الخلاصة

  • أنشأت IETF في 31 أغسطس قائمة AUDIT غير التابعة لمجموعة عمل، وخصصتها لموضوع Agent Use of Delegation and Interaction Traceability. الإعلان يحدد مشكلة تشغيلية مشتركة، لكنه لا يؤسس مجموعة عمل ولا يعتمد معمارية أو صيغة سجلات معيارية.
  • يستطيع معرّف الأثر أن يربط ادعاءات المستخدم والوكيل والخدمة. لكنه لا يجعلها صحيحة. يجب أن يحتفظ دليل التدقيق بهوية منتج كل سجل، وحدود ما يثبته، ونسخة حالة الإذن، والساعات ذات الصلة، وشاهد الأثر من جهة الخدمة، وأن يُظهر النقص والتعارض بدلاً من صهرهما في قصة واحدة.

لنأخذ حادثة حذف مفتاح وصول من منصة سحابية. يقول المستخدم إنه وافق على تعطيله فقط، ويسجل وكيل التخطيط تفويضاً إلى وكيل تنفيذي، ثم يعلن الأخير نجاح الحذف. تعرض المنصة طلباً صحيح التوقيع، لكن سجلها الداخلي يقول إن المفتاح استُبدل قبل وصول أمر الحذف، وإن معرّف مورد آخر هو الذي أزيل. قد تحمل الوثائق كلها رقم تتبع واحداً، من غير أن تتفق على الفعل أو محلّه أو نتيجته.

يزداد الخلاف صعوبة إذا كتب الوكيل سجل «فحص قبل التنفيذ» بعد أن تلقى استجابة المنصة، أو إذا نسخت بوابة وسيطة معرّف الأثر من ترويسة لم تتحقق من صاحبها. هنا يفيد الربط في العثور على الأقوال المتعارضة، لكنه لا يمنح أياً منها السيادة على البقية. وهو لا يحوّل ترتيب الواجهة إلى ترتيب سببي.

هذه هي المسألة التي أعطاها إعلان أمانة IETF اسماً في 31 أغسطس 2026. فقد أنشأ قائمة غير تابعة لمجموعة عمل تحت عنوان استخدام الوكلاء للتفويض وقابلية تتبع التفاعل، أو AUDIT. يقول الإعلان إن السجلات وأدوات التتبع وأطر التفويض القائمة تمسك أجزاءً من سلوك الوكيل، لكنها لا توفر دعماً تشغيلياً متوافقاً لربط نية المستخدم وسلاسل التفويض وتغيّر حالة الإذن والأفعال الناتجة عبر نطاقات إدارية مختلفة.

صفة القائمة مهمة. إنها مكان للنقاش، لا قراراً مؤسسياً بشأن الحل. لا يقول الإعلان إن IETF أنشأت مجموعة عمل باسم AUDIT، ولا إنه اعتمد ميثاقاً أو ترويسة أو نموذج بيانات. كما لا يحوّل المسودات الفردية المحيطة بالموضوع إلى إجماع لـ IETF. الخبر الحقيقي هو أن فجوات الربط بين الأدلة بات لها منتدى تقني معلن.

الارتباط وصلة بين السجلات، لا حكم عليها

يبين التتبع الموزع فائدة السياق المشترك وحدوده معاً. تعرف توصية W3C بشأن Trace Context الحقل traceparent لكي تربط أنظمة مختلفة طلبات داخل رسم واحد، وtracestate لحمل حالة إضافية. يمكن للمشارك تغيير المعرّف الأبوي، أو تعديل أخذ العينات، أو تحرير حالته، أو بدء أثر جديد عند حد الثقة. وحتى علامة أخذ العينة لا تضمن أن بيانات الأثر سُجلت فعلاً.

تكفي هذه الدلالة للربط، لكنها لا تكفي للسلطة. يقول معرّف الأثر إن منتجاً نسب سجلاً إلى رسم معين. لا يصادق هوية المنتج من تلقاء نفسه، ولا يثبت أن الأب المذكور سبب الابن، أو أن كل الفروع ظاهرة، أو أن الساعات متفقة، أو أن الفاعل امتلك الإذن الذي يدعيه. يستطيع مهاجم إعادة استخدام معرّف صحيح، وتستطيع خدمة قبول المعرّف من طالب غير موثوق ثم إنتاج سجل محلي صحيح التوقيع عن سير عمل منسوب خطأً.

تلتقط مسودة معمارية تدقيق الوكلاء جزءاً أساسياً من الحد الصحيح. فهي توزع إنتاج السجلات: المستخدم يسجل التفاعل، والوكيل يسجل القرارات والأفعال والتفويض، والخدمة تسجل ما عبر حدودها. ثم يجمع المدقق تلك الروايات ويقرر هل تدعم الأدلة الامتثال أم تناقضه. الوكيل موضوع التدقيق، وليس الراوي الذي يتعين تصديقه.

لذلك لا يكفي سؤال «هل يوجد أثر؟». ينبغي أن يُسأل: من أكد كل حافة في الرسم، وبأي مفتاح وسياسة، ومن أي نطاق ثقة، وما الحقول التي شملها التأكيد، وفي أي مرحلة، وهل رأى مشارك مستقل الانتقال نفسه؟ لا يصبح الرسم دليلاً إلا بنسبة حوافه إلى منتجيها وحدود أقوالهم.

أربع فئات للسجلات وخمس ساعات

تفصل المسودة بين سجلات التفاعل والفعل والتفويض وانتقال الإذن. هذا الفصل ليس ترتيباً شكلياً للحقول.

يبين سجل التفاعل ما رآه المستخدم أو قاله أو وافق عليه، لكنه لا يثبت أن الوكيل امتثل. ويقول سجل التفويض إن طرفاً مرر صلاحية محددة إلى آخر، لكنه لا يثبت أن المفوِّض كان يملكها أو أن المتلقي التزم حدودها. ويسجل انتقال الإذن منحاً أو تضييقاً أو رفعاً لمستوى التحقق أو إلغاءً أو انتهاءً؛ ولا بد من وصله بالحالة النافذة لحظة عبور الفعل أول حد يحدث أثراً. أما سجل الفعل فيصف استدعاء الأداة المقترح أو المنفذ، ولا يثبت وحده الإذن ولا الأثر الخارجي.

ويكشف هذا الفصل خمس ساعات مختلفة على الأقل: وقت تفاعل المستخدم؛ ووقت نفاذ المنح أو الإلغاء؛ ووقت تكوين الوكيل للفعل المرشح؛ ووقت إحداث الخدمة لأول أثر خارجي؛ ووقت إنشاء كل سجل أو توقيعه أو تخزينه أو ختمه زمنياً. لا يمكن لفرز السجلات بحسب حقل زمني واحد أن يحل هذه العلاقات.

تميز مسودة Verifiable Agent Conversation Records بين وقت إنشاء السجل وأوقات الجلسة والمدخلات. كما تقر بأن التسبيب الظاهر قد يختلف عن العملية التي أنتجت الفعل. لذلك تبقى إعادة تشغيل المحادثة تمثيلاً يدعيه منتجها، لا نافذة مميزة على الحقيقة السببية.

وتجسد مراجعة Agent Audit Trail المشكلة الزمنية في حقل لمرحلة السجل. فهي توضح أن تسجيل الرفض أو التصعيد بعد التنفيذ لا يبرهن أن الإنفاذ سبق الفعل، وتقترح ربط سجلين قبل التنفيذ وبعده. هذا ضغط تصميمي مفيد، لكنه اقتراح فردي لا قاعدة اعتمدتها IETF.

المعيار العملي مستقل عن أسماء الحقول النهائية. ادعاء «مُنِع قبل التنفيذ» يحتاج إلى حد إنشاء محمي قبل نقطة الأثر، وهوية للمسجل، ودليل على أن الخدمة التي تملك إحداث الأثر استهلكت القرار. لا يستطيع طابع زمني أُضيف لاحقاً أن يعود إلى الماضي ويتحول إلى رقابة سابقة.

لكل لبنة نطاق إثبات ضيق

يشير إعلان AUDIT إلى آليات قائمة في التفويض وHTTP والإثبات والشفافية. تجيب كل واحدة عن سؤال أضيق.

يستطيع تبادل رموز OAuth تمثيل سياق الفاعل والموضوع عند استبدال رمز بآخر. يثبت التبادل الصحيح قرار خادم تفويض وفق سياسته، لكنه لا يكشف كل تعليمات النموذج، ولا يثبت تفويضاً فرعياً غير مسجل، ولا يقرر نتيجة الخدمة.

تفصل معمارية RATS بين مقدم الإثبات والمتحقق والطرف المعتمد والأدلة والقيم المرجعية والنتائج. يقوي الإثبات ادعاءً عن البيئة التي أنتجت السجل، لكنه لا يجعل تلك البيئة أصيلاً عن المستخدم ولا يجيب عن مشروعية الفعل المسجل.

وتتيح معمارية SCITT وإيصالات COSE تسجيل الأقوال بشفافية وإثبات إدراجها في حالة محددة. يثبت الإيصال أن قولاً سُجل وفق سياسة خدمة، لا أن القول صحيح ولا أن مصدره يملك سلطة على موضوعه. يمكن للكذب الشفاف أن يظل كذباً، وإن صار محوه أصعب.

تُصادق تواقيع رسائل HTTP مكونات مختارة تحت مفتاح. لكن المتحقق يحتاج ملف تطبيق يحدد المكونات المهمة وما يسمح للموقّع بإثباته. ما لم يشمله التوقيع يبقى خارج البرهان، ووقت إنشاء التوقيع قول للموقّع ما لم توجد ساعة موثوقة مستقلة.

ويجعل تقنين JSON السجل المنطقي نفسه ينتج البايتات نفسها وفق قواعد معلومة. إنه يحل قابلية التكرار لا الصدق. ويمكن لطابع RFC 3161 الزمني أن يثبت وجود بصمة رسالة قبل وقت موثوق، لكنه لا يثبت أن الحجز أو تغيير الإعداد أو نقل البيانات الموصوف قد وقع حينها.

تتآلف هذه الآليات لأنها لا تتجاوز اختصاصها. ويفشل النظام عندما يُطلب من برهان واحد أن يرث عمل البرهان التالي.

الغياب والتعارض جزء من الدليل

يعرض الرسم المجمّع عادة الحواف التي وصلت فقط. عندها يتحول غياب السجل إلى فراغ بصري لا إلى نتيجة قابلة للفحص.

تقر مسودة المعمارية بأنها لا تحل مشكلة خدمة معادية ترفض تسجيل حدودها، ولا تواطؤ جميع الأدوار. ينبغي أن ينعكس ذلك في نموذج التشغيل. لكل حد متوقع يجب تعيين منتج للسجل، وشرط للإصدار، ومهلة زمنية. إذا لم يصل شاهد الأثر من جهة الخدمة، ينبغي أن يظهر «لم يُلاحظ»، لا أن يُستنتج «لم يُنفذ» من سجل الوكيل. وإذا قال الوكيل نجاحاً وقالت الخدمة فشلاً، يحتفظ النظام بالقولين وبالتعارض بينهما. وإذا اختلف سجل المستخدم والتفويض بشأن النطاق، فلا يختار المدقق الأسبق وصولاً وكأنه الصحيح.

لا تلغي سلاسل التجزئة هذا الشرط. يمكنها كشف حذف أو إعادة ترتيب داخل تسلسل التقطه المنتج، لكنها لا تكشف حدثاً لم يُدرج أصلاً، أو سلسلة بديلة أُخفيت، أو حقلاً لم يفرضه المخطط. وقد يوقع مسجل ملازم للوكيل رواية انتقائية توقيعاً صحيحاً. تجعل الشفافية هذه الرواية دائمة، ولا تجعلها كاملة.

ولهذا يحتاج دفتر التشغيل سجلات توقع: أي حدود خدمة يجب أن تنتج أي إيصال، وتحت أي شرط، وبأي مهلة، وبأي خريطة ربط. تقارن المصالحة بين الحواف المتوقعة والمرصودة. وبذلك يصبح الاكتمال ادعاءً قابلاً للاختبار بدلاً من انطباع رسومي.

قد تتحول قابلية التدقيق إلى مراقبة

السياق الذي يربط أدلة المساءلة قادر أيضاً على ربط نشاط شخص واحد عبر خدمات كثيرة. تحذر مسودة المعمارية من أن معرّف السلسلة قد يكشف المشاركين وشكل سير العمل حتى عندما تبقى الحمولات في مخازن منفصلة. وتعامل Trace Context الربط بين الطلبات بوصفه خطراً على الخصوصية.

يفيد هنا فصل Lu Heng بين السيادة الرسمية والسيادة العملية على البيانات. قد تملك المؤسسة سياسة التدقيق رسمياً بينما يحتفظ مزود آخر بالتعليمات ومخرجات الأدوات ورسوم الأثر ومفاتيح التوقيع وإيصالات الإدراج. السيطرة العملية لمن يستطيع القراءة والربط والحجب والتعديل والاحتفاظ.

لا ينبغي وضع التعليمات كاملة أو تسبيب النموذج أو مخرجات الأدوات في سجل شفافية عالمي لمجرد إمكان توقيعها. يمكن استخدام بصمات منفصلة وحمولات مشفرة ومعرّفات ربط ثنائية عندما لا يلزم الربط العالمي. ويجب تسجيل غرض الإفصاح وهوية المدقق ونطاق الاستعلام والاحتفاظ. أما التنقيح فينبغي أن يترك شاهداً على وقوع الحذف وحدوده من غير إبقاء المحتوى الحساس إلى الأبد.

هذا تطبيق مباشر لفصل طبقات الواقع عند Lu Heng. رابط الأثر والتوقيع ونتيجة الإثبات وإيصال الإدراج وقرار التفويض واستجابة الخدمة ونتيجة المستخدم حقائق متباينة. تجاورها في واجهة واحدة لا يدمج معانيها.

وتضيف أولوية الشيفرة العاملة قاعدة الشاهد الأخير: أقوى سجل لأثر خارجي يأتي من الحد المستقل الذي كان يستطيع إحداثه أو رفضه. تساعد رواية الوكيل المعاد بناؤها في التحقيق، لكنها لا تحل محل ما رصدته الخدمة العاملة وما غيرته.

تهم قائمة IETF الجديدة لأن هذه الوصلات تعبر البروتوكولات والنطاقات الإدارية. ولا يُقاس نجاحها بإنتاج قصة عالمية واحدة، بل بجعل الأقوال المتعارضة والشهود الغائبين والبراهين المحدودة واضحة بما يكفي لقرار تدقيق يمكن الدفاع عنه.

المصادر