ستّ صناعات، ومشترٍ واحد: شخص يتحمّل المسؤولية شخصيًا عن مخرجات شارك فيها مساعد، ولا يستطيع حاليًا أن يعيد بناء ما قاله المساعد فعلًا.
بل من ألّا تستطيع إثبات ما قاله. رقمٌ دخل في مذكرة، والمذكرة ذهبت إلى عميل، وبعد ستة أشهر لا يستطيع أحد أن يعيد بناء مصدر ذلك الرقم — هل أنتجه المساعد، وهل رُوجع، وهل نُبّه عليه ثم تُجوهل التنبيه. أنت تتحمّل ذلك. والأداة التي استخدمتها لا تتحمّل شيئًا.
والخوف الأهدأ: أن يكون مستند لصقته يحمل تعليمات. عقدٌ فيه سطر موجّه إلى المساعد. هذا يحدث الآن، ولا يظهر في الإجابة، ولا تكتشفه أيّ ضوابط قائمة.
مراجعة المستندات المشمولة بالامتياز، وتقديم المستندات في التقاضي، والبحث القانوني. تتعرّض التصنيفات للطعن، وتقع المسؤولية على شريك بعينه. وقواعد السلوك المهني تتناول أصلًا الإشراف والصراحة.
إدارة مخاطر النماذج تتوقّع أصلًا تحققًا مستقلًا، وقواعد الاحتفاظ بالسجلات موجودة بالفعل. المفهوم لا يحتاج إلى شرح.
التسويات، وأخذ العينات، والإقفال. تسأل مراجعة النظراء هل أُدّي العمل بالعناية الواجبة، ويسأل المدقق كيف استُخرج رقمٌ ما.
الموافقات المسبقة، والترميز، والاستقبال. تدقيق جهة الدفع يسأل كيف اتُّخذ قرارٌ ما، بعد وقت طويل من اتّخاذه.
الحسابات، والمواصفات، ومراجعة المخططات. المهندس المرخّص يختم العمل، والواجب لا ينتقل إلى أداة.
فحوص ما قبل التداول، والتدقيق في الأطراف، والتسويات. تصل الأسئلة خلال أيام، والمبالغ كبيرة.
اثنان من هذه القطاعات يبدأ الحديث فيهما بعبارة أنت ملزَم بهذا أصلًا. وأربعة يبدأ فيها بعبارة أنت معرَّض شخصيًا. هذا هو سطر الافتتاح، لا المنتج.
مجموع مذكور لا يساوي أجزاءه المذكورة، يُعاد حسابه بدقة بدلًا من تقديره. والرقم الذي لم يُحسب قطّ لا شيء يربط أجزاءه ببعضها.
الاقتباس الخاطئ الذي يهمّ هو أرقام صحيحة تُنسب إلى مستندك وهي غير موجودة فيه، أو قيمة لا تطابقه.
الفحص الوحيد الذي يتجاوز الخطأ المتماسك، لأن سجلّ الوسيط لاستدعاء الأداة يقع خارج رواية النموذج.
رمز CUSIP أو ISIN أو IBAN يحمل رقمًا للتحقق. والرمز المختلَق لا يصعب اكتشافه — فهو مستحيل حسابيًا.
بياناتك المرجعية، يتولّى تنظيمها موظفوك. والنتيجة لا تقول أبدًا إنك مخطئ: بل تقول ما الذي يتعارض، ومن أين، وأن المرجع قد يكون هو القديم.
الرقم الذي مُرّر إلى استدعاء أداة، أو ورد في المُخرَج النهائي، أو نسخه شخص ما، مشكلةٌ مختلفة عن الرقم نفسه في استدلال مسوَّدة. وتُرتَّب النتائج وفقًا لذلك. والإجراءات التي لا رجعة فيها تُوقَف في منتصف التشغيل. دفعة مالية، أو إيداع رسمي، أو إرسال — تُصنَّف وفق الأنماط، وتُفحص بحثًا عن تعليمات وصلت داخل مستندات ملصوقة، وتُعلَّق إلى أن تجيب سياسة شركتك. المراجعة بعد وقوع الفعل سجلّ؛ أما الإيقاف قبل الفعل فضابط.
يُسجَّل الإيقاف في الأثر بوصفه خطوة قرار، فيصبح كلٌّ من الإجراء الموقوف والإجراء المتجاوَز جزءًا من السجلّ. ويفحص السجلّ رواية الوكيل نفسه عمّا خرج من المؤسسة، في الاتجاهين — استدعاءً لا رجعة فيه نفّذه ولم يُصرّح به، وإجراءً صرّح به ولم تنفّذه أيّ خطوة. والإفراط في التصريح ليس الاتجاه الآمن كذلك: فالمراجع يقرأ ذلك الحقل ليقرّر هل وصل أيّ شيء إلى الخارج، وتقرير نطاق الضرر يُحسب منه. [قيد التطوير: البوابة نفسها موجّهة إلى المخرجات عمومًا — تشغيل، ثم مراجعة، ثم قرار، ثم إرسال.]
البوابة توقِف وتُفصح؛ ولا تعيد الكتابة أبدًا. ففي اللحظة التي تعدّل فيها طبقة التحقق مُخرَجًا، تصبح مؤلفًا ثانيًا، ويضيع حينها موقفك من المسؤولية وقياسنا معًا.
تُختم السجلات على أجهزتك، بمفتاح تحتفظ به شركتك. نحن لا نحتفظ بأيّ نسخة — فليس لدينا خادم يمكن أن تكون سجلاتك عليه. والاستدعاءات الوحيدة التي تخرج تذهب إلى مورّدي النماذج الذين تستخدمهم أصلًا، وبمفاتيحك أنت: يمرّر الخادم الوسيط (proxy) الاستدعاءات التي كان موظفوك يُجرونها أصلًا، دون تغيير. ويسرد تدقيق للشبكة مولَّد من الشيفرة كل وحدة يمكنها الوصول إلى الشبكة وما ترسله كل واحدة منها.
كل ادّعاء يخصّ الشبكة يُشحن في وثيقة سلسلة التوريد إلى جانب الشيفرة، وتتحقق أداة فحص من كل ادّعاء مقابل الوحدة التي تنفّذه — فتُفشل البناء إذا انكسر أحدها بصمت. والآلية نفسها التي تنشر الحدّ الأدنى للرفاه لدينا تنشر هذا أيضًا.
ونتيجة تستحق أن تُقال بوضوح: لا يمكن إلزامنا بأمر قضائي بتقديم سجلاتك، لأنها ليست لدينا. المورّد الذي يحتفظ بسجلاتك في سحابته يمكن إجباره على تقديمها دون حضورك. ولا يوجد هنا شيء يخصّك يمكن تقديمه.
كل سجلّ مشفّر بمفتاحه الخاص ومختوم في سلسلة تجزئة (hash chain) يمكنك تثبيتها خارج المخزن. غيّر بايتًا واحدًا وسيخبرك التحقق أيّ سجلّ تغيّر، وأين.
يمكن أن يحتفظ بمفتاح المخزن مدير المفاتيح الخاص بشركتك، فيكون موظفوك وأدوارك وإجراءات الإلغاء لديك هي التي تقرّر من يفتحه — لا نحن. [قيد التطوير: يُبنى الربط بمدير المفاتيح للمدير الذي تحدّده أنت، ويُختبر عليه، قبل أن ندّعيه.]
تنقل مراسم تغيير المفتاح كل سجلّ إلى مفتاح جديد، ولا تُتلف المفتاح القديم إلا بعد أن يُقرأ كل سجلّ من جديد. ولا يعود بإمكان أيّ شخص كان يحمل المفتاح القديم أن يفتح المخزن. وحين أُوقفت قسرًا في منتصف التشغيل عند خمس نقاط أثناء الاختبار، لم تفقد شيئًا.
كل حزمة نشحنها تُفحص مقابل قاعدة بيانات الثغرات العامة قبل الإصدار. وجد الفحص الأول خمسة تنبيهات أمنية في حزمة كنّا قد ثبّتنا إصدارها. نُقل التثبيت في اليوم نفسه، وإعادة الفحص نظيفة.
تتضمّن وثيقة سلسلة التوريد لدينا 56 ادّعاءً عمّا تفعله الشيفرة وما لا تفعله. وتتحقق أداة فحص من كل ادّعاء مقابل الشيفرة، وتُفشل البناء إذا انكسر أحدها.
كل قراءة وتصدير وحذف يُدوَّن في سجلّ وصول خاص به يكشف أيّ عبث. وأوامر الحفظ القانوني تمنع الحذف. والسجلّ المحذوف يترك شاهدًا دائمًا يثبت أنه كان موجودًا.
ما ليس لدينا بعد، نقوله قبل أن تسأل: لا اختبار اختراق خارجي، ولا مراجعة من طرف ثالث للتشفير. فهذان يحتاجان إلى جهة غيرنا، وحِزم أدلة الأمان وحوكمة الذكاء الاصطناعي تسمّيهما فجوتين.
أمر واحد يحوّل سجلاتك المختومة إلى حزمة أدلة لثلاثة عشر إطارًا. طرق عرض مكتوبة وفق قواعد كل مهنة: المحاماة (ABA Formal Opinion 512)، والتدقيق (PCAOB AS 1215 وAICPA AU-C 230)، والرعاية الصحية (HIPAA Security Rule)، وشركات الوساطة المالية (FINRA وSEC Rule 17a-4)، ومخاطر النماذج في المصارف، والتعليم (FERPA). إضافة إلى المادتين 12 و14 من قانون الذكاء الاصطناعي الأوروبي (EU AI Act)، وأمان SOC 2، وISO/IEC 27001، وISO/IEC 42001، وإطار إدارة مخاطر الذكاء الاصطناعي من NIST (NIST AI RMF).
يقف كل متطلّب إلى جانب الآلية التي تعالجه والأرقام المأخوذة من مخزنك أنت. لا يُعَدّ أيّ شيء مستوفًى لمجرد أننا نقول ذلك: سلامة السجلات، والاحتفاظ بها، وتسجيل الوصول، وتدوير المفاتيح، وفحص التبعيات، كلها مثبتة بالأدلة من مخزنك ومن إصدارنا. وحيث لا تحتوي سجلاتك بعدُ على شيء ذي صلة، تقول الحزمة ذلك. وحيث يكون المتطلّب سياسةً يتعيّن على شركتك كتابتها، تقول ذلك أيضًا. وحيث يمكن بناء ضابط في المنتج ولم يُبنَ بعد، تسمّي الفجوة.
ما تغطّيه حِزم الأدلة لدينا، إطارًا إطارًا (PDF)
الامتثال والحوكمة: أين نقف، وما الخطوة التالية (PDF)
هذا مواءمة، لا اعتماد. والحزمة تقول ذلك في صفحتها الأولى: إنها ليست رأيًا قانونيًا ولا بديلًا عن المستشار القانوني. ولا يوجد اعتماد من NIST، لذا لن ندّعي اعتمادًا كهذا.
المستوى البسيط — إجابة تناقض نفسها — هو ما تحسبه هذه الفحوص، لذا يُكتشف بحكم التصميم. وفوق ذلك، زرعنا أخطاء على ثلاثة مستويات من التماسك: ثماني حالات إجمالًا، أربع منها سليمة. ولم تكتشف الفحوص المجانية أيًّا من الأخطاء المزروعة، ولم تنبّه على أيّ حالة سليمة. ثماني حالات مجموعة صغيرة، ونفضّل أن نقول ذلك قبل أن تسأل — لكن النتيجة جاءت حيث تقول النظرية إنها يجب أن تأتي: كل فحص مجاني هو كشفٌ للاتساق، والخطأ المتماسك متّسق مع نفسه. وهذا الحدّ هو سبب وجود الطبقات التي فوقها: سجلّ الوسيط لما أعادته الأداة فعلًا، ومراجع يحمل أدلة لا يتحكّم فيها المؤلف — مبنيّ على القياس المذكور في صفحتنا الرئيسية: فالنسخة التي تراجع لا يُقال لها أبدًا إن العمل عملها، لأن ذلك التأطير وحده يساوي ما بين 20 و89 نقطة من الكشف لدى ثمانية من النماذج التسعة التي قسناها.
أصعب الحالات فرضية خاطئة تُحمل بشكل صحيح — حجم عقد خاطئ وكل رقم يليه محسوب منه بشكل صحيح. فالحساب يتحقق. ولا شيء مجاني يصل إلى ذلك، والمورّد الذي يقول لمسؤول امتثال غير ذلك يقول له شيئًا يعرف المسؤول نفسه أنه غير صحيح.
تحتاج طبقة المتصفح أيضًا إلى صيانة مستمرة: فالمحدِّدات (selectors) تعود إلى شركات أخرى وتتغيّر دون إشعار. وهي مبنية بحيث تتراجع إلى عدم الالتقاط بدلًا من التقاط خاطئ — لكن ذلك التزام بالدعم، وينبغي أن تسمعه قبل أن تسأل.