أنثروبيك تطلق فاحصا مجانيا للبرمجيات المفتوحة: نماذج الذكاء تكشف ثغرات البنية التحتية بلا مراجعة بشرية

أطلقت شركة أنثروبيك خدمة OSS Scanner لفحص مشاريع البرمجيات مفتوحة المصدر واكتشاف ثغراتها الأمنية دوريا دون مقابل، معتمدة بالكامل على أقوى نماذجها المتقدمة وعلى رأسها Claude Mythos، ودون إخضاع التقارير الصادرة لأي تدقيق أو فرز بشري مسبق قبل إرسالها إلى المطورين.

تستند هذه الخطوة إلى تجربة ميدانية خاضتها الشركة عبر مبادرتها السابقة المعروفة باسم Project Glasswing. فخلال الأشهر الستة الماضية وحدها، رصدت أنثروبيك أكثر من 29 ألف ثغرة أمنية محتملة داخل الكود المفتوح، لكن محدودية الموارد البشرية حالت دون مراجعة سوى قرابة 6 آلاف منها يدويا. وأمام هذا التفاوت، اختار القائمون على الخدمة تجاوز عنق الزجاجة البشري، حيث أرسلت الشركة ما يقرب من 5 آلاف تقرير مباشرة إلى مديري المشاريع الذين طلبوا الحصول على كل ما لدى النماذج حتى وإن لم يخضع للتحقق مسبقا.

الرهان على التوليد الآلي الصرف يرفع وتيرة المراقبة الأمنية إلى مستويات غير مسبوقة، لكنه يفرض في الوقت نفسه هامشا لا مفر منه من التقارير غير الصحيحة أو الباطلة. غير أن تقييم الدقة الداخلي الذي أجرته أنثروبيك أظهر كفاءة استثنائية: فمن بين 97 ثغرة حرجة وشديدة الخطورة فحصها خبراء اختبار الاختراق عبر 48 مشروعا، تبين أن 85 ثغرة (أي ما نسبته 88 في المئة) استوفت تماما معايير عملية الكشف المنسق عن الثغرات. أما الحالات الاثنتا عشرة المتبقية، فكانت 11 منها مشكلات حقيقية لكنها مطابقة لثغرات معروفة أو مكتشفة سابقا في الفحص، في حين سُجلت حالة إيجابية كاذبة واحدة فقط.

تقارير تنفيذية ترفق الإثبات البرمجي ورقعة الإصلاح الجاهزة للمطورين. يتضمن كل تقرير ترسله الخدمة أداة إعادة إنتاج قائمة بذاتها للثغرة، مع شرح مفصل لطبيعتها يتضمن تحديدا لتاريخ إدخال الخلل البرمجي كلما أمكن ذلك، فضلا عن مقترح مرشح للترقيع عند توفره. هذه التركيبة حولت العلاقة بين نماذج التوليد وفرق الصيانة المفتوحة من مجرد تنبيهات ضبابية إلى ملفات عمل مباشرة.

شهادات مسؤولي البرمجيات التي تقع في صلب البنية التحتية الرقمية العالمية عكست هذا التحول النوعي. إذ أوضح أنطون أرابوف من مؤسسة OpenSSL أن تقارير الذكاء الاصطناعي المبكرة قبل عام ونصف كانت رديئة للغاية، غير أن التقارير الحالية الواردة من أنثروبيك، بما فيها مخرجات النماذج الخام، تضاهي ما يقدمه الخبراء البشريون بل تتفوق عليه أحيانا، خصوصا حين يأتي التقرير مرفقا باستغلال برمجي حقيقي يتيح للمهندس التحقق الفوري. وأكد تود أوسكا من شركة wolfSSL أن شركته تلقت 74 تقريرا أمنيا كانت جميعها صالحة باستثناء تقريرين فقط، وتحول خمسة منها إلى ثغرات معتمدة عالميا برمز CVE، مشيرا إلى أن إرفاق مقترحات الترقيع جعل التعامل معها سلسا ومندمجا في إجراءات العمل المعتمدة. كما أفاد دانيال ستينبرغ، المشرف على مشروع curl، بأن الفاحص ساعد فريقه في رصد ثغرات بالغة الخطورة، إحداها تعد من أسوأ الثغرات المسجلة في المشروع خلال السنوات الأخيرة، فيما أشاد إيدي كولر من منصة HotCRP بدقة التقارير وفهمها العميق لنموذج الصلاحيات المعقد وترتيب الأولويات.

البنية البرمجية المعتمدة في مصارف الخليج والمؤسسات الرقمية في مصر والشام تجد نفسها فجأة أمام مرحلة أمنية جديدة تفرض مهارات تدقيق مغايرة. فالمؤسسات الإقليمية تعتمد بصورة كثيفة وشبه تامة على برمجيات النواة المفتوحة مثل OpenSSL وcurl لتأمين قنوات الاتصال والمدفوعات الإلكترونية وشبكات السحابة السيادية. والتحول نحو فحص هذه المكونات آليا عبر نماذج مثل Claude Mythos يعني أن وتيرة اكتشاف الثغرات وتدفق طلبات الترقيع ستتسارع بوتيرة لم تعهدها فرق الهندسة المحلية، مما يجعل الميزة التنافسية للأقسام التقنية منوطة بالقدرة على سرعة اختبار الرقع البرمجية ودمجها قبل استغلال الثغرات في هجمات سيبرانية، بدلا من الاعتماد على دورات الصيانة البطيئة والمتباعدة.

يمكن لمديري المشاريع مفتوحة المصدر الراغبين في الانضمام إلى الخدمة التسجيل عن طريق تقديم طلب سحب في مستودع مخصص على منصة غيت هاب. وتتكامل هذه الخدمة مع مبادرات داعمة أعلنتها أنثروبيك، تشمل برنامج التحقق السيبراني الذي يوفر قدرات سيبرانية متقدمة ومصنفات حظر مخفضة للمحترفين المؤهلين، ومبادرة كلود للمشاريع المفتوحة التي تقدم اشتراكات مجانية في باقة Claude Max 20x لمساعدة المطورين على إصلاح الثغرات وتطوير برمجياتهم.