داخل تسريب اللاما: لماذا تحوّل خطأ ذاكرة واحد في Ollama إلى تعرضٍ عالي الخطورة في الذكاء الاصطناعي

هناك أخطاء في الذكاء الاصطناعي تُفسد الإجابات، ثم هناك أخطاء يمكن أن تُسرّب ما كانت الخادم يحتفظ به في الذاكرة في تلك اللحظة. الثغرة الجديدة المُعلنة CVE-2026-7482 في Ollama تندرج ضمن الفئة الثانية. يقول الباحثون إن الخلل عبارة عن قراءة حرجة خارج الحدود، مصنفة بدرجة CVSS 9.1 وتحمل الاسم الرمزي “Bleeding Llama”، مع خطر مُبلّغ عنه يتمثل في تسريب الذاكرة عن بُعد ومن دون مصادقة.

هذا التمييز مهم. فهذه ليست مشكلة عادية في مُدخلات روبوت المحادثة؛ بل هي ضعف في مسار إدخال النماذج وإدارتها، حيث يمكن تحليل أصول نماذج غير موثوقة أو إنشاؤها أو إعادة نشرها. ومن منظور دفاعي، يغيّر ذلك السؤال من “ماذا قال النموذج؟” إلى “ماذا كان موجودًا في ذاكرة بيئة التشغيل عندما عالج الملف؟”.

حقائق سريعة

• تُذكر CVE-2026-7482 على أنها قراءة حرجة خارج الحدود في Ollama.
• تحمل الثغرة الاسم الرمزي “Bleeding Llama” من Cyera.
• يشير التقرير العلني إلى أن مهاجمًا عن بُعد ومن دون مصادقة قد يتمكن من تسريب ذاكرة العملية.
• تقدير حجم التعرض يتجاوز على الأرجح 300,000 خادم عالميًا.
• تكون المخاطرة أكبر حيثما كان Ollama مكشوفًا خارج localhost أو موضوعًا داخل وكلاء عكسيين وأنفاق.

لماذا يهم هذا الخلل

تُعد القراءات خارج الحدود إخفاقًا كلاسيكيًا في السرية. تصنف MITRE هذا الضعف على أنه CWE-125: حيث يقرأ البرنامج ما بعد الحد المقصود وقد يكشف أي شيء يقع قريبًا في الذاكرة. وفي خادم يتعامل مع أعباء عمل الذكاء الاصطناعي، قد تكون تلك الذاكرة حساسة بشكل خاص لأنها قد تحتوي على المطالبات، ومطالبات النظام، ومتغيرات البيئة، وبيانات الجلسة، أو أسرار تشغيلية أخرى بحسب طريقة النشر.

والدرس الأوسع هو أن ملفات النماذج ليست محتوى سلبيًا. فعندما يقوم وقت التشغيل بالتحقق منها أو تحويلها أو تقنينها أو إعادة نشرها، تصبح الملف حدًّا إدخاليًا يحتاج إلى نفس الشك الذي يطبقه المدافعون على أي محلل غير موثوق آخر. ولهذا السبب، فإن مسار إدارة Ollama، وليس واجهة المحادثة وحدها، هو نقطة التحكم المهمة.

يقول التقرير العلني إن المسار المتأثر قد يتضمن سير عمل إنشاء النموذج ودفعه. ولا يزال المسار التقني الدقيق مسألة تتعلق بإفصاحات البائع والباحث، لكن الدلالة الدفاعية واضحة بالفعل: يجب اعتبار أي خدمة تتعامل مع أصول النماذج هدفًا عالي القيمة للتحليل.

الدروس الدفاعية

ينبغي على المؤسسات التي تشغّل بنية ذكاء اصطناعي محلية التحقق من التعرض أولًا. إذا كانت الخدمة مرتبطة فقط بـ localhost، يصبح الوصول عن بُعد أكثر صعوبة؛ أما إذا كانت مكشوفة عبر ربط شبكي أو وكيل عكسي أو نفق، فإن ملف المخاطر يتغير بسرعة. كما ينبغي على المسؤولين تقييد من يمكنه استدعاء نقاط نهاية إدارة النماذج، ومراجعة السجلات بحثًا عن نشاط غير معتاد في الإنشاء أو الدفع، وتدوير الأسرار على المضيفات التي ربما احتفظت ببيانات حساسة في الذاكرة.

إن تقدير النطاق المُبلّغ عنه مهم، لكنه يجب أن يُقرأ بحذر: فهو ادعاء احتمالي وليس تعدادًا موثقًا. ومع ذلك، تسلط الحادثة الضوء على نمط مألوف في أمن الذكاء الاصطناعي الحديث. غالبًا لا تكون نقطة الضعف هي مخرجات النموذج، بل البنية المحيطة به.

الخلاصة

تذكّرنا Bleeding Llama بأن بيئات تشغيل الذكاء الاصطناعي ترث أقدم مشكلات أمن البرمجيات: سلامة الذاكرة، والثقة في المحلل، والتحكم في التعرض. وفي عالم تنتقل فيه ملفات النماذج عبر واجهات برمجة التطبيقات ويمكن أن تتحول الخوادم المحلية بهدوء إلى خدمات شبكية، يحتاج المدافعون إلى التفكير أقل في الحداثة وأكثر في الحدود. والدرس بسيط: إذا كان نظام ذكاء اصطناعي يحلل أصولًا غير موثوقة، فإنه يستحق نفس مستوى التحصين الذي ستمنحه لأي خادم حساس آخر.

TECHCROOK

جهاز جدار ناري للشبكة: يمكن لجدار ناري مخصص أن يساعد في إبقاء الخدمات الداخلية خارج الإنترنت العام، وعزل مضيفات الذكاء الاصطناعي عن الأنظمة الأخرى، ومنحك تحكمًا أوضح في قواعد الوصول الواردة. وهو يكون أكثر فائدة عندما يجب أن يكون الجهاز قابلًا للوصول فقط من عناوين موثوقة أو شبكات محلية.

Scheda Techcrook: network firewall appliance

WIKICROOK

• القراءة خارج الحدود: خطأ يقرأ فيه البرنامج ما بعد الحد المقصود للذاكرة، ما قد يؤدي إلى تسريب البيانات المجاورة.
• CVE: معرّف معياري يُستخدم لتتبع الثغرات المُعلنة للعامة.
• CWE-125: تصنيف MITRE لضعف القراءة خارج الحدود الذي قد يكشف الذاكرة الحساسة.
• ذاكرة العملية: الذاكرة الحية لبرنامج قيد التشغيل، وقد تحتوي على أسرار ومطالبات وبيانات وقت التشغيل.
• نقطة نهاية إدارة النماذج: مسار API يُستخدم لإنشاء النماذج أو نشرها أو التعامل معها بدلًا من الإجابة عن مطالبات المستخدم.