جدران حماية وكلاء الذكاء الاصطناعي: مشكلة سلاسل التوريد في عام 2026

جدار حماية وكلاء الذكاء الاصطناعي (AI agent firewall) هو أداة تحكم تفحص ما يدخل في سياق الوكيل — مثل المهارات، والإضافات (plugins)، وخوادم MCP، ومحتوى الويب المسترجع — وتقوم بحظر المواد غير الموثوقة قبل أن يتخذ الوكيل أي إجراء بناءً عليها. إنه يحمي المدخلات بدلاً من الصلاحيات، وهو التمييز الذي يركز عليه الموردون في هذه الفئة.

ملخص

شهد يوم الثلاثاء، 1 سبتمبر 2026، إعلانين في هذه الفئة الناشئة.

خرجت شركة AIR Security من طور التخفي بعد جمع 50 مليون دولار عبر جولتين تمويليتين أوليتين (seed rounds)، تم إغلاقهما كلتاهما خلال الأشهر الستة الأولى من تأسيسها.¹² وفي اليوم نفسه، كشفت CrowdStrike عن Falcon Guardian في مؤتمر Fal.Con 2026، وهو منتجها للأمن وقت التشغيل (runtime security) المخصص لوكلاء الذكاء الاصطناعي، والذي يرتكز عند نقطة النهاية (endpoint).³

الرقم الذي لفت الأنظار جاء من أبحاث AIR نفسها: أكثر من 17,800 إضافة ذكاء اصطناعي عامة، تمثل 6.7 مليون عملية تثبيت، اعتمدت على مصادر تعليمات خارجية غير موثوقة.⁴⁵²

هذا الرقم حقيقي، ولكنه أيضاً أكثر تحديداً مما يبدو. فهو يقيس المصدر غير المتحقق منه، وليس الخبث المؤكد — وهو تمييز يستحق الانتباه إليه قبل أن يخصص أي شخص ميزانية بناءً عليه.

ما ستتعلمه

• ما الذي يحسبه رقم الـ 17,800 إضافة الخاص بشركة AIR فعلياً، وما الذي لا يحسبه
• لماذا يجادل هؤلاء الموردون بأن "السياق" هو سطح الهجوم، وليس الصلاحيات
• ما الذي أعلنته CrowdStrike، وما الذي أشارت إليه في بيانها الصحفي كخطط مستقبلية
• كيف تقارن أبحاث Black Hat المستقلة من Zenity Labs بهذه النتائج
• حجم رأس المال الذي تدفق إلى أمن الوكلاء في الثلاثة عشر شهراً الماضية
• ما هي الأسئلة التي يجب طرحها على مورد في هذه الفئة قبل التوقيع معه

ما الذي وجدته AIR فعلياً

استندت AIR في إطلاقها إلى ثلاثة أرقام.

الرقم الرئيسي، بكلمات AIR نفسها: أكثر من 17,800 إضافة ذكاء اصطناعي عامة، تمثل 6.7 مليون عملية تثبيت، "اعتمدت على مصادر تعليمات خارجية غير موثوقة".⁴ وهذا يعني في المتوسط حوالي 375 عملية تثبيت لكل إضافة.

الثاني: حددت AIR مهارات ذكاء اصطناعي (AI Skills) في الواقع تنتحل صفة علامات تجارية موثوقة، بما في ذلك Anthropic و OpenAI، لتجاوز مراجعات الأمان الخاصة بالمنصات.⁴ وكانت إحدى هذه المهارات قادرة على تنفيذ أكواد عشوائية على أنظمة الشركات.⁵²

الثالث هو رقم تشغيلي وليس بحثياً. تقوم منصة AIR حالياً بتصفية حوالي 27% من الإضافات والمهارات التي تجدها عبر الإنترنت — أي أكثر من واحدة من كل أربعة.¹

اقرأ الرقم الأول بعناية. "مصادر تعليمات خارجية غير موثوقة" تصف إضافة تجلب نصاً لم تكتبه ولا يمكنها ضمان صحته. هذه مشكلة تتعلق بالمصدر (provenance). وهذا لا يعني أن 17,800 إضافة هي إضافات خبيثة، و AIR لا تقول ذلك.

أما رقم 27% فهو قياس مختلف تماماً: إنه معدل الرفض الخاص بشركة AIR بناءً على معاييرها الخاصة، ولم يصاحب التغطية الإعلامية للإطلاق أي منهجية منشورة. تعامل معه كإحصائية تشغيلية أبلغ عنها المورد، وليس كمعيار أساسي للصناعة.

لماذا يتم تقديم المشروع كـ "جدار حماية" وليس "ماسح ضوئي"

الحجة التي يطرحها مؤسسو AIR هي أن الصناعة كانت تؤمن الطبقة الخاطئة.

قال الرئيس التنفيذي Yair Saban: "كل مؤسسة لديها جدار حماية يحمي شبكتها، والآن هم بحاجة إلى جدار حماية يحمي وكلاء الذكاء الاصطناعي (AI agents) الخاصين بهم".²⁵

ادعاء Saban الأكثر تحديداً هو أن التصاريح ليست الخطر الأساسي. فالوكلاء يتخذون قرارات بناءً على كل ما يواجهونه أثناء تنفيذ المهمة، لذا يكمن الخطر في ثلاثة أماكن: الإضافات والأدوات المثبتة على الوكيل، والمواقع الإلكترونية التي يزورها، والمحتوى الداخلي للمؤسسة.⁵

واستخدم تشبيهاً من عالم الأجهزة (hardware)؛ حيث أخبر Saban موقع TechCrunch أن برامج التشغيل (Drivers) كانت غير موقعة في أوائل العقد الأول من القرن الحادي والعشرين، وهي موقعة اليوم لأنها تقوم بتحميل كود في النواة (kernel). "أنت لا تجد ذلك مع المهارات أو الإضافات أو MCPs، وهذا أمر مؤسف، لأنها نفس الآلية، ونفس الدرس، لكننا لم نتعلمه بعد".¹

وقد صاغ Bogomil Balkansky، الشريك في Sequoia، الميزة التنافسية بنفس الطريقة: "هذه ليست مشكلة مسح ضوئي، بل هي مشكلة إعادة تحقق مستمرة".¹

وطرح Patrick Backhouse، الشريك في Greenoaks، نقطة مكملة في إعلان AIR، واصفاً الوكلاء بأنهم يعملون في وقت التشغيل (runtime) باستخدام مهارات وإضافات وMCPs "من مصادر لم يراجعها أي فريق أمني، وتتسلل عبر الماسحات الضوئية المصممة لأكواد الأمس".⁴

هذا التأطير يؤدي دوراً حقيقياً؛ فعملية مسح واحدة وقت التثبيت لا يمكنها اكتشاف مكون يقوم مطوره بإعادة كتابته لاحقاً — وهو بالضبط نوع الهجوم الذي حدث، كما يظهر بحث Zenity أدناه.

الشركة التي تقف وراء جولة التمويل

تأسست AIR في فبراير 2026 على يد Yair Saban (الرئيس التنفيذي) و Niv Hoffman (المدير التقني)، اللذين التقيا منذ نحو عقد من الزمان في الجيش ويتشاركان خلفيات في الأمن السيبراني الهجومي.⁵ وقد حددهما كل من TechCrunch و SiliconANGLE كقدامى محاربين في الوحدة 8200 الإسرائيلية.¹²

وصل مبلغ الـ 50 مليون دولار في جولتين أُغلقتا في غضون أسابيع من بعضهما: 10 ملايين دولار بقيادة Sequoia، ثم 40 مليون دولار بقيادة Greenoaks.¹² كما شاركت Swish Ventures و Netz Capital، إلى جانب مستثمرين ملائكيين بمن فيهم Yinon Costica المؤسس المشارك لـ Wiz، و Varun Anand المؤسس المشارك لـ Clay، و Ofir Ehrlich المؤسس المشارك لـ Eon، و Zach Frankel رئيس Cognition، و Anne Neuberger.¹⁵

توظف الشركة حوالي 40 شخصاً.¹² وانضم Ryan Knisley، الذي شغل سابقاً منصب CISO في كل من The Walt Disney Company و Costco Wholesale، كمسؤول أول للاستراتيجية.⁵²

من الناحية التجارية، لا يزال الأمر في بدايته. تدعي AIR وجود أكثر من 20 عميلاً، حوالي ربعهم من المؤسسات الكبيرة، مع وجود أقوى طلب في الخدمات المالية والصناعات الدوائية.¹ وتختلف المصادر قليلاً بشأن سوق الإضافات المعتمدة: حيث يقول إعلان AIR أنها توفر واحداً، بينما ذكرت Calcalist أن الشركة لا تزال تعمل على تطويره.⁴⁵

تحرك CrowdStrike في نفس اليوم

تم الكشف عن Falcon Guardian في 1 سبتمبر أيضاً، في مؤتمر Fal.Con 2026 في لاس فيغاس، وتم تقديمه كمنتج للكشف والاستجابة للذكاء الاصطناعي (AIDR).³ وكانت CrowdStrike قد أتاحت بالفعل Falcon AI Detection and Response للاستخدام العام في 15 ديسمبر 2025، ويحمل Guardian نفس تسمية AIDR.⁶

حجة "نقطة النهاية" (endpoint) هي جوهر أطروحة CrowdStrike. وقال الرئيس التنفيذي George Kurtz في البيان: "الحوكمة وحدها لا يمكنها إيقاف عميل (agent) بدأ بالفعل في التحرك".³

يسرد البيان ثماني قدرات، أربع منها هي ضوابط العميل الأساسية:³

• اكتشاف وجرد عملاء الذكاء الاصطناعي (AI Agent Discovery and Inventory) — يقوم مستشعر Falcon بالعثور على العملاء المعروفين والعملاء الخفيين (shadow agents) عبر Windows و macOS، مع جرد حي للعملاء النشطين والخاملين ومن قام بنشرهم
• رؤية وقت التشغيل للعميل (Agent Runtime Visibility) — يربط سلوك العميل ببيانات نقطة النهاية، ويتتبع الأوامر (prompt)، والهوية، واستدعاء الأدوات، واستخدام المهارات وصولاً إلى إجراءات النظام اللاحقة
• ضوابط وصول العميل (Agent Access Controls) — يحدد العملاء الذين يمكنهم العمل على نقاط النهاية المدارة ويحظر البقية
• الكشف والاستجابة في وقت التشغيل (Runtime Detection and Response) — يعيد بناء سلسلة التنفيذ ويحدد نطاق التأثير (blast radius) أثناء وقوع حادث

اثنتان من القدرات الثماني مكتوبتان بصيغة المستقبل: حيث "سيوفر" AI Gateway نقطة تحكم مركزية لحركة مرور الذكاء الاصطناعي في المؤسسة بما في ذلك MCP، و"سيقدم" Falcon Complete for Guardian خدمة الكشف والاستجابة المدارة على مدار الساعة طوال أيام الأسبوع.³ ولا يذكر البيان تاريخ التوفر العام لـ Guardian.

هذا الأمر مهم لأي شخص يقارن بين الإعلانين. تبلغ AIR عن وجود أكثر من 20 عميلاً؛ بينما تقوم CrowdStrike بتوسيع منصة تقول إنها منتشرة عبر مئات الملايين من الأجهزة، مع بقاء جزء من العرض في مرحلة التطوير.¹³

تأكيد مستقل: Zenity Labs في Black Hat

أقوى دليل على أن إضافات العميل (agent add-ons) تمثل سطح هجوم نشط لم يأتِ من AIR، بل ظهر قبل ذلك بشهر تقريبًا.

في مؤتمر Black Hat USA 2026 في 6 أغسطس، كشفت Zenity Labs عن حملة لسرقة بيانات الاعتماد تم توزيعها من خلال skills.sh التابعة لـ Vercel. جمعت عائلة المهارات (skill family) المتضررة أكثر من 1.7 مليون عملية تثبيت إجمالية — وتؤكد Zenity أنها عمليات تثبيت، وليست مستخدمين فريدين.⁷

الآليات المستخدمة هي الجزء الذي يستحق القراءة مرتين. استهدفت الحملة مستخدمي Paperclip و Browser Use من خلال مهارات تعتمد على "الخطأ الإملائي في النطاق" (typosquatted skills) ومستودعات مشابهة للأصلية. بدأت عائلة مهارات Paperclip في جمع عمليات التثبيت بينما كانت ملفات المهارات لا تزال نظيفة؛ ثم قام المهاجمون لاحقًا بتحويلها إلى سلاح عن طريق إدراج تعليمات تثبيت خبيثة تسببت في قيام العملاء بتنزيل وتنفيذ كود يتحكم فيه المهاجم.⁷

تسمي Zenity هذا بضعف "وقت التحقق مقابل وقت الاستخدام" (time-of-check to time-of-use) في أسواق المهارات. مهارة نظيفة، اكتساب مصداقية، ثم استبدال الحمولة (payload).

بمجرد التنفيذ، بحثت البرمجية الخبيثة عن مفاتيح SSH، وبيانات اعتماد السحابة، ورموز (tokens) Git ومدير الحزم، وإعدادات Kubernetes و Docker، وبيانات اعتماد قواعد البيانات، وملفات البيئة عبر محطات عمل المطورين، وبيئات CI، ومساحات عمل العميل.⁷

وجدت Zenity أيضًا العشرات من المهارات الخبيثة أو الخطيرة الإضافية في السجلات العامة. أكثر من 30% من المهارات الخطيرة التي حددتها تسيء استخدام Claude Code و OpenClaw كأدوات لإسقاط البرمجيات الخبيثة (malware droppers).⁷ قامت Vercel و Microsoft/GitHub بإزالة المهارات والقوائم والمستودعات المحددة في غضون 12 ساعة من الإخطار، رغم أن Zenity تشير إلى أن التعليمات المنسوخة قد تظل موجودة في مراحل لاحقة.⁷

استنتاج Zenity هو أن المراجعة الساكنة (static review) هي الأداة الخاطئة: "أخطر المهارات مصممة لتبدو حميدة وتحيد تحليل LLM بينما تخفي سلوكًا خبيثًا لا يظهر إلا أثناء التنفيذ"، كما قال المدير التقني والمؤسس المشارك Michael Bargury.⁷ أطلقت الشركة خدمة تحليل ديناميكي مجانية، AI Total، تقوم بتشغيل المهارة داخل بيئة معزولة (sandbox) وتقييمها بناءً على السلوك الملحوظ.⁷

رقمان، ومقامان مختلفان

إليك النقطة التحليلية التي تضيع عندما يتم تكديس هذه النتائج في فقرة واحدة مخيفة.

إحصائية AIR البالغة 17,800 تحسب الإضافات ذات مصادر التعليمات غير المتحقق منها. أما نتائج Zenity فتحسب المهارات ذات السلوك الخبيث المثبت — عائلة حملة واحدة بالإضافة إلى عشرات المهارات الفردية.

هذه مجموعات مختلفة تم قياسها بطرق مختلفة. الأولى هي مقياس للنظافة التقنية (hygiene metric)؛ والثانية هي عدد الحوادث. الإضافة التي تجلب محتوى ويب غير متحقق منه هي "معرضة للخطر" وليست "مخترقة"، ورقم AIR لا يقول شيئًا عن عدد المرات التي تم فيها استغلال أي من الـ 17,800.

الخلط بينهما ينتج صورة تهديد مثيرة للقلق وغير قابلة للتفنيد في آن واحد. أما إبقاؤهما منفصلين فينتج صورة قابلة للاستخدام: السطح المعرض للخطر كبير، والاستغلال المؤكد له موثق ولكنه حتى الآن يُقاس بعشرات المهارات وحملة واحدة مفصلة علنًا.

نظرتنا السابقة إلى مهارات العميل القابلة للنقل ولكن نادرًا ما يتم التحقق منها وإلى ثغرات الإطار التي تم الكشف عنها في Black Hat تغطي كيف تم بناء هذا السطح في المقام الأول.

المال في أمن العملاء الذكيين

جولة تمويل AIR هي الأحدث، وليست الأكبر، حيث أن هذا القطاع يتلقى تمويلاً منذ أكثر من عام.

المصادر: TechCrunch و SiliconANGLE بالنسبة لـ AIR؛ وإعلان Zenity الخاص؛ وإعلان Noma.¹²⁸⁹

تفيد Zenity الآن بأن لديها أكثر من 230 موظفاً، مع وجود قسم البحث والتطوير (R&D) في تل أبيب، بينما تُدار عمليات الدخول إلى السوق من نيويورك.⁸ أما Noma فقد خرجت من طور التخفي في نوفمبر 2024 وجمعت تمويل Series B في أقل من عام بعد الجولة التي سبقتها.⁹

تذكر TechCrunch أن Noma و Zenity و Astrix Security و Operant AI هم منافسون يبيعون بالفعل خدمات اكتشاف الوكلاء (agent discovery)، أو التحكم في الوصول، أو بوابات MCP.¹ كما بدأت عمليات الاندماج بالفعل — حيث أعلنت Fortinet عن استحواذها على Virtue AI في 17 أغسطس.

يتحدث Saban بصراحة عن الازدحام في هذا المجال، حيث قال لـ Calcalist: "لقد انخفضت جدية تطوير البرمجيات بشكل كبير. تظهر العديد من الشركات اليوم"، مجادلاً بأن ما يميز AIR هو الوقاية بدلاً من الكشف بعد حدوث الاختراق.⁵

ما الذي يجب أن تسأل عنه قبل الشراء

ستة أسئلة تفصل بين القيمة الحقيقية لهذا القطاع وبين التسويق، بناءً على ما تثبته (أو لا تثبته) هذه الإعلانات:

1. وتيرة إعادة الفحص. إذا كان العرض الترويجي يعتمد على إعادة التحقق المستمر، فاسأل عن عدد مرات إعادة فحص المكونات وما الذي يحفز عملية إعادة الفحص. لقد نجح هجوم Paperclip تحديداً لأن المراجعة تمت قبل وصول الحمولة الضارة (payload).
2. تحليل ثابت أم ديناميكي. تجادل أبحاث Zenity بأن التحليل الثابت يغفل المهارات التي لا يظهر سلوكها إلا أثناء التشغيل (runtime). فاسأل المورد عن النوع الذي يستخدمه.
3. معايير الرفض. معدل تصفية بنسبة 27% لا معنى له بدون معرفة مجموعة القواعد التي تستند إليها. فاسأل عما يتم رفضه وكيف يبدو معدل الإيجابيات الكاذبة (false-positive rate).
4. تغطية بنيتك التقنية الفعلية. المهارات، والإضافات (plugins)، وخوادم MCP، والوكلاء الفرعيون هم كائنات مختلفة ببيانات تعريف (manifests) مختلفة. فاسأل عما يتم تغطيته اليوم وما هو مدرج في خطة التطوير المستقبلية.
5. اكتشاف الوكلاء الخفيين (shadow agents). تعتمد كل من AIR و CrowdStrike على ميزة الاكتشاف لسبب وجيه — فلا يمكنك فحص ما لم تجده. فاسأل عما يمكن اكتشافه على الأجهزة غير المدارة.
6. التوفر، بدقة. ميز بين ما تم إطلاقه فعلياً وما تم الإعلان عنه. في إصدار CrowdStrike نفسه، اثنتان من القدرات الثماني المذكورة صيغتا بصيغة المستقبل.

الخلاصة

أعلن موردان عن منتجات لسلسلة توريد الوكلاء في نفس يوم الثلاثاء، وكان هناك مورد ثالث قد أثبت بالفعل أن الهجوم ينجح. هذا هو شكل تشكّل فئة جديدة من المنتجات.

الأدلة تدعم هذا التوجه: المكونات التي يسحبها الوكلاء أثناء التشغيل غير موقعة، وقابلة للتغيير بعد المراجعة، ويمكن للمهاجمين الوصول إليها مدركين أن إدراج المنتج في المتجر هو وعد بشأن الماضي، وليس الحاضر.

لكن الأدلة لا تدعم بعد التفسير الأكبر للأرقام. فوجود سبعة عشر ألفاً وثمانمائة إضافة مكشوفة هو مشكلة في مصدر البيانات تستحق الإصلاح؛ لكنها ليست سبعة عشر ألفاً وثمانمائة عملية اختراق. اشترِ بناءً على الإطار الأول، واطرح أسئلة صعبة حول وتيرة إعادة الفحص، وتعامل مع كل إحصائية لمعدل الرفض على أنها تقرير من المورد حتى ينشر شخص ما منهجية واضحة.