أعلنت شركة “أنثروبيك” المتخصصة في الذكاء الاصطناعي عن إطلاق أداة “OSS Scanner”، وهو ماسح للثغرات الأمنية يعمل بالذكاء الاصطناعي ويستهدف تعزيز أمن منظومة البرمجيات مفتوحة المصدر، وذلك في خطوة تعكس تحولاً متسارعاً نحو توظيف النماذج اللغوية الكبيرة في مهام التدقيق الأمني المعقدة التي كانت حكراً على الخبراء البشريين.
خدمة اختيارية مجانية بلا تكلفة
أوضحت “أنثروبيك” أن الخدمة تعمل بنظام الاشتراك الاختياري، وأن المشاريع التي تنضم إليها ستحصل على فحوصات أمنية دورية وشاملة تنفذها أقوى نماذجها دون أي تكلفة مالية. وأشارت الشركة إلى أن مخرجات الماسح ستكون مولدة بالكامل من النموذج دون الحاجة إلى مراجعة أو فرز بشري، مما يتيح إجراء عمليات فحص أسرع وأكثر تكراراً. ويُتوقع أن تصدر التقارير عن نماذجها الأكثر تطوراً، بما في ذلك نموذج “Claude Mythos”.
وتعتمد الشركة على مجموعة معايير مشابهة لتلك المستخدمة في مشروع “OSS-Fuzz” التابع لشركة جوجل لاختيار المشاريع المستهدفة، مع التأكيد على أن هذه المعايير قد تتطور بمرور الوقت. ونصحت القائمين على المشاريع بتقديم وصف موجز يوضح أهمية مشروعهم في الحالات التي لا تكون فيها هذه الأهمية واضحة بذاتها.
آلية التسجيل والمتطلبات التقنية
يمكن للمشرفين الأساسيين على أي مشروع التسجيل من خلال فتح طلب سحب على مستودع “OSS Scanner” في منصة غيت هاب، مرفقاً بملف تهيئة بصيغة YAML يتضمن ثلاثة عناصر أساسية: رابط مستودع git المطلوب استنساخه، وعنوان البريد الإلكتروني لجهة الاتصال الرئيسية، ومسار نسبي داخل المستودع يشير إلى ملف Dockerfile الذي يهيئ البيئة ويثبت جميع التبعيات ويبني المشروع لتمكين وكيل يعمل دون اتصال بالإنترنت من إجراء التدقيق الأمني.
وأكدت “أنثروبيك” أن ملف Dockerfile يضبط البيئة التي سيعمل فيها المشروع ويثبت كافة التبعيات حتى يتمكن الوكيل من تنفيذ تدقيقه الأمني دون أي وصول إلى الإنترنت، ونصحت بالتحقق من نجاح حالات الاختبار داخل الحاوية المبنية قبل التسجيل.
وهناك تفاصيل اختيارية أخرى يمكن إضافتها إلى ملف YAML، من بينها عناوين بريد إلكتروني إضافية تُرسل إليها نسخ من جميع التقارير، والصفحة الرئيسية للمشروع، ومفتاح GPG عام لتشفير رسائل البريد الإلكتروني التي تحمل التقارير، ومسار نسبي داخل المستودع لملف نموذج التهديد “threat_model.md” يحدد الشيفرة الواجب اختبارها وتصنيف الثغرات وصيغ التقارير، وخيار إلغاء استقبال تقارير الأخطاء عبر تعيين القيمة “disabled: true”.
استقبال واسع ونهج مختلف في الإفصاح
حتى لحظة كتابة التقرير، تم تقديم ما مجموعه 116 طلب سحب للانضمام إلى الخدمة، وهو رقم يشير إلى اهتمام كبير من مجتمع المصادر المفتوحة بهذه المبادرة. وعلى خلاف برامج الإبلاغ عن الثغرات الأخرى، أعلنت “أنثروبيك” أنها لا تنوي فرض فترة إفصاح مدتها 90 يوماً على النتائج التي يتوصل إليها الماسح، نظراً لاحتمال احتوائها على نتائج إيجابية كاذبة.
وأضافت الشركة أنه في حال التحقق لاحقاً من أحد هذه التقارير يدوياً عبر برنامج الكشف المسؤول عن الثغرات المعمول به لديها، فقد تكشف عنه وفق سياسة الإفصاح المعتمدة بدءاً من 90 يوماً من إخطار المشرف بأن أحد العناصر البشرية قد تحقق من صحة التقرير. وأشارت إلى أنها قد تفرض في المستقبل فترة إفصاح على بعض تقارير الثغرات عالية الخطورة مع اكتسابها ثقة أكبر في أداء الماسح.
أرقام تكشف حجم الجهود المبذولة
كشفت “أنثروبيك” أنها حددت أكثر من 29 ألف ثغرة مرشحة في بعض من أهم مشاريع البرمجيات في العالم، تم الإبلاغ عن ما يزيد قليلاً على 6 آلاف منها إلى القائمين على صيانتها، وأسفر ذلك عن إصدار 584 تنبيهاً أمنياً حتى الثاني من أكتوبر 2026. وتعكس هذه الأرقام حجم الفجوة بين ما يمكن اكتشافه وما يتم الإبلاغ عنه فعلياً، وهي فجوة تسعى الشركة إلى تضييقها عبر الأتمتة الكاملة لعملية الفحص.
برنامج دفاع البنية التحتية الحيوية
تزامن الإعلان عن الماسح الجديد مع كشف “أنثروبيك” عن برنامج “دفاع البنية التحتية الحيوية”، وهو مبادرة تهدف إلى حماية البنية التحتية الحيوية والبرمجيات مفتوحة المصدر في إطار مهمتها السيبرانية الأوسع. وتأتي هذه الخطوة في وقت يتسلح فيه العناصر الخبيثة بشكل متزايد بالذكاء الاصطناعي لاكتشاف الثغرات واستغلالها وأتمتة مراحل مختلفة من العمليات السيبرانية وتنفيذ هجمات أسرع وأوسع نطاقاً، مما يفرض على المدافعين تسلحاً بأدوات مماثلة لمواجهة التهديد وتسريع وتيرة الإصلاح واستكشاف معماريات آمنة وممارسات برمجية جديدة.
رؤية مستقبلية ترجح كفة الدفاع
تختتم “أنثروبيك” رؤيتها بتوقع جريء مفاده أن الذكاء الاصطناعي سيميل في غضون عامين إلى جانب الدفاع، حيث سيصبح اكتشاف الأخطاء قبل إطلاق البرمجيات أسهل، وكتابة برمجيات آمنة من الصفر أكثر جدوى، والدفاع النشط عن الأنظمة باستخدام النماذج أمراً ممكناً. ويبقى هذا التوقع رهيناً بمدى نجاح المبادرات العملية في إثبات جدواها ميدانياً، وهو ما ستكشف عنه الأشهر المقبلة مع توسع نطاق الخدمة وزيادة عدد المشاريع المنضمة إليها.
