures,tables,data} في Colab (أو
./stego_provenance_poc/ محليًا). يتم إنتاج كل شكل وجدول بواسطة خلية،
لذا فإن العملية بأكملها قابلة لإعادة الإنتاج من تشغيل نظيف.
stego_provenance_defense_poc.ipynb في Colab.MyDrive/stego_provenance_poc/{figures,tables,data}.pip install -r requirements.txt
jupyter notebook stego_provenance_defense_poc.ipynb
تذهب المخرجات إلى ./stego_provenance_poc/. وحدة معالجة الرسوميات (GPU) اختيارية (نموذج الوكيل
صغير)؛ ولا تعتمد النتيجة الأمنية على النموذج.
يجمع بين ضمانتين غالبًا ما يُخلط بينهما، واقترانهما — وليس HMAC وحده — هو الإسهام:
عمليتان حتميتان في طبقة MCP، التي تحتفظ بنفسها بسلسلة النسب: