بقلم انوار قورية – خبير في الذكاء الترابي والحكامة الرقمية
هناك خطأ استراتيجي خطير قد ترتكبه الإدارة المغربية (الادارة الترابية- المصالح الخارجية- المجالس الترابية- مؤسسات الحكامة والمؤسسات الاستراتيجية وحتى شركات القطاع الخاص) إذا واصلت النظر إلى الذكاء الاصطناعي باعتباره مجرد أداة لتحسين جودة الخدمات المقدمة للمواطنين، وتسريع وتيرة معالجة الملفات، وصياغة الوثائق، والرد على المواطنين في الآجال القانونية.
ذكاء يعدل مساره
الذكاء الاصطناعي اليوم لم يعد مجرد أداة او مجموعة أدوات توليدية، لقد بدأ يتحول إلى وكيل او مجموعة وكلاء قادرون على الفعل ورد الفعل، والفرق بين الاثنين ليس تقنيا فقط، إنه فرق يمس صميم الأمن الإداري والمؤسساتي، فالأداة تنتظر الإنسان كي يستعملها، يستخدمها أو يوظفها، أما الوكيل الذكي فيمكن أن يُعطى هدفا، ثم يبحث بنفسه عن الوسائل والخطوات التي تقوده إلى تحقيق ذلك الهدف، ويتفاعل مع الأنظمة الرقمية، ويجرب، ويعدل مساره، وينفذ سلسلة من العمليات.
وهنا تبدأ المشكلة الحقيقية، وهذا ما يدفعنا لطرح السؤال الآتي، ماذا لو دخل الذكاء الاصطناعي الوكيل إلى منصة حكومية؟ القضية ليست خيالا علميا بالمناسبة، مؤخرا كشفت واقعة، وردت في الفكرة الذي انطلقت منها في صياغة هذه المادة، عن سلوك شديد الدلالة، بحيث طُلب من مساعد يعمل بالذكاء الاصطناعي حجز حصة رياضية، فاكتشف أن بعض القيود المفروضة على الموقع الإلكتروني لم تكن مطبقة في واجهة برمجة التطبيقات، ثم تمكن من استخدام هذا الخلل لتجاوز قواعد الحجز، بل وألغى حجز مستخدم آخر لرفع ترتيب صاحبه في قائمة الانتظار.
قد يبدو لكم الأمر تافها، لكنه ليس كذلك، عزيز القارئ، أنت أمام نموذج مصغر لما يمكن أن يحدث عندما يلتقي وكيل ذكي بمنظومة رقمية تعاني من فجوة بين القواعد التي تظهر للمستخدم والقواعد التي يفرضها النظام فعليا، ففي صالة رياضية تكون النتيجة حجز موعد، لكن في الادارة العمومية، النتيجة يمكن أن تكون شيئا آخر تماما، على سبيل المثال لا الحصر، موعد إداري، ملف توظيف، ترتيب مترشح بقائمة الناجحين، وثيقة، معاملة مالية، وضعية ضريبية، ملف قضائي، استحقاق اجتماعي أو قرار يمس المركز القانوني للمواطنين… وهنا يجب أن نتوقف عن طرح السؤال الأكثر استهلاكا، هل منصتنا محمية من الاختراق والقرصنة؟ ونعوضه بالسؤال الذي يعكس خطورة وحساسية الموقف، ماذا يستطيع وكيل ذكاء اصطناعي أن يفعل داخل منصتنا إذا مُنح صلاحيات مستخدم عادي؟
الخطر القادم
الإدارة العمومية اعتادت التفكير في الأمن السيبراني من زاوية حماية البيانات منع التسريب، منع الاختراق، منع سرقة كلمات المرور…. لكن الخطر القادم أكثر دهاء مما يتصوره المسؤول الاداري، قد لا يريد المهاجم سرقة قاعدة البيانات أصلا، قد يريد تغييرها دون أن يبدو أنه غيّرها، ثم قد لا يريد تعطيل المنصة، هو فقط يريد أن تبقى المنصة تعمل بصورة طبيعية، بينما تتغير بعض النتائج خلف نوافذ الفرونت، قد لا يريد AI agent سرقة ملفات المترشحين، لكنه يريد فقط تغيير ترتيب أو حالة أو موعد أو صلاحية أو نتيجة… وهنا نصل إلى أخطر مستوى من التلاعب بالبيانات الذي يتحول إلى تلاعب بالقرار الاداري، فإذا تغيرت البيانات التي يعتمد عليها القرار الإداري، تغير القرار نفسه، وإذا تغير القرار، تغيرت حقوق المواطنين ومراكزهم القانونية، وعندها لا تعود المسألة مجرد ثغرة تقنية، إنما تصبح أزمة مؤسساتية.
سأحاول الحديث بصراحة والانطلاق من النماذج المعاشة والتي نلمس من خلالها ضعف الامكانيات البشرية والرقمية في مواجهة الهجمات السيبرانية المنفذة، فمنصات مباريات التعليم والتكوين والوظيفة العمومية ليست مجرد مواقع إلكترونية لتعبئة الاستمارات، هي بالتأكيد أنظمة تدير مبدأ دستوريا ومؤسساتيا حساسا عنوانه تكافؤ الفرص، لذلك فإن أي خلل في ترتيب الملفات، أو آجال الإيداع، أو شروط الأهلية، أو لوائح الانتظار، أو عملية الاستدعاء، أو معالجة النتائج، يمكن أن يتحول إلى شبهة تمس عدالة المباراة برمتها، والسؤال هنا ليس هل يوجد موظف سيئ النية، بل هل صُممت المنصة بحيث يستحيل على مستخدم ذكي أو AI agent أن يفعل ما لا تسمح به القاعدة العامة؟ إذا كانت الإجابة بلا نعرف، فهذه ليست إجابة مطمئنة، وحتى إذا كانت الإجابة بلدينا نظام حماية، فالسؤال الذي يلي هو هل تم اختبار النظام ضد سلوك وكيل ذكي قادر على اكتشاف الثغرات والتجريب آليا؟ فالسائد والمتعارف عليه أن اختبار الأمن بواسطة الإنسان وحده قد لا يكون كافيا في زمن تتطور فيه أدوات تستطيع العمل بسرعة تفوق قدرة الإنسان على التجربة اليدوية.
ولكي أكون أكثر وضوحا في الطرح الذي أقدمه للقارئ ضمن هذا المحتوى، الذكاء الاصطناعي الذي كنا نستخدمه ونعتمد عليه بالأمس القريب، تطور ليضع رهن اشارتنا وكلاء أذكياء يقومون مقامنا ومقام من يتواصل معنا ومن نتواصل معهم حتى صار وكلاء الذكاء الاصطناعي اكثر فهما لنا وأكثر تنبئا بما نقدم على القيام به، في الحياة الخاصة كل هذا قد لا يشكل خطرا على المستخدم، لكن في الادارة بنمط تدبيرها الكلاسيكي، مؤكد أن الوكيل الذكي سيعصف بقرارها الاداري ويتلاعب بالأرقام والبيانات وكل ما له علاقة بالإطار.
مشكل المنظومة الإدارية
فالمشكلة اذا ليست في الذكاء الاصطناعي الوكيل، بل في المنظومة الإدارية التي لا تزال تغرد خارج الزمن الدولي، الأكيد أن الموظفون التقليديون سيسارعون لتحويل الذكاء الاصطناعي إلى شماعة لكل المخاطر، وتحميله مسؤولية أي فشل او عطب او نقائص تعاني منها المؤسسة، لذلك أؤكد على أن الذكاء الاصطناعي لا يخترع ضعفا غير موجود، هو قد يكتشف ضعفا موجودا أصلا ويستغله بسرعة وعلى نطاق يصعب على الإنسان مجاراته وهذا هو جوهر المسألة، إذا كانت هناك قاعدة إدارية لا تُفرض إلا في واجهة المستخدم، فالمشكلة موجودة أصلا، إذا كانت هناك صلاحيات أوسع من اللازم، فالمشكلة موجودة أصلا، إذا كان النظام لا يسجل كل عملية حساسة بطريقة قابلة للتدقيق، فالمشكلة موجودة أصلا، إذا كان بالإمكان تعديل معلومة حساسة دون رقابة مستقلة، فالمشكلة موجودة أصلا…
فالذكاء الاصطناعي لا يصنع الهشاشة، إنه يجعل اكتشافها واستغلالها أكثر قابلية للتوسع، هذا كل ما في الأمر وهذا ما يلزمنا استيعابه وفهمه، فأخطر الأنظمة هي التي تبدو وكأنها تعمل بشكل طبيعي بحيث قد يتوقف موقع حكومي فتنتبه الإدارة، قد يتعطل خادم فتبدأ فرق الصيانة، قد يتسرب ملف فتعلن حالة استنفار… لكن ماذا لو لم يتوقف شيء؟ ماذا لو ظلت المنصة تعمل؟ ماذا لو دخل المواطن بشكل طبيعي؟ ماذا لو ظهرت له صفحة سليمة؟ ماذا لو تلقى رسالة تأكيد؟ لكن ترتيبا ما تغير في الخلفية؟ أو موعدا ما أُعيدت برمجته؟ أو ملفا ما انتقل إلى حالة أخرى او تم حذفه؟ أو معلومة ما جرى تعديلها؟ أو عملية مالية ما نفذت بصورة تبدو شرعية؟ ببساطة هذه هي الكارثة الصامتة، لأن التطبيق او المنصة التي تتوقف يمكن إصلاحها، أما التي تستمر في إنتاج نتائج غير موثوقة، فقد تكون أخطر بكثير.
قد لا تكون هناك أدلة على ما أقوله لكني على يقين تام أن ما ينتظرنا أسوء بكثير مما قد نتوقعه جميعا، فالمنظومة الإدارية ببلادنا تحتاج اليوم إلى ذكاء المعرفة ودهاء رد الفعل، بحيث لم يعد يكفي أن تكون لدينا بنية تحتية رقمية فقط، بل نحتاج إلى معرفة ما الذي يمكن أن تفعله التكنولوجيا الجديدة بهذه البنية، كما نحتاج أيضا إلى أن تسأل كل مؤسسة نفسها ماذا لو كان المستخدم برنامجا/آلة وليس إنسانا؟ ماذا لو نفذ آلاف المحاولات بصورة آلية؟ ماذا لو استطاع قراءة رسائل الخطأ وتحليلها؟ ماذا لو اكتشف الفرق بين الواجهة والـAPI؟ ماذا لو وجد وظيفة داخلية لم تكن ظاهرة للمستخدم؟ ماذا لو حصل على صلاحية مشروعة، ثم استخدمها بطريقة لم يتوقعها المصممون والمبرمجون؟ ماذا لو تمكن من ربط عدة ثغرات صغيرة لصناعة تجاوز كبير؟ ماذا لو لم نكتشف ما حدث إلا بعد إعلان النتائج؟
فلسفة الأمن الرقمي
أنا لا اطرح الأسئلة من باب التنظير ورفع سقف اللغة والتفنن في الاسلوب، هذه أسئلة تهم أمن الدولة ومنظومة حكامتها ومشروعيتها الإدارية، ومن هذا المنطلق أدعو ضروريا وليس اختياريا الى تغيير فلسفة الأمن الرقمي، على اعتبار أنه من الخطأ أن تبني الإدارة نظاما ثم تسأل في النهاية هل هو آمن؟ فالأصح أن تسأل منذ لحظة التصميم والاستحداث عن كيف يمكن أن يُساء استخدام هذا النظام، وما الذي سيمنع ذلك حتى لو كان المستخدم أو البرنامج شديد الذكاء؟ من الواجب أن تكون القواعد الإدارية مفروضة على مستوى نظام المعالجة الخلفي، لا مجرد رسائل تظهر على الشاشة، كما يجب أن تكون الصلاحيات محدودة إلى أدنى مستوى ممكن، علاوة على أن تكون العمليات الحساسة متعددة المراحل، من قبيل تسجيل كل تغيير مهم بطريقة تجعل التلاعب قابلا للكشف، مراقبة السلوك غير الطبيعي، لا كلمات المرور فقط، بعد ذلك يجب اختبار المنصات ضد وكلاء ذكيين، لا ضد سيناريوهات القرصنة التقليدية وحدها والأهم من كل ما سبق، يجب أن تكون لدى الإدارة القدرة على التراجع السريع عندما تكتشف أن النظام اتخذ مسارا غير صحيح…
على المسؤولين اليوم بجميع المصالح الادارية الداخلية والخارجية، المركزية واللاممركزة، الأمنية والعسكرية، الترابية… أن لا تقف مكتوفة الأيدي وأن تتحرك بذكا، لأنه من التراخي بما كان أن ننتظر وقوع حادث مرتبط بما تطرقت اليه سابقا، حتى تبدأ المنظومة في الحديث عن هذه المخاطر، أن ننتظر مباراة عمومية تشوبها شبهة تلاعب، أن ننتظر منصة مواعيد تكتشف أن شخصا حصل على موعد لم يكن ينبغي أن يحصل عليه، أن ننتظر معاملة مالية غير مفهومة، أن ننتظر ملفا قضائيا تتغير فيه معلومة، أن ننتظر أزمة ثقة جماعية…
آنذاك نبدأ في تشكيل لجان التقصي للتحقيق ونملئ صفحات الويب بلغة الخشب، هذه ليست استراتيجية أمنية، هذه إدارة للأزمة بعد فوات الأوان، قبل استكشافها والتنبؤ بوقوعها، الحديث اليوم عن مفهوم الإدارة الحديثة يجب أن يكون مرتبطا بمدى قدرتها على إدارة الأزمة قبل وقوعها وتدبير الاختلالات المرافقة لها، وهنا تحديدا يظهر الفرق بين مؤسسة رقمية ومؤسسة ذكية، فالمؤسسة الرقمية تقدم الخدمة عبر الإنترنت، وقد تصل حدود نزع الصفة المادية عن المساطر، أما المؤسسة الذكية فتفكر مسبقا في كيفية إساءة استخدام الخدمة، وتختبر أسوأ الاحتمالات، وتبني آليات اكتشاف واحتواء وتصحيح قبل أن يحتاج إليها أحد…
خارج الصندوق
وهنا اوجه نداء مباشرا الى مسؤولي الرقمنة والأمن السيبراني داخل منظومة التدبير الاداري، المسؤولين عن المنصات الحكومية، القطاعات المكلفة بالتعليم والتكوين والتوظيف، المؤسسات التي تدير المواعيد والخدمات المالية، الأنظمة الرقمية المرتبطة بالعدالة والقضاء وإلى كل من يملك سلطة تصميم أو تشغيل أو مراقبة منصة عمومية، ابتعدو عن سؤال هل نظامنا يعمل؟ واسألوا هل يمكن الوثوق في كل نتيجة ينتجها؟ لا تحصرو رؤيتكم للمسؤولية في سؤال هل بيانات المواطنين مشفرة؟ فكروا خارج الصندوق واسألوا من يستطيع تغييرها؟ وكيف؟ وهل سنعرف أنه غيّرها؟ لا تسألوا فقط هل لدينا جدار حماية؟ اسألوا ماذا سيحدث إذا دخل إلى نظامنا AI Agent قادر على التفكير والتجريب وتنفيذ مئات الخطوات لتحقيق هدف واحد؟ حاولوا من فضلكم أن تطرحو الأسئلة الأكثر قسوة مثل إذا لم نختبر هذا السيناريو نحن، فمن سيختبره أولا؟
اعلموا ايها المسؤولون (المذكورون سابقا) أن أخطر ما ينتظر الإدارة العمومية ببلادنا في السنوات القادمة قد لا يكون اختراقا بالمعنى الذي اعتدنا عليه، قد يكون فقط نظاما يعمل، وبيانات تبدو صحيحة، وعمليات تبدو قانونية، وقرارات تبدو طبيعية، بينما يكون أحدهم قد نجح في تغيير المسار الذي أنتجها، وهنا يصبح الأمن السيبراني جزءا من العدالة، وتصبح حماية البيانات جزءا من حماية الحقوق، وتصبح هندسة البرمجيات جزءا من الحكامة، وتصبح سرعة اكتشاف الخلل جزءا من حماية ثقة المواطن في الدولة… لقد انتهى الزمن الذي كان فيه أمن المنصة يعني أن لا يستطيع أحد الدخول إليها، نحن ندخل زمنا جديدا، يتطلب ضمانات ذكية بحيث أن من يدخلها (المنصة) لا يستطيع أن يجعلها تفعل ما لم يكن ينبغي لها أن تفعله، والإدارة التي لا تستوعب هذا التحول اليوم، قد تجد نفسها غدا أمام أزمة لا تستطيع حلها بمجرد إغلاق الخادم أو تغيير كلمة المرور لأن المشكلة، عندها، لن تكون في النظام فقط، ستكون في الحقيقة التي أنتجها النظام.
