شعار OWASP AISVS

معيار OWASP للتحقق من أمن الذكاء الاصطناعي (AISVS)

هذا العمل مرخّص بموجب رخصة المشاع الإبداعي نسب المُصنَّف – الترخيص بالمثل 4.0 الدولية.

ما هو AISVS؟

معيار التحقق من أمن الذكاء الاصطناعي (AISVS) هو كتالوج يقوده المجتمع لمتطلبات أمنية قابلة للاختبار خاصة بالأنظمة المعتمدة على الذكاء الاصطناعي. يمنح المطوّرين، والمهندسين المعماريين، ومهندسي الأمن، والمدقّقين إطارًا منظمًا لتصميم وبناء واختبار أمن تطبيقات الذكاء الاصطناعي والتحقق منه طوال دورة حياتها، بدءًا من جمع البيانات وتدريب النماذج وصولًا إلى النشر والمراقبة وإيقاف التشغيل.

صُمم AISVS على غرار معيار OWASP للتحقق من أمن التطبيقات (ASVS) ويتبع الفلسفة نفسها: يجب أن يكون كل مطلب قابلاً للتحقق، وقابلاً للاختبار، وقابلاً للتنفيذ.

قادة المشروع

تأسس هذا المشروع على يد Jim Manico. تشمل القيادة الحالية للمشروع كلاً من Jim Manico، وOtto Sulin، وRico Komenda، وRuss Memisyazici.

ما لا يشمله AISVS

ليس إطارًا للحوكمة. الحوكمة مغطاة جيدًا بواسطة NIST AI RMF، وISO/IEC 42001، وأدلة الامتثال لقانون الذكاء الاصطناعي الأوروبي (EU AI Act).
ليس إطارًا لإدارة المخاطر. يوفّر AISVS الضوابط التقنية التي تشير إليها أطر المخاطر، لكنه لا يحدد منهجية تقييم المخاطر.
ليس قائمة توصيات بالأدوات. AISVS محايد تجاه البائعين ولا يؤيد منتجات أو أطرًا محددة.

كيف يكمل AISVS المعايير الأخرى

أحدث نسخة مستقرة

أحدث نسخة مستقرة هي AISVS 1.0، ويمكن العثور عليها:

الصيغة	الرابط
PDF	AISVS 1.0 PDF
Markdown (المصدر)	تصفّح عبر الإنترنت

مستويات التحقق

يُخصص لكل مطلب في AISVS مستوى تحقق (1 أو 2 أو 3) يشير إلى عمق ضمان الأمن:

يجب على المؤسسات اختيار مستوى مستهدف بناءً على ملف المخاطر الخاص بنظام الذكاء الاصطناعي لديها. يجب أن تستهدف معظم أنظمة الإنتاج المستوى 2 على الأقل.

كيفية استخدام AISVS

أثناء التصميم. استخدم المتطلبات كقائمة تحقق أمنية عند تصميم أنظمة الذكاء الاصطناعي.
أثناء التطوير. ادمج المتطلبات في خطوط أنابيب CI/CD ومراجعات الكود والاختبارات.
أثناء تقييمات الأمن. استخدمها كإطار تحقق لاختبار الاختراق والتدقيق.
للمشتريات. ارجع إلى متطلبات محددة عند تقييم بائعي الذكاء الاصطناعي والنماذج من جهات خارجية.

فصول المتطلبات

الملاحق

الويكي البحثي

لكل مطلب في المعيار، يوفّر الويكي البحثي سياقًا للتنفيذ يتجاوز نص المطلب:

العمود	ما يخبرك به
التهديد المُخفَّف	تقنيات هجوم محددة، وCVEs، وحوادث من العالم الواقعي يدافع الضابط ضدها
نهج التحقق	خطوات تدقيق ملموسة، وأدوات، وأدلة يجب جمعها
الفجوات والملاحظات	تقييمات نضج الأدوات، وأسئلة بحثية مفتوحة، وملاحظات تحذيرية بشأن التنفيذ

يغطي الويكي جميع المتطلبات البالغ عددها 191 مطلبًا عبر 60 صفحة، مع ملخصات لمشهد التهديدات لكل قسم، وتوصيات بالأدوات، وإشارات مرجعية إلى المعايير الحالية والأدبيات البحثية.

كيفية الإشارة إلى متطلبات AISVS

لكل مطلب معرّف بالصيغة C<chapter>.<section>.<requirement>، حيث يكون كل عنصر رقمًا، على سبيل المثال C9.4.3.

تتوافق قيمة C<chapter> مع الفصل الذي يأتي منه المطلب؛ على سبيل المثال، جميع متطلبات C9.#.# من فصل "أمن التنسيق والأنظمة الفاعلة".
تتوافق قيمة <section> مع القسم داخل ذلك الفصل الذي يظهر فيه المطلب؛ على سبيل المثال، جميع متطلبات C9.4.# موجودة في قسم "هوية الوكيل والمُنَسِّق".
تحدد قيمة <requirement> المطلب المحدد داخل الفصل والقسم؛ على سبيل المثال، C9.4.3 وهو اعتبارًا من الإصدار 1.0 من هذا المعيار:

تحقق من أنه يتم تدوير بيانات اعتماد هوية الوكيل وفقًا لجدول زمني محدد.

نظرًا لأن المعرّفات قد تتغير بين إصدارات المعيار، فمن الأفضل للمستندات أو التقارير أو الأدوات الأخرى استخدام الصيغة التالية: v<version>-C<chapter>.<section>.<requirement>، حيث يكون version هو وسم إصدار AISVS. على سبيل المثال: v1.0-C9.4.3.

ملاحظة: يجب أن يكون v الذي يسبق رقم الإصدار بحرف صغير دائمًا.

إذا استُخدمت المعرّفات دون تضمين عنصر v<version>، فيُفترض أنها تشير إلى أحدث محتوى AISVS. ومع نمو المعيار وتغيّره، يصبح هذا الأمر إشكاليًا، ولهذا يجب على الكتّاب أو المطوّرين تضمين عنصر الإصدار.

إدارة الإصدارات

يستخدم AISVS رقم إصدار من جزأين، v<MAJOR>.<MINOR> (على سبيل المثال، v1.0، v1.01، v2.0). تغطي الإصدارات الرئيسية تغييرات الفصول والأقسام، بينما تغطي الإصدارات الفرعية الإضافات والإزالات والتعديلات الجوهرية على المتطلبات ضمن البنية القائمة، وتُطرح إصلاحات التصحيحات داخل الفرع دون إصدار منفصل. السياسة الكاملة موثقة في RELEASE.md.

يُصدر كل إصدار مستقر من AISVS كمجلد مرقّم في هذا المستودع. وبمجرد إصدار نسخة، يُقفل مجلدها؛ وتتم جميع الأعمال المستقبلية في مجلد جديد. يعكس هذا النهج الأسلوب المتبع في OWASP ASVS.

/
├── 1.0/        <- published stable release (locked)
├── 1.01-dev/   <- next minor release (in progress)

المساهمة

نرحب بمساهمات المجتمع. يرجى فتح issue للإبلاغ عن الأخطاء أو اقتراح التحسينات. قد نطلب منك تقديم pull request بناءً على النقاش.

للإبلاغ عن مشكلة أمنية في مشروع AISVS نفسه، يرجى اتباع سياسة الأمن.

الترخيص

جميع محتوى المشروع مرخّص بموجب رخصة المشاع الإبداعي نسب المُصنَّف – الترخيص بالمثل 4.0 الدولية.

OWASP ASVS	أمن تطبيقات الويب	يوسّع AISVS مفاهيم ASVS لتشمل التهديدات الخاصة بالذكاء الاصطناعي
OWASP Top 10 for LLMs	التوعية بأهم مخاطر نماذج اللغات الكبيرة (LLM)	يوفّر AISVS الضوابط التفصيلية للتخفيف من تلك المخاطر
OWASP Top 10 for Agentic Applications	التوعية بأهم مخاطر الذكاء الاصطناعي الفاعل (Agentic AI)	يوفّر AISVS الضوابط التفصيلية لمعالجة التهديدات الخاصة بالأنظمة الفاعلة
NIST AI RMF	حوكمة مخاطر الذكاء الاصطناعي	يوفّر AISVS الضوابط التقنية القابلة للاختبار التي يشير إليها AI RMF
ISO/IEC 42001	أنظمة إدارة الذكاء الاصطناعي	يكمل AISVS ذلك بالتحقق الأمني على مستوى التنفيذ

1	ضوابط أساسية جوهرية يجب أن ينفذها كل نظام ذكاء اصطناعي.	جميع تطبيقات الذكاء الاصطناعي، بما في ذلك الأدوات الداخلية والأنظمة منخفضة المخاطر.
2	ضوابط قياسية للأنظمة التي تتعامل مع بيانات حساسة أو تتخذ قرارات ذات عواقب.	أنظمة الإنتاج، والذكاء الاصطناعي الموجَّه للعملاء، والأنظمة التي تعالج البيانات الشخصية.
3	ضوابط متقدمة لبيئات الضمان العالي التي تتطلب دفاعًا ضد الهجمات المتطورة.	البنية التحتية الحرجة، والذكاء الاصطناعي الحرج للسلامة، والأهداف عالية القيمة، والصناعات الخاضعة للتنظيم.

AISVS

الأكثر شعبية