تضع الصناعة 5.0 الوكلاء المستقلين داخل حلقة التعاون بين الإنسان والوكيل، مرتكزةً ركيزة التمحور حول الإنسان على افتراض تعاونٍ موثوق لم يُفحص نقديًا. انتقل الذكاء الاصطناعي الوكيل من العرض البحثي إلى الانتشار الصناعي خلال أشهر، مقدّمًا فئة تهديدات لم يعالجها هذا السياق بعد. تجسر هذه المقالة ثلاث أدبيات تطورت بمعزل بعضها عن بعض — أمن الصناعة 5.0 السيبراني، وأمن الذكاء الاصطناعي الوكيل، والأدبيات التأسيسية للصناعة 5.0 نفسها — مقترحةً تصنيفًا للتهديدات من ست فئات وإطارًا مزدوجًا للجاهزية الجنائية، مُصاغًا كنموذج نضج من خمسة مستويات ومؤسَّسًا على حوادث حقيقية من 2024–2026 لا على سيناريوهات افتراضية. يُقيَّم كلا الإسهامين بطريقتين متكاملتين: تمرين استنباط استكشافي على غرار منهجية Delphi باستخدام ستة نماذج لغوية كبيرة مستقلة كمحكّمين عميان عبر جولتين، يتقارب على نقد بنيوي محدد أُدمج في التصميم النهائي للتصنيف؛ وتمرين ترميز استرجاعي يطبّق التصنيف على أربعة عشر حادثًا موثقًا علنًا، فيجد أن نصفها يتطلب تصنيفًا متعدد الفئات وأن فئتين لم تُمارَسا بعد في السجل العام، وهو دليل على أن الانتشار الصناعي المادي المُجسَّد قد تجاوز قاعدة الحوادث الموثقة لا على نقص في التصنيف نفسه. يعزز هذا الإلحاح تنظيمٌ ناشئ من الاتحاد الأوروبي والمملكة المتحدة يفرض التزامات بالإبلاغ عن الحوادث خلال 24 و72 ساعة، وهي التزامات لا تستطيع معظم المنظمات الصناعية الوفاء بها وفق الأدلة الحالية. تختتم المقالة بأجندة بحثية تتناول المسؤولية القانونية ومعايير الأدلة والمفاضلة بين الجاهزية والاستدامة.
كل تحول في تاريخ الإنتاج الصناعي حلّ قيدًا وأدخل آخر: البخار والكهرباء، ثم وحدات التحكم المنطقية القابلة للبرمجة، ثم شبكات الإنتاج السيبرانية-الفيزيائية للصناعة 4.0 التي حققت مرونة جديدة بكلفة سطح هجوم موسّع إلى حد كبير [1، 2]. تمثل الصناعة 5.0 منعطفًا من نوع مختلف؛ فهي تتمحور حول رفاهية العامل وسلامته وفاعليته، جاعلةً التعاون بين الإنسان والآلة مكوّنًا للتنافسية الصناعية لا تابعًا لها. ولأول مرة يجلس كيان مستقل يتخذ القرارات داخل الحلقة التعاونية المباشرة للإنسان، والثقة في تلك الحلقة ليست بعد خاصية مسماة ومُدافَعًا عنها في الأنظمة الصناعية.
أصبح هذا الإغفال ملحًّا. فالذكاء الاصطناعي الوكيل — أنظمة قادرة على الاستدلال متعدد الخطوات واستخدام الأدوات والتصرف بأدنى إشراف بشري — انتقل من العرض البحثي إلى الانتشار الإنتاجي خلال أشهر لا سنوات، وهو متميز عن الذكاء التوليدي المستخدم لدعم القرار، والأتمتة التقليدية، والروبوتات المستقلة التي تفتقر للاستدلال العام. تفترض ركيزة التمحور حول الإنسان في الصناعة 5.0 ضمنيًا أن التقنية المتعاونة مع العامل جديرة بالثقة افتراضيًا [3]، لكن الحوادث الأخيرة تقوّض هذا الافتراض: ثغرة حقن أوامر صفرية-النقر (EchoLeak، CVE-2025-32711) في مساعد مؤسسي منتشر مكّنت مهاجمًا خارجيًا من استخراج بيانات حساسة دون أي إجراء من الضحية [5]؛ وبعدها بأشهر كشف مزود رائد وعطّل ما قيّمه بأنه أول حملة تجسس سيبراني مدعومة من دولة ومنفَّذة إلى حد كبير بواسطة وكيل ذكاء اصطناعي، عبر نحو ثلاثين منظمة مستهدفة منها شركات تصنيع كيميائي [6].
المخاطر ليست نظرية: ظل التصنيع القطاع الصناعي الأكثر استهدافًا عالميًا لسنوات متتالية، مع انتقال المهاجمين من أنظمة تكنولوجيا المعلومات إلى التكنولوجيا التشغيلية التي تحكم العمليات الفيزيائية [7]، بينما تُضمَّن الوكلاء المدعومون بالنماذج اللغوية في تلك البيئات ذاتها. ركّزت أدبيات الأمن السيبراني للصناعة 5.0 على البنية التحتية للتكنولوجيا التشغيلية وإنترنت الأشياء الصناعي دون معالجة الخصائص المميزة للوكلاء المستقلين المُستدِلّين [8]، وتطورت أدبيات أمن الذكاء الوكيل في سياقات مؤسسية وسحابية عامة [9]. تقدّم هذه الورقة ثلاث مساهمات: تصنيف تهديدات منظم حول النقطة التي يمكن اختراق حلقة الإنسان–الوكيل عندها؛ وإطار جاهزية جنائية يعالج التحديات الإثباتية وسلسلة الحيازة وصعوبة الإسناد؛ وأجندة بحثية لتوجيه الميدان قبل أن يفرض سجل الحوادث ذلك.
يمكن قراءة المسار من الصناعة 1.0 إلى 5.0 كنمط متكرر: كل انتقال يحل قيدًا محددًا على الإنتاج ويُدخل فئة جديدة من الهشاشة. حلّت المكننة بالبخار والماء محل العمل العضلي لكنها أدخلت مخاطر السلامة والتلوث؛ ورفعت الكهرباء وخطوط التجميع سقف الإنتاج لكنها ربطت الصناعة ببنية طاقة مركزية هشة؛ وحلّت وحدات التحكم المنطقية والحوسبة الرقمية محل التحكم اليدوي لكنها أنتجت أنظمة صلبة سيئة التكيف مع الطلب المتغير [2]؛ وربطت الصناعة 4.0 هذه الأنظمة في شبكات إنتاج سيبرانية-فيزيائية بمكاسب مرونة كبيرة لكن بسطح هجوم غير مسبوق [1]. أما الصناعة 5.0 فتمثل منعطفًا في النوع لا الدرجة: إذ صاغتها المفوضية الأوروبية كمنظور قيمي يضع رفاهية الإنسان والاستدامة والمرونة في مركز الإنتاج [1، 3]، وهذا يحمل دلالة بنيوية لم تُستوعَب بعد — فالكيان المتعاون داخل حلقة الإنتاج لم يعد أداة يشغّلها الإنسان بل صانع قرار مستقل أو شبه مستقل يجب على الإنسان أن يثق به.
تتمثل قيم الصناعة 5.0 في التمحور حول الإنسان — الذي يعيد تموضع العامل من كلفة يجب تقليلها إلى أصلٍ تُعامل سلامته ورفاهيته وتنمية مهاراته كمتطلبات تصميمية لنظام الإنتاج نفسه [3، 4] — والاستدامة عبر تدوير الموارد وخفض النفايات والطاقة المتجددة، والمرونة عبر تحمل الاضطرابات الجيوسياسية والاقتصادية والتكيف معها. ما لم تعالجه المعالجات القائمة لهذه الركائز هو الحالة المحددة التي تكون فيها التقنية المُجسِّدة للتمحور حول الإنسان — وكيل ذكاء اصطناعي مستقل يتعاون مباشرة مع العامل — غير جديرة بالثقة؛ وهذا الإغفال هو نقطة انطلاق القسمين 3 و4.
دخل الذكاء الاصطناعي الوكيل بيئات التصنيع أسرع بكثير من موجات الأتمتة السابقة: وجد استطلاع Deloitte لعام 2025 لمديري التصنيع التنفيذيين أن قرابة ربع المستجيبين نشروا الذكاء التوليدي على مستوى المنشأة أو الشبكة [11]. تتركز الانتشارات حول أدوار وظيفية محددة: الروبوتات التعاونية (cobots) التي تعمل جنبًا إلى جنب مع المشغلين البشريين بإدراك مدعوم بالذكاء الاصطناعي؛ ووكلاء دعم القرار الذين يوصون بتغييرات تشغيلية أو يباشرونها؛ ووكلاء الصيانة التنبؤية الذين يراقبون إشارات صحة المعدات ويصدرون أوامر العمل؛ ووكلاء الجدولة المستقلة الذين يعيدون تحسين جداول الإنتاج استجابة للاضطرابات. كل دور يضع نظامًا استدلاليًا مستقلًا داخل حلقة يُفترض بها، تحت ركيزة التمحور حول الإنسان، أن تُبقي العامل آمنًا ومطّلعًا ومسيطرًا — وكل منها، كما يطوّر القسم 3، نقطة يمكن اختراق تلك الحلقة عندها.
طوّر مشروع OWASP لأمن الذكاء التوليدي قائمته لأهم 10 مخاطر للتطبيقات الوكيلة، بمشاركة أكثر من مائة ممارس أمني، وصدرت في ديسمبر 2025 لتُضفي طابعًا رسميًا على عشر فئات منها اختطاف الأهداف وإساءة استخدام الأدوات وتسميم الذاكرة والسياق وانعدام أمن التواصل بين الوكلاء والإخفاقات المتتالية واستغلال الثقة بين الإنسان والوكيل [12]. وبالتوازي بدأت أدبيات تدرس العلاقة العكسية — الذكاء الاصطناعي كأداة للتحقيق لا كهدف له — بتقييم النماذج اللغوية الكبيرة في اكتشاف الأدلة وتلخيص القطع الأثرية وصياغة التقارير الجنائية، بنتائج إيجابية بحذر تشير باستمرار إلى اللاحتمية والهلوسة وضعف التخصص كعوائق أمام السياقات ذات المتطلبات الإثباتية [13]. لم تعالج أيٌّ من الأدبيتين الحالة التي تجمعهما: التحقيق في نظام ذكاء اصطناعي وكيلي مُضمَّن في بيئة إنتاج مادية مأهولة بالبشر بعد أن كان هو نفسه ناقل الاختراق أو هدفه.
أثبت القسم 2 أمرين: أولًا، أن كل انتقال صناعي أنتج في النهاية تخصصًا أمنيًا مكرسًا مرة اتضحت الهشاشة الجديدة — هندسة السلامة الصناعية بعد المكننة، وأمن التكنولوجيا التشغيلية بعد Stuxnet. وثانيًا، أن ثلاثة أجسام بحثية ذات صلة بالهشاشة الناشئة للصناعة 5.0 نشطة لكنها تطورت بمعزل بعضها عن بعض. تُركز أبحاث الأمن السيبراني للصناعة 5.0، كما يجسدها [8]، على التكنولوجيا التشغيلية وإنترنت الأشياء الصناعي الموروثين من الصناعة 4.0، ويخلص Kour وآخرون من داخل تلك الأدبيات نفسها إلى غياب أي عمل يعالج الأمن السيبراني عبر ركائز الصناعة 5.0 الثلاث معًا وغياب تصور واضح لكيفية تطور المخاوف الأمنية من 4.0 إلى 5.0 [8].
طوّرت أبحاث أمن الذكاء الوكيل مفردات ناضجة لاختطاف الأهداف وتسميم الذاكرة وإساءة استخدام الأدوات والإخفاقات متعددة الوكلاء [9، 12]، لكنها تطورت بالكامل تقريبًا في سياقات مؤسسية وسحابية واستهلاكية عامة. في المقابل، تؤسس الأدبيات التأسيسية للصناعة 5.0 التمحور حول الإنسان كالتزام تصميمي دون فحص ما يحدث عندما تكون التقنية المُجسِّدة لذلك الالتزام مخترَقة [3، 4]. إن تقاطع الثلاثة — أنظمة ذكاء وكيلية تعمل تحت قيود مادية وسلامة حقيقية، داخل نموذج راهن شرعيته صراحة على التعاون الموثوق بين الإنسان والوكيل — يبدو غير معالَج إلى حد كبير في الأدبيات المستعرَضة. وبما أن سجل الحوادث (EchoLeak، وحملة التجسس الوكيلية الأولى، والاستهداف المستدام للتصنيع في مؤشر IBM X-Force [5–7]) يشير إلى أن النمط نفسه قد بدأ بالفعل، تقترح الورقة التخصص الذي يتنبأ به ذلك النمط — تصنيف تهديدات وإطار جاهزية جنائية — قبل أن يفرض عدد الحوادث النتيجة نفسها.
تُنظَّم فئات التهديد على محورين لا واحد: أربع فئات تتعقب النقطة في حلقة التعاون بين الإنسان والوكيل حيث يصبح الاختراق قابلًا للملاحظة أول مرة — الإدراك، والإدراك المعرفي، ونقطة الموافقة البشرية، والفعل المادي — وفئتان تأسيسيتان تصفان كيف دخل الاختراق النظام قبل أن تعمل الحلقة أصلًا لا أين يظهر بعد تشغيلها. هذا التمييز، الذي أُدرج صراحة استجابة لنقد لجنة الاستنباط في القسم 6، مهم لأن الحلقة الصناعية تدرك بيئة مادية ويمكنها تفعيل فعل مادي، وتعتمد سلامة العامل على موثوقية مخرجاتها لحظيًا — خصائص لا تلتقطها تصنيفات مثل OWASP Top 10 for Agentic Applications [12] المطورة لانتشارات مؤسسية وسحابية.
تستهدف هجمات طبقة الإدراك المدخلات الحسّية التي يعتمد عليها الوكيل لفهم بيئته المادية لا عملية استدلاله: الضوء العدائي والتداخل الصوتي والاضطراب الكهرومغناطيسي لتدهور قراءات الرؤية وLiDAR والصوت واللمس أو تزييفها [14]. يُفاقم الذكاء الوكيل الخطر دون أن يحل محله: فالنظام الوكيلي يستدل على البيانات المسمومة نفسها ويمكنه توليد تبرير مقنع لفعل غير آمن، مما يصعّب على المشغل ملاحظة الفشل لحظيًا. وتُظهر أعمال حديثة على نماذج الرؤية-اللغة-الفعل أن الرقع العدائية في المجال البصري قد تدفع روبوتًا مُتحكَّمًا به من نموذج تأسيسي إلى مسار معالجة خاطئ تمامًا [15] — فتصبح نقطة الفشل أرضية الورشة نفسها لا الشبكة.
تستهدف هجمات الطبقة المعرفية عملية استدلال الوكيل مباشرة، عبر حقن الأوامر (prompt injection) أو تسميم الذاكرة والسياق — فئة نضجت في أدبيات موثقة واسعة [16، 17]، وEchoLeak مثال إنتاجي عليها إذ أعاد بريد واحد مُصمَّم توجيه استدلال المساعد دون أي تفاعل من الضحية [5]. المكافئ الصناعي: سجل صيانة أو تقرير فحص مسموم يدفع وكيل الصيانة إلى التوصية بإجراء غير آمن أو تأجيل تنبيه سلامة حقيقي، بالسلطة الواثقة نفسها المرتبطة باختطاف الأهداف. الاختبار الفاصل بين الطبقتين ليس قناة الوصول بل ما فسد: تزييف الإشارة الحسّية الخام إدراكي، والتلاعب باستدلال الوكيل عبر تعليمات مضمنة في محتوى مُدخَل معرفي — وتُعالَج الحالات المدمجة بالوسم متعدد الفئات لا بالإجبار على فئة واحدة.
تقع هجمات استغلال الثقة عندما يعتمد المشغل البشري توصية فاسدة: نقطة الموافقة لا تُتجاوَز هنا بل تُتلاعَب. جذورها في أبحاث العوامل البشرية حول انحياز الأتمتة — ميل المشغلين المفرط للاعتماد على التوصيات المؤتمتة تحت الضغط والإرهاق [18] — ويضخّمها الذكاء الوكيل لأن الوكيل ينتج تبريرًا بليغًا سياقيًا لتوصيته عند الطلب، وهو بدقة نمط الخطاب الأقدر على تجاوز حكم المشغل. تسمّيها قائمة OWASP صراحة استغلال الثقة بين الإنسان والوكيل [12]. والمفارقة معكوسة هنا قياسًا على الهندسة الاجتماعية التقليدية: الكيان المخترَق هو النظام الذي صممته الصناعة 5.0 ليَثق به العامل، فالعامل المدرَّب على الانصياع لوكيل دعم القرار للأسباب نفسها التي توصي بها التمحور حول الإنسان يضيق لديه نافذة اكتشاف النصيحة السيئة للوكيل المخترَق.
تقع عندما يعمل الوكيل خارج غلافه التشغيلي المصرح: نقطة الموافقة لا تُتلاعَب بل تُتجاوَز كليًا، بنمطي فشل: فعل مادي غير مصرح — إذ أثبتت تقنيات كسر الحماية (jailbreaking) المطورة ضد النماذج اللغوية كفايتها للسيطرة الكاملة على فضاء فعل نماذج الرؤية-اللغة-الفعل [15]، مع ثغرة تنفيذ أوامر عن بُعد حرجة كُشفت عام 2026 في وحدة تحكم روبوت تعاوني منتشرة [20] — واستنزاف غير محدود للموارد (تحريض حلقات المهام، واستدعاء أدوات جامح) يعطّل النظام دون فعل مادي واحد غير آمن. التوقيع البنيوي مشترك: يواصل الوكيل التصرف بعد النقطة التي كان سيفوّض إنسانٌ التوقف عندها.
لا تناسب الفئتان التاليتان محور مراحل خط الأنابيب؛ فهما تصفان كيف دخل الاختراق لا أين يظهر، وتقعان تحت المراحل التشغيلية الأربع (الشكل 2). أولًا، هجمات سلسلة التوريد والنماذج: نماذج مُسمَّمة مسبقة التدريب وضبط دقيق خبيث وأدوات ومهارات خارجية مخترَقة توسّع قدرات الوكيل بعد النشر — إذ وجدت دراسة تجريبية لبروتوكول Model Context Protocol أن خوادمه تُشحَن عادة بضعف في الصيانة والأمن لا يملك الوكيل المتصل وسيلة موثوقة لكشفه [21]، وتسمّيها OWASP ثغرة سلسلة التوريد الوكيلية [12]. ثانيًا، هجمات الهوية وبيانات الاعتماد: يستهدف المهاجم الحدود التفويضية للوكيل نفسه — مفاتيح API وحسابات خدمة ورموز قصيرة العمر — فيرث امتيازات الوكيل الدائمة دون إطلاق أيٍّ من الفئات الأربع، ولهذا فالاختراق هنا تأسيسي لا موضعي.
حُدّدت فجوتان إضافيتان في تمرين الاستنباط (القسم 6) — هجمات السرية واستخراج البيانات، وهجمات التواصل بين الوكلاء — لكن لم تُعاملا كفئتين مستقلتين: استخراج البيانات نتيجة قد تتجلى عبر أيٍّ من الفئات الست لا نقطة اختراق مميزة، والتواصل متعدد الوكلاء خارج النطاق عمدًا لأن التصنيف يعالج وكيلًا واحدًا يتعاون مع مشغل بشري واحد، مع تأجيل التنسيق متعدد الوكلاء لأعمال مستقبلية (القسم 8). كذلك تُستبعَد هجمات الشبكات والثغرات البرمجية التقليدية لا لعدم أهميتها بل لأن أدبيات ناضجة عامة تغطيها أصلًا؛ فالتصنيف مخصَّص للتهديدات الناشئة عن الاستدلال والفعل المستقلين للوكيل.
يقارن الجدول 2 التصنيف بخمسة أطر — OWASP Top 10 for Agentic Applications [12]، وMITRE ATLAS [23]، وMITRE ATT&CK for ICS [24]، وNIST AI RMF [25]، وENISA AI Threat Landscape [26] — عبر أربعة أبعاد: التخصص الوكيلي، والتجسيد المادي/الصناعي، وبُعد الثقة بين الإنسان والوكيل، والمكوّن الجنائي المزدوج. لا يجمع أي إطار قائم الأبعاد الأربعة: فإطار OWASP يسمّي استغلال الثقة لكنه مطوَّر لانتشارات عامة؛ وATLAS تفاعلي لا تنبؤي ولا يعالج التجسيد المادي؛ وATT&CK for ICS يعالج البيئات المادية بعمق لكنه يسبق الذكاء الوكيلي كليًا؛ وNIST حوكمي دورة-حياة لا جنائي؛ وENISA يرسم التهديدات عمومًا دون تمييز الوكيلي. إسهام التصنيف ليس فئة تهديد معزولة جديدة، بل الجمع بين الأبعاد الأربعة في تصنيف واحد مزدوج بإطار الجاهزية الجنائية في القسم 5 — وهو ما لا يقدمه أيٌّ من الخمسة.
التصنيف وحده غير مكتمل دون قدرة موازية على التحقيق في الحادث بعد وقوعه. ثلاثة أجسام بحثية تعالج الجاهزية الجنائية ولا يعالج أيٌّ منها هذه الحالة: الجاهزية الجنائية الرقمية العامة منذ عملية Rowlingson العشرية [27، 28]؛ والجاهزية لأنظمة الأتمتة والتحكم الصناعية التي تفتقد أي فئة أدلة خاصة بالذكاء [29]؛ والجاهزية للنماذج اللغوية الكبيرة التي تعالجها عمومًا لا في سياقات مادية حرجة للسلامة [13، 30]. يقترح هذا القسم النموذج المفقود.
يُنتج النظام الوكيلي أربع فئات أدلة إضافية لم تُبنَ لها أدوات الطب الشرعي التقليدية: آثار الاستدلال التي تسجل الخطوات الوسيطة لقرار الوكيل — مع التحفظ بأن الأثر المولَّد قد لا يمثل الحساب الداخلي الفعلي ويجب تفسيره مع الأوامر والسياق واستدعاءات الأدوات لا كسجل مستقل للحقيقة؛ وسلاسل استدعاء الأدوات التي تسجل الأدوات والمهارات والمشغلات المُستدعاة وتسلسلها؛ وسجلات التفاعل بين الإنسان والوكيل (ما أوصى به الوكيل وكيف برّره وما اعتمده المشغل أو رفضه)؛ وبيانات المستشعرات والمشغلات الممتدة إلى المجال السيبراني-المادي. ولا تعمل أيٌّ منها كدليل دون خصائص محددة: طوابع زمنية متزامنة ومقاوِمة للعبث، وتسجيل النموذج والأداة وإصداريهما، وسجلات موقعة ومقاوِمة للعبث، والتقاط الذاكرة المؤقتة قبل الكتابة فوقها، وتوثيق الأطراف — مع قيد جوهري: سلسلة الاستدعاء تسجل أن الأداة استُدعيت لا ما فعلته الأداة بعد الاستدعاء، فكشف الأداة المخترَقة يتطلب مراقبة خارجية لسلوكها التشغيلي كما تُظهر حالة postmark-mcp في القسم 7.3.
حتى حيث تُلتقَط فئات الأدلة، تنتهك الأنظمة الوكيلية افتراضات تعتمد عليها إجراءات سلسلة الحيازة التقليدية التي تفترض مصادر أدلة ساكنة قابلة للتحقق المستقل [27]: اللاحتمية — فالوكيل المُعطَى المدخل نفسه قد لا ينتج الأثر الاستدلالي نفسه مرتين، مما يقوّض قابلية التكرار التي يعتمد عليها التحقق الجنائي؛ والذاكرة المؤقتة (ephemeral memory) — فالسياق العامل لحظة القرار قد لا يستمر في أي سجل دائم ما لم يُضبَط صراحة، مُنشِئًا نوافذ لم يوجد فيها الدليل الأكثر صلة قط بصورة قابلة للاسترجاع؛ والأنظمة الموزعة متعددة الوكلاء — إذ قد يكون القرار الواحد نتاج عدة وكلاء عبر أنظمة بسياسات تسجيل وملكية واحتفاظ مختلفة، فيتفتت الأثر عبر حدود تنظيمية وقضائية قبل أن يبدأ المحقق، بما يتسق مع ملاحظة أن الأمن في الأنظمة متعددة الوكلاء المتفاعلة غير تركيبي جوهريًا [32].
التعقيد الخاص بالأنظمة الوكيلية أن إثبات ما حدث ليس إثبات السبب: فالفئات الست ليست نواقل هجوم فحسب بل ستة أسباب جذرية متميزة — ومتداخلة أحيانًا — يجب على المحقق التمييز بينها: بيانات حسّية مزيفة، أم تعليمة خبيثة محقونة، أم فعل مادي غير مصرح، أم اعتماد مسروق، أم خلل نموذجي عادي دون خصم، أم مهارة خارجية مخترَقة، أم فعل مصرح اعتمده مشغل كان هو نفسه هدف استغلال الثقة — وكل سبب يشير إلى معالجة مختلفة وطرف مسؤول مختلف في السياقات المنظمة. يضع الشكل 3 هذا التمييز كشجرة قرار منظمة حول خط الأنابيب رباعي المراحل نفسه، مانحًا المحققين تسلسل أسئلة ابتدائيًا بدل البحث الأعمى عبر الفئات الست، ومفترضًا أن فئات الأدلة قد التُقطت أصلًا — وهو غير مضمون دون المستوى 3 من نموذج النضج، إذ سيعجز محقق المستويين 0 و1 عن الإجابة في كثير من الأحيان، والوصول لنهاية الشجرة دون إجابة إيجابية لا يؤكد الخلل العادي بل قد يعكس قصورًا إثباتيًا.
ينظّم الجدول 3 القدرات في نموذج نضج من خمسة مستويات — ممتدًا سُلالة نماذج النضج العامة إلى الحالة الوكيلية — وهي مستويات ترتيبية لا فترية على تقليد نموذج نضج القدرات: المستوى 0 (مخصص: لا تسجيل خاص بالوكيل)، والمستوى 1 (تسجيل تشغيلي: تظهر نشاطات الوكيل كأحداث عامة فقط)، والمستوى 2 (تسجيل واعٍ بالوكيل: آثار واستدعاءات وتفاعلات مُلتقطة لكن غير مترابطة)، والمستوى 3 (أدلة مترابطة: ارتباط على خط زمني مشترك مع إجراءات سلسلة حيازة معرّفة)، والمستوى 4 (الجنائية-بالتصميم: المقبولية الإثباتية متطلب نشر أصيل بتسجيل موقَّع ومترابط لحظيًا). وتبدو معظم الانتشارات الصناعية، استنادًا إلى الحالات في القسم 7 وأدلة وتيرة التبني [11] — إذ يركّز 62% من المصنّعين نشر الذكاء على العمليات بينما يملك 7% فقط خطة استجابة مُختبَرة [36] — أقرب إلى المستويين 0 و1. الغرض ليس فرض المستوى 4 فورًا بل منح المنظمات والمدققين والمنظمين مفردات مشتركة لوصف موضع الانتشار والفجوة الفاصلة عن القدرة على الإجابة، بالأدلة، عما فعله الوكيل ولماذا ومن تسبب فيه.
لم يُقيَّم التصنيف وإطار الجاهزية عبر استشارة خبراء بشريين؛ فدراسة Delphi التقليدية — المعيار الذهبي للاستنباط الخبير المهيكل — تتطلب شهورًا من التنسيق [37]، فاعتُمد تكييف البروتوكول الكلاسيكي للنماذج اللغوية الكبيرة كبديل قابل للتوسع، إذ أظهرت أعمال حديثة ارتباطات قوية بين لجان Delphi المعتمدة على النماذج وحكم الخبراء البشريين عبر مجالات منها المحاكاة الطبية والاستنباط الهيكلي لمخاطر الأمن السيبراني [37، 38]. يقدّم هذا التمرين أدلة استكشافية تكميلية نحو التحقق من التصنيف وإطار الجاهزية.
استُجوب ستة نماذج من ستة مزودين متميزين بشكل مستقل عبر بوابة موحدة — GPT-5.6 Sol Pro من OpenAI، وGemini 3.1 Pro Preview من Google، وGrok 4.3 من xAI، وLlama 4 Maverick من Meta، وQwen3.7-Max من Alibaba، وDeepSeek V4 Pro من DeepSeek — بوصف صفري-الأمثلة (zero-shot) متطابق للتصنيف ونموذج النضج، دون تعرض للمخطوطة أو لبعضها أو للاستدلال المُنتِج للأطر. طُلب من كل نموذج في الجولة الأولى ردًّا مهيكلًا ثابتًا يغطي اكتمال التصنيف واستقلالية فئاته المتبادل وتقييم الفائدة من 1–5 وتقييم تعريفات المستويات وأضعف جانب، ثم عُرض عليه ملخص مجهَّل لردود المحكّمين الخمسة الآخرين وسُمح له بمراجعة تقييمه في جولة ثانية وفق إجراء Delphi المعياري. الأداة الكاملة والردود الخام وشيفرة التحليل مؤرشفة علنًا في المستودع المشار إليه في بيان توافر البيانات.
يُوثّق الجدول 4 النماذج الستة ومزوديها وتواريخ إدراجها ونوافذ سياقها وأسعارها وقت التمرين، ويبين الجدول 5 مبرر إدراج كل محكّم: تعظيم الاستقلالية عبر محاور المزود وحالة الأوزان والجغرافيا — أنساب مغلقة مرجعية (OpenAI)، وخط مستقل للمحاذاة (Google)، وفلسفة محاذاة مميزة ثالثة (xAI)، وممثل الأوزان المفتوحة الرئيسي (Meta)، ومنظومتا تدريب صينيتا المنشأ والمعجم (Alibaba وDeepSeek بمعمارية خليط الخبراء). اختيرت كلها من الطبقة الرائدة أو المحسّنة للاستدلال لا المتغيرات الخفيفة، لأن مهمة الاستنباط تتطلب حكمًا نقديًا مستدامًا. وكان الاستنباط صفريًا (k = 0) عمدًا لا تبسيطًا: فتقديم مثال محلول مسبقًا كان سيرسّخ كل محكّم نحو أسلوبه واستنتاجاته، مُصنِّعًا مظهر الاتفاق بدل السماح للتقارب المُبلَّغ في القسم 6.3 بعكس حكم مستقل حقيقي — على غرار ممارسة Delphi البشرية التي لا تعرض إجابة نموذجية مسبقًا.
يُبلغ الجدول 6 تقييمات الفائدة لكل محكّم في الجولتين: انخفض الوسيط من 4.0 (الربيعي 3–4) في الجولة الأولى إلى 3.0 (الربيعي 3–3) في الثانية (الشكل 5)، مع مراجعة أربعة من ستة محكّمين تقييمهم نزولًا بعد التعرض لتقييمات الآخرين ولا مراجعة صعودًا — وتضيّق المدى الربيعي إلى نقطة واحدة هو إشارة Delphi المعيارية للتقارب، وتقاربت اللجنة تحديدًا حول نقد مشترك لا حول تقييم مُرضٍ. برزت نتيجتان بنيويتان بإجماع شبه تام ومستقل: أولًا، حدّد المحكمون الستة أن الفئات الست منظمة حول محاور تصنيف غير متسقة — تمزج موقع الاختراق وتقنية الهجوم والأصل في دورة الحياة والنتيجة المادية — فليست مستقلة تبادليًا ولا جامعة مانعة، وكان زوج استغلال-الثقة/تجاوز-الحدود الأعلى ترشيحًا لإعادة الهيكلة (خمسة من ستة، الشكل 6). وثانيًا، تقاربت اللجنة على فجوتين محددتين مفقودتين: هجمات الهوية والتوثيق وتصعيد الامتيازات (6 من 6) وهجمات التوافر واستنزاف الموارد (6 من 6)، مع هجمات السرية والتواصل بين الوكلاء (5 من 6 لكل منهما، الجدول 7). ولاحظ ثلاثة محكمين بشكل مستقل أن آثار الاستدلال المولدة — الأساس الإثباتي للمستوى 2 فأعلى — قد لا تمثل الحساب الفعلي وقد تكون مُلفَّقة أو خاضعة للمهاجم.
تُقرأ هذه النتائج استكشافية تكميلية لا بديلًا عن التحقق بخبراء أو ممارسين بشريين: فالنماذج ليست ممارسين صناعيين وقد تشترك في أنماط مترابطة من بيانات تدريب متداخلة، واتفاقها مهما قوي لا يثبت حقيقة أرضية، وذِكر OWASP في الموجّه قد يفسر التقارب على الفئات الموثقة جيدًا كالهوية والتوافر — وينطبق هذا القلق بدرجة أقل على نقد محاور التصنيف، إذ هو نقد لتصميم الورقة نفسها لا فجوة أمام إطار مسمى. ومع ذلك تُبلَّغ النتائج كاملة بما فيها مواطن الضعف البنيوي، لأن غرض التمرين كان التقييم النقدي لا التأكيد: فقد أُدرج نقد المحاور صراحة في التصميم النهائي (الفئات التأسيسية مقابل الموضعية في القسم 4)، وأُدرج قلق أمانة الآثار في مناقشة أمانة الأدلة في القسم 5.1.
قيّمت الأقسام 6–6.2 التصنيف عبر الحكم المستقل؛ وهذا القسم يقيّمه عبر التطبيق، وفق الممارسة الراسخة للتحقق من تصنيفات الأمن مقابل حوادث واقعية [40]: حُدّد أربعة عشر حادثًا أمنيًا موثقًا علنًا للذكاء الوكيلي من 2024 إلى 2026 — ثلاثة تُفحَص بعمق سردي في القسم 7 (EchoLeak، وحملة GTG-1002، وpostmark-mcp) والأحد عشر الباقية تُرمَّز تصنيفيًا فقط — مستمدة من الإفصاحات الأولية والنشرات الأمنية وسجلات CVE ومنظمات بحثية مسماة، مع استبعاد حادث خزانة عملات مشفرة لتعذر تأكيد تأطيره الوكيلي. رُمّز كل حادث إلى كل فئة يطابقها بدل إجباره على فئة واحدة (الجدول 8): EchoLeak (معرفي)، GTG-1002 (تجاوز حدود)، postmark-mcp (سلسلة توريد)، واختراق وكالات حكومية مكسيكية (معرفي/تجاوز)، وCVE-2026-35435 في Azure AI Foundry (هوية)، و"God Mode" في AWS Bedrock AgentCore (هوية/معرفي)، واختراق Salesloft Drift OAuth (هوية/سلسلة توريد)، وتهريب ASCII في M365 Copilot (معرفي)، وحقنة مسح البيانات في إضافة Amazon Q (معرفي/هوية)، واختراق Xinference عبر PyPI (سلسلة توريد)، واختراق LiteLLM (سلسلة توريد)، وهروب Cursor من العزل CVE-2026-50548 (معرفي/تجاوز)، وإفصاح PromptArmor عن Slack AI (معرفي/هوية)، واختراق حزمة Axios عبر npm (سلسلة توريد). برزت نتيجتان: تطلب سبعة من الأربعة عشر (50%) تصنيفًا متعدد الفئات — مؤكِّدًا قرار السماح بالتداخل — ولم يُصنَّف أي حادث ضمن طبقة الإدراك أو استغلال الثقة، إذ هيمنت الطبقة المعرفية (سبعة) والهوية (خمسة)؛ وهذا الغياب لا يؤكد اكتمال التصنيف بل دليل على أن الانتشار المادي المُجسَّد تجاوز قاعدة الحوادث الموثقة — إذ وقعت كل الحوادث الموثقة في سياقات مؤسسية وسحابية — أو أن هاتين الفئتين أقل إبلاغًا، فالتصنيف مطروح استباقًا للسجل لا ادعاءً بأن السجل يؤكده أصلًا.
يُرسَّخ التصنيف وإطار الجاهزية هنا في ثلاثة من الحوادث الأربعة عشر، مفحوصة بعمق سردي كامل. لم يقع أيٌّ منها على أرضية مصنع؛ ويُستخدَم كلٌّ أساسًا لتطبيق صناعي تناظري يُظهر كيف قد يبدو إخفاق مماثل داخل بيئة إنتاج للصناعة 5.0 وكيف تنطبق فئات الأدلة واعتبارات سلسلة الحيازة ومنطق الإسناد من القسم 5. وتغطي الحالات معًا ثلاثًا من الفئات الست — المعرفية وتجاوز الحدود وسلسلة التوريد — مُظهرة أن التصنيف وصفٌ لأنماط فشل واقعة أصلًا في أنظمة منتشرة لا تمرين نظري.
في منتصف 2025 كشف باحثون عن ثغرة حقن أوامر صفرية-النقر في Microsoft 365 Copilot (CVE-2025-32711): يستطيع مهاجم استخراج بيانات حساسة من بيئة الضحية بإرسال بريد واحد مُصمَّم، دون نقر رابط أو فتح مرفق — فمحتوى البريد وحده كافٍ لإعادة توجيه استدلال المساعد متجاوزًا مصنّف الحقن العابر للأوامر ودفاعات طبقية أخرى [5]، والضحية لم تفعل شيئًا؛ وقع الاختراق كليًا داخل عملية استدلال المساعد. التطبيق الصناعي التناظري مباشر: فوكيل دعم القرار أو الاستشارة الصيانية يعالج روتينيًا وثائق خارجية (رسائل موردين، تقارير صيانة)، وبموجب النمط الهجومي نفسه قد يعيد مستند واحد مُصمَّم توجيه استدلاله دون تفاعل أي مشغل — فيصدر توصية صيانة غير آمنة بفارق دقيق، أو يؤجل تنبيه سلامة حقيقيًا، أو يسرّب بيانات إنتاج مملوكة، بالثقة البليغة نفسها — مع قيد أن EchoLeak تجاوز دفاعات خاصة ببنية Microsoft، ولم يُبرهَن مستقلًا وجود فجوة دفاعية مماثلة في بنى الوكلاء الصناعية. جنائيًا، كان أثر الاستدلال سيُظهر لحظة دخول التعليمة المحقونة وتغييرها المخرجات — لكن هذا الدليل موجود فقط عند المستوى 2 فأعلى؛ فعند المستويين 0 و1 لن يظهر الحادث إلا كتوصية سيئة غير مفسرة دون وسيلة لإثبات مصدرها الخارجي — وبشجرة القرار (الشكل 3) يجيب المحقق بالنفي على الأسئلة الثلاثة الأولى وبالإيجاب على الرابع (هل جرى التلاعب باستدلال الوكيل عبر تعليمات محقونة؟) مُسنِدًا الحادث صحيحًا إلى الطبقة المعرفية لا إلى خطأ نموذجي غير مفسر.
في أواخر 2025 كشفت Anthropic وعطّلت ما قيّمته أول حملة تجسس سيبراني مدعومة من دولة ومنفَّذة إلى حد كبير ذاتيًا: نفّذ وكيل ذكاء اصطناعي مستقلًا الغالبية العظمى من دورة الاختراق — استطلاعًا واستغلالًا وتحركًا جانبيًا وجمع بيانات — عبر نحو ثلاثين منظمة مستهدفة بانخراط بشري مباشر محدود، وكان عدة أهداف شركات تصنيع كيميائي [6]. لا يلزم هنا رسم تناظري: الاستهداف كان صناعيًا أصلًا، وإن اقتصرت الحرفة المكشوفة على الاختراق الشبكي لا التفاعل المباشر مع عملية إنتاج مادية. تُرمَّز الحالة ضمن فئة تجاوز الحدود (القسم 4.4)، وهي أوضح تجلٍّ عملي للقسم 5 لا كاقتراح بل كواقعة: إذ اعتمد كشف الحملة وتعطيلها اعتمادًا مباشرًا على فئات الأدلة في القسم 5.1 — سلاسل استدعاء الأدوات وسجلات التنفيذ الكافية لإعادة بناء سلوك الوكيل لاحقًا — ولولاها لكُشفت الحملة عبر آثارها اللاحقة عند كل هدف فقط دون إثبات فاعل مستقل واحد عبر ثلاثين حادثًا. وتُبرز الحالة مشكلة سلسلة حيازة لا يعالجها القسم 5.2 إلا تجريديًا: فالأدلة الممكِّنة للإسناد كانت لدى مزود الذكاء لا لدى المنظمات المستهدفة — فالشركة الكيميائية المستهدفة المحققة في أنظمتها بمعزل لم تكن لتملك أيًّا من أدلة سلاسل الاستدعاء — وهي مشكلة أدلة موزعة عبر حدود تنظيمية تطرح سؤالًا لا يحسمه نموذج النضج مباشرة: عند أي مستوى من سلسلة التوريد — الناشر أو المدمج أو مزود النموذج — تقع مسؤولية قدرة الجاهزية الجنائية فعلًا.
في سبتمبر 2025 اكتشف باحثو Koi Security حزمة npm خبيثة باسم postmark-mcp — خادم Model Context Protocol منتحلًا تكاملًا شرعيًا لإرسال البريد [41]: عملت خمسة عشر إصدارًا كما هو معلن تمامًا بانيًة الثقة التي دفعت مئات المنظمات لاعتمادها، ثم أضاف تحديث لاحق سطرًا واحدًا ينسخ كل بريد مارٍّ عبر الأداة إلى عنوان خاضع للمهاجم، فتأثرت نحو ثلاثمائة منظمة قبل الكشف — دون استغلال أو سرقة اعتماد أو اختراق تقليدي في أي نقطة، إذ منحت المنظمات الأداة إذنًا لفعل ما فعلته بالضبط [21، 41]. التطبيق الصناعي يتبع نمط القسم 4.5.1: فوكيل صيانة تنبؤية أو جدولة يثبّت مهارة خارجية مخترَقة يرث سلوكها الخفي دون أي تغيير في استدلاله — فتُنسَخ جداول الإنتاج وتقارير السلامة سرًا إلى طرف خارجي عبر قناة تبدو من منظور الوكيل تشغيلًا طبيعيًا — مع ملاحظة أن تبني البروتوكولات المماثلة في التصنيع أبكر مرحلة وخاضع لقيود حوكمة وسلامة لم تُحسَم [53]. وهذه أوضح إيضاح لسبب كون فئة سلسلة التوريد الأقل مرئية: إذ كُشف الاختراق لا عبر أي دليل داخلي للوكيل — فآثار الاستدلال لم تكن لتُظهر شيئًا شاذًا لأن سلوك الوكيل لم يتغير قط — بل عبر مراقبة سلوكية خارجية لنشاط الأداة الشبكي. والنتيجة المباشرة للقسم 5.1 أن أدلة سلاسل الاستدعاء وحدها ضرورية لكنها غير كافية؛ فالمطلوب إضافةً إلى ذلك أدلةٌ خارج الوكيل كليًا — مراقبة ما تفعله الأداة فعلًا بعد استدعائها ومقارنته بما تدّعيه — وحتى منظمة عند المستوى 3 بجدول زمني مترابط واحد ما كانت لتكشف هذا الحادث تحديدًا دون تلك الطبقة الخارجية، وهي فجوة يستهدف معيار المستوى 4 إغلاقها بمد التحقق إلى الأدوات والمهارات التي يعتمد عليها النظام لا إلى مخرجات الوكيل وحده.
التصنيف والإطار ودراسات الحالة في الأقسام 4–7 نقطة بداية لبرنامج بحثي لا معالجة مغلقة؛ فعدة دراسات في القسم 7 أثارت أسئلة مفتوحة مباشرة، ويضع هذا القسم تلك الأسئلة صراحة مع غيرها مما تركته قرارات النطاق دون حسم — بالقصد نفسه الذي حرّك التأطير التاريخي في القسم 2: فالهشاشات الصناعية السابقة لم تحل نفسها بل حُلّت عبر بحث ومعايير مستدامين مرة أدرك الميدان الحاجة. يلخص الجدول 9 الأسئلة الستة المطورة أدناه، كلٌّ مؤسَّس في القسم أو الحالة التي أثارته مع منهج مقترح.
يفترض المستوى 4 إمكانية تصميم الجاهزية الجنائية في النظام الوكيلي منذ البداية لا إضافتها بعد النشر — وهو افتراض غير واضح واقعيته بالنظر لوتيرة التبني في القسم 2.3، إذ سلك أمن التكنولوجيا التشغيلية تاريخيًا المسار المعاكس (ترقيع على أنظمة تحكم عاملة منذ سنوات)، ويبقى مفتوحًا ما إذا كانت المنظمات ستقبل الكلفة الحسابية لالتقاط آثار الاستدلال الشامل على أنظمة إنتاج حساسة زمنيًا، أو ما إذا كانت تلك الكلفة ستصبح هي نفسها حجة عدم بلوغ المستوى 4 عمليًا.
أثارتها حالة GTG-1002 مباشرة لا افتراضيًا: عندما يتسبب وكيل مخترَق أو مُتلاعَب به في ضرر مادي على أرضية الإنتاج، فغير محسوم ما إذا كانت المسؤولية على مصنّع المعدات أم مزود النموذج أم المدمج أم المشغّل — إذ لم تُكتَب أطر مسؤولية المنتجات والسلامة الصناعية القائمة بوجود وسيط مستقل يتخذ القرارات في الحسبان. وليست قانونية محضة: فالإجابة تحدد أي طرف ملزم بالاحتفاظ بأي فئات أدلة من القسم 5.1 ولمدة كم — وحالة GTG-1002 تجسّدها إذ كان الطرف الأقدر على التحقيق (المزود) غير الطرف المسؤول قانونيًا عن النتيجة.
تسبق معايير مثل ISO/IEC 27037 [54] لتحديد الأدلة الرقمية وجمعها وحفظها الذكاء الوكيلي بأكثر من عقد ولم تُكتَب مع أنظمة لاحتمية ذات ذاكرة مؤقتة في الحسبان — وهي بدقة الخصائص التي يكسر بها القسم 5.2 افتراضات سلسلة الحيازة التقليدية. يبقى مفتوحًا ما إذا كان يمكن توسيعها بشكل مجدٍ لتغطية الأنظمة الوكيلية أم يلزم معيار إثباتي خاص بالذكاء الوكيلي أصلًا — وستحدد الإجابة غالبًا ما إذا كان نموذج النضج (الجدول 3) قابلًا للصياغة يومًا كمتطلب امتثال قابل للشهادة بدل مقياس قدرة داخلي.
صُمّمت شجرة القرار (الشكل 3) عمدًا لإسناد السبب الجذري لحادث واحد مُشاهَد، لا للإجابة عن سؤال أصعب مرتبط: هل يمكن التمييز موثوقًا بين الخلل النموذجي العادي والتلاعب العدائي المتعمد على مستوى أسطول من الوكلاء المنتشرين، عبر حوادث كثيرة لا واحدًا واحدًا؟ وأي بصمات إحصائية أو سلوكية قد تفصل بينهما قبل تفاقم أيٍّ منهما إلى حدث سلامة جسيم لا بعده — تتركه الأطر المطورة هنا مفتوحًا كليًا.
ميّز القسم 5.3 شجرة القرار عن اقتراح حديث لتقييم كفاية أدلة قرارات النظام الوكيلي مقابل أسئلة الحوكمة التنظيمية [33] بأن لكلٍّ غرضًا مختلفًا: التحقيق في الحوادث لاحقًا مقابل تدقيق الامتثال الحوكمي عمومًا. ومع نضج المتطلبات التنظيمية — ومنها قانون المرونة السيبرانية للاتحاد الأوروبي وولايات الإبلاغ السريع عن الحوادث — غير واضح ما إذا كانت كفاية أدلة الحوكمة والجاهزية الجنائية التحقيقية ستبقيان تخصصين منفصلين بأدوات منفصلة كما نطاقتهما هذه الورقة، أم يتقاربان في متطلب إثباتي واحد — وما إذا كان قرار النطاق هذا سيبقى مبررًا مع لحاق التنظيم بالتقنية سؤالٌ سيحتاج الميدان لا هذه الورقة وحدها لحسمه.
كان القسم 3 صريحًا في إبقاء الاستدامة خارج النطاق [8]، لكن نموذج الجاهزية في القسم 5.4 يعيد التوتر بدل تجنبه: فالتسجيل الشامل لآثار الاستدلال والأدلة المترابطة عند المستويين 3 و4 يحمل كلفة حسابية وتخزينية حقيقية، والأدبيات نفسها سبق أن وصمت التكرار الموجه للمرونة كمحرك رئيسي للبصمة الطاقية للأمن السيبراني [8]. يبقى لأعمال مستقبلية ما إذا كان يمكن التحسين المشترك عبر تسجيل انتقائي أو تكيفي يحفظ القيمة الإثباتية دون نمو بياناتي غير مقيد، أم ستُجبَر انتشارات الصناعة 5.0 على المفاضلة بينهما — ويرافق ذلك بُعدا الكلفة التنفيذية (فالترقيع على أسطول منتشر يتطلب وقت موظفين وجهد تكامل، وخطوط التسجيل وSIEM وبيئات الوكلاء القائمة لم تُبنَ مع التقاط الآثار في الحسبان) وقابلية التوسع (فنمو حجم السجلات وتعقيد الارتباط تركيبي عبر خطوط ومرافق متعددة، والنموذج لا يعالج هذا النمو بعد).
تقيّد عدة قيود إسهامات الورقة: أولًا، التصنيف وإطار الجاهزية ونموذج النضج مفاهيمية، مستمدة عبر التركيب الأدبي ورسم الحالات، ويبقى التحقق الرسمي عبر استشارة الخبراء أو النشر الصناعي مهمة مستقبلية. ثانيًا، حالات القسم 7 إيضاحية لا منهجية — اختيرت كلٌّ لرسم فئة مميزة، ولم تقع أيٌّ منها داخل نشر حي للصناعة 5.0، فالتطبيق الصناعي ينطوي على خطوة استدلالية من حادث موثق إلى مكافئ صناعي. ثالثًا، ملاحظة تمركز الانتشارات عند المستويين 0 و1 مستمدة من أدلة وتيرة التبني العامة [11] والنمط عبر الحالات لا من مسح مباشر لممارسات التسجيل، وتُعامَل كتقدير أولي. رابعًا، الإطار نوعي حاليًا؛ وإدخال ترجيح للشدة أو الاحتمال عبر الفئات الست وعتبة قابلة للقياس بين المستويات المتجاورة اتجاهان طبيعيان للتنقيح. خامسًا، قاعدة الأدلة نفسها سريعة الحركة وقد تتجاوز بعض الحوادث والجداول التنظيمية وتفاصيل المشهد المذكورة وقت النشر — وهو إيقاع يتسق مع حجة الورقة نفسها. وأخيرًا، يستمد الإلحاح التنظيمي أساسًا من ولايات الإبلاغ في الاتحاد الأوروبي والمملكة المتحدة، وقد تختلف قابلية الحجة في ولايات قضائية أخرى.
افتُتحت الورقة بنمط يتكرر عبر كل انتقال صناعي: كل جيل يحل قيدًا حقيقيًا على الإنتاج بينما يُدخل هشاشة على الجيل التالي مواجهتها. هشاشة الصناعة 5.0 هي الثقة — تحديدًا الثقة التي تضعها المنظمة في وكيل مستقل يشارك العمال أرضية الإنتاج الآن لا مجرد أداة يشغّلونها. وأظهر القسم 3 أن هذه الهشاشة تقع عند تقاطع ثلاثة مجتمعات بحثية نشطة بمعزل — الأمن السيبراني الصناعي، وأمن الذكاء الوكيلي، والأدبيات التأسيسية للصناعة 5.0 — لا يعالج أيٌّ منها التقاطع مباشرة، وكانت بقية الورقة محاولة لاحتلال ذلك التقاطع لا مجرد الإشارة إليه. ينظّم تصنيف القسم 4 طرق انكسار الثقة حول نقطة الانكسار في حلقة الإنسان–الوكيل: الإدراك، والإدراك المعرفي، وموافقة الإنسان، وحدود الفعل المادي، والنماذج والأدوات التي بُني عليها النظام قبل نشره. ويعالج إطار الجاهزية في القسم 5 ما تركته أبحاث أمن الذكاء الوكيلي دون معالجة: أن المنع لن يكتمل، وأن قدرة المنظمة على إعادة بناء ما حدث ولماذا بعد الحادث ليست مُسلَّمة بل قدرة يجب بناؤها عمدًا.
تستند هذه الادعاءات إلى أنواع أدلة مختلفة: النمط التاريخي مؤيد أدبيًا، والفئات مُظاهَرة بالحوادث — مؤسسة على الحالات الأربع عشرة الحقيقية في القسمين 6.5 و7، مؤكِّدة أن الفجوة متأخرة ملموسًا لا استباقية تجريدًا — وادعاء تمركز الانتشارات قرب المستوى 0 مستدل صناعيًا لا مقاسًا، وأسئلة القسم 8 اتجاهات مقترحة لا نتائج. وذلك الإلحاح لم يعد أكاديميًا فقط: فقد تقارب نظامان تنظيميان رئيسيان، بشكل مستقل، على البنية الإبلاغية نفسها — إذ يلزم قانون المرونة السيبرانية للاتحاد الأوروبي المصنّعين بالإبلاغ عن الثغرات المستغلة فعليًا والحوادث الشديدة خلال 24 ساعة وإخطارًا كاملًا خلال 72 ساعة اعتبارًا من 11 سبتمبر 2026 [55]، ومشروع قانون الأمن السيبراني والمرونة في المملكة المتحدة — المتقدم في مجلس اللوردات وقت إتمام الورقة — سيفرض البنية نفسها ذات المرحلتين على مشغلي الخدمات الأساسية [56]. لم يُكتَب أيٌّ منهما مع الذكاء الوكيلي في الحسبان، ولا يميّز أيٌّ منهما بعد أثر الاستدلال من سجل الشبكة؛ ومتى دخلا حيز النفاذ فرضا ساعة قانونية بدقة على القدرة التي يجادل القسم 5 بأن معظم المنظمات الصناعية لا تملكها: إثبات ما فعله نظام مستقل ولماذا، بمهلة قصيرة وبمعيار إثباتي — فالمنظمة التي لم تتجاوز المستويات الدنيا عند وقوع حادث مُبلَّغ عنه تخاطر بالعجز عن الوفاء بأيٍّ من الموعدين بأكثر من الإقرار بأنها لا تعرف. ما تقدمه الورقة بدل حسم الأسئلة المفتوحة مفرداتُ بداية: يمكن للباحثين البناء عليها، وللمنظمات تقييم ذاتها مقابلها — فكل ثورة صناعية سابقة نالت في النهاية التخصص الأمني الذي تطلّبته هشاشتها، والساعة التنظيمية الجارية توحي بأن الصناعة 5.0 لن تملك ترف انتظار سجل الحوادث لفرض النتيجة نفسها.
Industry 5.0 places autonomous agents inside its human–agent collaborative loop, resting its human-centricity pillar on an assumption of trustworthy collaboration that has not been examined critically. Agentic artificial intelligence has moved from research demonstration to industrial deployment within months, introducing a threat class this setting has not yet addressed. This article bridges three literatures developed in isolation, Industry 5.0 cybersecurity, agentic AI security, and Industry 5.0's own foundational scholarship, proposing a six-category threat taxonomy and a paired forensic readiness framework, formalised as a five-level maturity model and grounded in real 2024–2026 incidents rather than hypothetical scenarios. Both contributions are evaluated through two complementary methods. An exploratory elicitation exercise, modelled on Delphi methodology and using six independent large language models as blind panellists across two rounds, converges on a specific structural critique that is incorporated into the taxonomy's final design. A retrospective coding exercise then applies that taxonomy to fourteen publicly documented incidents, finding that half require multi-category classification and that two categories remain unexercised in the current public record, evidence that physically embodied industrial deployment has outpaced the documented incident base rather than a gap in the taxonomy itself. This urgency is reinforced by emerging EU and UK regulation imposing 24- and 72-h incident reporting obligations that, on current evidence, most industrial organisations are not positioned to meet. The article closes with a research agenda addressing liability, evidentiary standards, and the readiness-sustainability trade-off.
Each transition in the history of industrial production has resolved one constraint while introducing another: steam and electrification, then programmable logic controllers, then the cyber-physical production networks of Industry 4.0, which achieved new flexibility at the cost of a substantially expanded cyberattack surface [1,2]. Industry 5.0 marks a different kind of pivot. It re-centres the wellbeing, safety, and agency of the human worker, framing human–machine collaboration as constitutive of industrial competitiveness, not incidental to it. For the first time, an autonomous decision-making entity sits inside the human's immediate collaborative loop, not merely a tool. Trust in that loop is not yet a named, defended property of industrial systems.
This omission has become urgent. Agentic AI — systems capable of autonomous multi-step reasoning, tool use, and action with minimal human oversight — has moved from research demonstration to production deployment within months rather than years, distinct from generative AI used for decision support, conventional automation, and autonomous robotics lacking general-purpose reasoning. Industry 5.0's human-centricity pillar implicitly assumes the technology collaborating with the worker is trustworthy by default [3]. Recent incidents indicate this assumption can no longer be taken for granted: a zero-click prompt-injection vulnerability (EchoLeak, CVE-2025-32711) in a widely deployed enterprise AI assistant enabled an external attacker to exfiltrate sensitive data without any action from the victim [5]; months later, a major AI provider disclosed and disrupted what it assessed to be the first largely autonomous, state-sponsored cyber-espionage campaign, executed by an AI agent across roughly thirty targeted organisations including chemical manufacturing firms [6].
The stakes are not hypothetical. Manufacturing has been the most-targeted industry sector globally for consecutive years, with attackers moving from information-technology systems into the operational technology governing physical processes [7], while LLM-driven agents are embedded into exactly those environments. Industry 5.0 cybersecurity literature has concentrated on operational technology and industrial IoT infrastructure without addressing the distinct threat properties of autonomous, reasoning agents [8], and agentic AI security literature has developed largely in generic enterprise and cloud contexts [9]. This paper makes three contributions: a threat taxonomy organised around the point at which the human–agent loop can be compromised; a digital forensic readiness framework addressing the evidentiary, chain-of-custody, and attribution challenges of non-deterministic, distributed agents; and a research agenda to guide the field before the incident record forces the issue.
The trajectory from Industry 1.0 to 5.0 can be read as a repeated pattern: each transition solved a specific constraint on production while introducing a new class of fragility. Steam- and water-powered mechanisation replaced muscular labour but introduced safety and pollution hazards; electrification and assembly lines raised production scale but tied industry to fragile centralised energy infrastructure; programmable logic controllers and digital computing replaced manual control but produced rigid systems poorly suited to dynamic demand [2]; Industry 4.0 connected these systems into cyber-physical production networks with major flexibility gains but an unprecedented attack surface [1]. Industry 5.0 marks a pivot in kind, not merely degree: as framed by the European Commission, it is value-driven, placing human wellbeing, environmental sustainability, and industrial resilience at the centre of production [1,3]. This carries a structural implication not yet fully reckoned with — the collaborating entity inside the production loop is no longer a tool a human operates, but an autonomous or semi-autonomous decision-maker a human must trust.
Industry 5.0's core values are human-centricity — repositioning the worker from a cost to be minimised to an asset whose safety, wellbeing, and skill development are design requirements of the production system itself [3,4] — sustainability through circular resource use, waste reduction, and renewable energy, and resilience through withstanding and adapting to geopolitical, economic, or environmental disruption. What existing treatments of these pillars have not addressed is the specific case in which the technology enacting human-centricity — an autonomous AI agent collaborating directly with a worker — is itself untrustworthy; this omission is the starting point for Sections 3 and 4.
Agentic AI has entered manufacturing far faster than earlier automation waves: Deloitte's 2025 survey of manufacturing executives found close to a quarter of respondents had deployed generative AI at facility or network level [11]. Deployments cluster around specific functional roles: collaborative robots (cobots) working alongside human operators with AI-driven perception; decision-support agents recommending or initiating operational changes; predictive-maintenance agents monitoring equipment health and issuing work orders; and autonomous scheduling agents re-optimising production schedules in response to disruptions. Each role places an autonomous reasoning system inside a loop that, under the human-centricity pillar, is meant to keep the operator safe, informed, and in control — and each is, as Section 3 develops, a point at which that loop can be compromised.
The OWASP GenAI Security Project's Top 10 for Agentic Applications, developed with over one hundred security practitioners and released in December 2025, formalises ten risk categories including goal hijacking, tool misuse, memory and context poisoning, insecure inter-agent communication, cascading failures, and human–agent trust exploitation [12]. In parallel, a literature has begun examining the inverse relationship — AI as a tool for investigation rather than its target — evaluating large language models for evidence discovery, artefact summarisation, and forensic report drafting, with cautiously positive findings consistently flagging non-determinism, hallucination, and limited specialisation as obstacles in evidentiary contexts [13]. Neither literature has addressed the case combining them: investigating an agentic AI system, embedded in a physical, human-populated production environment, after it has itself been the vector or target of compromise.
Section 2 established two things: first, that each industrial transition eventually produced its own dedicated security discipline once the new fragility became apparent — industrial safety engineering after mechanisation, operational technology security after Stuxnet. Second, that three bodies of research relevant to Industry 5.0's emerging fragility are each active but have developed largely in isolation. Industry 5.0 cybersecurity research, exemplified by [8], remains concentrated on Industry 4.0-inherited operational technology and industrial IoT concerns, and Kour et al. conclude from within that literature that no work addresses cybersecurity across all three Industry 5.0 pillars together, nor how security concerns evolve from 4.0 to 5.0 [8].
Agentic AI security research has developed a mature vocabulary for goal hijacking, memory poisoning, tool misuse, and multi-agent failure [9,12], but almost entirely within generic enterprise, cloud, and consumer contexts. Industry 5.0's foundational literature, meanwhile, establishes human-centricity as a design commitment without examining what happens when the technology enacting that commitment is compromised [3,4]. The intersection of all three — agentic AI systems operating under real physical and safety constraints, inside a paradigm that has explicitly staked its legitimacy on trustworthy human–agent collaboration — appears largely unaddressed. Since the incident record (EchoLeak, the first AI-orchestrated espionage campaign, and sustained manufacturing targeting in the IBM X-Force index [5–7]) suggests the same pattern is already underway, this paper proposes the discipline that pattern predicts — a threat taxonomy and a forensic readiness framework — ahead of the incident count that would otherwise force it.
The threat categories are organised on two axes, not one. Four categories track the point in the human–agent collaborative loop where a compromise first becomes observable — perception, cognition, the human approval checkpoint, and physical action. Two further categories are foundational rather than positional: they describe how a compromise entered the system before the loop ever runs, not where it surfaces once running. This distinction, stated explicitly in response to the elicitation panel's critique in Section 6, matters because an industrial loop perceives a physical environment, can trigger physical actuation, and carries a worker-safety dependence on real-time trustworthy outputs — properties not captured by taxonomies such as the OWASP Top 10 for Agentic Applications [12], developed for enterprise and cloud deployments.
Perception-layer attacks target the sensory inputs an agent relies on to understand its physical environment, not its reasoning process: adversarial light, acoustic interference, and electromagnetic disturbance degrading or falsifying vision, LiDAR, acoustic, and tactile readings [14]. Agentic AI compounds rather than replaces this risk: an agentic system reasons over the same corrupted data and can generate a plausible-sounding justification for an unsafe action, making failure harder for an operator to notice in real time. Recent work on vision-language-action models shows adversarial patches in the visual field can drive a foundation-model-controlled robot into an entirely wrong manipulation trajectory [15] — placing the point of failure on the workshop floor itself, not the network.
Cognition-layer attacks target the agent's reasoning directly, most commonly through prompt injection or memory and context poisoning — a class matured into a substantial documented literature [16,17], with EchoLeak as its production-scale instance, where a single crafted email redirected the assistant's reasoning with no victim interaction [5]. The industrial equivalent: a poisoned maintenance log or inspection report causing a maintenance agent to advise an unsafe procedure or defer a genuine safety alert, with the same confident authority associated with goal hijacking. The distinguishing test between the layers is not the arrival channel but what is corrupted: falsification of the raw sensor signal is perception-layer; manipulation of the agent's reasoning via instructions embedded in ingested content is cognition-layer — with combined cases handled through multi-category tagging rather than forced single assignment.
Trust-exploitation attacks occur when a human operator approves a corrupted recommendation: the approval checkpoint is not bypassed but manipulated. Its grounding lies in human-factors research on automation bias — operators' over-reliance on automated recommendations under time pressure or fatigue [18] — intensified by agentic AI, since an agent produces fluent, context-specific justification on demand, precisely the authoritative communication most likely to override an operator's judgement. OWASP's Top 10 names this failure mode directly as human–agent trust exploitation [12]. The risk is inverted relative to classical social engineering: the compromised entity is the system Industry 5.0 explicitly designed the worker to trust, so a worker trained to defer to a decision-support agent for exactly the reasons human-centricity recommends has a narrower window to catch a compromised agent's bad advice.
These occur when an agent operates outside its permitted operational envelope: the checkpoint is bypassed entirely, in two failure modes. First, unauthorised physical action — jailbreaking techniques developed against text-only models have proven sufficient for complete control of vision-language-action models' action space [15], alongside a critical 2026 remote code execution disclosure in a widely deployed cobot controller [20]. Second, unbounded resource consumption — task-loop induction, runaway tool-calling, or compute exhaustion disabling the system without a single unsafe physical action. Both share one structural signature: the agent keeps acting past the point a human would have authorised it to stop.
The next two categories do not fit the pipeline-stage axis; they describe how a compromise entered, and sit beneath the four operational stages (Figure 2). First, supply-chain and model attacks: poisoned pretrained models, malicious fine-tunes, and compromised third-party tools and skills extending an agent's capabilities post-deployment — with an empirical study of the Model Context Protocol finding its servers frequently ship with security and maintainability weaknesses a connecting agent cannot reliably detect [21], and OWASP independently naming agentic supply-chain vulnerability [12]. Second, identity and credential attacks: targeting the agent's own authorisation boundary — API keys, service accounts, short-lived tokens — granting an attacker the ability to act as the agent with its standing privileges without triggering any pipeline-stage category, which is why identity compromise is foundational rather than positional.
Two further gaps identified in the elicitation exercise (Section 6) — confidentiality and data-exfiltration attacks, and inter-agent communication attacks — are deliberately not separate categories: exfiltration is a consequence manifestable through any of the six categories rather than a distinct compromise point, and multi-agent orchestration is scoped out because this taxonomy addresses a single agent collaborating with a single human operator, with multi-agent extension reserved as future work (Section 8). Network attacks and conventional software vulnerabilities are likewise excluded, not as irrelevant but as already covered by mature general-purpose literature; the taxonomy is scoped specifically to threats arising from an agent's autonomous reasoning and action.
Table 2 compares the taxonomy against five frameworks — OWASP Top 10 for Agentic Applications [12], MITRE ATLAS [23], MITRE ATT&CK for ICS [24], NIST AI RMF [25], and the ENISA AI Threat Landscape [26] — along four dimensions: agentic specificity, physical/industrial embodiment, a human–agent trust dimension, and a paired forensic component. No existing framework combines all four: OWASP names trust exploitation but targets generic deployments; ATLAS is reactive rather than predictive and lacks embodiment; ATT&CK for ICS covers physical environments deeply but predates agentic AI; NIST is governance lifecycle-oriented, not forensic; ENISA maps AI-lifecycle threats broadly without agentic or forensic distinctions. The contribution is not one new threat category in isolation, but the combination of all four dimensions in a single taxonomy paired with the Section 5 forensic readiness framework — which none of the five offer.
A threat taxonomy alone is incomplete without a matching capacity to investigate an incident afterwards. Three bodies of research address forensic readiness, and none addresses this paper's case: general digital forensic readiness since Rowlingson's ten-step process [27,28]; readiness for industrial automation and control systems, which lacks any AI-specific evidence class [29]; and readiness for large language models, treated generically rather than in physical, safety-critical settings [13,30]. This section proposes the missing model.
An agentic system produces at least four additional evidence classes traditional forensics was not built to capture: reasoning traces recording the agent's intermediate decision steps — with the caveat that a generated trace may not faithfully represent actual internal computation and must be interpreted alongside prompts, context, tool calls, and configuration; tool-call chains recording invoked tools, skills, and actuators in sequence; human–agent interaction logs (what the agent recommended, how it justified it, what the operator approved or rejected); and actuator and sensor data extending into the cyber-physical domain. Each functions as evidence only with specific properties: synchronised tamper-resistant timestamps, recorded model/prompt/tool versions, signed tamper-evident logs, ephemeral-memory capture before overwrite, and verifiable authentication — plus one material limitation: a tool-call chain records that a tool was invoked, not what the tool did once invoked, so detecting a compromised tool requires behavioural monitoring external to the agent, as the postmark-mcp case in Section 7.3 demonstrates.
Even where evidence classes are captured, agentic systems violate assumptions conventional chain-of-custody depends on, which presumes static, independently verifiable sources [27]: non-determinism — the same input may not reproduce the same reasoning trace twice, undermining forensic reproducibility; ephemeral memory — the working context at decision time may persist in no durable log unless explicitly configured, creating windows where the most relevant evidence never existed in recoverable form; and distributed multi-agent systems — where one decision may span agents with different logging regimes, ownership, and retention policies, fragmenting the trail across organisational and jurisdictional boundaries before investigation begins, consistent with the observation that security in interacting multi-agent systems is fundamentally non-compositional [32].
The agentic-specific complication is that establishing what happened is not establishing why: the six categories are six distinct, sometimes overlapping root causes — falsified sensor data, an injected instruction, an unauthorised physical action, a stolen credential, ordinary misalignment with no adversary, a compromised third-party skill, or a correctly executed action approved by a trust-exploited operator — each pointing to different remediation and, in regulated settings, a different responsible party. Figure 3 sets out this distinction as a decision tree around the same four-stage pipeline, giving investigators a starting question sequence rather than an unstructured six-category search, while presupposing captured evidence — not guaranteed below Level 3, where investigators will frequently be unable to answer at all, and where reaching the tree's end without a positive answer confirms evidentiary insufficiency rather than ordinary misalignment.
Table 3 organises these capabilities into a five-level, deliberately ordinal maturity model in the Capability Maturity Model tradition: Level 0 (Ad Hoc: no agent-specific logging), Level 1 (Operational Logging: agent activity as generic events only), Level 2 (Agent-Aware Logging: traces, chains, and interaction logs captured but uncorrelated), Level 3 (Correlated Evidence: common-timeline correlation with defined chain-of-custody), and Level 4 (Forensic-by-Design: evidentiary admissibility as a native deployment requirement with cryptographically verifiable, real-time correlated logging). Most industrial deployments appear, on case and adoption-pace evidence [11] — 62% of manufacturers focus AI deployment on operations yet only 7% have a tested AI incident response plan [36] — to sit nearer Levels 0–1. The purpose is not to mandate Level 4 immediately but to give organisations, auditors, and regulators a shared vocabulary for where a deployment sits and what gap separates it from being able to answer, with evidence, what the agent did, why, and who or what caused it.
The taxonomy and framework have not been evaluated through human expert consultation; a traditional Delphi study, the gold standard for structured expert elicitation, requires months of coordination [37]. Recent work therefore proposes adapting the classical Delphi protocol to large language models as a scalable proxy, with LLM-based Delphi panels showing strong correlations with human expert judgement across domains including medical consensus simulation and structured cybersecurity risk elicitation [37,38]. This exercise provides supplementary, exploratory evidence toward validating the taxonomy and framework.
Six models from six distinct providers were queried independently through a unified API — GPT-5.6 Sol Pro (OpenAI), Gemini 3.1 Pro Preview (Google), Grok 4.3 (xAI), Llama 4 Maverick (Meta), Qwen3.7-Max (Alibaba), and DeepSeek V4 Pro (DeepSeek) — each receiving an identical zero-shot description of the taxonomy and maturity model, with no exposure to the manuscript, to one another, or to the framework's reasoning. In Round 1 each responded in a fixed structured format covering taxonomy completeness, mutual exclusivity, a 1–5 investigator-usefulness rating, maturity-level assessment, and the single weakest aspect; each was then shown an anonymised summary of the other five panellists' responses and permitted a Round 2 revision per standard Delphi procedure. The full instrument, raw responses, and analysis code are openly archived at the repository in the Data Availability Statement.
Table 4 documents the six models, providers, listing dates, context windows, and elicitation-time pricing; Table 5 states each panellist's inclusion rationale: maximising independence across provider, weight-status, and geographic axes — a benchmarked closed lineage (OpenAI), an independently developed closed lineage with a distinct safety pipeline (Google), a third closed lineage with a distinct alignment philosophy (xAI), the principal open-weight representative (Meta), and two China-based ecosystems, one closed (Alibaba) and one open mixture-of-experts (DeepSeek). All are flagship or reasoning-optimised tiers, since elicitation demands sustained critical judgement. Elicitation was zero-shot (k = 0) deliberately, not as simplification: supplying a worked critique would have anchored every panellist toward its style and conclusions, manufacturing agreement rather than letting convergence reflect genuinely independent judgement — mirroring human Delphi practice, where panellists see no model answer first.
Table 6 reports usefulness ratings per panellist and round: the median fell from 4.0 (IQR 3–4) in Round 1 to 3.0 (IQR 3–3) in Round 2 (Figure 5), with four of six revising downward after exposure to peers and none upward — the IQR narrowing to a single point being the standard Delphi convergence signal, here converging around a shared critique rather than a favourable assessment. Two structural findings emerged with near-unanimous independent agreement: first, all six identified inconsistent classification axes mixing compromise location, attack technique, lifecycle origin, and physical consequence, making categories neither mutually exclusive nor collectively exhaustive, with the Trust-Exploitation/Autonomy-Boundary pair flagged by five of six as the strongest restructuring candidates (Figure 6). Second, the panel converged on two missing categories: identity, authentication, and privilege-escalation attacks (6 of 6) and availability/resource-exhaustion attacks (6 of 6), with confidentiality/exfiltration and inter-agent communication each raised by 5 of 6 (Table 7). Three panellists independently noted that generated reasoning traces — the evidential basis for Level 2 and above — may not faithfully represent actual computation and could be fabricated or attacker-controlled.
These findings are exploratory and supplementary, not a substitute for human expert validation: models are not industrial practitioners, may share correlated training-data patterns rather than genuinely independent judgement, and their agreement establishes no ground truth; the prompt's explicit naming of OWASP may explain convergence on well-documented categories like identity and availability — a concern applying less to the classification-axis finding, a critique of this paper's own design rather than a gap against any named framework. The results are nonetheless reported in full, including structural weaknesses, since the exercise aimed at critical evaluation rather than confirmation: the axis critique directly informed the final taxonomy revisions (foundational versus positional categories in Section 4), and the trace-fidelity concern informed the evidence-fidelity discussion in Section 5.1.
Sections 6–6.2 evaluate the taxonomy through independent judgement; this subsection evaluates it through application, following established practice for validating security taxonomies against real incidents [40]: fourteen publicly documented 2024–2026 agentic AI security incidents were identified — three examined in narrative depth in Section 7 (EchoLeak, GTG-1002, postmark-mcp) and eleven coded at classification level — drawn from primary disclosures, vendor advisories, CVE records, and named research organisations, excluding one crypto-treasury breach whose agentic framing could not be corroborated. Each incident was coded to every matching category (Table 8): EchoLeak (Cognition), GTG-1002 (Autonomy-Boundary), postmark-mcp (Supply-Chain), the Mexican government agencies breach (Cognition/Autonomy-Boundary), Azure AI Foundry CVE-2026-35435 (Identity & Credential), AWS Bedrock AgentCore "God Mode" (Identity & Credential/Cognition), the Salesloft Drift OAuth breach (Identity & Credential/Supply-Chain), ASCII smuggling in M365 Copilot (Cognition), the Amazon Q data-wiping injection (Cognition/Identity & Credential), the Xinference PyPI compromise (Supply-Chain), the LiteLLM compromise (Supply-Chain), the Cursor sandbox escape CVE-2026-50548 (Cognition/Autonomy-Boundary), the PromptArmor Slack AI disclosure (Cognition/Identity & Credential), and the Axios npm compromise (Supply-Chain). Two findings emerged: seven of fourteen (50%) required multi-category classification — confirming the overlapping-categories design — and no incident classified as Perception-Layer or Trust-Exploitation, with Cognition (seven) and Identity & Credential (five) dominating; this absence should not be read as completeness but as evidence that physically embodied deployment has outpaced the documented base — every documented incident occurred in enterprise, cloud, or development contexts — or that these categories are under-reported, so the taxonomy is offered ahead of the record, not as already confirmed by it.
The taxonomy and framework are grounded here in three of the fourteen incidents, examined in full narrative depth. None occurred on a factory floor; each serves as the basis for an analogical industrial application showing what a comparable failure could look like inside an Industry 5.0 production environment and how the Section 5 evidence classes, chain-of-custody considerations, and attribution logic would apply. Together the three cases span three of the six categories — cognition-layer, autonomy-boundary, and supply-chain — demonstrating the taxonomy describes failure modes already occurring in deployed systems, not a theoretical exercise.
In mid-2025, researchers disclosed a zero-click prompt injection vulnerability in Microsoft 365 Copilot (CVE-2025-32711): an attacker could exfiltrate sensitive data by sending a single crafted email — no link clicked, no attachment opened — its content alone redirecting the assistant's reasoning while bypassing Microsoft's cross-prompt injection classifier and other layered defences [5]; the victim took no action, the compromise occurring entirely inside the assistant's reasoning. The analogical industrial application is direct: a decision-support or maintenance-advisory agent routinely processing external documents (supplier emails, maintenance reports) could, under the same pattern, be redirected by a single crafted document with no operator interaction — issuing a subtly unsafe maintenance recommendation, deferring a genuine safety alert, or exfiltrating proprietary data with the same fluent confidence — subject to the qualification that EchoLeak bypassed Microsoft-specific defences, so transfer of the vulnerability class, not its demonstration in industrial architectures, is what is assumed. Forensically, a reasoning trace would in principle show where the injected instruction entered context and altered output — but only at maturity Level 2 or above; at Levels 0–1 the incident appears as an unexplained bad recommendation with no way to establish external origin — and under the Figure 3 decision tree, an investigator with traces answers no to the first three questions and yes to the fourth (was reasoning manipulated via injected instructions), correctly attributing a cognition-layer attack rather than unexplained model error.
In late 2025, Anthropic disclosed and disrupted what it assessed as the first largely autonomous, state-sponsored cyber-espionage campaign: an AI agent independently executed most of the intrusion lifecycle — reconnaissance, exploitation, lateral movement, collection — across roughly thirty organisations with limited human involvement per step, several targets being chemical manufacturers [6]. No analogical mapping is needed: targeting was already industrial, though the tradecraft was network intrusion, not direct interaction with a physical process — autonomy at organisational level, not yet at the physically embodied level. The case maps to autonomy-boundary (Section 4.4) and is the clearest in-practice demonstration of Section 5: detection and disruption depended precisely on Section 5.1 evidence classes — tool-call chains and execution logs sufficient for post-hoc reconstruction — without which the campaign would likely have surfaced only through downstream effects per target, with no way to establish one autonomous actor across thirty incidents. It also surfaces a chain-of-custody problem Section 5.2 identifies only abstractly: the attributing evidence sat with the AI provider, not the targets — an isolated self-investigating manufacturer would have had none of the enabling tool-chain evidence — a distributed-evidence problem across organisational boundaries raising an unresolved question for the maturity model: at which supply-chain level — deployer, integrator, or model provider — does forensic-readiness responsibility actually sit.
In September 2025, Koi Security researchers found a malicious npm package, postmark-mcp — a Model Context Protocol server impersonating a legitimate email integration [41]: for fifteen released versions it functioned exactly as advertised, building adoptive trust across hundreds of organisations, until one update added a single line silently copying every email through the tool to an attacker address, affecting an estimated three hundred organisations before detection — with no exploit, credential theft, or conventional intrusion at any point, the users having granted permission for exactly what it did [21,41]. The industrial analogue follows Section 4.5.1: a predictive-maintenance or scheduling agent installing a compromised third-party skill inherits its hidden behaviour with no change to its own reasoning — production schedules or safety reports silently duplicated externally through a channel identical, from the agent's perspective, to normal operation — noting industrial protocol adoption is earlier-stage and governance-unresolved [53]. This is the clearest illustration of why supply-chain is the least visible category: detection came not from any agent-internal evidence — reasoning traces would have shown nothing anomalous, since agent behaviour never changed — but from external behavioural monitoring of the tool's network activity. The direct Section 5.1 consequence: tool-call evidence alone is necessary but insufficient; additionally required is evidence external to the agent — monitoring what an invoked tool actually does versus what it claims — which even a Level 3 organisation with a single correlated timeline would have lacked for this incident, a gap Level 4's native evidentiary-admissibility criterion is meant to close by extending verification to depended-upon tools and skills, not only agent outputs.
Sections 4–7 are a starting point for a research programme, not a closed treatment: several Section 7 cases surfaced open questions directly, and this section states those explicitly alongside others the paper's scoping leaves unresolved — with the same intent as the Section 2 historical framing, since past industrial fragilities were resolved through sustained research and standardisation once recognised. Table 9 summarises the six questions below, each grounded in its raising section or case with a proposed approach.
Level 4 assumes forensic readiness can be designed into agentic systems from the outset rather than added post-deployment — genuinely unclear given Section 2.3 adoption pace, since operational technology security historically took the opposite path, retrofitted onto long-serving control systems. It remains open whether organisations will accept the computational overhead of comprehensive reasoning-trace capture on latency-sensitive real-time production, or whether that overhead itself becomes the argument against ever reaching Level 4 in practice.
GTG-1002 raised this directly, not hypothetically: when a compromised agent causes physical harm on a production floor, it is unsettled whether responsibility sits with the equipment manufacturer, model provider, deploying integrator, or day-to-day operator — existing product-liability and safety frameworks were not written with an autonomous decision-making intermediary in view. This is not purely legal: the answer determines which party must retain which Section 5.1 evidence classes, and for how long — concretely, the party best positioned to investigate (the provider) was not the party legally responsible for the outcome.
ISO/IEC 27037 [54] and comparable digital-evidence standards predate agentic AI by over a decade and were not written for non-deterministic, ephemeral-memory systems — exactly the properties Section 5.2 identifies as breaking conventional chain-of-custody. Whether they can be meaningfully extended or an agentic-specific evidentiary standard is required outright remains open — likely determining whether the Table 3 maturity model could become a certifiable compliance requirement rather than remaining an internal capability benchmark.
The Figure 3 decision tree was deliberately scoped to single-incident root-cause attribution, not the harder related question: whether ordinary misalignment and deliberate manipulation can be reliably distinguished at fleet scale, across many incidents rather than one at a time. What statistical or behavioural signatures might separate the two before either compounds into a serious safety event is left entirely open.
Section 5.3 distinguished this decision tree from a recent proposal to score an agentic system's decision-evidence sufficiency against governance questions [33] — incident investigation versus broad governance auditing. As regulation matures, including the EU Cyber Resilience Act and rapid-reporting mandates, it is unclear whether governance-evidence sufficiency and forensic-investigative readiness remain separate disciplines with separate tooling, as scoped here, or converge into a single evidentiary requirement — a scoping question the field, not this paper alone, must settle.
Section 3 explicitly left sustainability out of scope [8], but the Section 5.4 readiness model reintroduces the tension: comprehensive Level 3–4 logging carries real computational and storage cost, and the same literature flags resilience-oriented redundancy as a leading driver of cybersecurity's own energy footprint [8]. Whether readiness and sustainability can be jointly optimised — through selective or adaptive logging preserving evidentiary value without unbounded data growth — or Industry 5.0 deployments must trade one against the other is left for future work, alongside two practical dimensions: implementation cost beyond compute (retrofitting Level 2–3 onto deployed fleets demands staff time and integration effort; existing pipelines, SIEM tooling, and runtimes were not built for trace capture) and scalability (combinatorial log-volume growth across lines and facilities, which the model does not yet address).
Several limitations qualify this paper's contributions. First, the Section 4 taxonomy, Section 5 framework, and Section 5.4 maturity model are conceptual, derived through literature synthesis and case mapping; formal validation via expert consultation or industrial deployment remains future work. Second, the Section 7 cases are illustrative rather than systematic — each selected to map a distinct category, none occurring inside a live Industry 5.0 deployment, so industrial application involves an inferential step from documented incident to industrial equivalent. Third, the Level 0–1 estimate draws on general adoption-pace evidence [11] and cross-case pattern rather than a direct survey of logging practice, and is best treated as preliminary. Fourth, the framework is currently qualitative; severity or likelihood weighting across categories and measurable inter-level thresholds are natural refinements. Fifth, the evidence base moves quickly; cited incidents, regulatory timelines, and threat details may be superseded by publication — a pace consistent with the paper's own argument. Finally, the regulatory urgency draws primarily on EU and UK mandates; applicability elsewhere may vary.
This paper opened with a pattern repeating across every documented industrial transition: each generation solves a real production constraint while introducing a fragility the next must confront. Industry 5.0's fragility is trust — specifically, the trust an organisation places in an autonomous agent now sharing the production floor with human workers rather than merely serving as their tool. Section 3 showed this fragility sits at the intersection of three research communities — industrial cybersecurity, agentic AI security, and Industry 5.0's own foundational literature — each active in isolation, none addressing the intersection directly, and the remainder has attempted to occupy that intersection rather than merely point at it. Section 4's taxonomy organises the ways this trust breaks around where the break occurs in the human–agent loop: perception, cognition, the human's own approval, the boundary of permitted physical action, and the models and tools the system was built from before deployment. Section 5's framework addresses what agentic AI security research has largely left unaddressed: that prevention will not be complete, and that reconstructing what happened, and why, after an incident is not a given but a deliberately built capability.
These claims rest on different evidence kinds and should be read accordingly: the historical pattern is literature-supported; the threat categories are incident-demonstrated, grounded in the fourteen real cases of Sections 6.5 and 7, underscoring that the addressed gap is concretely overdue, not abstractly anticipatory; the near-Level-0 deployment claim is industrially inferred rather than measured; the Section 8 questions are proposed directions, not findings. That urgency is no longer only academic: as written, two major regulatory regimes converged independently on the same reporting structure — the EU Cyber Resilience Act requiring manufacturers to report actively exploited vulnerabilities and severe incidents within 24 h, with full notification within 72 h, effective 11 September 2026 [55], and the UK Cyber Security and Resilience Bill, progressing through the House of Lords at finalisation, imposing the same two-stage 24-h/72-h structure on essential-service operators if enacted [56]. Neither was written with agentic AI in view, and neither yet distinguishes a reasoning trace from a network log — yet once in force, both impose a legal clock on precisely the capability Section 5 argues most industrial organisations lack: establishing, at short notice and to an evidentiary standard, what an autonomous system did and why. An organisation still at the lowest maturity levels when a reportable incident occurs risks meeting neither deadline with more than an admission that it does not know. The Section 8 questions remain genuinely open and unresolved here; what the paper offers instead is a starting vocabulary researchers can build on and organisations can assess themselves against — for agentic AI in human-centric production, treating cybersecurity and forensic readiness as two halves of a single unresolved discipline. Every prior industrial revolution eventually got the security discipline its fragility demanded; the regulatory clock now running suggests Industry 5.0 will not have the luxury of waiting for the incident record to force the same outcome.