التأكد من أن المستند حقيقي في زمن الذكاء الاصطناعي يعني التحقق من ثلاثة أمور: أن المستند صادر عن الجهة التي يُنسب إليها، وأن محتواه لم يتغير منذ إصداره أو توقيعه، وأن من وقّعه هو صاحب الهوية فعلاً. وقد أصبحت أدوات التزييف بالذكاء الاصطناعي قادرة على إنتاج مستندات وتواقيع وأختام وأصوات وصور تبدو أصلية للعين المجردة. لذلك لم يعد الفحص البصري كافياً، وصار التحقق يعتمد على أدلة تقنية، أبرزها التوقيع الرقمي المرتبط بشهادة وسجل التدقيق والتحقق من الهوية عبر المنصات الوطنية.

نكتب هذا المقال لمسؤولي المخاطر والأمن في المنشآت السعودية. نتناول فيه أنماط تزييف المستندات الشائعة اليوم، ولماذا تفشل وسائل التحقق التقليدية أمامها، وما الأدلة التقنية التي يمكن الاعتماد عليها، وكيف تبني المنشأة إجراءات تقلل مخاطر قبول مستند مزيف.

ملخص سريع

• أدوات الذكاء الاصطناعي جعلت تزييف المستندات والتواقيع والأختام أسهل وأقل تكلفة، وأصعب كشفاً بالعين.
• الفحص البصري لا يكفي للتحقق، لأن صورة التوقيع أو الختم يمكن نسخها أو توليدها بسهولة.
• التوقيع الرقمي المرتبط بشهادة يكشف أي تعديل على المستند بعد توقيعه، ويربطه بهوية محددة.
• مصدر المستند أهم من شكله: المستند الذي يصل عبر منصة موثوقة بسجل تدقيق أقوى من ملف يصل بالبريد.
• في ساين إت، نعمل مقدمَ خدمات ثقة مرخصاً من هيئة الحكومة الرقمية، ونوفر سجل تدقيق يوثق من وقّع ومتى ومن أي جهاز.

ما الذي تغيّر في تزييف المستندات مع الذكاء الاصطناعي؟

ما تغيّر هو أن التزييف لم يعد يحتاج إلى مهارة عالية أو وقت طويل؛ فأدوات الذكاء الاصطناعي التوليدي تنتج مستندات وتواقيع وصوراً وأصواتاً مقنعة في دقائق.

في السابق، كان تزوير مستند رسمي يتطلب خبرة في التصميم ونسخ الأختام والتواقيع، وكانت الأخطاء تظهر غالباً عند التدقيق. اليوم، يمكن توليد خطاب بترويسة جهة معروفة، أو فاتورة بصيغة مطابقة لفواتير مورد حقيقي، أو كشف حساب بنكي بأرقام متسقة، باستخدام أدوات متاحة للعموم.

ويتسع ما يُعرف بالتزييف العميق (Deepfake)، أي المحتوى المرئي أو الصوتي المولّد أو المعدّل بالذكاء الاصطناعي ليحاكي شخصاً حقيقياً. فقد يتلقى موظف مالي مكالمة بصوت يشبه صوت مديره يطلب تحويلاً عاجلاً، أو مكالمة مرئية بوجه مألوف. وتنشر الجهات المعنية في المملكة تحذيرات متكررة من الاحتيال المالي والإلكتروني.

ما أنماط التزييف التي تستهدف المنشآت؟

تستهدف المنشآت أنماط تجمع بين المستند المزيف والهندسة الاجتماعية، أي استغلال الثقة والاستعجال لدفع الموظف إلى قبول مستند أو تنفيذ طلب دون تحقق كافٍ.

القاسم المشترك بين هذه الأنماط أنها تنجح حين يكون التحقق قائماً على الشكل: هل يبدو الختم صحيحاً؟ هل يشبه التوقيع ما رأيناه سابقاً؟ هل الصوت مألوف؟ وكلها أسئلة أصبح الذكاء الاصطناعي قادراً على تجاوزها.

لماذا لا يكفي الفحص البصري؟

لا يكفي الفحص البصري لأن ما يراه الإنسان من المستند، كالتوقيع والختم والترويسة، أصبح قابلاً للنسخ والتوليد بدقة عالية، ولا يحمل في ذاته أي دليل على مصدره أو سلامته.

صورة التوقيع على ملف PDF ليست أكثر من صورة. يمكن نسخها من عقد سابق ولصقها على عقد جديد، ولن يظهر أي فرق للعين. والختم الممسوح ضوئياً كذلك. حتى لو كان المستند الأصلي سليماً، يمكن تعديل رقم أو تاريخ أو بند فيه، ثم حفظه بالشكل نفسه.

وتظهر محاولات لكشف التزييف بأدوات ذكاء اصطناعي مضادة تحلل الصور والنصوص. لكن هذه الأدوات تقدّر الاحتمال ولا تثبت الأصالة، وتتطور أدوات التزييف بالتوازي معها. لذلك يحسن ألا تبني المنشأة ثقتها على كشف التزييف بعد وقوعه، بل على أدلة أصالة تُضمَّن في المستند منذ إنشائه.

كيف يثبت التوقيع الرقمي أصالة المستند؟

يثبت التوقيع الرقمي أصالة المستند لأنه يربط محتواه بهوية الموقّع ربطاً تشفيرياً، فأي تعديل ولو بحرف واحد بعد التوقيع يُبطل التحقق ويظهر للطرف الآخر فوراً.

يعمل التوقيع الرقمي بحساب بصمة للمستند، وهي قيمة تشفيرية تتغير كلياً مع أي تعديل، ثم توقيع هذه البصمة بالمفتاح الخاص للموقّع. وعند فتح المستند، يعيد التطبيق حساب البصمة ويقارنها بالتوقيع باستخدام المفتاح العام الموجود في الشهادة الرقمية للموقّع. فإن تطابقتا، فالمستند لم يتغير، والتوقيع صادر عن صاحب الشهادة.

ويضيف الختم الزمني دليلاً على وقت التوقيع، فلا يمكن ادعاء أن المستند وُقّع في تاريخ مختلف. للتفاصيل التقنية، راجع مقال "الشهادات الرقمية والبنية التحتية للمفاتيح العامة" وللفرق بين هذا النوع وصورة التوقيع، راجع مقال "الفرق بين التوقيع الرقمي والإلكتروني".

لماذا يهم التحقق من الهوية ومصدر المستند؟

يهم التحقق من الهوية لأن التوقيع الرقمي يثبت أن صاحب المفتاح وقّع، ويبقى السؤال عن الطريقة التي تأكدنا بها أن صاحب المفتاح هو الشخص المعني. ويهم المصدر لأن المستند الذي يصل عبر قناة موثوقة يصعب استبداله.

التحقق عبر نفاذ، منصة النفاذ الوطني الموحد، وأبشر، منصة الخدمات الإلكترونية لوزارة الداخلية، يربط الموقّع بسجل حكومي رسمي. وهذا يرفع كلفة الانتحال كثيراً مقارنة بالتحقق ببريد إلكتروني يمكن اختراقه أو إنشاؤه. للتفاصيل، راجع مقال "نفاذ وأبشر".

أما المصدر، فيعني أن يُوقَّع المستند ويُحفظ ويُسترجع من منصة واحدة موثوقة، بدلاً من تداوله ملفاً عبر البريد والتطبيقات. فحين يصل إلى فريق المالية ملف PDF بالبريد يدّعي أنه العقد الموقّع، يصعب التأكد من أنه لم يُعدّل في الطريق. أما حين يُفتح العقد من المنصة نفسها مع سجل تدقيقه، فالدليل حاضر.

في ساين إت، نتيح التحقق من الموقعين عبر نفاذ وأبشر وواثق، إضافة إلى رموز التحقق عبر البريد الإلكتروني والرسائل النصية وواتساب. ونعمل مقدمَ خدمات ثقة مرخصاً من هيئة الحكومة الرقمية، ونوفر سجل تدقيق يوثق من وقّع ومتى ومن أي جهاز، مع استضافة البيانات داخل المملكة.

ما الذي يراجعه فريق المخاطر في إجراءات المنشأة؟

يراجع فريق المخاطر النقاط التي تُقبل فيها مستندات أو تُنفذ فيها طلبات بناءً على مستند أو اتصال، ويحدد لكل نقطة وسيلة التحقق المناسبة وقناة التأكيد المستقلة.

ويرتبط ذلك بحوكمة الموافقات داخل المنشأة. فإذا كان اعتماد الدفعات والعقود يمر عبر سير عمل موثق بصلاحيات محددة، يصعب على المحتال اختصاره بمكالمة أو بريد. راجع مقال "الأتمتة وسير العمل الموثوق".

ما الأخطاء الشائعة في مواجهة تزييف المستندات؟

أكثر الأخطاء شيوعاً الاستمرار في قبول التواقيع المصورة دليلاً على الموافقة. كثير من المنشآت ما زالت تعتمد عقوداً وخطابات بتواقيع ممسوحة ضوئياً، لأن ذلك سهل ومألوف. لكن هذه التواقيع هي الأسهل تزييفاً، ولا تقدم أي دليل عند النزاع.

ومنها الاعتماد على قناة الطلب نفسها للتحقق. إذا وصل طلب تغيير حساب بنكي بالبريد، فالرد على البريد نفسه للتأكيد لا يفيد، لأن المحتال يتحكم في هذه القناة. التحقق الفعلي يتم عبر قناة مستقلة معروفة مسبقاً، كرقم هاتف مسجل في ملف المورد.

ويقع بعض الفرق في خطأ الاعتقاد أن أدوات كشف التزييف تحل المشكلة. هذه الأدوات مفيدة في الفحص، لكنها تعطي احتمالات قابلة للخطأ في الاتجاهين، وتتأخر عادة عن أحدث أساليب التزييف. والأولى بناء الأصالة في المستند منذ إنشائه.

وأخيراً، يُغفل أحياناً تدريب الموظفين. فأقوى الضوابط التقنية تضعف إذا تجاوزها موظف تحت ضغط الاستعجال أو سلطة المتصل. التوعية بأنماط الاحتيال الحديثة، وتشجيع التحقق دون حرج، جزء أساسي من الدفاع.

كيف تحمي المنشأة نفسها من المستندات المزيفة؟

تبدأ المنشأة بتحديد نقاط المخاطر، ثم تنقل المستندات المهمة إلى توقيع رقمي داخل منصة موثوقة، وتعتمد قنوات تحقق مستقلة، وتدرّب فرقها، وتراجع الإجراءات دورياً.

أسئلة شائعة

الخاتمة

في زمن التزييف بالذكاء الاصطناعي، لم يعد شكل المستند دليلاً على أصالته. الدليل اليوم تقني: توقيع رقمي يكشف أي تعديل، وتحقق من الهوية عبر المنصات الوطنية، وسجل تدقيق يوثق المسار، ومنصة موثوقة يُحفظ فيها المستند ويُسترجع منها. والمنشأة التي تبني هذه الأدلة في عملياتها، وتدعمها بقنوات تحقق مستقلة وموظفين واعين، تقلل كثيراً من فرص نجاح الاحتيال.