معيار VLoc يكشف حدود فحص الثغرات: عجز جماعي للوكلاء عن تحديد مواقع الخلل في 38 في المئة من المستودعات

تركز تقييمات الأمن السيبراني المعتادة للوكلاء البرمجيين القائمين على النماذج اللغوية على قياس القدرة على رصد الثغرات أو إعادة إنتاجها أو ترقيعها، متجاهلة الخطوة التأسيسية التي تسبق كل ذلك: هل يستطيع الوكيل تحديد الملفات البرمجية المسؤولة فعليًا عن الخلل داخل مستودع برمجي كامل؟ للإجابة عن هذا التساؤل، طرح فريق بحثي يضم أمان بريانشو وسوبريتي فيجاي وأمين كرباسي دراسة تقيس كفاءة الوكلاء في تحديد مواقع الثغرات على مستوى مستودعات الشيفرات البرمجية الكاملة، مؤكدين أن هذه المهمة تمثل قدرة مستقلة بذاتها تتطلب معايير اختبار دقيقة قبل الاعتماد على الوكلاء في مراجعة الأنظمة المعقدة.

قدم الباحثون معيار التقييم المسمى «VLoc Bench»، الذي يضم 500 ثغرة أمنية حقيقية مستخرجة من 290 مستودعًا برمجيًا تتوزع على ست منظومات حزم برمجية وتغطي 147 تصنيفًا من تصنيفات الضعف الشائع (CWE). اعتمد تصميم الاختبار على تزويد كل وكيل بنسختين من المستودع البرمجي: لقطة تسبق الترقيع الأمني مباشرة، ولقطة أخرى تليه مباشرة. وفي النسخة المصابة بالثغرة، لا يتلقى الوكيل إلا وصف تصنيف الضعف مع وصول مقيد للطرفية بوضع القراءة فقط، ويتعين عليه استخراج الملفات البرمجية المتأثرة بدقة، بينما يُطلب منه في النسخة المرقّعة إثبات زوال الثغرة المسجلة وعدم وجودها في الشيفرة.

كشفت نتائج اختبار 27 نموذجًا لغويًا وأربع أدوات للتحليل الثابت عبر واجهة وكلاء موحدة عن فجوة تشغيلية واسعة في تحليل المستودعات. فقد توقف أعلى أداء حققه أقوى الأنظمة المختبرة عند مقياس F1 للملفات بلغ 0.229 فقط، في حين عجزت كافة النماذج والأدوات مجتمعة عن تقديم تحديد صحيح واحد لموقع الثغرة في 38.4 في المئة من المهام. وأظهرت الدراسة خللًا منهجيًا يتمثل في أن النماذج التي تبدي كفاءة أعلى في رصد الملفات المصابة تفشل في التعامل مع الشيفرات التي جرى إصلاحها، إذ استمرت في تقديم تقارير تشير إلى مواقع غير مدعومة بالحقائق داخل المستودعات المرقّعة.

تبرز هذه النتائج أن تحديد أماكن الخلل داخل مستودع برمجي كبير مهارة تفتيش مستقلة تتطلب معرفة متى يجب التوقف والامتناع عن إصدار بلاغات كاذبة. إن ميل الوكلاء إلى افتراض استمرار وجود الثغرات حتى بعد معالجتها يضاعف أعباء فرق التدقيق، ويحول دون تفويض قرارات السلامة بالكامل للأدوات الآلية التي تفتقر إلى الانضباط في تقدير انتهاء الخطر البرمجي.

يرتبط هذا الاختبار بواقع فرق الهندسة البرمجية والأمن السيبراني في الخليج ومصر والشام، حيث تتجه المؤسسات المالية وشركات التقنية إلى دمج وكلاء الذكاء الاصطناعي ضمن مسارات تدقيق الشيفرات لتقليص التكاليف وتسريع وتيرة التطوير. توضح نتائج الدراسة لمديري أمن المعلومات في المنطقة أن تسليم المستودعات البرمجية الكاملة للوكلاء دون إشراف بشري صارم سيكلف فرق التطوير ساعات عمل مهدرة في ملاحقة بلاغات وهمية، لا سيما في الأنظمة المصرفية والحكومية الخاضعة لمعايير امتثال مشددة. المهارة المطلوبة الآن في بيئات العمل المحلية ليست مجرد تشغيل وكيل فاحص، بل بناء حواجز تحقق تفصل بين قدرة الوكيل على الاكتشاف وقدرته على إدراك اكتمال الترقيع الأمني.