نسخة Markdown

AI-translated from English; not yet reviewed by a fluent editor.

# قارن ضوابط أفعال مورّد وكيل ذكاء اصطناعي قبل الشراء

> قبل مراجعة الشراء البشرية، قارن هويات مورّد واحد لوكلاء الذكاء الاصطناعي وموافقاته وصلاحيات أدواته وسجلاته وتدفقات بياناته وأدلة الإخفاق بملف المخاطر المكتوب لديكم.

By BIG CHANGE Editorial

Published: 2026-10-19T15:30:34.881Z
Updated: 2026-10-19T15:30:34.881Z
Canonical: https://bigchange.ai/blog/ai-agent-vendor-action-controls-evidence

![Conceptual charcoal illustration of a completely blank five-column comparison worksheet clipped to an angled wooden reading stand, beside a closed unmarked folder.](https://bigchange.ai/api/media/file/agent-vendor-blank-comparison-worksheet-v1.png)
AI-generated conceptual illustration by BIG CHANGE; no actual vendor evidence, security finding, audit, test or purchase decision is depicted.

يمكن لوكيل ذكاء اصطناعي يعمل في حسابات متصلة تغيير البيانات أو تشغيل عمليات تجارية. قبل اختيار مورّد، يستطيع مالك العمل ومراجع الأمن مقارنة ضوابط **سير عمل مقترح واحد** بمتطلبات المؤسسة المكتوبة. الناتج سجل أدلة مؤرخ. يبقى السؤال الذي لا إجابة عنه مفتوحًا؛ وادعاء المنتج وحده لا يثبت أن فعلًا سيُمنع. تستند الطريقة إلى [NIST AI Risk Management Framework Playbook](https://airc.nist.gov/airmf-resources/playbook/) و [AI Agent Security Cheat Sheet من OWASP](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html)؛ ولم يقيّم أي منهما المورّد المرشح.

## التغيير الأساسي

- **ما الذي تغيّر:** قد يشمل شراء وكيل تفويض أفعال داخل أنظمة العمل. يحتاج المشتري إلى معرفة من يستطيع جعل الوكيل يتصرف، وعلى أي أهداف، وبموافقة من.
- **لماذا يهم ذلك:** يستطيع المشتري ربط كل فعل مقترح بضابط محدد الاسم وبالأدلة عليه. ويوفر ذلك لمالك العمل ومراجع الأمن أساسًا ملموسًا لتقييد الوصول أو تعليق الشراء.
- **ما الذي يجب مراقبته:** يتوقف القرار على أدلة تخص إصدار المنتج وسير العمل المحددين. وقد يحتاج الضابط الموضح في التوثيق إلى عرض تحت الإشراف قبل أن يقبله المراجع للاستخدام المقصود.

## اجمع أربعة مدخلات

استخدم ملف المخاطر المكتوب الحالي الذي اعتمدته مؤسستك. ينبغي أن يحدد مالك العمل، والنتيجة المقصودة، والبيانات والوجهات المسموح بها، والأفعال المسموحة، وسلطة الموافقة، والعواقب غير المقبولة، وشروط التوقف. إذا لم يكن موجودًا، فاطلب من المسؤولين تعريفه قبل تقييم المورّد. لا يستطيع هذا الدليل تحديد تحمّل المؤسسة للمخاطر نيابة عنهم.

[إرشادات MANAGE 3.1 من NIST](https://airc.nist.gov/airmf-resources/playbook/manage/) تدعو إلى تطبيق تحمّل المؤسسة للمخاطر على أنظمة الذكاء الاصطناعي التابعة لأطراف ثالثة وتوثيق ضوابطها. يقدم Playbook اقتراحات طوعية، لا قائمة مشتريات عالمية. وتستند أسئلة ضوابط الأفعال أدناه أيضًا إلى إرشادات OWASP الأمنية الخاصة بالوكلاء. تحدد هذه الأطر أسئلة مفيدة، لكن أدلة المورّد نفسه هي التي يجب أن تجيب عنها.

سمِّ مورّدًا مرشحًا واحدًا، والمنتج وإصدار النشر الدقيقين قيد النظر. احصل على توثيق المنتج الحالي وأي أدلة يحق للمورّد مشاركتها. أتح لمراجع الأمن ومسؤول المشتريات الوصول إلى سجل المقارنة. احفظ ملفات المعمارية أو الأدلة الحساسة في موقع خاص معتمد؛ ويمكن لورقة العمل أن تربط بها بدل نسخ الأسرار فيها.

## 1. حوّل سير العمل إلى متطلبات

اسرد كل فعل مقترح للوكيل، ونظامه المستهدف، والبيانات التي يجب أن يقرأها أو يغيرها. افصل القراءة عن الكتابة وعن الأفعال المرئية خارجيًا أو غير القابلة للعكس. وانسخ لكل فعل المتطلب المناسب من ملف المخاطر المكتوب: الهوية المسموحة، ونطاق الأداة والهدف، والموافقة، والتسجيل، ومعالجة البيانات، والإيقاف والاستعادة. سجّل مالك الملف وتاريخه.

أنشئ صفًا لكل متطلب. هذا يُظهر المجهول بدل دفنه في درجة إجمالية للمورّد. ومتطلب ألا يصل الوكيل أبدًا إلى حساب معين يحتاج إلى صف مثل الفعل المسموح.

## 2. تتبع من يتصرف وما يمكن تنفيذه

اسأل أي إنسان أو حساب خدمة أو هوية وكيل يبدأ كل فعل، وأين تُحفظ بيانات الاعتماد، وهل يستطيع وكيل تمرير طلب إلى آخر. حدد المكوّن الذي يتحقق من الإذن عند التنفيذ. قارن صلاحيات أدوات المورّد الفعلية بالأدوات والعمليات والحسابات والأهداف التي يسمح بها الملف. اطلب أدلة إعداد أو معمارية تنطبق على هذا الإصدار؛ فعبارة داخل الطلب دليل ضعيف على حد يُفرض فعليًا.

بالنسبة إلى الأفعال التي تتطلب موافقة، اسأل عما يراه المراجع قبل التنفيذ وكيف ترتبط الموافقة بالفاعل واستدعاء الأداة الدقيق والهدف والمعلمات. اعرف ما يحدث عند انتهاء الموافقة أو رفضها أو استخدامها مرتين أو تغير الفعل المطلوب. سجّل كيفية سحب الوصول ومن يستطيع وقف تشغيل نشط. شاشة الموافقة والتحقق عند التنفيذ يجيبان عن سؤالين مختلفين؛ اطلب دليلًا لكليهما إذا كان الملف يتطلب كليهما.

## 3. اتبع البيانات وسجل الأفعال

ارسم المسار المقترح من المدخل إلى النموذج والأدوات والمستلمين الخارجيين والنسخ المخزنة والسجلات. اسأل عن البيانات التي يتلقاها كل مكوّن، ومن يستطيع استرجاعها، وكيف يعمل الاحتفاظ والحذف. أدرج المعالجين الفرعيين أو النقل بين الأنظمة مما يهم ملفك. ضع علامة على أي سؤال بلا جواب عن الوجهة أو الاحتفاظ بأنه **مجهول**؛ ولا تستنتج حماية الخصوصية من بيان سياسة عام.

اطلب سجل تنفيذ للإصدار المعني. هل يستطيع المراجع ربط فاعل وإصدار سياسة باستدعاء الأداة المقترح، والموافقة أو الرفض، والهدف الدقيق والنتيجة؟ تحقق هل السجل المقدم يعرض قرارًا فقط، أم تنفيذًا فعليًا، أم كليهما. لقطة الشاشة وتصدير الإعدادات ومسار الأحداث الكامل تثبت أمورًا مختلفة. لاحظ أي طمس يمنع المقارنة، مع إبقاء بيانات الاعتماد والبيانات الشخصية خارج ورقة العمل.

## 4. اطلب أدلة الإخفاق

اطلب أدلة مرتبطة بالإصدار لفعل مسموح ولمسارات الإخفاق التي يتطلبها الملف: رفض الموافقة أو انتهاؤها، أو أداة أو هدف خارج النطاق، أو تنفيذ منقطع، أو إخفاق التسجيل أو فحص السياسة عند انطباقه. سجّل ما اختُبر ومتى وبأي سياسات وإعدادات أدوات، والنتيجة المتوقعة والمرصودة. خطة الاختبار طلب دليل، وليست نتيجة مرصودة.

يقرر مراجع الأمن المسؤول الحاجة إلى عرض تحت الإشراف ويأذن بنطاقه. استخدم مدخلات وحسابات مسموحة خارج بيئة الإنتاج. لا تربط الأنظمة الفعلية لمجرد استكمال ورقة المشتريات. إذا لم يستطع المورّد تقديم دليل، فسجّل الفجوة والطلب التالي بدل تخيل نتيجة اختبار.

## 5. سجّل القرار والعمل المفتوح

لكل صف، ضع **ملائم** فقط حين تتناول الأدلة المقدمة المتطلب المكتوب لهذا الإصدار وسير العمل. وضع **فجوة** عند التعارض، أو **مجهول** عندما تغيب الأدلة أو تكون أضعف من اللازم. لاحظ السجلات المتعارضة ومن يجب أن يحسمها. ثم يسجّل مالك العمل ومراجع الأمن المسؤول قرارهما الفعلي: طلب مزيد من الأدلة، أو السعي إلى إذن لتجربة محدودة، أو التأجيل أو الرفض. الملاءمة حكم على الأدلة، وليست ضمانًا لأمان النظام أو بديلًا عن إجراءات الشراء في المؤسسة.

احتفظ بسجل مؤرخ وأعد مراجعة الصفوف المتأثرة عند تغير سير العمل أو إصدار المنتج أو السياسة أو الحسابات المتصلة أو وجهات البيانات. وتحتاج التجربة اللاحقة إلى إذن وحدود ومراجعة خاصة بها.

| المتطلب في الملف المكتوب | أدلة المورّد والإصدار والتاريخ | نوع الدليل وما يثبته | ملائم أو فجوة أو مجهول | المراجع والفعل التالي |
| --- | --- | --- | --- | --- |
| [متطلب واحد لفعل أو ضابط] | [رابط خاص أو مرجع مستند؛ الإصدار؛ التاريخ] | [ادعاء أو إعداد أو سجل حدث أو عرض مرصود؛ القيد] | [اختر واحدًا واشرح] | [الاسم أو طلب الدليل أو القرار] |

**رأس السجل:** سير العمل ومالكه؛ إصدار ملف المخاطر وتاريخ اعتماده؛ المنتج المرشح وإصدار النشر؛ تاريخ المراجعة؛ مراجع الأمن؛ مسؤول المشتريات؛ موقع الأدلة المقيدة. **سجل القرار:** القرار، والصفوف غير المحسومة، والحدود المقبولة أو الضوابط التعويضية، وصاحب الموافقة المسؤول، وما يستدعي المراجعة التالية. اترك الحقول فارغة حتى يراجعها المسؤولون فعلًا.

الإرشادات العامة المستخدمة لصياغة هذه الأسئلة متاحة مجانًا. يحتاج إعداد المقارنة إلى وقت الموظفين والمراجعين. وقد تضيف أدلة المورّد والوصول السري وأي عرض مأذون به تكلفة، أو تحد مما يمكن التحقق منه؛ احصل على الشروط الفعلية من المرشح. هذا التمرين التوثيقي لا يختبر مورّدًا، ولا يثبت امتثالًا قانونيًا أو حدًا عالميًا للشراء.

## المصادر وقراءات إضافية

1. [NIST AI RMF Playbook، Manage](https://airc.nist.gov/airmf-resources/playbook/manage/) يدعم تطبيق تحمّل المؤسسة الخاص للمخاطر على موارد الذكاء الاصطناعي التابعة لأطراف ثالثة، وتوثيق ضوابطها وتقييمها. تذكر الصفحة أن AI RMF 1.0 قيد التحديث وأن Playbook سيتبعه، لكنها لا تحدد تاريخ مراجعة الصفحة. وهي لا تقيّم هذا المورّد.
2. [مقدمة NIST AI RMF Playbook](https://airc.nist.gov/airmf-resources/playbook/) تصف الاقتراحات بأنها طوعية وتقول إن Playbook ليس قائمة يجب اتباعها كاملة. ورقة العمل هنا تجميع من BIG CHANGE للمهمة المذكورة للقارئ.
3. [OWASP AI Agent Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html) يتناول الأدوات المحددة النطاق، والتفويض عند التنفيذ، والموافقات المرتبطة بالأفعال، والتسجيل، وحماية البيانات، وأدلة التحقق المرتبطة بالإصدار. لا تذكر الصفحة الحالية إصدارًا أو تاريخ نشر. التوصيات فئات من الأدلة، وليست دليلًا على تنفيذ المورّد لها.

## Sources

- [NIST AI RMF Playbook، Manage](https://airc.nist.gov/airmf-resources/playbook/manage/) — يدعم MANAGE 3.1 تطبيق تحمّل المؤسسة للمخاطر على موارد الذكاء الاصطناعي التابعة لأطراف ثالثة وتوثيق الضوابط. تقول صفحة AI RMF 1.0 Playbook الحالية إن المراجعة منتظرة؛ ولا تحدد تاريخ مراجعة. ولا تصادق على مورّد.
- [NIST AI RMF Playbook](https://airc.nist.gov/airmf-resources/playbook/) — تقول المقدمة إن الاقتراحات طوعية وإن Playbook ليس قائمة كاملة أو تسلسلًا إلزاميًا. ورقة المقارنة في المقال تجميع تحريري.
- [OWASP AI Agent Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html) — تسترشد الأسئلة بالأقسام 1 و4 و6 و8 و9 بشأن الأدوات المحددة والموافقة المرتبطة بالفعل والسجلات ومعالجة البيانات والاختبار المرتبط بالإصدار. الصفحة الحالية بلا إصدار أو تاريخ نشر؛ ولا تثبت التوصيات فعالية المورّد.