في هذا المقال
نشرت Cloudflare في 26 أكتوبر 2026 تقرير حادث يؤكد أن 155 ردا من نموذج GLM-5.3 على منصتها Workers AI حملت، بين 27 أغسطس و9 سبتمبر 2026، بيانات من طلبات عملاء آخرين. لم يتأثر إلا الطلبات الطويلة جدا التي تجاوزت 681,280 وحدة نصية (token)، وتقول الشركة إنها لم تجد دليلا على استغلال متعمد. الدرس لكل شركة ترسل ملفاتها إلى خدمة ذكاء اصطناعي واضح: أنت تتشارك أجهزة المزود مع غرباء، والفصل بين العملاء قد يفشل. ما تفعله هذا الأسبوع: اجرد كل خدمات الذكاء الاصطناعي التي يستخدمها فريقك، واطرح على كل مزود الأسئلة الخمسة أدناه، وتوقف عن إرسال بيانات شخصية لا تحتاجها المهمة. وإن قرأت مقالنا عن نماذج الذكاء الاصطناعي مجهولة المالك، فهذا الحادث يبين أن المزود المعروف ليس ضمانا كذلك.
ماذا حدث بكلمات بسيطة
تتيح Workers AI للشركات أن تدفع حسب الاستخدام مقابل نماذج ذكاء اصطناعي تعمل على خوادم Cloudflare بدل شراء خوادمها الخاصة. أعلنت Cloudflare أن نموذج GLM-5.3 يقبل مدخلات حتى 1,048,576 وحدة نصية، أي نصوصا طويلة جدا. لكن مساحة الذاكرة المخصصة لمعالجة هذه المدخلات كانت تكفي 681,280 وحدة فقط. وحين يأتي طلب أطول من ذلك، كان على برنامج التشغيل (SGLang) أن يرفضه برسالة خطأ. بدلا من ذلك أكمل العمل، وبنى الرد من بقايا صفحات ذاكرة تخص طلبات سابقة، ثم أعاده كأنه رد ناجح عادي.
النتيجة: عدد قليل من العملاء تلقوا ردودا فيها أجزاء مما أرسله عملاء آخرون. وتقول Cloudflare إن المشكلة اقتصرت على GLM-5.3 ولم تمس نماذجها الأخرى.
التسلسل الزمني
- 27 أغسطس 2026: إطلاق GLM-5.3 على Workers AI وبداية التسرب.
- 8 سبتمبر: الباحث الأمني جادي إيفرون من شركة Knostic يبلغ عن المشكلة عبر برنامج مكافآت الثغرات لدى Cloudflare على HackerOne.
- 9 سبتمبر، 13:22 بتوقيت UTC: Cloudflare تعلن الحادث، وعند 14:00 أي بعد 38 دقيقة يتوقف النموذج.
- 9 سبتمبر، 19:40 بتوقيت UTC: عودة الخدمة بعد تصحيح مساحة الذاكرة وترقيع برنامج التشغيل.
- 26 أكتوبر: الإفصاح العلني بالتنسيق مع مطوري SGLang والباحث.
أي 13 يوما من التسرب، اكتشفه باحث من خارج الشركة لا أنظمة المراقبة لدى Cloudflare. ولا يذكر التقرير هل أُبلغ العملاء المتأثرون فرديا أم لا.
لماذا يهم هذا منشأة سعودية لم تسمع بـ GLM-5.3 من قبل؟
معظم الشركات اليوم تستخدم الذكاء الاصطناعي عبر خدمة مشتركة: روبوت محادثة يقرأ رسائل العملاء، أداة تلخص العقود، نظام يصنف الفواتير. وفي كل حالة يسافر نصك إلى خوادم تعالج في اللحظة نفسها طلبات آلاف الشركات الأخرى. المزود يعد بالفصل بينها، وهذا الحادث يبين أن هذا الوعد قائم على تفاصيل إعدادات قد تكون خاطئة، وأن الخطأ قد لا يترك أي علامة: العملاء المتأثرون تلقوا ردا عاديا لا رسالة خطأ.
والشرارة هنا كانت المدخلات الطويلة جدا، وهي بالضبط ما تتجه إليه شركات كثيرة: رفع أرشيف عقود كامل أو مراسلات سنة كاملة في طلب واحد.
خمسة أسئلة تطرحها على مزود الذكاء الاصطناعي
- هل تعالج بياناتي على أجهزة مشتركة أم على سعة محجوزة لي؟ السعة المحجوزة أغلى، لكنها تلغي هذا النوع من المخاطر كله.
- ماذا تفعلون إذا تجاوز طلبي حد النموذج؟ الجواب الصحيح رفض واضح، لا قص صامت ولا رد مبني على شيء آخر.
- خلال كم ساعة تبلغونني بحادث يمس بياناتي، وهل هذا مكتوب في العقد؟ تحتاج هذا لتفي بالتزاماتك أنت.
- هل تحتفظون بطلباتي والردود عليها، وإلى متى، وأين؟ البيانات التي لا تُحفظ لا يمكن أن تظهر لاحقا في رد غيرك.
- هل لديكم برنامج مكافآت ثغرات أو اختبارات أمنية خارجية؟ في هذه الحالة كان الباحث الخارجي هو من وجد الخلل.
ما ينتظره منك النظام السعودي
إذا تسربت بيانات شخصية لعملائك أو موظفيك عبر مزود اخترته أنت، فالمسؤولية لا تنتقل إلى المزود. المادة 24 من اللائحة التنفيذية لنظام حماية البيانات الشخصية تلزم بإبلاغ الجهة المختصة خلال 72 ساعة من العلم بحادث قد يلحق ضررا بأصحاب البيانات. والمزود الذي لا يخبرك بشيء، أو يخبرك بعد أسابيع، يوقعك في مخالفة هذه المهلة دون أن تدري. لذلك فالسؤال الثالث أعلاه ليس شكليا.
خطوات هذا الأسبوع
- اجرد كل خدمات الذكاء الاصطناعي التي يستخدمها فريقك، بما فيها الأدوات المجانية التي اعتمدها الموظفون من تلقاء أنفسهم.
- إن استخدمت GLM-5.3 على Workers AI بين 27 أغسطس و9 سبتمبر 2026، فراجع سجلاتك بحثا عن طلبات طويلة جدا في تلك الفترة وتواصل مع Cloudflare.
- احذف الأسماء وأرقام الهوية وأرقام الجوال من النصوص قبل إرسالها، ما لم تحتجها المهمة فعلا.
- قسّم المستندات الضخمة إلى طلبات معقولة بدل دفع النموذج إلى حافة حده الأقصى.
- أضف إلى كل عقد خدمة ذكاء اصطناعي بندا للإبلاغ عن الحوادث بعدد ساعات محدد.
رأي أوريجامي
لا نقرأ هذا الحادث سببا لتجنب خدمات الذكاء الاصطناعي المشتركة. فقد أوقفت Cloudflare النموذج خلال 38 دقيقة ونشرت تقريرا مفصلا وصريحا، وهذا أفضل مما يفعله مزودون كثيرون. نقرؤه تذكيرا بأن الخطر يسكن في تفاصيل لا تظهر في صفحات التسويق: أحجام الذاكرة، وطريقة التعامل مع الأخطاء، ومن يراقب. وحين نبني أنظمة ذكاء اصطناعي لعملائنا نبدأ بسؤال: أي البيانات تحتاج أصلا أن تصل إلى النموذج؟ ثم نختار بين خدمة مشتركة وسعة مستضافة داخل المملكة بحسب حساسية تلك البيانات.
إن أردت مراجعة خدمات الذكاء الاصطناعي التي تستخدمها شركتك والبيانات التي تصلها، تواصل معنا، أو اطلع على خدماتنا.
المصادر
- Cloudflare — تقرير تسرب ذاكرة KV بين الطلبات في نموذج GLM-5.3 على Workers AI ومعالجته، 26 أكتوبر 2026: الردود الـ155، والتواريخ، ورقما 681,280 و1,048,576، والتسلسل الزمني للاستجابة.
- سدايا — اللائحة التنفيذية لنظام حماية البيانات الشخصية: المادة 24 ومهلة الإبلاغ خلال 72 ساعة.
- Unite.AI: تغطية إخبارية للإفصاح.
أسئلة شائعة
ماذا حدث في Cloudflare بالضبط؟
بين 27 أغسطس و9 سبتمبر 2026 حملت 155 ردا من نموذج GLM-5.3 على منصة Workers AI بيانات من طلبات عملاء آخرين، بسبب ذاكرة أصغر من الحد المعلن وخلل في برنامج التشغيل. أوقفت Cloudflare النموذج خلال 38 دقيقة من إعلان الحادث وأصلحته في اليوم نفسه.
هل تأثرت شركتي إن كنت أستخدم Cloudflare؟
بحسب تقرير Cloudflare اقتصر الخلل على نموذج GLM-5.3 في Workers AI وعلى الطلبات التي تجاوزت 681,280 وحدة نصية. إن لم تستخدم هذا النموذج في تلك الفترة فلم تتأثر بهذا الحادث تحديدا.
ما أهم سؤال أطرحه على مزود الذكاء الاصطناعي؟
اسأله خلال كم ساعة يبلغك بأي حادث يمس بياناتك، واطلب كتابة ذلك في العقد، لأن نظام حماية البيانات الشخصية يلزمك أنت بإبلاغ الجهة المختصة خلال 72 ساعة من العلم بالحادث.
هل أتوقف عن استخدام خدمات الذكاء الاصطناعي المشتركة؟
لا. الأجدى أن تقلل البيانات الشخصية التي ترسلها، وتقسم المستندات الضخمة، وتختار سعة محجوزة أو مستضافة داخل المملكة للبيانات الحساسة.
تابع أوريجامي في نتائج قوقل
ثبت أوريجامي كمصدر مفضل، فتظهر لك مقالاتنا أولا في نتائج قوقل وفي الأخبار الرائجة.
الإضافة إلى المصادر المفضلة في Google
