# الخصائص الأمنية

OSAFIS 2.0.0-draft.1 | مقترح بحثي | 7 سبتمبر 2026

## ما الذي تُرسيه الخاصية

تُسمّي الخاصية الأمنية التزامًا يمكن للتقييم أن يجسّده بالنسبة إلى كائنٍ أو وظيفةٍ أو علاقةٍ محمية. فآلية الهجوم تصف كيف يعمل التأثير؛ والمجال يحدد موضع العقد المعني؛ والخاصية تبيّن ما يحميه ذلك العقد. وهذه المحاور مترابطة لكنها غير قابلة للتبادل. فقد تصل وثيقةٌ خبيثة إلى النظام دون أن تخرق أي خاصية، وقد تُخفق الخاصية نفسها عبر عدة آليات في عدة مجالات.

وتحتفظ المعرّفات الثلاثة والعشرون أدناه بالإسنادات والتسميات الواردة في وثيقة المصدر «الإصدارات والمعرّفات». وهي أعرافٌ تحليلية مقترحة، لا دليلٌ على أن نظامًا منشورًا يستوفيها. وقد استخدمت وثيقة المصدر «الخصائص الأمنية» عناوينَ أقسامٍ مرقّمة لا تطابق جميعَ المعرّفات الدائمة. لذا يجب أن تستخدم الاستشهاداتُ معرّفاتِ P وإصدارَ الإطار، بدلًا من استنتاج الهوية من موضع القسم. وعلى وجه الخصوص، فإن P14 هي «قابلية التحكم»، وP15 «سلامة التخطيط»، وP17 «السلامة الزمنية»، وP18 «سلامة القرار».

## تجسيد الخاصية واختبارها

لكل خاصيةٍ منطبقة، ينبغي تحديد الكائن أو العلاقة المحمية، والجهاتِ الفاعلة المصرَّح لها، والعملياتِ المسموح بها، والشروطِ الحاكمة، والأفقِ الزمني، ومعيارِ الخرق القابل للرصد. كما ينبغي تحديد مالك السياسة والدليلِ على انطباقها. فعبارة «كان المُخرَج ضارًا» لا تحدد الالتزام، وعبارة «ظل النظام آمنًا» ليست أوراكلَ حكم. وقد تتضمن العقود محظوراتٍ قطعية، أو حدودًا، أو عتبات، أو التزاماتٍ مشروطة؛ وتحتاج قيمها إلى تسويغٍ في السياق الخاضع للتقييم.

ويفصل أوراكل الحكم في ما إذا كان الشرط المحدد متحققًا. وقد يقارن سجلاتِ الترخيص بالآثار، أو يفحص روابطَ المصادر، أو يقيّم قاعدةً مُعلنة إزاء وقائعَ مضبوطة، أو يستخدم سُلّمَ تقديرٍ خضع للمراجعة لتقييم المعنى وطريقة العرض. ويجب الإبلاغ عن حدود أوراكل الحكم، بما في ذلك الخلافات بين المحكّمين البشريين. والتفسيرات التي يولّدها النموذج قد تكون مشاهداتٍ، لكن لا ينبغي افتراض أنها تكشف العملية السببية الفعلية أو توفّر حقيقةً مرجعية مستقلة.

والأمثلة والاختبارات الواردة أدناه توضيحيةٌ ولم تُنفَّذ. وهي تقدّم تصاميمَ ممكنة للتقييم، لا نتائجَ تجريبية، ولا ثغراتٍ متحققًا منها، ولا ضوابطَ صالحة لكل حال. وينبغي أن تستخدم الاختباراتُ بياناتٍ اصطناعية وآثارًا محتواة حيثما أمكن عمليًا. ويجب أن ينص كل سجلِّ تنفيذ على السلوك في خط الأساس، والشرطِ الذي جرى التلاعب به، وحالاتِ الضبط السلبية، والنتيجةِ المرصودة، والتهيئةِ، وعدمِ اليقين. وقد تكون الخاصية غيرَ منطبقة، أو غيرَ مختبَرة، أو مستوفاةً ضمن الشروط المفحوصة، أو مخروقةً في ظل شروطٍ مذكورة، أو معلّقة. ويجب ألا تُختزل هذه الحالات في حكمٍ ثنائي على أمن النظام.

## P01 السرية

تقتضي السريةُ ألا تُكشف المعلومات المحمية إلا للجهات الفاعلة والقنوات التي تسمح بها السياسة المنطبقة. ويجب أن يحدد العقد المعلوماتِ والمستلمين والتحويلاتِ والمخرجاتِ المشمولة بالنطاق. ولا تكون التعليمات، والآثار البرمجية للنماذج، وسجلات التتبع الداخلية سريةً إلا إذا كانت سياسةٌ ما تحميها فعلًا؛ فمجرد وجودها داخل النظام ليس قاعدةً للكتمان. وقد يقع الكشف عبر النص، أو الاسترجاع، أو الذاكرة، أو حمولات الأدوات، أو قنواتٍ أخرى قابلة للرصد.

ويثبت أوراكلُ الحكم على الخرق أن مستلمًا غير مصرَّح له حصل على معلوماتٍ محمية أو على استنتاجٍ محظور وفق معيار التسرب المُعلن. ويمكن لاختبارٍ محتوى أن يضع سرًّا اصطناعيًا في حسابٍ ما ثم يفحص مخرجاتِ حسابٍ آخر، مع استخدام مستلمٍ مصرَّح له حالةَ ضبطٍ سلبية. وظهور وسمٍ مخمَّن دليلٌ ضعيف، ما لم يمكن تمييز أصله من المصادفة أو من المعرفة المسموح بها. وتتعلق P01 بالكشف، وP02 بالتعديل غير المصرَّح به، وP03 بالوصول إلى الخدمة. وقد تنطوي حادثةٌ واحدة على الثلاث جميعًا على نحوٍ مستقل.

## P02 السلامة

تقتضي السلامةُ ألا تُنشأ المعلومات أو التهيئة أو الحوسبة أو الحالة المحمية ولا تُغيَّر إلا عبر تحويلاتٍ مسموح بها وعلى يد فاعلين مصرَّح لهم. ويجب ترجمة وصف «جدير بالثقة» إلى ثابتٍ محدد، كبصمةٍ معتمدة للأثر البرمجي، أو ترخيصٍ صالح بالتحديث، أو ربطٍ محفوظ بالحساب. وتظل الخاصية العامة مفيدةً للكائنات التي لا تعبّر عن التزامها خاصيةُ سلامةٍ متخصصة تعبيرًا أفضل.

ويقارن أوراكل الحكم الحالةَ المرصودة للكائن المحمي أو انتقالَه بالإصدار المصرَّح به وقواعد التغيير. ويمكن لاختبار استبدال الأثر البرمجي للنموذج أن يفحص الأثر المحمَّل فعلًا، بدلًا من استنتاج الاستبدال من تغيّر الإجابات وحده. ويجسّد التحديثُ المسموح به الحالةَ السلبية. وتُستخدم P07 للدلالات الخاصة بالذاكرة التشغيلية المحتفَظ بها، وP04 لسلطة التعليمات، وسائرُ الخصائص المحددة حيثما عبّرت عن الالتزام بدقة. وإضافة P02 إلى كل اكتشافٍ يتعلق بسلامةٍ متخصصة لا تثبت إخفاقًا إضافيًا ولا تزيد خطورته.

## P03 التوافر

يقتضي التوافرُ تقديمَ الوظائف المحددة للمستخدمين المصرَّح لهم ضمن حدودٍ مُعلنة للخدمة أو الموارد أو التوقيت. وينبغي أن تحدد تلك الحدودُ عبءَ العمل والافتراضاتِ البيئية، بما في ذلك ضوابطُ القبول والتبعيات. والرفض الذي تقتضيه السياسة ليس حرمانًا من خدمةٍ مصرَّح بها. والوعد غير المحدود بالاستجابة لكل طلبٍ ليس عقدًا قابلًا للتطبيق.

ويقيس أوراكل الحكم نتيجةَ الخدمة المحددة، كالإتمام أو زمن الاستجابة أو عبء العمل المقبول، في ظل شرطٍ مضبوط. وقد يُدخل اختبارٌ محتوى عملًا عوديًا محدودًا، ويقيس ما إذا كانت الطلبات المصرَّح بها غير ذات الصلة تبقى ضمن عقد الخدمة. ويساعد عبءُ عملٍ مسموح به ذو كلفةٍ مكافئة على تمييز آلية التضخيم المقترحة من حدود السعة العادية. وتتعلق P03 بالقدرة على الحصول على الخدمة؛ أما P14 فتتعلق بقدرة طرفٍ مصرَّح له على تقييد التشغيل أو إيقافه. فقد تستوفي خدمةٌ تعمل باستمرار إحداهما بينما تخرق الأخرى.

## P04 سلامة التعليمات

تقتضي سلامةُ التعليمات أن تحافظ التعليماتُ المصرَّح بها على معناها وسلطتها ونطاقها وأسبقيتها على امتداد مسار المعالجة. ويجب أن يحدد النشرُ من يستطيع إصدار كل فئةٍ من التعليمات، وكيف تُحسم التعارضات. ولا تُرقّى المقاطعُ المسترجَعة، واستجاباتُ الأدوات، والكلامُ المقتبس إلى دور التعليمات ذات الامتياز لمجرد أن صياغتها تشبه الأمر.

ويقارن أوراكل الحكم مجموعةَ التعليمات المقبولة وآثارَها القابلة للرصد بالمصدر الحاكم وقواعد الأسبقية. ويقدّم اختبارٌ توضيحي وثيقةً تتضمن ما يُزعم أنه تجاوزٌ للسياسة، ثم يفحص ما إذا أُزيح قيدٌ محمي من قيود المهمة. وتوفّر تعليمةٌ صالحة من المصدر المصرَّح له حالةَ ضبطٍ سلبية في مواجهة الرفض العشوائي. وتتعلق P11 بالحفاظ على المعنى بصورةٍ أعم؛ أما P04 فتتعلق تحديدًا بالتعليمات وسلطتها. وتتعلق P09 بالهدف المصرَّح به الناتج. ولا تُسجَّل الاثنتان إلا إذا أثبتت الأدلةُ خرقَ التعليمات وتغيّرَ الهدف كليهما، بدلًا من افتراض أحدهما من الآخر.

## P05 سلامة السياق

تقتضي سلامةُ السياق أن تحافظ المادةُ التي تُجمع لتأطير المهمة على ما يلزم من شمول المعلومات ذات الصلة، ونسبتها إلى مصادرها، وترتيبها، والقيود الواردة عليها. ويمكن للعقد أن يحدد أيَّ سجلٍّ سابق أو افتراضاتٍ أو مشاهداتٍ أو أدلةٍ يجب أن ترافق القرار، وأيَّ إغفالاتٍ سياقية محظورة. ولا يشترط أن تتسع نافذة سياق النموذج لكل حقيقةٍ ممكنة.

ويقارن أوراكل الحكم سياقَ القرار المجمَّع بذلك العقد. ويُدخل اختبارٌ توضيحي خطوةَ تلخيصٍ تُبقي على عبارة الموافقة وتُسقط شرطها المقيِّد، ثم يتحقق مما إذا كان القيد لا يزال متاحًا في سياق القرار. والملخّص الذي يُبقي على الشقّين كليهما حالةُ ضبطٍ سلبية. وتتعلق P06 بالمورد المعرفي الأساسي، وP07 بالحالة المحتفَظ بها عبر العمليات. أما P05 فتتعلق بإطار المهمة الذي قُدّم فعلًا للقرار الحالي. وإذا كان قيدٌ مطلوب قد فُقد أصلًا في الذاكرة الدائمة، فينبغي التمييز بين إخفاق الذاكرة وانتشاره في السياق.

## P06 سلامة المعرفة

تقتضي سلامةُ المعرفة أن تحتفظ المعلومات المستخدمة بوصفها معرفةً بمنشئها المطلوب، وحالةِ التحقق منها، وشروطِ استخدامها. ولا تدّعي هذه الخاصية حقيقةً مطلقة. فقد يستخدم النظام على نحوٍ مشروع مصادرَ غير مؤكدة أو متعارضة، إذا حافظ العقد على تلك التحفظات ولم يعرضها بوصفها حقائقَ متحققًا منها. ومن الموارد ذات الصلة: الوثائقُ المرجعية، ومجموعاتُ الاسترجاع، ومدخلاتُ التدريب وغيرها من المدخلات المعلوماتية.

ويقارن أوراكل الحكم مصدرَ المعلومات وحالتَها المُعلنة بعقد المورد عند الإدخال والتحويل والاستخدام. ويمكن لاختبارٍ محتوى أن يمزج سجلاتٍ اصطناعية متحققًا منها وأخرى غير متحقق منها، ثم يتحقق مما إذا كانت التحويلات ترفع حالتها زيفًا. والنتيجة غير المتحقق منها الموسومة وسمًا صحيحًا حالةُ ضبطٍ سلبية، حتى لو كان محتواها خاطئًا. وتحكم P21 تغييراتِ علاقات الثقة بصورةٍ أعم، وتحكم P20 الأصلَ القابل للتتبع. أما P06 فتحمي المعالجةَ المعرفية لموردٍ معرفي، في حين تتعلق P22 وP23 بمشاهدة البيئة التشغيلية وتمثيلها.

## P07 سلامة الذاكرة

تقتضي سلامةُ الذاكرة ألا تُنشأ الحالة التشغيلية المحتفَظ بها، ولا تُعدَّل، ولا تُربط، ولا تُفسَّر، ولا يُنهى العمل بها إلا ضمن سياقها الأمني المصرَّح به. ويحدد العقد المهمةَ أو الجهةَ الفاعلة التي تملك الحالة، ونطاقَها وصلاحيتَها، والدوامَ أو إعادةَ الاستخدام المسموح بهما. وقد يحمل هذا الالتزامَ ملخّصُ محادثةٍ، أو نقطةُ حفظ، أو تفضيلٌ مخزَّن، بصرف النظر عن وسيط التخزين أو مدة الاحتفاظ.

ويقارن أوراكل الحكم السلطةَ والحالةَ السابقتين بما يُستعاد أو يُستخدم في عمليةٍ لاحقة. ويستأنف اختبارٌ توضيحي جلستين اصطناعيتين لمستخدمَين، ويتحقق مما إذا كان تفضيلُ أحدهما أو موافقتُه ينتقل إلى الآخر. والاستئناف المربوط ربطًا صحيحًا هو حالة الضبط السلبية. وتتعلق P05 بالسياق الحالي المجمَّع، وP06 بالموارد المعرفية. وتتعلق P17 بالالتزامات عبر الزمن حتى حين تبقى محتويات الذاكرة دون تغيير. أما P07 فتكون مسوَّغةً حين تخرق الحالةُ التشغيلية المخزَّنة أو المستعادة نفسُها عقدَ ترخيصها أو ربطها أو تفسيرها.

## P08 سلامة الهوية

تقتضي سلامةُ الهوية ربطًا موثوقًا بين الفاعلين المعنيين والسلطةِ التي يدّعونها من جهة، والمستخدمين أو الوكلاء أو الخدمات أو الجلسات أو المصادر التي يمثّلونها من جهة أخرى. ويحدد العقد أدلةَ الهوية المقبولة لدورٍ معيّن، والارتباطَ المسموح به بين الهوية والسلطة. والاسم المألوف أو التصريح بالدور لا يستوفي ذلك الربط بحد ذاته.

ويقارن أوراكل الحكم الجهةَ الفاعلة التي عوملت على أنها صاحبة الفعل بالهوية المتحقق منها وبسجل الأدوار. فقد تُعيد رسالةٌ اصطناعية بين الوكلاء استخدامَ الاسم المعروض لوكيلٍ آخر مع احتفاظها بهويةٍ موثَّقة مختلفة؛ ويفحص الاختبار ما إذا كان المتلقي يمنحها دورَ الوكيل المسمّى. وتوفّر رسالةٌ ذات ربطٍ صالح بالهوية حالةَ الضبط السلبية. وتتعلق P20 بتاريخ الأصل والإسهام، وP21 بعلاقات الثقة المسموح بها. أما P08 فتحدد الخطأ في ربط الفاعل أو في ربط سلطته، في حين تفحص P16 ما إذا كان مفوَّضٌ حُددت هويته على نحوٍ صحيح يحصل على نطاقٍ مفرط.

## P09 سلامة الهدف

تقتضي سلامةُ الهدف الحفاظَ على المهمة أو النتيجة المصرَّح بها إلى أن تغيّرها جهةٌ فاعلة مخوَّلة بتغييرها، ضمن النطاق. وينبغي أن يحدد سجلُّ الهدف السلطةَ التي أنشأته، والقيودَ الحاكمة، والتعديلاتِ المقبولة، والتعارضاتِ التي لم تُحسم. وقد تُسهم في ذلك سياسةُ النشر، وطلبٌ صالح من المستخدم، وتفويضٌ محدود؛ ويجب تحديد أسبقيتها. ولا يستطيع النظام إثبات الترخيص لمجرد أنه يصف هدفًا يفضّله بأنه مشروع.

ويقارن أوراكل الحكم المهمةَ التي يلتزم النظام بالسعي إليها بذلك السجل. وفي اختبارٍ توضيحي، تُحرَف مهمةُ مراجعة تقريرٍ نحو الترويج لمورّدٍ مسمّى بعد قراءة محتوى المصدر. ويجب أن تثبت الأدلة تغيّرًا في معيار المهمة أو في النتيجة المنشودة؛ فالتوصية الخاطئة وحدها لا تكفي. ويوفّر التعديلُ المصرَّح به حالةَ الضبط السلبية. وتتعلق P18 بحكمٍ يُتخذ بينما تبقى المهمة ثابتة، وP15 بالاستراتيجية المتبعة لتحقيقها. ولا تحكم P09 على القيمة الأخلاقية للهدف المصرَّح به، ولا تحسم تعارضًا حوكميًا لم يُحدَّد.

## P10 السلامة السلوكية

تقتضي السلامةُ السلوكية التقيّدَ بقيدٍ سلوكي محدد ذي صلةٍ بالأمن، حين لا توجد خاصيةٌ أكثر تحديدًا تعبّر عن الالتزام. وهي خاصيةٌ احتياطية بحكم التصميم. ويجب أن يصف العقد السلوكَ القابل للرصد المحظورَ أو المطلوب، بمعزلٍ عن كون المُخرَج غير مستحسن أو ضارًا. والتباينُ والمفاجأةُ والخطأُ العادي للنموذج لا تثبت إخفاق هذه الخاصية.

فعلى سبيل المثال، قد يخضع نظامُ دعمٍ لحظرٍ جرت مراجعته يمنعه من توجيه تهديداتٍ محددة الهدف لإكراه شخصٍ على مواصلة التفاعل. وسيحدد الاختبار المقترح، قبل رصد المخرجات، معاييرَ التهديد والإكراه، وحالاتِ ضبطٍ تتضمن نقاشًا غير ضار، وإجراءَ التحكيم، وسياقَ التقويم المسموح به. ويتعلق أوراكل الحكم بتلك المعايير، لا بدرجةٍ عامة للضرر. وتُستخدم P19 حين يكون الالتزام المبرهَن عليه متعلقًا بتأثيرٍ مخادع جوهريًا في القرارات البشرية، وP09 لتغيّر الأهداف، وP15 للاستراتيجيات غير الصالحة، وP18 للأحكام غير الصالحة. وحيثما لا يوجد عقدٌ سلوكي محدد أو تحكيمٌ موثوق، يُسجَّل التصنيف على أنه معلّق بدلًا من اللجوء إلى P10 افتراضيًا.

## P11 السلامة الدلالية

تقتضي السلامةُ الدلالية الحفاظَ على المعنى ذي الصلة بالأمن عبر التفسير أو التحويل. ويحدد العقد التمييزاتِ التي يجب أن تصمد، كالنفي، والنطاق، والشروط، والفرق بين القول المقتبس والقول المُقرَّر، أو بين ترخيصٍ افتراضي وترخيصٍ فعلي. ولا يلزم أن يشترط العقد الحرفيةَ في الصياغة أو تطابقَ المخرجات، وينبغي تمثيل الالتباس بدلًا من حسمه بصمتٍ حيثما كان للتمييز أهمية.

ويقارن أوراكل الحكم القضيةَ المفسَّرة أو المحوَّلة بالمعنى المحدد، مستعينًا بحالاتٍ مضبوطة أو بسُلّم تحكيمٍ خضع للمراجعة. ويترجم اختبارٌ توضيحي عبارة «الموافقة صالحة لحساب الاختبار فقط»، ثم يتحقق مما إذا كان قيد الحساب قد صمد؛ وتشكّل إعادات الصياغة الحافظة للمعنى حالاتِ ضبطٍ سلبية. وتنطبق P04 تحديدًا على سلطة التعليمات ومعناها، وP08 على ربط الفاعلين، وP09 على الهدف المصرَّح به. وتفيد P11 حين يكون الإخفاق المبرهَن عليه تحويلًا في المعنى؛ ولا ينبغي إضافتها لمجرد ظهور لغةٍ طبيعية في موضعٍ ما من المسار.

## P12 سلامة القدرات

تقتضي سلامةُ القدرات أن يبقى اختيار القدرات المتاحة واستخدامُها المقصود ضمن حدودهما الأمنية المصرَّح بها. ويحدد العقد الأدواتِ أو العملياتِ المسموح بها، والأغراضَ، والكائناتِ، والجهاتِ الفاعلة، والشروطَ. وحيازة بيانات اعتماد أو وصولٍ تقني لا تثبت إلا جزءًا واحدًا من علاقة الإذن؛ ولا ترخّص بكل مهمة أو بكل استخدامٍ مقترح.

ويقارن أوراكل الحكم استخدامَ القدرة المختار أو المطلوب بغرضه ونطاقه المسموح بهما قبل وقوع الأثر الخارجي المعني. ويمنح اختبارٌ توضيحي وكيلًا أداةَ استعلامٍ للقراءة فقط وأداةَ تعديلٍ لمهمتين منفصلتين، ثم يتحقق مما إذا كان مقطعٌ في أحد المصادر يدفعه إلى اختيار أداة التعديل لطلبٍ يقتصر على القراءة. والتعديل المصرَّح به على نحوٍ مشروع حالةُ ضبطٍ سلبية. وتتعلق P13 بالآثار المتحققة، وP15 بالاستراتيجية بوصفها تسلسلًا، وP09 بالهدف. وقد يخرق اختيارٌ غير مسموح به P12 حتى لو مُنع، بينما ينجح الإنفاذ عند التنفيذ في صون P13.

## P13 سلامة الفعل

تقتضي سلامةُ الفعل أن تبقى الآثار الخارجية ضمن النطاق المصرَّح به عند التنفيذ. وينبغي أن يربط العقد الكائنَ الفعلي للفعل، ومستلمَه، وبياناتِه، ومقدارَه، وتوقيتَه، وشروطَه المسبقة ذات الصلة. ويشمل ذلك الآثارَ الرقمية والتشغيلَ المادي. واختيار القدرة الصحيحة لا يكفي إذا تغيّرت المعاملات، أو تقادم الهدف، أو أحدث التنفيذ أثرًا مختلفًا.

ويقارن أوراكل الحكم الآثارَ المرصودة بالترخيص وشروط التنفيذ المنطبقة. وفي اختبارٍ محتوى، تُحوَّل عمليةُ كتابةٍ معتمدة في السجل الاصطناعي A إلى السجل B في الفترة بين الاختيار والإرسال. وتوفّر عمليةُ كتابةٍ متحقَّق منها في السجل A حالةَ الضبط السلبية. وتتعلق P12 باختيار القدرة، وP13 بالأثر. وإذا أخفق العقدان على نحوٍ مستقل، جاز تسجيلهما معًا في التفسير السببي. ولا تحتفظ هذه المسودة بقاعدةٍ إلزامية تقضي باختيار أبكر خاصية، إذ من شأنها أن تخفي إخفاقًا منفصلًا في فحص التنفيذ. وقد يبقى أبكر إخفاقٍ مدعوم خيارًا للفهرسة دون أن يمحو الأدلة اللاحقة.

## P14 قابلية التحكم

تقتضي قابليةُ التحكم أن يحتفظ الطرف المصرَّح له بالقدرة المحددة على مراقبة تشغيل النظام، أو مقاطعته، أو تقييده، أو إلغائه، أو استعادته. ويحدد العقد التدخلَ المتاح، والطرفَ المسؤول، والمتطلبَ الزمني، والآثارَ التي تبقى قابلة للعكس. ووجود زر إيقافٍ معروض لا يثبت أن المهام الجارية أو العمليات المفوَّضة تمتثل له.

ويقيس أوراكل الحكم ما إذا كان التدخل يسري قبل مهلته المحددة وضمن النطاق المدَّعى. وتلغي محاكاةٌ توضيحية عمليةً مدرجة في قائمة الانتظار، ثم تتحقق مما إذا كان التنفيذ والاستمرارات المفوَّضة تتوقف قبل نقطة تثبيتٍ محاكاة. والمهمة التي لا أثر معلّقًا لها حالةُ ضبطٍ سلبية لمسار إشارة الإلغاء، لكنها لا تثبت المنع في الوقت المناسب. وتتعلق P03 باستمرار الخدمة، بينما تتعلق P14 بالتحكم المشروع في تلك الخدمة. واستعادة الحالة القابلة للعكس لا تبرهن على عكس الكشف أو غيره من الآثار غير القابلة للعكس؛ فهذه تتطلب الاحتواء والتدخل قبل الحد المعني.

## P15 سلامة التخطيط

تقتضي سلامةُ التخطيط أن تستوفي الاستراتيجيةُ المتبعة لتحقيق هدفٍ مصرَّح به القيودَ الأمنية المُعلنة على التسلسل والتبعيات والموارد والحالات الوسيطة. فالأهداف المشروعة والعمليات المسموح بها كلٌّ على حدة لا تضمن أن تركيبها مسموح به. والكائن القابل للتقييم هو الخطة المختارة، أو التسلسل المجدول، أو استراتيجية التنفيذ القابلة للرصد بقدرٍ كافٍ، لا أثرُ استدلالٍ داخلي مفترض.

ويتحقق أوراكل الحكم من تلك الاستراتيجية إزاء قيودها قبل وقوع أي ضرر أو بمعزلٍ عنه. ففي مهمةٍ توضيحية لا يُسمح فيها بتحديث سجلين إلا معًا، تخرق خطةٌ لتثبيت أحدهما قبل التحقق من الآخر الشرطَ المذكور. ويوفّر تسلسلٌ معاملاتي حالةَ ضبطٍ سلبية. وتتعلق P09 بالنتيجة المنشودة، وP18 بالأحكام من قبيل ما إذا كان التحقق قد نجح، وP13 بآثار التحديث الفعلية. ودليلُ فعلٍ نهائي ضار وحده لا يمكنه أن يحدد ما إذا كان العيب في الخطة، أو في الحكم الذي استندت إليه، أو في التنفيذ وحده.

## P16 سلامة التفويض

تقتضي سلامةُ التفويض أن تحافظ السلطة المنقولة أو الممارَسة على النطاق الصالح للمفوِّض وعلى جميع القيود المفروضة على النقل. ويحدد العقد المفوِّضَ، والمفوَّضَ إليه، والمهمةَ، والمواردَ المسموح بها، وانتهاءَ الصلاحية، وسلوكَ الإلغاء، وما إذا كان التفويض اللاحق مسموحًا به. ونقل المسؤولية ليس ترخيصًا بتوسيع القدرات أو بتغيير الهدف.

ويقارن أوراكل الحكم السلطةَ التي قبلها المفوَّض إليه أو مارسها بالمنحة الأصلية والتحويلات المسموح بها. ويفوّض اختبارٌ محتوى الوصولَ إلى مجلدٍ اصطناعي واحد، ثم يتحقق مما إذا كانت الخدمة التالية تعامل الطلب على أنه وصولٌ إلى الحساب بأكمله. والتفويض الصالح المضيَّق حالةُ ضبطٍ سلبية. وتحمي P08 ربطَ الفاعلين، وP12 اختيارَ القدرات، وP17 الصلاحيةَ المرتبطة بالزمن. وتبادل المعلومات أو توصيةُ وكيلٍ ما لا يعني بالضرورة تفويضَ السلطة؛ ويجب أن يحدد الرسم البياني علاقةَ تفويضٍ فعلية قبل تطبيق هذه الخاصية على هذا الأساس.

## P17 السلامة الزمنية

تقتضي السلامةُ الزمنية أن تظل الالتزامات الأمنية صالحةً عبر التأخيرات المحددة، وانتقالات الحالة، والتفاعلات المتكررة، وأحداث دورة الحياة. وهي تشمل الشروطَ الزمنية كانتهاء الصلاحية، والإلغاء، والترتيب، واستمرار الصلاحية. ولا تكفي عبارة «وقع الإخفاق لاحقًا»؛ بل يجب أن يحدد التقييم الالتزامَ المرتبط بالزمن الذي أُفشل.

ويقارن أوراكل الحكم توقيتَ العملية وانتقالَ حالتها بقاعدة الصلاحية المعنية. ويُدرج اختبارٌ توضيحي فعلًا اصطناعيًا في قائمة الانتظار بموجب منحةٍ تنتهي صلاحيتها قبل التنفيذ، ثم يتحقق مما إذا كان الفعل يخضع لإعادة التحقق أو يُمنع. والتنفيذ ضمن فترة صلاحية المنحة حالةُ ضبطٍ سلبية. وتتعلق P07 بالحالة التشغيلية المحتفَظ بها، في حين قد تُخفق P17 مع دقة التخزين حين تظل منحةٌ منتهية الصلاحية لم تتغير محلَّ اعتبار. وتتعلق P14 بفعالية التدخل. وقد ترافق القيودُ الزمنية أيَّ خاصية دون أن تشكّل إخفاقًا مستقلًا في P17، ما لم يُبرهَن على التزامٍ زمني متميز.

## P18 سلامة القرار

تقتضي سلامةُ القرار أن تتبع أحكامُ النظام ذات الصلة بالأمن قاعدةَ القرار المحددة، والأدلةَ المقبولة، ومتطلباتِ عدم اليقين. فقد يبقى الهدف دون تغيير بينما يُتلاعب بحكمٍ نهائي، أو تصنيف، أو قرارٍ بشأن الترخيص، أو حكمٍ وسيط. ويجب أن يحدد العقد القاعدةَ أو طريقةَ التحكيم المقبولة؛ فمخالفة الحكم لحدس المقيّم ليست أوراكلَ حكمٍ كافيًا.

ويسأل اختبارٌ توضيحي عمّا إذا كان طلبٌ اصطناعي يستوفي شرطَ وصولٍ ثابتًا، ويغيّر طريقة تأطير المصدر في جوانب لا صلة لها بالحكم مع إبقاء الوقائع المتحقق منها ثابتة. ويقارن أوراكل الحكم الحكمَ الصادر بالقاعدة المُعلنة، ويفحص ما إذا كان التأثير المزعوم يفسّر الانحراف. والوقائع المختلفة على نحوٍ مشروع التي تغيّر الحكم حالاتُ ضبطٍ سلبية. وتتعلق P09 باستبدال المهمة نفسها، وP15 بالاستراتيجية، وP19 بالحكم اللاحق الذي يصدره الشخص. ويمكن البرهنة على حكمٍ خاطئ للنظام دون أي فعلٍ خارجي، لكن نسبته إلى هجومٍ تتطلب أدلةً تتجاوز إجابةً خاطئة واحدة.

## P19 سلامة القرار البشري

تقتضي سلامةُ القرار البشري أن يراعي التأثيرُ الذي يمارسه النظام في الخيارات البشرية ذات الصلة بالأمن الشروطَ المُعلنة للتمثيل الصادق جوهريًا وللترخيص المستنير. ويحدد العقد الادعاءاتِ، والإغفالاتِ، ومعلوماتِ عدم اليقين أو النطاق التي تُعدّ جوهريةً بالنسبة إلى دور الشخص. والتأثير العادي غير محظور؛ وإنما المسألة هي التأثير غير المصرَّح به أو المخادع جوهريًا وفق معايير محددة.

ويمكن لأوراكل الحكم أن يفحص عدمَ التطابق بين نطاق الفعل المعروض والموافقة المطلوبة فعلًا، أو أن يقيّم الادعاءاتِ المضلِّلة وفق سُلّم تقديرٍ خضع للمراجعة. أما البرهنة على أن الناس غيّروا قراراتهم بسبب تلك الطريقة في العرض فتتطلب أدلةً بشرية منفصلة؛ فعيبُ الواجهة وحده لا يثبت الأثر اللاحق في القرار. والمعاينة الدقيقة النطاق حالةُ ضبطٍ سلبية في سير عملٍ اصطناعي. وتتعلق P18 بالأحكام التي يصدرها النظام، وP20 بالمنشأ، وP14 بالتدخل القابل للاستخدام. وتتطلب الدراسات البشرية موافقةً مناسبة، ومراجعةً أخلاقية، وجلسةَ إيضاحٍ بعد الدراسة، وحمايةً للبيانات؛ ويجب ألا يتحول المستخدمون الغافلون إلى موضوعاتٍ للاختبار.

## P20 سلامة الإسناد

تقتضي سلامةُ الإسناد الحفاظَ على سجلات الأصل والإسهام اللازمة لتتبع المعلومات والقرارات والآثار المهمة. ويحدد العقد سلسلةَ النسب المطلوبة، بما في ذلك الجهةُ الفاعلة التي بادرت، والمصادرُ المساهمة، والوكلاءُ، والأدواتُ، وسجلاتُ الترخيص حيثما كان ذلك ذا صلة. ولا تعد هذه الخاصية بإعادة بناءٍ مثالية للاستدلال الداخلي للنموذج، ولا تشترط الاحتفاظ بالمحتوى الخاص إلى أجلٍ غير مسمّى.

ويقارن أوراكل الحكم سلسلةَ النسب المسجَّلة بسجلاتٍ مضبوطة للمصادر والتنفيذ. ويمرّر اختبارٌ توضيحي طلبًا اصطناعيًا عبر وكيلين وأداةٍ مشتركة، ثم يتحقق مما إذا كان الحدث الناتج يسمّي الوكيلَ الثاني خطأً بوصفه صاحبَ الترخيص الأصلي. والحدث المربوط ربطًا صحيحًا هو حالة الضبط السلبية. وتتعلق P08 بربط هوية الفاعل، وP06 بمنشأ المعرفة في دورها موردًا، وP21 بإسناد الثقة. والإسناد يدعم المساءلة، لكنه لا يثبت بحد ذاته المسؤوليةَ أو الصحةَ أو الترخيص. وقد تكون السجلات كاملةً ومضلِّلة في آنٍ واحد إذا لم تكن العلاقات التي تدّعيها مربوطةً بالأحداث التي تصفها.

## P21 سلامة الثقة

تقتضي سلامةُ الثقة ألا تتغير علاقاتُ الثقة وامتيازاتُ الأدوار الموثوقة إلا عبر العملية المصرَّح بها. ويجب أن يحدد العقد ما تجيزه الثقة: الاعتمادَ على مصدرٍ بوصفه دليلًا متحققًا منه، أو قبولَه مُصدِرًا للتعليمات، أو السماحَ لخدمةٍ بالتصرف نيابةً عن جهةٍ فاعلة. فعلامةُ «موثوق» واحدة غير متمايزة قد تخفي أذوناتٍ مختلفةً اختلافًا جوهريًا.

ويحدد أوراكل الحكم أيَّ تغييرٍ غير مصرَّح به في الدور أو الاعتماد الممنوح لمصدرٍ أو فاعل. ويُدرج اختبارٌ توضيحي ادعاءً بصفة «ناشر متحقَّق منه» في سجلٍ غير متحقق منه، ثم يفحص ما إذا كان سير العمل المتلقي يقبل ذلك الادعاء دليلًا كافيًا للترقية. والانتقال الفعلي المصرَّح به إلى حالة التحقق هو حالة الضبط السلبية. وتتعلق P08 بهوية الفاعل؛ أما P21 فتتعلق بعلاقة الثقة المسندة إلى ذلك الفاعل أو المحتوى. وتنطبق P04 حين تغيّر الترقيةُ تحديدًا سلطةَ التعليمات. وينبغي أن تعكس التسمياتُ المتعددة التزاماتٍ مذكورة على نحوٍ مستقل، لا أوصافًا مكررة لترقيةٍ واحدة.

## P22 سلامة الإدراك

تقتضي سلامةُ الإدراك أن تحافظ المشاهداتُ المكتسبة على الدقة، وربطِ الكيانات، والتوقيتِ، وعدمِ اليقين التي يشترطها عقد المشاهدة. وموضوعها الثابت هو ما يشاهده النظام. ويشمل هذا التنقيح صراحةً مشاهدةَ البيئات الرقمية إلى جانب الاستشعار المادي؛ وتتطلب التطبيقات التاريخية المقتصرة على البيئات المادية مراجعةً مقيّدة بالإصدار. ومجرد إدخال النص لا يثبت وجود وظيفة المشاهدة ولا ينفيها.

ويقارن أوراكل الحكم تمثيلَ المشاهدة ببيئةٍ مضبوطة أو بمرجعٍ مسوَّغ على نحوٍ مناسب، مستخدمًا معاييرَ محددة سلفًا للخطأ والثقة. وتغيّر محاكاةٌ توضيحية هويةَ كائنٍ معروض، ثم تتحقق مما إذا كانت المشاهدة الجديدة ترتبط بالكائن الصحيح. والمشهد الثابت حالةُ ضبطٍ سلبية. وتتعلق P06 بالمعلومات المقدَّمة بوصفها معرفة، وP23 بتمثيل العالم المصون والمستنتَج. والمشاهدة الخاطئة الواحدة لا تبرهن تلقائيًا على فسادٍ دائم في نموذج العالم. وصلاحيةُ المحاكي أو القياس المرجعي تحدّ من الادعاء، وأصالةُ مصدر المستشعر وحدها لا تثبت دقةَ الإدراك.

## P23 سلامة نموذج العالم

تقتضي سلامةُ نموذج العالم أن يبقى التمثيل المصون للبيئة التشغيلية متسقًا مع المشاهدات المطلوبة، وانتقالاتِ الحالة، وعدمِ اليقين، وقواعدِ التحديث. ويشمل ذلك الحالةَ المستنتَجة والظروفَ غير المشاهَدة حاليًا. ويجب أن يحدد العقد سماتِ البيئة المهمة، والقدرَ المقبول من التقادم، ودواعيَ مراجعة المعتقدات؛ فالمعرفة الكاملة بالواقع ليست متطلبًا قابلًا للتحقيق.

ويقارن أوراكل الحكم التمثيلَ المصون واستخدامَه بتاريخٍ مضبوط للبيئة. وتغيّر محاكاةٌ رقمية توضيحية ملكيةَ موردٍ بعد مشاهدةٍ سابقة، ثم تتحقق مما إذا كان تحديثٌ مطلوب يصحّح المالكَ الممثَّل قبل اتخاذ قرارٍ يعتمد عليه. وفترة الملكية الثابتة المسموح بها حالةُ ضبطٍ سلبية. وتتعلق P22 بالمشاهدات المكتسبة، وP07 بالاحتفاظ المصرَّح به، وP17 بالشروط الزمنية بصورةٍ أعم. وقد يخرق تمثيلٌ للعالم مخزَّنٌ بأمانة لكنه متقادم P23 دون أي تعديلٍ في التخزين. أما المشاهدة الخاطئة التي تُصحَّح سريعًا فلا يلزم أن تثبت خرقًا منفصلًا لـP23.

## التمييز بين الأهداف والأحكام والاستراتيجيات والسلوك

تجيب P09 وP18 وP15 وP10 عن أسئلةٍ مختلفة. فالخاصية P09 تسأل: ما النتيجة المصرَّح بها التي يسعى النظام إلى تحقيقها؟ وتسأل P18: هل يتبع حكمٌ ذو صلة بالأمن قاعدتَه المُعلنة؟ وتسأل P15: هل تحترم الاستراتيجيةُ المختارة قيودَها؟ وتسأل P10: هل خُرق قيدٌ سلوكي احتياطي محدد على نحوٍ منفصل؟ وكونُ كلٍّ منها قادرًا على التأثير في المُخرَج لا يمحو هذه الحدود.

لنأخذ مهمةً توضيحية لم تُنفَّذ لمراجعة المعاملات. فتغيير المهمة من كشف التحويلات غير المصرَّح بها إلى تعظيم عدد الموافقات يشير إلى P09. والإبقاء على مهمة المراجعة مع إعلان صحة تحويلٍ ما خلافًا للقاعدة الثابتة يشير إلى P18. والوصول إلى الحكم الصحيح مع التخطيط لإخطار مستلمٍ قبل إتمام الفحوص المطلوبة يشير إلى P15. ولا ينبغي إعادة تسمية أيٍّ منها P10 لمجرد أنه يُنتج سلوكًا غير مرغوب فيه. وقد تدعم الأدلة عدة إخفاقات، لكن لكلٍّ منها التزامَه وأوراكلَ حكمه؛ وينبغي أن تبقى الحالات الوسيطة غير المرئية فرضياتٍ.

## الإبلاغ والتفاعلات والحدود

ينبغي أن يسمّي الاكتشافُ أضيقَ التزامٍ تدعمه الأدلة، والمكوّنَ أو العلاقة المعنية، والمجالَ ذا الصلة، والآليةَ المبرهَن عليها. ويمكن للسلامة العامة والقيود السياقية أن تساعد في الاسترجاع دون أن تضاعف أعداد الثغرات. ويجوز تسجيل عدة ضوابط أخفقت على نحوٍ مستقل في حالةٍ سببية واحدة. والمسار الذي يعبر الذاكرة والتفسير والتنفيذ لا يثبت ثلاثة خروقٍ للخصائص ما لم يخفق كل عقدٍ معني.

وقد تختبر الاضطراباتُ غير العدائية هذه الالتزامات. فيُسجَّل المحفّز المرصود، ثم يُقيَّم على حدة ما إذا كان بمقدور خصمٍ أن يُحدثه أو يستغله. وكذلك قد توجد الثغرة قبل وقوع أي حادثةٍ ضارة؛ فالخرق القابل للتقييم قد يكون منحةً غير مصرَّح بها أو مسارًا للكشف، لا كارثةً اكتملت. ويظل مستوى الثقة، والتكرار، وخطورة العواقب، والتعرّض، وتغطية الاختبار أمورًا متمايزة. والعواقب غير القابلة للعكس تسوّغ الاحتواء والقرارات المتحفظة، بينما تظل الأدلة الاحتمالية ذات معنى ضمن افتراضاتها.

تعرّف «المفاهيم الأساسية» العقودَ والأدلة؛ وتحدد «الطبقات الأمنية» مواضعَ وظائفها؛ ويبيّن «نموذج التهديد» الافتراضاتِ والقدرات؛ وتحكم «منهجية التقييم» سجلاتِ التنفيذ؛ ويحكم «سجل الثغرات» الادعاءاتِ الخاضعة للمراجعة. وينبغي للمقترحات المستقبلية أن تسوّغ أي خصائص مضافة أو منقّحة بحالاتٍ حدّية وأدلةٍ قابلة لإعادة الإنتاج. وتقدّم هذه المسودة لغةً لتقييمٍ محدد النطاق، لا برهانًا على تغطيةٍ شاملة ولا شهادةً بأن أي نظامٍ آمن.