إثبات الحدّ قبل منح الاستقلالية.
مختبرٌ قابل لإعادة الإنتاج لوكلاء البرمجة. يحاول كسر الحدود المعلَنة — عبر MCP أو صَدَفة الأوامر أو نص برمجي أو نداء API مباشر — ويرصد النتيجة من خارج الوكيل، ثم يشغّل المهمة الحقيقية بموجب الملف التعريفي نفسه. والناتج تغييرٌ مرشَّح، ودليل موقَّع لكل مسار جرى اختباره، وقائمة صريحة بما لم يُقيَّم.
Beta · دليل لكل مسار
ما يفعله المختبر اليوم
كل بند خاصيّةٌ من خصائص المختبر والتقارير الموقَّعة التي ينتجها، يمكن التحقّق منها دون سؤالنا.
- يعيد إنتاج الثغرة أولًا: يُظهر خط أساس متساهل الأثرَ الذي يستطيع وكيلٌ إحداثه حين يكون الحدّ معلَنًا فقط، كي يجد التشغيل المحمي شيئًا حقيقيًا يحتويه.
- يرسل المحاولة المحظورة نفسها عبر MCP وصَدَفة الأوامر ونص برمجي ونداء API مباشر. والمسار الذي لم يُجرَّب يُبلَّغ عنه بوصفه غير مُقيَّم، ولا يُبلَّغ عنه أبدًا بوصفه محميًّا.
- يرصد الآثار من عملية خارج الوكيل. وتُعامَل سجلّات الوكيل وملخّصاته ومخرجات أدواته بوصفها أدلة غير موثوقة.
- لا يسمح بالخروج إلا للمرشَّح الدقيق الذي خضع للمراجعة — المستودع والفرع والـ ref المتوقَّع والـ diff — عبر Execution Guardian، مع فحص ذرّي للحالة البعيدة.
- يوقّع كل تقرير تشغيل بمفتاح للمشرف لا يراه الوكيل أبدًا؛ ويُتحقَّق من التقرير دون اتصال مقابل مراسي ثقة يثبّتها المشغّل.
سبب وجوده
MCP مسار واحد. وصَدَفة الأوامر والملفات وواجهات API والمتصفح والأتمتة مسارات أخرى.
يريد فريقٌ أن يدع وكيل برمجة يعمل دون أن يبلغ الإنتاج أو الأسرار أو عمل الآخرين، ويحتاج إلى التحقّق من أن تلك الحدود صامدة دون أن يدمّر بيئته الحقيقية. الخطافات وأوضاع الموافقة تصف كيف يطلب الوكيل الإذن؛ وليست محيطًا أمنيًا. والخطر كامن في السلطة التي يستطيع الوكيل استخدامها فعلًا وفي المسارات التي يستطيع بلوغها فعلًا — فكلٌّ من socket لـ SSH، وجلسة المتصفح، والخادم الوسيط الذي يوقّع أي طلب، والنقطة الطرفية الداخلية، يمنح سلطةً دون أن يكشف مفتاحًا واحدًا.
عائلات الإخفاق التي تقوم عليها الاختبارات
حالاتٌ علنية من عام 2026 شكّلت السيناريوهات. وكل عائلة تقابل ضابطًا والاختبارات التي تحاول كسره.
بيانات اعتماد في المتناول
عثر وكيلٌ على رمز طويل العمر يسري على الحساب بأكمله في جهاز أحد المطوّرين، ونادى واجهة API لدى المزوّد مباشرةً، وحذف وحدة تخزين لقاعدة بيانات إنتاجية. الضابط: لا بيانات اعتماد محيطة، ولا sockets، ولا جلسات متصفح، ولا بيانات وصفية للسحابة داخل البيئة؛ والآثار القابلة للتصدير لا تمرّ إلا عبر Execution Guardian.
الاختبارات · H04 · H05 · H15
قنوات غير معلَنة
خلال تقييم داخلي، استخدم وكلاءُ كان يُفترض أن يكونوا معزولين ذاكرةَ تخزين مؤقت مشتركة للحزم لوحةً للرسائل، وتنسّقوا على نطاق واسع. الضابط: فضاء أسماء خاص لكل تشغيل، وتبعيات من لقطة غير قابلة للتغيير، ولا إخفاق في ذاكرة التخزين المؤقت يؤدّي إلى تنزيل أو كتابة — فحتى طلب GET قد يغيّر ذاكرة تخزين مؤقت.
الاختبارات · H10 · H23
مهامّ بلا مخرج مشروع
دفعت مهامُّ مستحيلةُ الحلّ وكلاءَ مثابرين نحو التلاعب بأداة التقييم بدل التوقّف. الضابط: cannot_complete_within_scope وneeds_authority نتيجتان صالحتان، تصلان إلى المشغّل عبر قناة محدودة — ولا تكونان أبدًا سببًا لتوسيع السلطة.
الاختبارات · H22
مخرجات أدوات مختلَقة
تضمّن جزءٌ من النصوص المفرَّغة في ذلك التحقيق نتائجَ أدوات بدت حقيقية ولم تكن كذلك. الضابط: مراقِب خارج الوكيل يقرأ الأثر والشرط اللاحق للوجهة؛ ولا يُؤخذ سجلّ الوكيل ولا رسالة النجاح الصادرة عن الـ Guardian نفسه على أنهما الحقيقة.
الاختبارات · H11 · H17
حاجز واحد
العزل الذي يقوم على ضابط واحد لا يصمد إلا إلى أن يفشل ذلك الضابط. الضابط: حاجز خارجي مستقل عن الـ Guardian؛ واختراق أداة مساعدة أو الـ Guardian نفسه يجب ألّا يفتح الإنترنت ولا شبكات المضيف ولا حملات أخرى.
الاختبارات · H19
إيقاف يأتي متأخرًا
في حادثة التقييم، جاء الكشف والإيقاف بعد وقوع الضرر. الضابط: إيقاف دائم خارج الوكيل، ونبضٌ من المراقِب يؤدّي انقضاؤه إلى إغلاق القبول والخروج الشبكي، وميزانية حملة لا يجدّدها أي تكرار للمحاولة ولا أي إعادة تشغيل.
الاختبارات · H07 · H20 · H21
هذه الحالات هي الدافع إلى عائلات الإخفاق. وهي ليست نسخًا جنائية مطابقة، ولا شيء هنا يدّعي أن المختبر كان سيمنعها. والمتغيّرات التي نختبرها — الأسماء المستعارة، والأغلفة الوسيطة، وإخفاقات ذاكرة التخزين المؤقت — من صنعنا.
الحلقة
الإعلان، ومحاولة الكسر، والرصد، والتصحيح، وإعادة الاختبار، والموافقة، والتنفيذ، والتحقّق.
- 01 الإعلان
- 02 محاولة الكسر
- 03 الرصد من الخارج
- 04 التصحيح
- 05 إعادة الاختبار
- 06 الموافقة على الأثر الدقيق
- 07 التنفيذ
- 08 التحقّق
يتحوّل الحدّ المعلَن إلى اختبار قابل للدحض، ثم يحكم الحدُّ نفسه التشغيلَ الحقيقي. وتغيير حقل جوهري — النموذج، أو توصيلة، أو السياسة، أو المحوّل، أو الوجهة — يفرض إعادة التحقّق من المسارات المتأثرة قبل أن تُحتسب من جديد.
أربع مسؤوليات منفصلة
Harness
يقترح التغييرات؛ والخطافات تشرح أسباب الرفض. ونصّه واختباراته وسجلّاته أدلةٌ غير موثوقة إلى أن يُتثبَّت منها. وقد يخطئ، وقد يحاول التملّص من الضوابط.
البيئة
تحدّ الملفات والعمليات والوقت والموارد والشبكة خارج سيطرة الوكيل. الـ backend الأول: Docker دون امتيازات على Linux داخل بنية تحتية قابلة للتخلّص منها — بلا HOME للمضيف، ولا .git مشترك، ولا sockets لـ SSH أو Docker، ولا جلسات متصفح، ولا بيانات وصفية للسحابة، ولا بيانات اعتماد محيطة.
Execution Guardian
المنفِّذ الوحيد للآثار القابلة للتصدير. يتحقّق من صحة العقد والفاعل والميزانية والحالة السابقة والسياسة والإلغاء. ومفاتيحه ودفتره لا تُركَّب أبدًا حيث يعمل الوكيل.
المراقِب والوجهة
عمليةٌ خارج الوكيل تسجّل النتائج وحالتها الصحية الذاتية؛ وقارئ منفصل يفحص الشرط اللاحق للوجهة. ولا يأخذ أيٌّ منهما ملخّص النموذج ولا سجلّ الـ Guardian على أنه الحقيقة.
في المختبر، المراقِب والـ Guardian عمليتان منفصلتان بمجلدات وصلاحيات منفصلة. وهذا استقلالٌ عن العملية الخاضعة للاختبار، لا تدقيقٌ مؤسسي مستقل.
ملفات التعريف ومستويات المختبر
كل نتيجة تسمّي المسارات التي غطّتها، ولا تطلق أبدًا حكم «آمن» شاملًا.
ملفات تعريف الضبط
HP0خطافات وإعدادات تعاونية. مفيد لتشخيص الحوادث العارضة؛ والآثار خارج الـ Guardian غير مشمولة بالتغطية.HP1منفِّذ خاضع للاحتواء، وExecution Guardian، ومراقِب خارجي. ولا يحقّ ادّعاء الاحتواء إلا للمسارات المختبَرة على الـ backend والإصدارات المعلَنة.HP2HP1 مضافًا إليه قيودٌ مُتحقَّق منها عند الوجهة. يوسّع تغطية تلك الوجهة، لا تغطية داخل وكيل سحابي يملكه طرف آخر.
مستويات المختبر
LR0عمليات حتمية ومُراجَعة على تجهيز اختبار اصطناعي، داخل حاوية مؤقتة دون امتيازات وبشبكة معطَّلة. يثبت منطق الآلية، لا الأمان في مواجهة شيفرة معادية.LR1إعادة إجراء محدودة لـ harness باستجابات اصطناعية وامتداداته معطَّلة، داخل حاوية مخصّصة والخروج الشبكي مغلق. وإن كان الـ harness قادرًا على تشغيل شيفرة اعتباطية، ينتقل التشغيل إلى LR2.LR2نماذج مستقلة، وشيفرة غير موثوقة، واختبارات عدائية: آلة افتراضية Linux مخصّصة وقابلة للتخلّص منها، بحاجز خارجي مستقل وحدود للحملة.
ملفات التعريف الثلاثة، بما فيها خط الأساس المتساهل عمدًا، تعمل داخل حيّز مغلق بلا إنتاج ولا وجهات على الإنترنت. وقد يبلغ خط الأساس موردًا محظورًا اصطناعيًا — ولا يبلغ موردًا حقيقيًا أبدًا.
القيم الافتراضية لتجهيز الاختبار
تُحفظ بإصدارات بوصفها معاملات للمختبر: نسخة من مستودع اصطناعي، و2 CPU، و4 GiB من ذاكرة RAM، و256 عملية، و2 GiB من مساحة العمل المؤقتة، و10 دقائق لكل تشغيل. والمهلة المنتهية أو الاستنفاد أو إخفاق المراقِب تُنتج incomplete — لا PASS أبدًا. وتحتفظ الخدمات الموثوقة باحتياطيات منفصلة، كي لا يُسكت استنفادُ موارد الوكيل السجلَّ ولا يمنعَ الإيقاف.
أدلة يمكن التحقّق منها
تقارير موقَّعة، وثلاثة محاور لا تُدمج أبدًا.
تُوصَف عمليات التشغيل ببنى ذات إصدارات يُتحقَّق من صحتها بـ Zod — HarnessProfileV1 وHarnessScenarioV1 وHarnessRunReportV1. ويوقّع التقريرَ مفتاحٌ للمشرف خارج الوكيل، ويُتحقَّق منه دون اتصال مقابل مراسٍ مثبَّتة عبر قناة للمشغّل؛ ولا يُوثَق أبدًا بمفتاح مضمَّن داخل التقرير نفسه الذي يوقّعه.
النتيجة
PASS · FAIL · SKIP
الـ SKIP الإلزامي لا يفتح البوابة أبدًا، والتبعية المفقودة لا تتحوّل أبدًا إلى تشغيل ناجح.
المستوى
محاكاة · تكامل حقيقي · غير مُقيَّم
لا تُقدَّم المحاكاة أبدًا على أنها تكامل.
التغطية لكل مسار
محميّ · مدحوض · جزئي · غير مُقيَّم
الالتفاف الذي يُحدث أثرًا يحوّل التغطية المعلَنة إلى مدحوضة.
يُعاد استخدام الدليل بحسب الخاصيّة، لا بحسب بصمة شاملة.
القبول اقترانٌ منطقي: سلطة دقيقة، وسياسة محلية، ودليل أصيل وقابل للتطبيق لكل مسار مطلوب، ورصد حيّ، وميزانية متبقّية. قد يستوفي التقرير أحد هذه الشروط؛ لكنه لا يحلّ أبدًا محلّ البقية ولا ينشئ إذنًا أبدًا. وقاعدةٌ ذات إصدار، يثبّتها المشغّل خارج الوكيل، تقارن التبعيات الجوهرية لكل ادّعاء بالإعداد المرصود الآن — والحقل المفقود أو المجهول أو غير القابل للفحص يعني غير مُقيَّم.
- عزل الملفات والعملياتيعتمد على نظام التشغيل والنواة والـ backend والصورة والهوية والامتيازات والتوصيلات والـ sockets والإطلاق الفعلي. ووجهة Git جديدة وحدها لا تُبطله؛ أمّا توصيلة جديدة فتُبطله.
- خروج شبكي خاضع للاحتواءيعتمد على القواعد والمسارات وDNS والخوادم الوسيطة والأدوات المساعدة والنقاط الطرفية القابلة للبلوغ. وتفويض نطاق آخر لا يرث PASS أبدًا، والكناري المحلي لا يثبت حجب الإنترنت.
- المحوّل يحافظ على الأثر الدقيققابل لإعادة الاستخدام بوصفه دليلًا على الآلية. ولا يثبت شيئًا عن الصلاحيات أو الشبكة أو الهوية أو سلوك مزوّد حقيقي.
- التكامل مع الوجهةلا يُحصَّل إلا على تلك الوجهة المصرَّح بها. وتجهيز الاختبار المحلي لا يصير أبدًا دليلًا على GitHub الحقيقي، وتُعاد قراءة الـ ref والحالة السابقة مع كل أثر.
- سلوك الوكيلمرتبط بالنموذج والإصدار والـ harness والأدوات والمهمة والمعاملات. والنموذج الجديد لا يُبطل حاجزًا لنظام التشغيل اختُبر دونه؛ لكنه يُبطل استقراء سلوكه.
التقرير الأخضر لا يُصدر Execution Grant أبدًا، ولا يحلّ أبدًا محلّ MFA أو النصاب، ولا يفوّض أبدًا نتائج مستقبلية. وأي SHA مرشَّح جديد يحتاج إلى موافقة دقيقة جديدة حتى حين يظلّ دليل البيئة كله قابلًا للتطبيق.
التصدير الدقيق
لا يغادر المختبرَ إلا التغييرُ الذي خضع للمراجعة.
- 01تتوقّف الكتابة وينتقل المرشَّح إلى الحجر. ويعيد المشرف بناء مستودع نظيف من أساس موثوق مضافًا إليه التغيير — بلا .git ولا خطافات ولا أدوات مساعدة ولا إعدادات ولا وحدات فرعية ولا مرشِّحات آتية من الوكيل.
- 02لا تُقبل إلا ملفات نصية عادية داخل الـ paths الخاصة بالمهمة. وتُرفض الـ symlinks والـ gitlinks والـ paths الخارجة عن نطاقها والتغييرات على الضوابط.
- 03تُثبَّت بصمة المُخرَج، والـ SHA المرشَّح، والأساس، والوجهة، والـ ref المتوقَّع، والـ diff الكامل للمدى المُصدَّر. ومؤلّف الـ commit بيانات وصفية، لا تفويض.
- 04تنصّ المراجعة على ما سيُرسَل، وإلى أي مستودع وفرع، وأي عمليات أتمتة سيطلقها. ويربط Task Contract ذلك الأثر الدقيق.
- 05يعيد Execution Guardian التحقّق من الأثر المصنوع والـ ref والسياسة والميزانية والإيقاف، ثم ينفّذ fast-forward أو إنشاء ref مع مقارنة ذرّية للحالة السابقة — وعلى GitHub الإنشاء فقط. ولا يوجد force-push عام.
- 06يُتحقَّق من الحالة البعيدة. والمهلة المنتهية تُبقي الحجز ونتيجةً غير مؤكَّدة إلى أن تتمّ المطابقة، دون إعادة محاولة عمياء، ويميّز الـ receipt بين push مصرَّح به وشيفرة صحيحة أو غير ضارّة.
على GitHub
على GitHub، لا يفعل الإصدار الأول سوى إنشاء ref جديد وفريد يشير إلى الـ SHA المرشَّح بدقة، في مستودع خاص وقابل للتخلّص منه ودون سير عمل. ولا تتيح واجهة REST في GitHub شرطًا مسبقًا على الـ SHA السابق عند تحديث ref، لذا لم تُنفَّذ التحديثات: الإنشاء ذرّي ولا يُفرَض أبدًا، والتسابق يُفشله، ويعيد الشرط اللاحق قراءة الـ ref ويشترط تطابقه مع الـ bundle. وبيانات الاعتماد هي الجلسة المحلية للمشغِّل، وهي أوسع من الحدّ الأدنى. أمّا البوابة المخطَّط لها — جهة إصدار موثوقة ومنفصلة، أي GitHub App بأدنى الصلاحيات ومصدر check مثبَّت بدل Action يتحكّم فيها الـ pull request — فتتطلّب إجراءً إداريًا بشريًا، وإلى أن توجد لا يُدَّعى الحدّ الأدنى من الامتيازات. وفتح pull request أثرٌ منفصل ولاحق؛ ويبقى الـ merge والـ release والـ publish والـ deploy والمدفوعات وعمليات الحذف الحقيقية خارج هذا الإصدار.
الإيقاف والحيوية والميزانية
إيقاف دائم خارج الوكيل
يُغلق باب قبول الآثار الجديدة ومسار الخروج، ويوقف وحدة التنفيذ بأكملها — الـ cgroup أو الحاوية، لا مجرد مجموعة عمليات — ويحتفظ بالأدلة. والآثار المقبولة قبل الإيقاف تُطابَق، ولا يُعاد تفسيرها أبدًا كأنها لم تحدث.
حيوية مربوطة
يشترط القبول نبضةً حديثة من مراقِب خارج الوكيل. ويجب أن يتزايد تسلسلها —فالنبضة المكرَّرة لا تجدّد شيئًا— وكل نبضة تمنح مهلة صلاحية لا تتجاوز 3 ثوانٍ. وعند انقضائها يُغلَق القبول والخروج الشبكي، وتُنهى الوحدة، ويُوسَم التشغيل بـ incomplete. وأي إعادة تشغيل تظلّ متوقّفة.
ميزانية الحملة
دفترٌ خارج الوكلاء: بحدّ أقصى 2 من الـ runners النشطة، و6 عمليات إطلاق، و30 دقيقة تراكمية، وكلفة API صفرية لتجهيز الاختبار الأولي. وكل إعادة محاولة تُحتسب، ولا تجدّدها الجلسات الجديدة ولا عمليات إعادة التشغيل. ولا تنشئ سلطةً ولا وحدةَ فوترة.
مخارج محدودة
إن cannot_complete_within_scope وneeds_authority نتيجتان صالحتان، لا إخفاقان. وتصلان إلى المشغّل بوصفهما مقترحًا منظَّمًا صارمًا —العملية والمورد والسبب، كلٌّ منها في سطر واحد لا يتجاوز 512 حرفًا— لا يحمل موافقة ذاتية ولا يمكنه توسيع الصلاحية. ولا توجد دردشة حرّة بين الوكلاء.
العُدّة
ملف ثنائي واحد، دون حساب: أداة تشخيص ومسبار.
securestamp-harness جزء من حزمة @securestamp/mcp-guard. وتبقى المُخرَجات محلية، دون قياس عن بُعد ودون رفع تلقائي. وتحمل التقارير مراجع وقيم تجزئة وأسبابًا ومقاييس — ولا تحمل أبدًا أسرارًا ولا prompts ولا سلاسل تفكير ولا متون استجابات. أمّا تشغيلات المختبر، والتقارير الموقَّعة والتحقّق منها دون اتصال، والتصدير من الحجر، ودفتر الحملة، فموجودة في حزمة Execution Guardian وفي أدوات المختبر — Docker على Linux، مع Inspect.
securestamp-harness doctor <profile.json> [--propose]يراجع فقط الـ HarnessProfileV1 المُعطى له — الـ backend، والتوصيلات المعلَنة، والمسارات الجوهرية، والمراقِب، والحدود — ويميّز بين المعلَن والمرصود والمجهول. لا يمسح HOME، ولا يبحث عن أسرار حقيقية، ولا يتّصل، ولا ينفّذ الملف التعريفي. ومع --propose يضيف التقرير اقتراحًا مصحَّحًا مع حجب بيانات الاعتماد، يُفحص من جديد بالقواعد نفسها؛ ولا يُطبَّق أيّ شيء على المضيف.
securestamp-harness probe codex-nativeينشئ طُعومًا اصطناعية مؤقتة ويمرّ عبر الإطلاق الحقيقي لبيئة العزل في إصدار Codex المثبَّت: قراءة وكتابة مسموح بهما بوصفهما ضابطين إيجابيين، وقراءة طُعم محظور يجب أن تُحجب. والـ PASS لا يُثبت إلا مسار نظام الملفات ذاك على ذلك الإصدار والمنصّة؛ ولا يتحوّل SKIP أو خطأ في القياس إلى PASS أبدًا.
Harnesses
دليل لكل harness وإصدار ومنصّة.
تترجم المحوّلات إطلاقَ إصدار مثبَّت من الـ harness وأحداثَه. وحين لا يملك الـ harness خطافًا حاجبًا مكافئًا، يبقى الاحتواء خارجيًا ويُوسَم ذلك الخطاف بأنه غير مدعوم بدل اختلاقه. Linux هو الـ backend المُختبَر؛ ولا يرث macOS ولا Windows نتائجه، ولا يعني شعار أي harness تغطيةً كاملة.
- 01
Claude Code · Codex
أول المحوّلات، واحدًا تلو الآخر. ويُقيَّم الملف التعريفي الأصلي لـ macOS على حدة، ولا يرث شيئًا من Linux.
- 02
Cursor
بعد ذلك، بملف تعريف خاص به وخاصيّة واحدة لكل حزمة عمل.
- 03
SDKs
ثم الـ SDKs، بدلالات الدليل نفسها.
- 04
الوكلاء السحابيون
لا يُحتسب إلا الأثر الذي يقع على الوجهة عبر وساطة فعلية؛ وتبقى البيئة الداخلية للوكيل غير مُقيَّمة.
للفرق التي تدرّب النماذج وتقيّمها
تقييمات وكيلية داخل محيط أمني جرى اختباره.
تتكامل تقييمات الـ harness مع Inspect — مهامّه وعيّناته وبيئة Docker المعزولة لديه — لإدارة دورات الحياة والسيناريوهات والحدود. ويساهم SecureStamp بالمراقِب الخارجي وعرّافات الأثر وتصدير التقرير، لا بمُجدوِل آخر، ولا بمُقيِّم قائم على LLM، ولا بخط معالجة للسجلات. ولا تشغّل أي أداة تقييم المرشَّحَ داخل العملية الموثوقة، وإعادة محاولة الأوامر ذات الآثار معطَّلة، وتبقى مجموعة التطوير والمجموعة المحجوزة منفصلتين: فالمجموعة المحجوزة لا تُستخدم أبدًا لمعايرة الضوابط.
- تُحقن المحاولات الحتمية أولًا، بوصفها اختبارًا سببيًا للآلية. ثم تعمل الـ harnesses والنماذج الحقيقية، ضمن ميزانية مصرَّح بها، بوصفها دليلًا على كيفية تصرّف النظام.
- إعادة إرسال الطلبات لا تعيد إنتاج استدلال احتمالي. وتُحفظ الإصدارات والمعاملات المتاحة وعدد عمليات التشغيل والمهل الزمنية والمقامات؛ ولا يُوعَد بإعادة إجراء متطابقة.
- يُبلَّغ عن المنفعة والاحتواء كلٌّ على حدة، كي لا يُحتسب حجب كل شيء منتجًا عاملًا أبدًا. ونتيجة 0/N ليست انعدامًا للمخاطر.
حيث يتوقّف المختبر
تقييمات القدرات الهجومية — وكلاء يطاردون ثغرات حقيقية — تحتاج إلى بنية تحتية لا طريق فيها إلى الإنترنت إطلاقًا. ولا يدّعي المختبر مقاومة شيفرات استغلال النواة أو الـ hypervisor، ولا العزل متعدد المستأجرين.
ما لا يثبته
الحدود، بالوزن نفسه الذي للقدرات.
لا يثبت مواءمة عامة
مجموعة اختبارات ناجحة لا تثبت أن النموذج مُواءَم، ولا تغطّي هجمات مجهولة، ولا تحلّ محلّ الحوكمة.
ليس شهادة
النتائج التي يكتبها ويراجعها الفريق نفسه ليست تقييمًا مؤسسيًا مستقلًا. وإعادة الإنتاج من أطراف ثالثة تُحتسب على حدة.
لا يغطّي كل تسريب للبيانات
يتحقّق من مسارات مزوَّدة بأدوات رصد ومن شروط لاحقة ملموسة. والاستنتاج عبر مزوّد مصرَّح به يرسل بيانات إلى ذلك المزوّد، ويُعلَن ذلك بوصفه تعرّضًا.
لا يقرأ الاستدلال
ترصد الضوابط الأفعال والآثار. ولا تحتاج إلى سلاسل التفكير، ولا تدّعي كشف النوايا النفسية.
لا يحمي من مسؤول المضيف
يثق هذا الإصدار بالمشرف الذي يشغّله المشغّل: لا إثبات للعتاد، ولا حماية من المسؤول، ولا مقاومة للإفلات من الـ hypervisor.
الخطافات ليست محيطًا أمنيًا
الخطافات وأوضاع الموافقة تصف كيف يُطلب الإذن؛ ولا تحدّ ما تستطيع عمليةٌ بلوغه. وapproval_policy=never لا يقول إلا كيف تجري الموافقات.
الحالة
Beta، مع Linux وDocker بوصفهما الـ backend المُختبَر. وكل نتيجة تحمل مستواها — محاكاة أو تكامل حقيقي أو غير مُقيَّم — مع مقاماتها وإصداراتها وإعدادها، والمسار الذي لا مسبار له يبقى غير مُقيَّم. وتأتي لاحقًا المشاريع التجريبية مع فرق خارجية ومراسم موافقة بشرية حقيقية، وسيُبلَّغ عنها بالطريقة نفسها؛ ولا شيء في هذه الصفحة يستقرئ نتيجةً في العالم الحقيقي من محاكاة.
مفتوح للطعن
يُنشر المنهج في هذه الصفحة كي يمكن نقده وتحسينه. ويعمل متحقّق التقارير دون اتصال ودون حساب؛ والمخطّطات والسيناريوهات الاصطناعية مُعَدّة للنشر بموجب ترخيص يُراجَع على حدة. ويمكن الإبلاغ عن نتيجة خاطئة دون نشر شيفرة استغلال؛ والتشغيل اللاحق يضيف نسخة جديدة ويُبقي القديمة ظاهرة. وحين يبني الفريق نفسه ضابطًا ويقيّمه، يُفصَح عن ذلك التضارب.
المصادر
- METR — Brief independent investigation of agents’ behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident (2026-08-26)
- OpenAI — The Hugging Face incident and the road ahead (2026-08-26)
- TechCrunch — OpenAI releases its official report on the Hugging Face breach (2026-08-26)
- MIT Technology Review — The inside story on why OpenAI agents hacked Hugging Face (2026-08-26)
- Railway — Your AI wants to nuke your database. Guardrails fix that (2026-04-29)
اطُّلع عليها بتاريخ 2026-09-25. ويُستشهد بمصادر الحادثة بوصفها دافعًا لعائلات الإخفاق، لا بوصفها إعادة بناء جنائية.