Project Simurgh

٠١ / نظرة عامة

git clone https://github.com/Raoof128/Project-Simurghcd Project-Simurgh && git fetch --tagsbash scripts/reproduce-vca-chain.sh

المشكلة

قد تُخطئ مصنّفات المدخلات بعض الهجمات. وعندها قد يظل الوكيل يملك صلاحية استخدام الأدوات أو الوصول إلى الملفات والأنظمة الخارجية. يحتاج المشغّلون إلى ضوابط لاحقة تحدّ من تلك الأفعال، وإلى أدلة يستطيع مراجع مستقل فحصها. يفترض Simurgh أن منتج الأدلة قد يحاول إظهار التشغيل محتوًى، ويصمّم التحقق حول هذا الخطر.

نظرة عامة على الحل

1. إحاطة الوكيل بأربعة حدود احتواء وختم كل تشغيل بحزمة أدلة وصفية فقط، موقّعة بـEd25519 وقابلة لإعادة الاشتقاق بايتًا ببايت دون اتصال.
2. افتراض أن منتج الأدلة يكذب؛ يتيح إعادة تشغيل القرارات والتحقق من اكتمال إصدار الأدلة تأكيد ادعاء الاحتواء الصحيح ودحض الزائف.
3. نشر حد باريتو بين الاحتواء والمنفعة وسلّم إعادة إنتاج من 12 درجة يعيد طرف خارجي حسابه دون نموذج أو وصول إلى المنتج.
4. طبقة دفاع متعمّق تكمل المصنّفات المدمجة وتغطي صلاحيات الوكيل؛ مع تصريح موقّع بأنها لم تكن لتكشف تجاوز المحتوى في يونيو 2026.
5. حفظ السلسلة البحثية المنشورة: أصل نزاهة Invisible Window وعمل Banking Shield حول إثبات غياب البيانات القابل للفحص الآلي، وكلاهما يغذّي عقد الإثبات الحالي.

٠٢ / الأدلة

الإثبات والتحقق

• مصنّف مدخلات فعلي Llama Guard 4 12B على 180 حالة: احتواء 138/138 حالة ضارة فاتته، منها 120 حقنًا لاحقًا لا يراه مصنّف المدخلات و18 إخفاقًا مباشرًا؛ نجاح الهجوم المستهدف المشترك 0/150، دون تنفيذ أدوات أو تصدير غير آمن.
• وكيل حي باستخدام Llama-3.3-70B مستضاف ذاتيًا على مجموعة مساحة العمل في AgentDojo، مع 140 حالة حقن مسجّلة مسبقًا: خفضت بوابة الصلاحيات النجاح من 9/140 إلى 0/140 مع حفظ المنفعة السليمة.
• تشغيل حتمي كامل لمجموعات AgentDojo الأربع في v2.49.0: حالات سليمة 97/97، منفعة دون هجوم 949/949، نجاح هجوم 0/949.
• جذر منشأ مستقل ثانٍ يوقّع نتيجة الإصدار بهوية GitHub OIDC، لا بمفتاح المطوّر؛ أي اختلاف ولو بايت واحد عن النتيجة المسجّلة يوقف المسار قبل التوقيع.
• 3,057 اختبارًا آليًا؛ إعادة إنتاج سلّم الإصدار الموقّع دون اتصال بأمر واحد؛ ترخيص AGPL-3.0.
• سلسلة بحثية منشورة على Zenodo بترخيص CC BY 4.0: نسخة ما قبل النشر للنزاهة الأصلية DOI 10.5281/zenodo.20374849، ودراسة Phase C في سياق إجراءات مرتبطة بالتصويت، ونموذج Banking Shield لإثبات غياب البيانات.

٠٣ / المنهجية

البناء

مكدس التقنيات

• بوابة احتواء Node.js / JavaScript
• حزم أدلة موقّعة بـEd25519 وقابلة لإعادة الإنتاج دون اتصال
• متحقق تكافؤ البايتات JS ↔ Python
• مبرهنات Lean 4 مفحوصة آليًا
• جذر منشأ ثانٍ عبر GitHub OIDC

• أربعة حدود احتواء: جدار المدخلات، حارس منشأ السياق، بوابة استدعاء الأدوات وجدار تسرّب المخرجات؛ يصدر كل منها أدلة موقّعة.
• نموذج المنتج غير الصادق: إعادة تشغيل القرارات وفحص اكتمال الإصدار يكشفان الأدلة المزوّرة أو المحذوفة لمراجع متشكّك دون اتصال.
• تصنيف متعدد لمسارات الهروب: الإفلات من الاحتواء، خداع المتحقق، خارج النطاق وتجاوز حدود البوابة، مع حملات فريق أحمر تكيّفية قابلة للإعادة.
• إيصالات التحقق من الموافقة (friction receipts) قابلة للتحقق تثبت أن الموافقة سبقت كل عبور محمي للصلاحيات؛ آلية بمفتاحين مختلفين تمنع الموافقة الذاتية والتأريخ الرجعي.

الأمان

• متحقق مستقل عن المنتج يثق بمفتاح الموقّع العام فقط ويعمل دون شبكة؛ يؤكد الادعاء الصحيح ويدحض غير الصادق.
• اختبار هجومي ذاتي لنواة الإثبات عبر ثماني فئات: العبث، تبديل المفتاح، تمويه التمثيل الموحّد، تصادم الملخص، إعادة التشغيل بين المراحل، تعديل الإثبات الذاتي وانحراف السياسة؛ ثبت جذر الثقة وأُصلح ضعفان في detector-v2 وأُعيدا للاختبار.
• شاهد مستقل يطابق كل إيصال موقّع بمرجع مستقل للنتائج؛ دون اتهامات كاذبة أو أكاذيب فائتة في الحالات الاختبارية.
• خمس مبرهنات Lean مفحوصة آليًا: fail-closed، friction precedence، same-key-fails، friction coverage وno-silent-exemption.
• حدود الادعاءات صريحة وموقّعة: ليس كاشفًا لتجاوز الحواجز، بل مرشّح لاحق مكمل؛ ولم يكن ليكشف تجاوز توليد المحتوى نفسه في يونيو 2026.