معمارية الشبكة المعزولة لعنقود الذكاء الاصطناعي السيادي

عنقود ذكاء اصطناعي معزول ليس "العنقود ذاته بعد فصل كابل الإنترنت". هو معمارية مختلفة من المنفذ الأول إلى آخر سجلٍّ يُكتب. تتغيّر جداول التوجيه والهوية وخدمة الأسماء والوقت والقياسات وتدفق تحديث النموذج جميعًا حين لا يكون للعنقود مسار إلى الخارج. يرسم هذا المقال معمارية الشبكة التي يجب أن يتوقّعها مشترٍ سيادي في قطاع الدفاع أو الاستخبارات من مورّد جدّي، ويُكمل دليل AI rack power cooling airgap الذي يغطّي اشتراطات المنشأة المادية إلى جانب الشبكة.

واقع الشبكة المُصنَّفة: فصل مادّي بلا توجيه IP

يبدأ عنقود الذكاء الاصطناعي السيادي على الجانب المُصنَّف بقاعدة مطلقة: لا مسار IP إلى أيّ شبكة عامّة، أبدًا. لا عبر NAT، ولا عبر "وكيل مُدار"، ولا عبر وصلة مراقب أجهزة افتراضية تُترك "للطوارئ". تجلس المسرّعات والمتحكّمات وفهرس الاسترجاع والتخزين وواجهات الاستدلال على نطاق موجَّه ينتهي عند حدّ مادي. لا يوجد مُحلّل DNS يمكن أن يُسرّب استعلامًا، ولا خادم وقت NTP يمكن تسميمه عبر المحيط، ولا سلطة شهادات مشتركة مع الإنترنت العام.

هذا الاشتراط مُقنَّن في البيئات الفيدرالية الأمريكية ضمن NIST SP 800-171 المراجعة الثالثة، التي تُجيز تقليص النطاق بعزل المكوّنات الحسّاسة في "نطاق أمني" مخصّص عبر "فصل مادي أو منطقي أو مزيج". وتضيف اشتراطات المنشأة لمعلومات الاستخبارات المُجزَّأة غلاف البناء وTEMPEST ضمن ICD 705. وفي عُمان، يُترجم المشترون الدفاعيون والاستخباريون المبادئ ذاتها عبر إرشادات الأنظمة المُصنَّفة الصادرة عن المركز الوطني للأمن السيبراني. تختلف التسميات، أمّا المعمارية فلا.

تترتّب نتائج عملية على البناء كلّه. يُشغّل العنقود سلطة شهادات داخلية. ويأتي الوقت من مصدر طبقة أولى مدعوم بـGPS داخل المنشأة. وتتجمّع السجلّات إلى نظام SIEM محلّي لا يبلغه أيّ مُحلّل بُعدي. والهوية محلّية: لا توجد "تسجيل دخول عبر مزوّد الهويات المؤسسي" لأنّ ذلك المزوّد يعيش على الشبكة غير المُصنَّفة للمستخدمين.

حلول العبور بين النطاقات: ديودات وحرّاس ووسائط يدوية

العزل لا يعني "أنّ البيانات لا تتحرّك أبدًا". لا بدّ أن تصل النماذج وقواعد التهديدات والمراجع المُنقّحة إلى العنقود، ويلزم أحيانًا أن تخرج المخرجات المعتمدة. تتولّى ذلك طبقة حلول العبور بين النطاقات، التي تحكمها استراتيجية Raise the Bar من وكالة الأمن القومي ونظام الاعتماد التابع لمكتب الاستراتيجية الوطنية لعبور النطاقات.

• ديودات البيانات (نقل أحادي الاتجاه). بوابات أحادية الاتجاه تُفرض ماديًا، تُسمّى أحيانًا "بصرية" أو "أنابيب ضوئية". لا تستطيع البتّات الانتقال إلّا في اتجاه واحد. تُستخدم لاستيراد حزم النماذج الموقّعة وقواعد التهديدات والتغذية المُقروءة فقط، أو لتصدير سجلّات معتمدة إلى مركز عمليات أمنية غير مُصنَّف. لا يوجد مسار عودة، فلا يستطيع البرنامج الخبيث التسرّب على الكابل ذاته.
• الخوادم الحارسة. ثنائية الاتجاه ولكن بوساطة مكثّفة: جهاز مُصلَّب يفحص كلّ بايت مقابل بنية صارمة، ويُجرّد البيانات الوصفية، ويتحقّق من التواقيع، ويُحدّد المعدّل في الاتجاهين. تُستخدم حين يحتاج التدفق فعلًا إلى ذهاب وإياب (استعلام مُنقّح يخرج، إجابة مُحقّقة تدخل). تتضمّن قائمة Raise the Bar منتجات معتمدة من Forcepoint وBAE Systems XTS Guard وOwl Cyber Defense.
• الوسائط القابلة للإزالة يدويًا. أبطأ القنوات، لكنّها أحيانًا الوحيدة المقبولة لأعلى تصنيفات السرّية. وسيط مُشفّر في تغليف يكشف العبث، قائمة موقّعة، إدخال بموافقة مزدوجة، وسجلّ سلسلة عُهدة لا يقبل التعديل. زمن الانتقال ساعات، أمّا الضمان فالأعلى.

تستخدم معظم العناقيد السيادية القنوات الثلاث على مستويات حساسية مختلفة. سحب يومي لقواعد التهديدات عبر ديود، وتحديثات تدريب فيدرالية تمرّ عبر خادم حارس، وتحديث ربعي للنموذج يُنقل بوسائط محمولة باليد.

مسار التحديث: حزم موقّعة وتحكّم مزدوج

هنا تنهار معظم معماريات العزل عمليًا. لا يستطيع المورّد ببساطة أن يكشف رابط "اتصال بالمنزل" ويطلب من المؤسسة إدراجه في القائمة البيضاء. النمط الصحيح هو مسار الحزمة الموقّعة:

1. يحزم المورّد (أو سلطة إصدار داخلية) أوزان النموذج والمعالج اللغوي وحاوية التشغيل وتقرير التقييم وقائمة تجزئة SHA-256 في حزمة واحدة. تُوقَّع الحزمة بمفتاح إصدار غير متّصل يُخزَّن في وحدة أمان مادية.
2. تُسلَّم الحزمة بوسيط مُشفّر قابل للإزالة، أو تُدفع عبر ديود إلى منطقة تجهيز على الجانب المُصنَّف.
3. يتحقّق فريق الأمن المستقبِل من التوقيع مقابل شهادة المفتاح العامة المتوفّرة سلفًا داخل المحيط، ثمّ يُجري فحوص البرامج الخبيثة ويراجع سجل التغييرات.
4. يُصدر مسؤولان مُسمّيان من سلسلتين قياديتين مختلفتين موافقة مزدوجة قبل ترقية الحزمة من التجهيز إلى أسطول الاستدلال الإنتاجي.
5. تخضع الترقية لمرحلة "كناري": عقدة استدلال واحدة تُقدّم الحزمة الجديدة خلف موزّع حِمل لفترة محدّدة، مع تراجع تلقائي عند الإنذار.

هذا أبطأ من تحديث سحابي تلقائي، وهذا بالضبط هو المقصود. تُبادل المؤسسة ساعات من التأخير بمسار ترقية قابل للتدقيق والرفض، لا يستطيع تجاوزَه أيّ حساب مورّد مخترق.

تصميم الشبكة الداخلية

داخل المحيط، يحدّد عرض النطاق ما إذا كان الجهاز سيحقّق أهداف زمن الاستجابة. ينقل الاستدلال التنسوري المتوازي التنشيطات بين المسرّعات بمعدّل الخطّ، ونموذج 70B مقسوم على بطاقتي H200 يحتاج إلى قرابة 100Gbps بين المسرّعات لتفادي التوقّف. وتحتاج حركة الاسترجاع والتضمين متعددة العقد بين واجهة الاستدلال وفهرس المتجهات إلى نحو 25Gbps. وتعمل الإدارة خارج النطاق على نسيج منفصل بسعة 1Gbps أو 10Gbps لا يشترك في مسارات فعلية مع البيانات. راجع 100GbE مقابل 25GbE في عنقود الذكاء الاصطناعي لحسابات الوصلة الواحدة.

كذلك يُجزَّأ العنقود عن الشبكة المحلية للمستخدمين التي يصادق عليها الموظفون. التخطيط النموذجي يضع مسرّعات الاستدلال والاسترجاع والتخزين على VRF "نسيج الحوسبة"، وواجهة الويب التي تواجه المستخدم على VRF "العرض"، ومدخل العبور بين النطاقات على ثالث. تمرّ التدفقات بين هذه النطاقات عبر أجهزة فحص بقوائم سماح صريحة. وتقع شبكة المستخدمين، التي تتّصل بالبريد ومزوّد الهويات المؤسسي، على الجانب غير المُصنَّف من المحيط بالكامل، ولا تصل إلى واجهة الاستدلال إلّا عبر نمط حارس أو خدمات طرفية معتمد لدى المؤسسة.

المراقبة والاستجابة للحوادث بلا إنترنت

لا يستطيع العنقود المعزول بثّ القياسات إلى SIEM سحابي. تعيش كلّ أوّليّات الرصد داخل المحيط. تتجمّع السجلّات في حزمة محلية (Elastic، OpenSearch، أو Splunk Enterprise) على نطاق أمني مخصّص. وتُسحب المقاييس إلى Prometheus وGrafana محليّين. وتُوجَّه التنبيهات إلى لوحات تظهر فقط على محطّات استجابة معتمدة، لا إلى منبّهات إنترنت. وتصل تحديثات التواقيع لأمن نقاط النهاية وكشف التسلّل عبر مسار الديود والحزمة الموقّعة ذاته الذي يحمل أوزان النموذج، على وتيرة موثّقة.

أمّا التصعيد خارج النطاق، حين يحتاج المُحلّل فعلًا إلى مخاطبة الخارج، فيمرّ عبر قناة بشرية صريحة: محطّة منفصلة غير مُصنَّفة في مركز العمليات، أو مكالمة هاتفية، أو ساعٍ. لا يوجد خطّاف ويب آلي إلى منبّه SaaS. وتُكتب أدلّة الاستجابة بهذه الحقيقة: كلّ خطوة تُولّد عادة استدعاء شبكة خارجي يُعاد كتابتها فعلًا بشريًا متعمّدًا مع تخويل مُسجَّل.

الشبكة المعزولة المنضبطة أبطأ وأكثر مللًا، وأصعب اختراقًا بمراحل من أيّ معمارية متّصلة. وهي شرط مسبق لأعباء الذكاء الاصطناعي السيادية على مستوى وزارات الدفاع والأمن الداخلي. لمراجعة معمارية الشبكة وخيارات العبور ومسار التحديث لنشر سيادي محدّد، راسلونا على [email protected] أو على واتساب +968 9889 9100. الأسعار بحسب الطلب، تُحدَّد وفق نموذج التهديد ومستوى التزامن.