مع تطور وكلاء الأمن الذاتي القادرين على اكتشاف الثغرات، برزت مشكلة أساسية: كيف يمكن قياس دقة أدائهم؟ التقارير التي ينتجها الوكيل غالباً ما تكون مليئة بالثقة، لكنها لا تكشف إن كان الاستغلال حقيقياً أم مجرد افتراض، ولا تُظهر ما لم يحاول الوكيل أصلاً. مراجعة يدوية واحدة قد تستغرق يوماً كاملاً من عمل الخبراء، لكن عند تكرار التجارب عبر نماذج متعددة وإعدادات مختلفة، تصبح العملية غير قابلة للاستمرار.
ما الذي تقدمه منصة XRanges for AI
طوّرت شركة CTF.ae منصة XRanges for AI لمعالجة هذه الفجوة. المنصة تجمع بين:
- مكتبة أهداف معيارية تحاكي تطبيقات حقيقية متعددة الخدمات واللغات، مزودة ببيانات مستخدمين وحركة مرور وهمية، مع أكثر من 20 ثغرة مزروعة بما فيها ثغرات يوم صفر.
- طبقة رصد دقيقة عبر OpenTelemetry، تلتقط كل حركة يقوم بها الوكيل داخل التطبيق وتحوّلها إلى أربع إشارات مستقلة يتم تقييمها لحظة بلحظة.
الإشارات الأربع للتقييم
- Coverage (التغطية): تقيس مدى استكشاف الوكيل للوظائف الشرعية للتطبيق، مثل تسجيل حساب أو تصفح محتوى، وتكشف النقاط التي لم يصل إليها.
- Boundaries (الحدود): ترصد انتهاكات قواعد الاشتباك، مثل حذف بيانات أو إلغاء مفاتيح API، وهي مؤشرات على سلوك غير مقبول.
- Exploited (الاستغلال): تحدد أي ثغرات استُغلت فعلياً، مع تتبع مراحل سلسلة الهجوم خطوة بخطوة.
- Integrity (سلامة البيئة): تتحقق من بقاء التطبيق سليماً وظيفياً أثناء الاختبار، وتكشف الحالات التي يفسد فيها الوكيل البيئة للوصول إلى نتيجة.
هذه الإشارات تُدمج في نتيجة واحدة، لكن القيمة الحقيقية تكمن في تفاصيل كل إشارة على حدة.
إثبات ميداني في DEF CON 34
في أغسطس 2026، جرى اختبار المنصة في Bug Bounty Village بمؤتمر DEF CON 34، حيث حصل 545 مشاركاً على نسخ معزولة من تطبيق وهمي لشركة “Xenoptic”. المنصة راقبت أكثر من 850 عملية نشر على مدار 48 ساعة، وسجلت بدقة كل محاولة استغلال، مدى التغطية، الانتهاكات، وحالة البيئة. هذا الاختبار أثبت قدرة المنصة على التعامل مع هجمات مكثفة من خبراء أمنيين، وهو ما يعزز موثوقيتها في تقييم وكلاء الأمن الذاتي.
لمن تُوجَّه هذه المنصة
تستهدف XRanges for AI فرق تطوير وكلاء الأمن الذاتي التي تحتاج إلى معرفة ما فعله الوكيل فعلياً داخل البيئة، وليس فقط ما كتبه في تقريره. المنصة متاحة كخدمة سحابية مُدارة أو يمكن استضافتها محلياً داخل بنية المؤسسة لضمان عدم خروج البيانات.
