# الطبقات الأمنية

OSAFIS 2.0.0-draft.1 | مقترح بحثي | 7 سبتمبر 2026

## الغاية التحليلية

تنظّم معرّفاتُ الطبقات التسع في OSAFIS التحليلَ بحسب الكائن أو الوظيفة أو العلاقة التي قد يخفق عقدها الأمني. وفي هذا التنقيح، تعني «الطبقة» مجالًا تحليليًا مؤقتًا. ولا تصف المعرّفاتُ خطَّ معالجة، ولا مكدّسَ تنفيذ، ولا مستوياتٍ للذكاء، ولا نطاقًا متزايدًا للعواقب. فإخفاقٌ في الأثر البرمجي لنموذجٍ ما قد يطال مؤسساتٍ كثيرة، في حين قد يبقى إخفاقٌ في التفاعل الجماعي محصورًا في بيئة اختبار صغيرة.

والعدد تسعة فرضيةُ عملٍ بشأن التمييزات المفيدة. وينبغي لأي تقسيمٍ مقترح أن يستحق مكانه من خلال اتفاق المقيّمين، وقيمته التفسيرية، وقدرته على توجيه اختباراتٍ فاصلة. ولا تثبت هذه الوثيقة أن المجالات التسعة ضرورية، أو كافية، أو مثلى، أو مكتملةٌ في مواجهة المستقبل. والتداخل بين المكوّنات أمرٌ متوقع؛ أما التداخل بين التعريفات فيتطلب تحديدًا دقيقًا للعقد المعيّن قيد الفحص.

ويكمّل نموذجُ المجالات ثلاثةَ أسئلةٍ منفصلة: ما الخاصية المحمية، وكيف يعمل التأثير، وما العواقب المترتبة. فمعرّفات الخصائص P01–P23 تجيب عن السؤال الأول، والآليات M01–M12 في «تصنيف الهجمات» تعالج الثاني. أما نطاق العواقب، ومرحلة دورة الحياة، وعدم اليقين، وقابلية التعافي فتُسجَّل على نحوٍ مستقل. وتبقى الأبعاد المشتركة D1–D7 منظوراتٍ إلى هذه التحليلات، لا مجالاتٍ إضافية.

## تمثيل النظام قبل تصنيف الإخفاقات

يبدأ التقييم برسمٍ بياني للمكوّنات الفعلية والبشر والخدمات المشتركة والموارد. وتُسند المجالات إلى الوظائف التي تؤديها كل عقدة، وإلى عقود العلاقات ذات الصلة. فقد تنفّذ خدمةٌ واحدة الاسترجاعَ، والحالةَ الدائمة، والاستدلالَ، وإرسالَ الأفعال؛ ومن ثَمّ لا يلزم أن تحمل تسميةً حصرية لمجالٍ واحد. وفي المقابل، قد يمتد عقدُ مجالٍ واحد عبر عدة مكوّنات.

وتُصنَّف العلاقات بحسب نوعها إلى: مشاهدة، أو معلومات، أو تعليمات، أو تفويض سلطة، أو فعل، أو مزامنة حالة، أو تغذية راجعة، أو اعتماد على مورد. وتوثَّق الحمولة، والهويات المنطبقة، وافتراضات الثقة، والتحويلات المسموح بها متى أثّرت في الادعاء. فرسالة الحالة حافةُ معلومات في العادة؛ والتعليمة قد تطلب إنجاز عملٍ دون أن تمنح سلطةً جديدة. ولا يوجد تفويضٌ إلا حيث تُنقل سلطةٌ محددة أو تُمارَس نيابةً عن جهةٍ فاعلة أخرى.

وتُمثَّل الخدمات والموارد المشتركة بوصفها عُقدًا مشتركة. فرسم نسخةٍ من مكدّس الطبقات التسع لكل وكيل قد يحجب نموذجًا أو مخزنَ بيانات أو ميزانيةً أو وحدةَ تحكمٍ مشتركة. والعقود الخاصة بالمجموعات والرسوم البيانية الجزئية مقبولةٌ كذلك: فثابتُ التنسيق قد يخص جميع المشاركين النشطين، ولا يمكن دائمًا اختزاله في فحوصٍ ثنائية مستقلة. ويُسجَّل كلٌّ من الروابط المرصودة والروابط المفترضة على نحوٍ متمايز.

وفي كل اكتشاف، يُفصل بين نقطة دخول الهجوم، والعقود التي أخفقت، والانتشار، والأثر. فالمجال الذي عبره المسار لم يخفق بالضرورة. وقد تكون عدة إخفاقاتٍ ضروريةً سببيًا، وقد يبقى التصنيف معلّقًا ريثما تتوفر الأدلة. وقد يفيد تحديدُ مجالٍ أساسي في الفهرسة، لكن ليست ثمة قاعدةٌ تقضي بأن أول مكوّنٍ تأثّر يتحمل كل خرقٍ لاحق.

## L1 النماذج والحوسبة

اسم العرض المعتمد: النماذج والحوسبة.

يحمي L1 معاملاتِ النموذج القابلة للتنفيذ، وقواعدَ الاستدلال، وحوسبةَ النموذج المتفق عليها. ويحدد عقده الأثرَ البرمجي المعتمد للنموذج أو مجموعةَ القواعد المعتمدة، والتحويلاتِ المسموح بها، وإعداداتِ الحوسبة ذات الصلة، والشروطَ التي يُتوقع في ظلها أن يحقق التنفيذُ تلك الحوسبة. وينطبق ذلك على أنظمة الاستدلال المتعلَّمة وتلك المبرمجة صراحةً. وقد تكون البنيةُ المعمارية، والأوزانُ، والمهايئاتُ القابلة للتنفيذ، والحوسبةُ المؤثرة في تهيئة النموذج كائناتٍ محميةً ذات صلة.

والحد الفاصل بينه وبين L2 هو التمييز بين الحوسبة المحددة من جهة، والبرمجيات أو البنية التحتية التي تنفّذها وتقدّمها من جهة أخرى. فاستبدال الأوزان المعتمدة دون تصريح إخفاقٌ في سلامة الأثر البرمجي ضمن L1. أما عملية التقديم التي تسمح لجهة استدعاءٍ غير مصرَّح لها باستبدال الملفات، فتنطوي أيضًا على إخفاقٍ في التحكم في الوصول ضمن L2 إذا أُفشل ذلك العقد على نحوٍ مستقل. وتنتمي بيانات التدريب إلى L3 بوصفها موردًا معلوماتيًا؛ أما إخفاق النموذج الناتج في تحقيق سلوكٍ أمني محدد فقد يسوّغ اكتشافًا ضمن L1، مع تسجيل تأثير البيانات بوصفه مسارَ الدخول السببي. ومجرد إنتاج إجابةٍ خاطئة لا يثبت إخفاق عقد حوسبة النموذج.

ومن الحالات التوضيحية التي لم تُنفَّذ نشرٌ يُراد له أن يحمّل تركيبةً معتمدة واحدة من نموذجٍ ومهايئ. ثم يُحال اسمٌ مستعار قابلٌ للتغيير إلى مهايئٍ غير معتمد بعد بدء التشغيل، مع أن النموذج الأساسي يبقى دون تغيير. والالتزام المحمي هنا هو تنفيذ التركيبة المعتمدة، لا وعدٌ عام بمخرجاتٍ صحيحة. ويمكن للتقييم أن يقارن البيانَ المعتمد للمكوّنات (manifest) بالآثار البرمجية المحمّلة فعلًا، وأن يجرّب تغيير الاسم المستعار في بيئةٍ معزولة. وتستخدم حالةُ الضبط السلبية انتقالًا مسموحًا به بين الإصدارات مع الترخيص والتحقق المطلوبين.

والسؤال القابل للتقييم هو ما إذا كان التنفيذ يبقى مقيّدًا بالآثار الحوسبية والتغييرات المعتمدة. ومن الضوابط المرشّحة: التحميل المتحقَّق منه، والإحالات الثابتة إلى الإصدارات، والسجلات الصريحة للتحويلات، والفحوص عند حدود إعادة التحميل. وتتوقف فعاليتها على موضع إجراء التحقق، وعلى ما إذا كان التعديل اللاحق لا يزال ممكنًا. والتحقق الأولي الناجح وحده لا يثبت السلامة طوال عمر النظام.

## L2 البرمجيات والبنية التحتية

اسم العرض المعتمد: البرمجيات والبنية التحتية.

يحمي L2 عقودَ التنفيذ، وبيئةِ التشغيل، والتحكمِ في الوصول، والعزلِ، والبنيةِ التحتية. ومن الكائنات ذات الصلة: نقاطُ نهاية الخدمات، وبياناتُ الاعتماد، والعملياتُ الحاسوبية، وتهيئةُ النشر، والتبعياتُ، والشبكاتُ، والوصولُ إلى التخزين، وبيئاتُ التنفيذ. ويحدد العقد من يجوز له استدعاء أيّ الوظائف أو تعديلها، وكيف يُفصل بين المستأجرين والامتيازات، وحدودَ الخدمة أو الموارد اللازمة للتشغيل المصرَّح به.

ووجود نموذجٍ لا يُخرج خلطًا تقليديًا بين الجلسات، أو نقطةَ نهايةٍ إدارية مكشوفة، من نطاق هذا المجال. فـL2 يغطي الآلية التي تفرض حدود الوصول الخاصة بالتطبيق، أما L7 فيغطي السلطةَ الخاصة بالمهمة وآثارَ الأفعال المنفَّذة عبر تلك الآلية. فقد تتحقق أداةٌ من هوية خدمةٍ ما على نحوٍ صحيح، بينما تطلب تلك الخدمة عمليةً خارج مهمة المستخدم؛ وهذا ما يميّز فحصًا سليمًا للبنية التحتية من عقدِ فعلٍ أخفق. ويبقى L1 مسؤولًا عن حوسبة النموذج المعتمدة، بينما يغطي L2 تنفيذَ التقديم والعزلَ الداعمين لها.

ومن الإخفاقات التوضيحية التي لم تُنفَّذ أن تتشارك جلستا وكيلٍ ذاكرةَ تخزينٍ مؤقت داخل العملية لا يتضمن مفتاحها هويةَ المستأجر، فتسترجع إحداهما استجابةً تخص مستأجرًا آخر. والعقد الذي أخفق هو الفصل بين المستأجرين، حتى لو احتوت الاستجابة على نصٍ ولّده النموذج وكان الأثر الظاهر فقدانًا للسرية. ويمكن لاختبارٍ محتوى أن يستخدم حساباتٍ اصطناعية وبياناتِ وسمٍ مميزة، وأن يناوب بين الطلبات، ثم يفحص ما إذا كانت حدود الحسابات تصمد أمام إعادة استخدام الذاكرة المؤقتة. وتكرار التسلسل مع تعطيل التخزين المؤقت قد يساعد على تحديد موضع الآلية، دون أن يثبت أن كل مسارات التخزين المؤقت آمنة.

ويسأل التقييم ما إذا كان بمقدور جهاتٍ فاعلة أو سياقاتِ تنفيذٍ غير مصرَّح لها الوصولُ إلى الموارد المحمية في ظل تهيئة النشر المذكورة. ومن الضوابط المرشّحة: الربطُ الكامل بهوية المستأجر، وهوياتُ خدمةٍ محددة النطاق، والعزلُ، وحدودُ الموارد. ولا يوفّر التسجيل دليلًا إلا إذا التقط الهويةَ المعنية وقرارَ الحدود. والضرر الواسع اللاحق لا ينقل إخفاق البنية التحتية الأصلي إلى L9.

## L3 البيانات والمعرفة

اسم العرض المعتمد: البيانات والمعرفة.

يحمي L3 الموارد المعلوماتية والشروطَ التي تُقدَّم في ظلها بوصفها معرفة. ويشمل عقده التغييراتِ المصرَّح بها، والوصولَ، والمنشأَ، وحالةَ المصدر، وأيَّ متطلباتٍ مُعلنة للحداثة أو التحقق. وقد تندرج ضمن هذا المجال مدوّناتُ التدريب، وفهارسُ الاسترجاع، والوثائقُ، والبياناتُ الوصفية، وقواعدُ البيانات المرجعية، والمعلوماتُ التي توفّرها الأدوات. والالتزام هنا ليس أن يكون كل قولٍ صحيحًا، بل أن يستوفي المورد شروطَ المعالجة والشروطَ المعرفية المطلوبة صراحةً.

ويفترق L3 عن L5 عند استخدام المعلومات بوصفها سلطةً للتعليمات أو للأهداف. فوثيقةٌ غير موثوقة موسومةٌ وسمًا صحيحًا قد تحمل عباراتٍ عدائية دون أن تخرق L3. فإذا رفع المفسِّر تلك العبارات إلى مرتبة سلطة التعليمات، كان العقد الذي أخفق ضمن L5. ويتعلق L4 باكتساب حالة البيئة وتقديرها؛ أما L3 فيتعلق بالمعلومات المعروضة أو المصونة بوصفها موردًا. ويتعلق L6 بالمعلومات التي تؤدي وظيفةَ حالةٍ تشغيلية محتفَظ بها. وقد تنفّذ قاعدةُ بياناتٍ واحدة مجموعةً معرفية وذاكرةً للمستخدم معًا؛ فالتصنيف يكون للعقد لا لتقنية التخزين.

وفي مثالٍ توضيحي لم يُنفَّذ، يُسقط فهرسٌ لنشرات أحد الموردين معرّفَ المصدر في أثناء إدخال البيانات. ثم تُعرض نتيجةٌ لاحقة على أنها صادرة عن ناشرٍ معتمد، مع أن محتواها نشأ في مكانٍ آخر. والإخفاق المقترح ضمن L3 هو فقدان ربط المصدر الذي يشترطه عقد الفهرس. ويمكن لاختبارٍ أن يُدخل مصادرَ اصطناعية متمايزة، ويفحص سجلاتها بعد التحويل، ويقارن المنشأ المسترجَع بسجل الإدخال. وفي حالة الضبط السلبية يُحفظ الربط عبر التحويلات نفسها.

والسؤال القابل للتقييم هو ما إذا كانت المعلومات تعبر حدودَ الجمع والتحويل والاسترجاع والإفصاح وأذوناتُها ومنشؤها المطلوبان سليمان. ومن الضوابط المرشّحة: ربطُ المصدر، وسجلُّ التحويلات، والفصلُ بين حالة التحقق والمحتوى، وفحوصُ الوصول عند الاسترجاع. وقد يدعم توقيعُ المصدر ادعاءً بشأن الأصل دون أن يثبت صحةَ أقوال المصدر أو ملاءمتها.

## L4 الإدراك وتمثيل العالم

اسم العرض المعتمد: الإدراك وتمثيل العالم.

يحمي L4 المشاهدةَ وتقديرَ البيئة التشغيلية. ويحدد عقده السماتِ التي تُشاهَد، وكيف تُربط المشاهدات بالكيانات والأزمنة، وكيف يُتعامل مع عدم اليقين والحالة المتقادمة، ومتى تلزم إعادة المشاهدة قبل اتخاذ قرارٍ يعتمد عليها. ويشمل ذلك المستشعراتِ المادية والمشاهدةَ الرقمية، كوكيلٍ يفحص صفحةً في متصفح أو حالةَ خدمةٍ ما. وقابلية التطبيق تتبع الوظيفة: فالتمثيل النصي قد يكون مشاهدةً لبيئةٍ متغيرة.

والتمييز بينه وبين L3 وظيفي. فالوثيقة المرجعية تصف معلومات؛ أما العرض الحالي الذي يُستخدم لتحديد موضع عنصرٍ حي في الواجهة فيقدّر الحالة التي سيقع فيها الفعل. وقد تؤدي البايتات نفسها أيًّا من الدورين. ويحمي L6 الاحتفاظَ بالحالة وتحديثاتِها المصرَّح بها، بينما يحمي L4 بقاءَ البيئة الممثَّلة مرتكزةً إلى الواقع بقدرٍ كافٍ. فالاعتقاد المخزَّن بدقة لكنه متقادم قد يستوفي سلامة التخزين بينما يخرق عقدًا مطلوبًا للحداثة. ويغطي L7 التحققَ اللاحق من صحة الفعل وأثرَه.

وتستخدم حالةٌ توضيحية لم تُنفَّذ صفحةَ إدارةٍ محاكاة. فبعد أن يشاهد وكيلٌ موردَ اختبارٍ محددًا، تُحدَّث الصفحة ويتغيّر الصف المحدد، ويواصل الوكيل تمثيل المورد السابق على أنه المحدد. ويمكن للتقييم أن يقارن المشاهداتِ الموسومة بطوابع زمنية، وتمثيلَ الحالة لدى الوكيل القابلَ للفحص من الخارج، بالحالة المعروفة لدى المحاكي. وأوراكل الحكم على الخرق هنا اشتراطٌ مُعلن بتحديث هوية العنصر المحدد قبل أي عمليةٍ ذات عواقب. وفي حالة الضبط السلبية تُثبَّت الصفحة أو تُفرض إعادة المشاهدة.

ومن الضوابط المرشّحة: الطوابعُ الزمنية للمشاهدات، وربطُ الكيانات، والتصريحُ بعدم اليقين، وفحوصُ الاتساق، وشروطُ التحديث الإلزامية. ولا يُفترض أن المدخلات المادية يتعذر التحقق من أصالتها كليًا، ولا أن المدخلات المتحقَّق من أصالتها دقيقة. فالأصل، وحالة المستشعر، والتفسير، وحقيقة البيئة ادعاءاتٌ مختلفة. ويجب أن تحدد نتائج المحاكاة الفجوةَ بين البيئة المحاكاة وبيئة النشر. ويمثّل توسيع النطاق ليشمل البيئات الرقمية مسألةَ ترحيلٍ في الإصدار 2.0 للتصنيفات التاريخية ضمن L4 وP22.

## L5 التفسير والأهداف

اسم العرض المعتمد: التفسير والأهداف.

يحمي L5 إسنادَ المعنى، وسلطةَ التعليمات، والأهدافَ المصرَّح بها. ويحدد عقده الجهاتِ الفاعلة التي يجوز لها وضعُ المهمة أو تعديلها، وأسبقيةَ تعليماتها ونطاقَها، وكيفيةَ التعامل مع المواد المقتبسة أو المسترجَعة، وكيفيةَ حسم الالتباس أو التعارض. وقد تشمل المصادر المنطبقة سياسةَ النشر، وطلبًا صالحًا من المستخدم، وتفويضًا محدود النطاق. ويحدد أسبقيتَها مالكُ السياسة المسؤول عن النظام، ولا يفترضها الإطار.

وليس L5 مجالًا لكل مُخرَجٍ غير مرغوب فيه. فإذا بقي الهدف «قيّم هذه المعاملة» بينما طُبّقت عتبةٌ إثباتية على نحوٍ خاطئ، فإن السؤال المباشر يتعلق بـ«سلامة القرار» في المكوّن الذي يُصدر ذلك الحكم. وإذا خرقت الاستراتيجيةُ المختارة قيدًا على التسلسل بينما بقي الهدف دون تغيير، كانت «سلامة التخطيط» في L7 أغنى دلالة. فمعالجة المصادر من شأن L3؛ أما رفع محتوى المصدر إلى مرتبة سلطة التعليمات فمن شأن L5. ويفحص L8 ما يُقاد الشخصُ إلى فهمه أو الترخيص به.

وفي حالةٍ توضيحية لم تُنفَّذ، تُسند إلى خدمةِ مراجعةٍ مهمةٌ مصرَّح بها لتلخيص تقريرٍ لمستلمٍ مسمّى. ويزعم مقطعٌ داخل التقرير أن سياسةً جديدة تقتضي إرساله إلى جهةٍ أخرى. ويقارن أوراكل الحكم في L5 المهمةَ التي اعتُمدت بعد قراءة المقطع بسجلّ الهدف المصرَّح به وبالعقد الذي يحظر تغيير المهمة بناءً على محتوى التقرير. ويساعد مقطعُ ضبطٍ يتضمن معلومات المستلم نفسها في صورة عبارةٍ خبرية عادية على تمييز التوجيه من أثر المحتوى. ولا يلزم تنفيذ الإرسال فعلًا لإثبات تغيّرٍ في الهدف تدعمه الأدلة.

ويسأل التقييم ما إذا كان مصدرٌ لا يملك سلطة تحديد المهمة قادرًا على تغيير التعليمات أو الهدف الحاكم. ومن الضوابط المرشّحة: أدوارٌ صريحة للمصادر، وتقييدُ تحديثات حالة المهمة، وتصعيدُ التعارضات. وإذا اختلف أصحاب المصلحة المصرَّح لهم ولم توجد قاعدةٌ للحسم، سجّل المقيّم عقدَ سلطةٍ لم يُحسم. ولا يمكن حسم خلافٍ مرصود ذي عواقب بمجرد إعلان أن أحد التفسيرات «متوائم».

## L6 الذاكرة واستمرارية الحالة

اسم العرض المعتمد: الذاكرة واستمرارية الحالة.

يحمي L6 الحالةَ التشغيلية المحتفَظ بها والاستمراريةَ عبر الأدوار والجلسات والانقطاعات والمهام المستأنَفة. ويحدد عقده من يجوز له إنشاء الحالة، أو تعديلها، أو ربطها، أو قراءتها، أو إنهاء صلاحيتها، أو حذفها؛ ولأيّ مهمةٍ أو جهةٍ فاعلة تعود؛ والشروطَ التي يجوز في ظلها أن تؤثر في العمل المستقبلي. وقد تندرج في ذلك ملخّصاتُ المحادثات، وتفضيلاتُ المستخدمين، ونقاطُ الحفظ، والتراخيصُ المعلّقة، وسجلاتُ المهام الدائمة. والدوام هنا وظيفي وقد يكون قصيرًا؛ فنقطةُ حفظٍ في الذاكرة العاملة قد تكون ذات صلةٍ بالأمن.

يحمي L3 المعلوماتِ بوصفها موردًا؛ أما L6 فيحميها بوصفها استمراريةً لعمليةٍ أو علاقةٍ بعينها. ويحدد L5 ما إذا كان النص المحفوظ يمكن أن يؤدي وظيفة التعليمات على نحوٍ مشروع. ويقيّم L4 دقةَ تمثيلٍ محفوظ للعالم وحداثتَه. و«السلامة الزمنية» تمتد عبر المجالات ولا تستلزم L6 تلقائيًا: فبيانات اعتمادٍ لأداةٍ ما قد تُخفق في شرطها الزمني عند انتهاء صلاحيتها دون أن يكون أي نظامٍ فرعي للذاكرة معيبًا.

وفي مثالٍ توضيحي لم يُنفَّذ، يسجّل ملخّصُ مهمةٍ عبارة «وافق المستخدم على المشاركة» ويُغفل أن الموافقة لم تشمل إلا تقريرًا اصطناعيًا بعينه. وعند الاستئناف، تُربط الموافقة بتقريرٍ مختلف. ويشترط عقدُ استمرارية الحالة الحفاظَ على موضوع الترخيص ونطاقه. ويقارن تقييمٌ محتوى بين سجل السلطة قبل نقطة الحفظ، والملخّصِ المُسلسَل، والحالةِ المستعادة، وطلبِ الإذن اللاحق. وفي حالة الضبط السلبية تُستأنف مهمةٌ مع الحفاظ على جميع الروابط المطلوبة.

والسؤال القابل للتقييم هو ما إذا كانت الحالة المحتفَظ بها تحافظ على ترخيصها وهويتها ومنشئها وشروط صلاحيتها عبر التحويل وإعادة الاستخدام. ومن الضوابط المرشّحة: الربطُ المهيكل بالنطاق، والحالةُ ذات الإصدارات، وانتهاءُ الصلاحية، والإبطالُ الصريح، وإعادةُ التحقق عند الاستئناف. وحذف سجلٍ ظاهر واحد في الذاكرة لا يثبت الإلغاء الكامل إذا ظلت ملخّصاتٌ مشتقة أو مخازن أخرى قادرةً على إعادة إدخاله. وينبغي أن يحدد التقييم المخازنَ التي فُحصت فعلًا وحدودَ ذلك الادعاء.

## L7 التخطيط والفعل

اسم العرض المعتمد: التخطيط والفعل.

يحمي L7 الاستراتيجياتِ، واختيارَ القدرات، والتفويضَ، والتحققَ من صحة الأفعال، والتنفيذَ. ويربط عقده الهدفَ المصرَّح به بالوسائل والموارد والمستلمين المسموح بهم، وبقيود التسلسل، والميزانيات، والآثار الخارجية. وينطبق على العمليات الرقمية وعلى التشغيل المادي للمشغّلات. وقد يكون الفعل المعني رسالةً، أو تعديلًا في ملف، أو طلبَ خدمة، أو تحريكًا لجهاز؛ ووصف العملية بأنها استدعاءٌ لأداةٍ لا يحسم مسألة السلطة التي تستند إليها.

يحمي L5 ما هو مصرَّح للنظام بإنجازه، أما L7 فيحمي الكيفيةَ التي يحاول بها إنجاز تلك المهمة وينفّذها. وقد يتحقق L2 من هوية جهة الاستدعاء ويتيح قدرةً ما دون أن يثبت أن استخدامًا بعينه مسموحٌ به. ويغطي L8 فهمَ الإنسان وواجهةَ الترخيص القابلة للاستخدام. وينطبق L9 حين يكون ثمة التزامٌ منفصل بالتفاعل الجماعي، لا لمجرد أن وكيلًا يفوّض وكيلًا آخر. وضمن L7، تتعلق P12 باختيار استخدام القدرات، وP13 بالأثر المتحقق، وP14 بالتدخل، وP15 بالاستراتيجية، وP16 بالنطاق المفوَّض.

وفي حالةٍ توضيحية لم تُنفَّذ، يُرخَّص بتحديث سجلَّي اختبار بشرط أن يمكن تثبيت التحديثين معًا. فيبني وكيلٌ خطةً لتثبيت الأول ثم محاولة الثاني على نحوٍ مستقل. والخطة تخرق قيد المعاملة المطلوب قبل أن يقع أي أثرٍ خارجي. ويقارن أوراكل الحكم الخطةَ القابلة للفحص أو العملياتِ المجدولة بالشرط المُعلن «الكل أو لا شيء». ويمكن بعد ذلك لخلفيةٍ محاكاة أن تحدد ما إذا كان الإنفاذ عند التنفيذ يمنع التثبيت الجزئي. والخطة المعاملاتية الممتثلة حالةُ ضبطٍ سلبية.

ويسأل التقييم ما إذا كانت العمليات المسموح بها تظل مسموحًا بها بوصفها تسلسلًا وفي وقت التنفيذ. ومن الضوابط المرشّحة: التفويضُ المقيّد، والفحوصُ على مستوى الأثر، ومحاسبةُ الميزانية، وإعادةُ التحقق بعد التأخير، ومساراتُ التدخل ذات المهل الزمنية المقيسة. وزرّ الإيقاف الذي لا يستطيع منع الأثر غير القابل للعكس المعني ضمن متطلبه الزمني المُعلن لا يستوفي عقد قابلية التحكم ذاك. ويجب استبدال الأفعال الخطرة الفعلية ببدائل محتواة في أثناء التقويم.

## L8 تفاعل الإنسان والنظام

اسم العرض المعتمد: تفاعل الإنسان والنظام.

يحمي L8 الفهمَ البشري، والترخيصَ المستنير، والإشرافَ، والتدخلَ ضمن علاقةٍ مع النظام. ويحدد عقده دورَ الإنسان، والمعلوماتِ الجوهرية اللازمة لاتخاذ القرار، والادعاءاتِ التي يُسمح للواجهة بتقديمها، وشروطَ الموافقة أو التحكم ذوي المعنى. وقد يشمل إظهارَ عدم اليقين، والمنشأَ، ونطاقَ الأفعال المقترحة، والتطابقَ بين الطلب المعروض والعملية التي يُرخَّص بها لاحقًا.

ولا يفترض L8 أن للنموذج مشاعرَ أو نوايا بشرية، ولا يصنّف كل مُخرَجٍ مُقنع أو مزعج على أنه ثغرة. بل يجب تحديد التزامٍ ذي صلةٍ بالأمن وتأثيرٍ مضلِّل جوهري. ويتعلق L5 بتفسير النظام للسلطة؛ أما L8 فيتعلق بفهم الشخص للطلب أو النتيجة. وإنفاذ الأفعال من شأن L7. فقد تُسيء الواجهةُ تمثيلَ النطاق المقترح حتى لو كانت الخلفية تنفّذ رمز الموافقة الذي تتلقاه تنفيذًا صحيحًا.

وفي حالةٍ توضيحية لم تُنفَّذ، تُعرض موافقةٌ على «مشاركة هذا الملخّص»، في حين تشمل العملية المرتبطة بها كاملَ مرفقاته السرية. وفي سير عملٍ اصطناعي، يمكن للتقييم أن يقارن النطاقَ المعروض، وسجلَّ الموافقة المُولَّد، والحمولةَ الخارجية المخطط لها. ويمكن فحص عدم التطابق دون كشف بياناتٍ حقيقية أو إشراك أشخاصٍ غافلين. أما إثبات كيف تغيّر طريقةُ العرض قراراتِ البشر فيتطلب تصميمَ دراسةٍ منفصلًا؛ ففحص الواجهة وحده لا يبرهن على أن المستخدمين قد خُدعوا.

ومن الضوابط المرشّحة: معايناتٌ محددة للآثار، وتصريحٌ بالمستلمين ونطاق البيانات، ومنشأٌ صادق، وتدخلٌ متاحٌ بيُسر. وتتطلب الدراسات التي يشارك فيها بشرٌ موافقةً مناسبة، ومراجعةً أخلاقية، وجلسةَ إيضاحٍ بعد الدراسة، وحمايةً للبيانات. ويجب أن يميّز التقييم بين عيبٍ في التصميم، ودليلٍ على تواصلٍ مضلِّل جوهريًا، وأثرٍ بشري مرصود. ووجود شخصٍ في سير العمل لا يبرهن بحد ذاته على إشرافٍ فعّال، ولا ينقل المسؤولية عن سائر مالكي الضوابط في النظام.

## L9 التفاعل الجماعي والنظامي

اسم العرض المعتمد: التفاعل الجماعي والنظامي.

يحمي L9 عقدًا متميزًا يحكم التفاعلات بين المشاركين أو التبعيات. ويتطلب الاكتشاف آليةَ اقترانٍ مُبرهنة أو مفترضة، كالتغذية الراجعة، أو التنافس على موردٍ مشترك، أو مزامنة الحالة، أو التخصيص المنسَّق، أو الاعتماد المترابط. وقد يتعلق العقد بحدٍّ جماعي، أو شرطِ اتساق، أو حدِّ احتواء، أو سلوكِ تعافٍ. أما الأثر العام أو المجتمعي الواسع فيُسجَّل على حدة، ولا يكفي وحده لإسناد هذا المجال.

فانقطاعٌ في خدمةٍ مشتركة ضمن L2 قد يطال كل الوكلاء المعتمدين عليها دون أن يبرهن على ثغرةٍ منفصلة في L9. ويصبح L9 ذا صلة حين يُفشل تفاعلُهم التزامًا جماعيًا محددًا على نحوٍ مستقل. وكذلك فإن خرق نطاق التفويض يقع عادةً ضمن L7؛ وتعدد المشاركين لا يُنشئ إخفاقًا جماعيًا تلقائيًا. ويمكن لتحليلٍ سليم في L9 أن يحدد إخفاقًا جماعيًا حتى حين يمتثل كل مشاركٍ لعقده المحلي، شريطة أن يكون عقد التركيب والاقتران صريحين.

لنأخذ محاكاةً توضيحية لم تُنفَّذ، تتشارك فيها عدةُ مجدولاتٍ موردًا محدودًا. يحترم كلُّ مجدولٍ حدَّه المحلي لإعادة المحاولة، لكن المشاهدات المتأخرة تجعل محاولاته المتكررة تتزامن مع محاولات غيره، فتمنع المجموعةَ من التعافي ضمن الفترة المتعاقد عليها. والفرضية تتعلق برسمٍ بياني جزئي من التغذية الراجعة والتبعية المشتركة. ويقارن التقييم زمنَ التعافي وإجماليَّ الطلبات المتزامنة بالعقد الجماعي، ثم يغيّر درجة التزامن أو يُدخل جدولةً مستقلة بوصفها حالةَ ضبطٍ سلبية. ومجرد إحصاء طلباتٍ كثيرة لا يثبت الآلية المقترحة.

ومن الضوابط المرشّحة: قواعدُ قبولٍ مشتركة، وميزانياتٌ منسَّقة، وتخميدُ التغذية الراجعة، وعزلُ نطاقات الإخفاق. ويجب تقويمها على مستوى المجموعة المعني وفي ظل تأخيرات الاتصال المفترضة. فالمحاكاة الصغيرة تدعم ادعاءاتٍ عن ذلك النموذج وعن الشروط المختبَرة، ولا تثبت السلوك على نطاق المجتمع. وإذا تعذّر تحديد عقدٍ جماعي أو اقتران، فيُسجَّل الأثر الواسع ويُترك L9 دون إسناد.

## ممارسات التصنيف والترحيل

ينبغي للمقيّم أن يكتب الالتزامَ الذي أخفق بلغةٍ واضحة قبل اختيار أي مجال. ثم يحدد موضعه الفعلي من المكوّنات أو العلاقات، ويحدد الخاصية والآلية، ويميّز أدلة الخرق من مجرد الانتشار. ويقارن بأقرب مجالٍ مجاور مستعينًا بالحدود المبيّنة أعلاه. ويسجّل العقودَ المستقلة التي أخفقت كلًّا على حدة، مع الإبقاء على مسارها السببي المشترك. وإذا عجزت المشاهدات المتاحة عن التمييز بين تفسيرين، أبقى على الفرضيتين وحدد الاختبار الفاصل التالي.

وتقابل تسمياتُ المصدر 1.0 معرّفاتِ 2.0.0-draft.1 على النحو الآتي. وهذه المقابلة تحفظ الإحالات، ولا تعني أن النطاق بقي دون تغيير.

| المعرّف | تسمية المصدر 1.0 | اسم العرض في التنقيح 2.0.0-draft.1 والإيضاح الرئيسي |
| --- | --- | --- |
| L1 | أساس النماذج والحوسبة (Model & Computational Foundation) | النماذج والحوسبة؛ تمييز عقود بيئة التشغيل والبنية التحتية من الحوسبة |
| L2 | التطبيقات والبنية التحتية (Application & Infrastructure) | البرمجيات والبنية التحتية؛ إسناد التنفيذ والعزل صراحةً إلى هذا المجال |
| L3 | البيانات والمعرفة (Data & Knowledge) | البيانات والمعرفة؛ تمييز معالجة الموارد من سلطة التعليمات |
| L4 | البيئة والإدراك (Environment & Perception) | الإدراك وتمثيل العالم؛ إدراج المشاهدة المادية والرقمية |
| L5 | الدلالة والسلوك (Semantic & Behavioral) | التفسير والأهداف؛ لا اختصاص عامًا بكل سلوكٍ غير مرغوب فيه |
| L6 | الذاكرة والحالة الدائمة (Memory & Persistent State) | الذاكرة واستمرارية الحالة؛ تعريف الاستمرارية التشغيلية المحتفَظ بها بحسب الوظيفة |
| L7 | الوكيل والفعل (Agent & Action) | التخطيط والفعل؛ إدراج الاستراتيجيات والآثار المادية صراحةً |
| L8 | تفاعل الإنسان والذكاء الاصطناعي (Human-AI Interaction) | تفاعل الإنسان والنظام؛ جعل الترخيص المستنير والإشراف جزءًا من العقد |
| L9 | النظامي والمجتمعي (Systemic & Societal) | التفاعل الجماعي والنظامي؛ اشتراط الاقتران والعقد الجماعي |

ولم يُحتفظ بما كان في المصدر من ترتيبٍ بحسب العواقب، ومن سلطةٍ تلقائية على كل حافةٍ بين الوكلاء، ومن تركيزٍ حصري على طبقةٍ أساسية واحدة. وتتطلب الاكتشافات التاريخية إعادةَ تصنيفٍ بشرية حيثما أثّرت تلك الافتراضات في النتيجة. وتسجّل «الإصدارات والمعرّفات» سياسةَ الترحيل؛ ويقدّم «نموذج التهديد» افتراضاتٍ محددة النطاق؛ وتقدّم «الخصائص الأمنية» الالتزامات؛ وتقدّم «منهجية التقييم» متطلباتِ الاختبار والأدلة. وهذه الصلات تجعل نموذجَ المجالات قابلًا للاستخدام، مع إبقاء كفايته العلمية مفتوحةً للتقويم.