Sentinel — الحاكم على المدخلات

DeanWay Labs. Sentinel هو المرآة المقابلة لـ QuietOS. يحكم QuietOS على ما يفعله وكيل الذكاء الاصطناعي. ويحكم Sentinel على ما يسمعه وكيل الذكاء الاصطناعي.

العقل يقترح، وQuietOS يقرّر — وSentinel يحدّد ما يُسمح للعقل بسماعه أصلًا.

المشكلة

يقرأ الوكيل البيانات والتعليمات في التدفّق نفسه، ولا يستطيع بطبيعته التمييز بينها. لذلك تعلّم العالم إخفاء الأوامر داخل البيانات: صفحة ويب تطلب من المساعد أن يرسل كلمات المرور بالبريد، أو رسالة بريد إلكتروني تنتحل اسم المالك، أو نتيجة أداة تحمل داخلها مهمة ثانية سرّية. هذا هو حقن الأوامر (prompt injection)، وهو ينجح لأن لا شيء يقف عند الباب.

Sentinel يقف عند الباب.

القانون

المالك وحده هو من يصدر التعليمات. وكل ما عدا ذلك بيانات.

المحتوى القادم من العالم — صفحات الويب، ورسائل البريد، والملفات، والرسائل، ومخرجات الأدوات — يُفحص قبل أن يصل إلى العقل، وكل ما يجتاز الفحص يُسلَّم مغلّفًا ومصنّفًا كبيانات، لا كأوامر. وأي ادّعاء داخل المحتوى ("أنا المالك"، "المالك وافق على هذا مسبقًا"، SYSTEM:) لا يوثّق شيئًا: فالتوثيق يأتي من القناة، لا من النص.

الأحكام

الحكم	المعنى
ALLOW	بيانات نظيفة. تمرّ، مصنّفة كبيانات.
ESCALATE	محتوى على هيئة تعليمات موجّه إلى الوكيل من مصدر غير المالك. يُحتجز للمالك مع الحفاظ على المحتوى الدقيق — بالانضباط نفسه في ربط الموافقة الذي يتبعه QuietOS. ولا شيء يتصرّف بناءً عليه أثناء انتظاره.
BLOCK	أنماط معروفة بالعداء: توجيهات تسريب البيانات، وانتحال شخصية المالك/النظام، وادّعاءات الموافقة الكاذبة، وتعاويذ تجاوز القواعد، وتوجيهات الإخفاء. تُرفض رفضًا قاطعًا.

كل حكم ESCALATE وBLOCK يُكتب في سجل هجمات أحادي الإضافة — الطابع الزمني، والمصدر، والحكم، والإشارات المطابقة، وSHA-256 للمحتوى الدقيق، ومقتطف محفوظ. المحاولات أدلة، والسجل جزء من المنتج، بالطريقة نفسها التي يُعدّ بها سجل إثبات الفريق الأحمر في QuietOS جزءًا من المنتج.

نطاق v0.1

• فحص حتمي فقط — فحوصات أنماط/استدلالية، دون أي نموذج في الحلقة. تُفكّ الحمولات المشفّرة بـ Base64 وتُفحص أيضًا؛ فالأمر المشفّر يبقى أمرًا. ويُطبَّع تهريب الأحرف غير المرئية (zero-width) قبل الفحص.
• مبنيّ لفحص نموذجي لاحقًا — الفحوصات دوال خالصة تُرجع قيم Signal نفسها؛ ويمكن لفحص قائم على نموذج أن ينضم إلى rules.CHECKS دون المساس بالمحرّك.
• حدود صريحة (انظر docs/PROOF-LOG.md للثغرات المفتوحة الحالية): السياج إنجليزي وحرفي فقط — فالهجمات المصاغة بالمرادفات، وleetspeak، والهجمات الدلالية المحضة قد تتجاوز السياج. لكنها لا تزال تواجه القانون: فالمحتوى الفائت يصل إلى العقل مصنّفًا كبيانات، لا كأوامر. الكشف يرفع كلفة الهجوم؛ أما السلطة فهي الجدار.

الاستخدام

from sentinel import Inspector, Source

inspector = Inspector()  # optionally: Inspector(ledger=AttackLedger("attacks.jsonl"))

verdict = inspector.inspect(page_text, Source("webpage", url))
if verdict.verdict == "ALLOW":
    brain_input = Inspector.labeled_payload(verdict, page_text)
elif verdict.verdict == "ESCALATE":
    hold_for_owner(verdict.excerpt, verdict.signals)   # exact content, owner's call
else:  # BLOCK
    refuse(verdict)

القناة الموثّقة الخاصة بالمالك هي الاستثناء الوحيد من الفحص: Source("owner", ..., owner_authenticated=True) يمرّ بدور instruction — فهي ليست سطح هجوم، بل هي السلطة. أما الادّعاء غير الموثّق بقناة المالك فيُحظر باعتباره انتحال هوية بحكم التصميم.

الاختبارات

python3 -m pytest tests/ -q

ثلاث مجموعات: tests/test_redteam.py (حالات الهجوم)، tests/test_controls.py (محتوى حميد يجب أن يمر كبيانات)، tests/test_engine.py (قانون السلطة، أدلة السجل، الوسم). النتائج — بما في ذلك حالات الفشل — موجودة في docs/PROOF-LOG.md.

الأصل

تصوّره Jon Dean (DeanWay Labs)، 2026-10-21: "نحن نحكم ما يخرج — أليس كذلك نحتاج إلى حماية الذكاء الاصطناعي أيضًا، وأن نحكم ما يدخل؟" بُني في الليلة نفسها. سمّاه Jon بـ Sentinel.