لا يُعرف أن Instinct AI تعرّض لاختراق بيانات، لكنه يطلب صلاحيات وصول أوسع من معظم التطبيقات، وشروطه تجعلك مسؤولاً عما يفعله. أبلغ مختبرون عن بريد إلكتروني أُرسل دون تأكيد، وعن بيانات احتُفظ بها بعد سحب صلاحية الوصول، وغيّرت الشركة بعض الإعدادات استجابةً لذلك. ومدى أمانه بما يكفي يتوقف على الحسابات التي تربطها به والإجراءات التي تسمح له باتخاذها دون أن يستأذنك.
يعرض هذا المقال ما تقوله سياسة الخصوصية وشروط الخدمة (وقد عُدّلت كلتاهما آخر مرة في 26 أغسطس 2026)، وما أُبلغ عنه، وكيف ردّت Instinct. ويختتم بقائمة تحقق للأفراد وأخرى للشركات التي قد يربط موظفوها حسابات العمل. المعلومات محدّثة حتى أكتوبر 2026. لم نستخدم Instinct، فهو متاح بالدعوة فقط. وإن كنت جديداً على المنتج، فابدأ بمقال ما هو Instinct AI؟.
ما البيانات التي يجمعها Instinct؟
بحسب ما تربطه به، يجمع Instinct:
- بيانات الاتصال ومعلومات الدفع (عبر جهة معالجة خارجية)
- محتوى الرسائل ورسائل البريد الإلكتروني وغيرها من المراسلات التي تتيحها له
- بيانات الصوت والكلام، إن فعّلتها
- بيانات Google Workspace: التقويم والبريد والملفات وبياناتها الوصفية
- الموقع الدقيق، إن شاركته
- بيانات الاستخدام ومسار النقرات (clickstream) وعنوان IP والجهاز والسجلات
ويمكنك أيضاً أن تعطيه «اسم المستخدم وكلمة المرور الخاصين بك لحسابات لدى جهات خارجية» كي يسجّل الدخول نيابةً عنك. وقد تُعالَج المعلومات الصحية أيضاً، مثلاً حين يحجز موعداً أو يلخص رسالة بريد من عيادة.
بشأن المشاركة، تقول السياسة: «نحن لا نبيع معلوماتك». تذهب البيانات إلى المورّدين، وإلى «مزوّدي نماذج الذكاء الاصطناعي من الجهات الخارجية الذين يساعدون في دعم الخدمات»، وإلى الشركات التي يتعامل معها Instinct نيابةً عنك، وإلى الشركات التابعة. ولا تذكر السياسة أسماء مزوّدي النماذج.
بشأن التدريب، لا تُستخدم بيانات Google Workspace لتدريب نماذج الذكاء الاصطناعي. أما البيانات الأخرى فيمكن استخدامها. يمكنك رفض ذلك عبر app.instinct.com/settings، لكن الرفض يسري من تلك اللحظة فقط. ويظل من الممكن استخدام البيانات المعلَّمة لمراجعة السلامة، ولا يتأثر بذلك ما سبق تدريبه من نماذج.
ثمة ثغرتان واضحتان. لا تحدد السياسة مدد الاحتفاظ بالبيانات، ولا تذكر اللائحة العامة لحماية البيانات (GDPR) ولا قانون خصوصية المستهلك في كاليفورنيا (CCPA). وبالنسبة للمستخدمين في المملكة المتحدة والاتحاد الأوروبي، يعني ذلك عدم وجود أساس قانوني معلن للمعالجة، ولا طريق معلن لممارسة حقوق أصحاب البيانات.
ماذا تقول شروط Instinct؟
تغطي الشروط الإجراءات، وهنا يكمن الانكشاف الحقيقي. الجملة الأساسية هي: «أنت تفوّض الخدمات باتخاذ إجراءات نيابةً عنك». فأنت تعيّن Instinct وكيلاً عنك، وأي اتفاق يبرمه «يكون ملزماً لك كما لو أبرمته بنفسك مباشرة».
| الموضوع | ما تقوله الشروط الحالية |
|---|---|
| المشتريات | «أنت، لا نحن، من يجري عملية الشراء». النزاعات تكون بينك وبين البائع |
| التأكيد قبل التصرف | الشركة «قد تطبّق ضمانات أو متطلبات تأكيد أو ضوابط أخرى»، لكنها لا تَعِد بأنها ستمنع الإجراءات الخاطئة |
| إمكانية التراجع | «قد لا تكون الإجراءات قابلة للتراجع دائماً» |
| المسؤولية | أنت مسؤول عن مدخلاتك، والإجراءات المتخذة، وأي مخرجات تستخدمها |
| سقف المسؤولية | 100 دولار أو ما دفعته خلال الأشهر الستة السابقة، أيهما أكبر |
| النزاعات | تحكيم فردي مع التنازل عن الدعاوى الجماعية؛ يمكن الانسحاب من التحكيم خلال 30 يوماً |
| إنهاء الحساب | ممكن «لأي سبب أو دون سبب» |
تغيّر الترخيص الممنوح على محتواك. نقلت TechCrunch أن الشروط السارية في أغسطس 2026 كانت تمنح ترخيصاً «دائماً وغير قابل للإلغاء» لاستخدام مواد المستخدم وتخزينها ونشرها وتعديلها، بما في ذلك لتدريب الذكاء الاصطناعي، وتسمح بجمع لقطات الشاشة وحركات المؤشر ومدخلات لوحة المفاتيح من الأجهزة. أما النسخة المعدّلة في 26 أغسطس فلم تعد تستخدم كلمتي «دائم» و«غير قابل للإلغاء»، وفق مراجعتنا في 8 أكتوبر 2026. لكنها لا تزال تسمح باستخدام موادك لتحسين الخدمة، بما في ذلك تدريب الذكاء الاصطناعي، ما لم ترفض ذلك.
قال Jeremy Banon لـ TechCrunch إن Instinct «رفض قاطع» من منظور أمني، لكنه وصف سياسته بأنها «شفافة بنسبة 100%». وهذا تلخيص منصف: المخاطر مُعلنة، وهي تقع على عاتق المستخدم.
ما المشكلات التي أُبلغ عنها؟
أغسطس 2026: شكاوى المختبرين
جمعت TechCrunch في أواخر أغسطس روايات من المختبرين الأوائل:
- قال Peter Yang إن Instinct لم يحذف سجلات Gmail الخاصة به حين طلب ذلك، إذ كان يفهرس رسائله ويحتفظ بها. وأضافت Instinct لاحقاً إعداداً لحذف البيانات الخارجية.
- قالت Claire Vo إن Instinct ظل يلخص صندوق بريدها بعد ساعات من فصلها صلاحية الوصول إلى Google. وأخبرها الروبوت أن الرسائل مخزّنة بنص عادي (plain text) للبحث فيها لاحقاً.
- قالت Katie Jacobs Stanton إن Instinct أرسل بريداً إلكترونياً باسمها دون أن يستأذنها أولاً. ففصلت بريدها الإلكتروني عنه.
- حاول Alex Cohen خداع الوكيل بأسلوب التصيّد، فأرسل إليه تعليمات بالبريد من حساب Gmail جديد، ثم حذف حسابه. وقال إنه ليس من الآمن بعد منح ذكاء اصطناعي صلاحية القراءة والكتابة على صندوق البريد.
وقالت Instinct لصحيفة Wall Street Journal إنها «تأخذ المخاوف الأمنية المطروحة على محمل الجد»، وقال Shinn إن الشركة منعت الوكيل من اتخاذ بعض الإجراءات التي كانت الإصدارات السابقة قادرة عليها (PYMNTS). وسجّل مرصد حوادث الذكاء الاصطناعي التابع لمنظمة OECD هذه البلاغات.
حالة Claire Vo هي الأكثر إفادة للشركات. تنص السياسة على أن «فصل تكامل مع جهة خارجية لا يحذف تلقائياً البيانات التي جُمعت من ذلك التكامل». سحب الصلاحية يوقف جمع بيانات جديدة. أما حذف ما فُهرس بالفعل فخطوة منفصلة، عبر app.instinct.com/workspace.
سبتمبر 2026: هل سرّب Instinct بيانات المستخدمين؟
في 21 سبتمبر نشر مستخدم لقطات شاشة بدا فيها أن Instinct استخدم الاسم الأوسط لشخص آخر، وناقش صورة مستند مالي قال المستخدم إنه لم يرسلها قط. اعتذر الروبوت، وقال إن الصورة «تداخلت» مع المحادثة، ووصف الأمر بأنه «خلل خطير» (Business Insider).
ردّ Shinn على X بأن ما حدث «نتج عن هلوسة (اختلق النموذج اسم علم)»، و«لم يكن اختراقاً للبيانات، ولم تُشارك أي بيانات مستخدمين، ولم يُنتهك أي حد من حدود عزل المستخدمين». ووصف البيانات بأنها «مجزأة فعلياً» عبر بيئات معزولة (sandboxes)، وبيانات اعتماد محلية قصيرة الأجل، وتنفيذ للأدوات موقّع بالهوية، وقال إن الفريق أمضى 48 ساعة في بناء «نظام نشط لاكتشاف الهلوسة» قادر على توجيه الوكيل أو إيقافه قبل خطوته التالية.
أشارت Business Insider إلى أن Shinn لم يوضح كيف عرف الفريق أنها هلوسة. ولم تتحقق أي جهة مستقلة من أي من الروايتين. الموقف الأمين أن ما حدث ليس اختراقاً مؤكداً، ولا ثبت أيضاً أنه لم يكن اختراقاً. لكنه يكشف مشكلة منفصلة: الوكيل نفسه أخبر مستخدماً بأن بيانات شخص آخر تداخلت مع محادثته، وهو كلام غير صحيح إن كانت الشركة محقة. والوكيل الذي يصف سلوكه وصفاً خاطئاً يصعب التحقيق فيه.
أكتوبر 2026: ضمانات المحادثات الجماعية
مع إعلان المحادثات الجماعية في 5 أكتوبر، عدّد Shinn قواعد جديدة: يستأذنك وكيلك قبل الاتصال بوكيل مجموعة ما، وتختار أنت المجموعات التي تثق بها ويمكنك سحب هذه الثقة، ولا يستطيع وكيل المجموعة الوصول إلى الحسابات الشخصية، ويستأذنك وكيلك قبل مشاركة المعلومات أو اتخاذ أي إجراء (TechCrunch). هذه ادعاءات الشركة نفسها، ولم يُنشر معها أي تدقيق أو توثيق تقني.
قائمة تحقق للأفراد
إن كانت لديك دعوة، فهذه الخطوات تقلل معظم المخاطر الموضحة أعلاه:
- ارفض استخدام بياناتك في تدريب الذكاء الاصطناعي عبر app.instinct.com/settings من اليوم الأول، لأن الرفض لا يسري بأثر رجعي.
- اربط حساباً واحداً في كل مرة. ابدأ بالتقويم لا بصندوق بريدك الرئيسي.
- لا تسلّم كلمات مرور الحسابات المصرفية أو الصحية أو الحكومية.
- اطلب من الوكيل أن يستأذنك قبل كل بريد إلكتروني وحجز ودفعة، وراقب هل يفعل ذلك. فالشروط لا تضمنه.
- استخدم بطاقة بحد إنفاق منخفض أو بطاقة افتراضية لأي شيء يشتريه Instinct.
- حين تفصل خدمة ما، احذف أيضاً بياناتها المفهرسة عبر app.instinct.com/workspace.
- تجاهل الدعوات المعروضة للبيع عبر الإنترنت والروابط إلى instinct.ai، فالموقع الحقيقي هو instinct.com.
- قرّر خلال 30 يوماً ما إذا كنت ستنسحب من التحكيم، وذلك بمراسلة support@instinct.com.
قائمة تحقق للشركات
السؤال الأصعب هو ما يحدث حين يربط موظف حساب Google Workspace الخاص بالعمل بوكيل استهلاكي. فبموجب الشروط، تُلزم الاتفاقات التي يبرمها الوكيل المستخدمَ، وبموجب عقودك قد تُلزم رسالةٌ مرسلة من حساب أحد الموظفين الشركةَ. وقد يفهرس الوكيل أيضاً بيانات العملاء ويمررها إلى مزوّدي نماذج لا تُذكر أسماؤهم.
في رأينا، تغطي السياسة العملية أربعة مجالات:
- الحصر. افحص لوحة تحكم المسؤول في Google Workspace أو Microsoft 365 بحثاً عن تطبيقات خارجية لديها نطاقات صلاحية (scopes) على البريد أو Drive أو التقويم، وحدد الوكلاء الاستهلاكيين المسموح بهم. فالوكلاء الشخصيون من هذا النوع يطلبون عادةً الوصول إلى البريد والملفات والتقويم دفعة واحدة.
- مبدأ الحد الأدنى من الصلاحيات. إن سُمح بوكيل، فامنحه نطاقات القراءة فقط افتراضياً، واحصر صلاحيات الإرسال والحذف والدفع في حالات محددة ومعتمدة. وافصل بين الحسابات الشخصية وحسابات العمل.
- خطوات التأكيد. أي إجراء يرسل رسائل إلى جهات خارجية، أو يسجّل في خدمات، أو يقبل شروطاً، أو ينفق مالاً، يجب أن يتطلب نقرة من إنسان. وإن لم تستطع الأداة فرض ذلك تقنياً، فالقاعدة المكتوبة لا تكفي.
- فك الارتباط والتدقيق. سحب صلاحية OAuth ليس حذفاً. يجب أن تتضمن إجراءاتك حذف البيانات التي يحتفظ بها المورّد، والاحتفاظ بسجل لما فعله الوكيل أثناء ارتباطه.
بالنسبة للبيانات الخاضعة للتنظيم (الصحية، والمالية، والبيانات الشخصية لسكان الاتحاد الأوروبي)، فإن غياب الإشارة إلى اللائحة العامة لحماية البيانات (GDPR) وإلى مدد الاحتفاظ في سياسة Instinct سبب كافٍ بحد ذاته لإبقاء حسابات العمل بعيدة عنه في الوقت الحالي.
هذه هي الضوابط التي نصممها في الوكلاء الذين نبنيهم للشركات: وصول محدد النطاق إلى الأدوات، ونقاط موافقة على الإجراءات غير القابلة للتراجع، وسجلات تبيّن من فعل ماذا، شخصاً كان أم نظاماً. إن أردت مساعدة في وضع سياسة أو بناء وكيل داخلي بهذه الضوابط، فإن فريقي استشارات الذكاء الاصطناعي وتطوير نماذج LLM والاستشارات لدينا يعملان على هذا تحديداً. ولمقارنة نهج Instinct بنهجي Meta وOpenAI، راجع مقال Instinct مقابل Meta Muse مقابل ChatGPT Dots.
الأسئلة الشائعة
هل سرّب Instinct AI بيانات المستخدمين؟
لم يُؤكَّد ذلك. في سبتمبر نشر مستخدم لقطات شاشة بدا أنها تُظهر بيانات شخص آخر، وقال مؤسس Instinct إنها هلوسة من النموذج لا اختراق، وإنه لم تُشارك أي بيانات مستخدمين. ولم يتحقق أي طرف مستقل من أي من التفسيرين.
هل يستخدم Instinct بياناتي لتدريب الذكاء الاصطناعي؟
لا تُستخدم بيانات Google Workspace في التدريب. أما البيانات الأخرى فقد تُستخدم ما لم ترفض ذلك في الإعدادات، والرفض لا يسري إلا على المستقبل ولا يشمل البيانات المعلَّمة لمراجعة السلامة.
هل يؤدي فصل Gmail إلى حذف بياناتي من Instinct؟
لا. تقول سياسة الخصوصية إن فصل التكامل لا يحذف تلقائياً البيانات التي جُمعت بالفعل. عليك حذف البيانات المفهرسة بشكل منفصل عبر app.instinct.com/workspace.
هل يستطيع Instinct إرسال رسائل البريد أو إجراء مشتريات دون أن يسأل؟
تسمح له الشروط بالتصرف نيابةً عنك ولا تضمن خطوة تأكيد. أبلغ أحد المختبرين عن بريد إلكتروني أُرسل دون استئذانه أولاً، وقال Shinn إن بعض الإجراءات قُيّدت لاحقاً. وفي المحادثات الجماعية، تقول الشركة إن الوكيل يستأذن دائماً قبل المشاركة أو التصرف.
هل ينبغي أن يربط الموظفون حسابات العمل بـ Instinct؟
ليس دون سياسة صريحة من الشركة. فالخدمة لا تذكر أساساً قانونياً وفق اللائحة العامة لحماية البيانات (GDPR) ولا مدداً للاحتفاظ بالبيانات، وتشارك البيانات مع مزوّدي نماذج ذكاء اصطناعي لا تُذكر أسماؤهم، وتُلزم المستخدم بالاتفاقات التي يبرمها الوكيل.
الخلاصة العملية
Instinct صريح بشأن المقايضة التي يطلبها: وصول واسع ومسؤولية كاملة مقابل مساعد ينجز المهام. أما بريد الشركة وبيانات العملاء، فينبغي أن تبقى الضوابط عليها في يد الشركة، لا في الإعدادات الافتراضية للوكيل. تساعد AI Superior الشركات على تصميم هذه الضوابط وبناء وكلاء يعملون ضمنها.
