تطوير الثغرات بالذكاء الاصطناعي رفع كل مهاجم متوسط إلى مصاف النخبة
كتابة الاستغلالات كانت المهارة النادرة التي تفصل بين المهاجمين من الطراز الأول وبقية الانتهازيين. النماذج مفتوحة الأوزان المعاد ضبطها تمنح هذه المهارة للجميع الآن، بينما لا تزال معظم نماذج التهديد المؤسسية تفترض ندرتها.
طوال العقد الماضي، ارتكز أغلب نماذج التهديد المؤسسية على افتراض هادئ: مهاجمونا لا يستطيعون كتابة استغلال يعمل. تطوير الثغرات بالذكاء الاصطناعي أنهى هذا الافتراض للتو. الخطوة الأكثر صعوبة وتحصيناً في أي اختراق حقيقي، أي تحويل ثغرة مكتشفة إلى شيفرة تعمل بشكل موثوق ضد هدف حي، هي بالضبط الخطوة التي باتت نماذج البرمجة مفتوحة الأوزان المعاد ضبطها مستعدة لتنفيذها لأي شخص يطلبها.
اتبعوا الآلية الفعلية وستدركون سبب أهمية هذا التطور أكثر من عناوين «الذكاء الاصطناعي يساعد القراصنة» المعتادة. تشغيل أداة جاهزة كان دائماً سهلاً. أما كتابة شيء جديد، استغلال لثغرة لم ينشر أحد وصفة جاهزة لها، فكانت المهارة التي تفصل بين جمهور الانتهازيين العريض والعدد القليل من الفرق القادرة على العمل في القمة. المحللون الذين يدرسون هذا الميدان باحتراف، ومنهم دراسة مؤسسة RAND حول المستويات التشغيلية للمهاجمين، يصفون القدرة كسلّم: متبعو النصوص الجاهزة في القاع، وحفنة من برامج الدول الفائقة التمويل في القمة، وتسلّق شاق ومكلف بينهما. كان هذا التسلّق خط دفاعكم، إذ سعّرتم ضوابطكم استناداً إلى مهاجمين عاجزين عن الوصول إليه.
هل يستطيع الذكاء الاصطناعي فعلاً كتابة استغلالات تعمل الآن؟
الإجابة الصادقة: إلى حد كافٍ لتغيير خططكم. باتت الجهات المطوّرة للنماذج الأساسية تنشر بنفسها تقارير استخبارات تهديدات تصف خصوماً يؤتمتون مراحل من سلسلة الاختراق على منصاتها، كما أعاد باحثون بناء جدول زمني تقني لاختراق قاده عميل ذكاء اصطناعي تولّى فيه النموذج الاستطلاع والتجهيز والاستغلال بينما اقتصر دور الإنسان على الإشراف غالباً. وعلى نحو منفصل، بدأت جهات تقييم حكومية تصنيف النماذج مفتوحة الأوزان في هذه القدرات تحديداً؛ فالتقييم الأمريكي لـمهارات نموذج طليعي مفتوح الأوزان في الاستغلال الهجومي ما كان ليوجد لولا أن السؤال لم يعد افتراضياً. كما وردت تقارير عن نماذج أُعيد ضبطها لأغراض هجومية وظهرت على منصات نماذج عامة، وبمجرد أن تصبح الأوزان مفتوحة، لا يعود بمقدور أي جهة مورّدة سحب ذلك الضبط.
لذلك فالادّعاء العملي محدود وقابل للدفاع عنه: الحد الأدنى ارتفع. أضعف مهاجم واقعي يواجه مؤسستكم اليوم أقدر بشكل ملموس مما كان عليه قبل عامين، لأن المهارة الوحيدة التي كان يفتقر إليها هي بالتحديد ما يجيد الذكاء الاصطناعي تأجيره. هذه مسألة إعادة معايرة، لا فئة تهديد جديدة، وإصلاحها في سجل المخاطر أرخص بكثير من إصلاحها في تقرير حادثة أمنية.
ماذا يعني تطوير الثغرات بالذكاء الاصطناعي لنموذج التهديد لديكم؟
توقفوا عن التعامل مع براعة المهاجم كصفة نادرة وثابتة. لا تزال معظم نماذج التهديد تحمل ترتيباً ضمنياً: دول لا يمكن ردعها، جريمة منظمة نحصّن أنفسنا ضدها، وبقية المهاجمين نتجاهلهم غالباً لأنهم «ليسوا بارعين بما يكفي». ادمجوا الفئتين السفليتين في فئة واحدة. افترضوا أن المهاجم الانتهازي الذي يتحسّس محيط شبكتكم قادر الآن على توليد استغلال يعمل لخدمة غير مُحدّثة في العصر نفسه الذي يكتشفها فيه. الانعكاسات الدفاعية مملة وفعالة في آن: رقّعوا أسرع، قلّصوا الفجوة الزمنية بين الإفصاح عن الثغرة وإصلاحها، وتعاملوا مع أي خدمة متاحة على الإنترنت وتستخدم لغة غير آمنة للذاكرة كخصم يحمل عداداً زمنياً. هذا هو الجوهر غير البرّاق لـبناء أنظمة عميلة آمنة قائمة على الذكاء الاصطناعي، وجوهر استراتيجية تقنية تخطط للمهاجم الذي ستواجهونه فعلاً، لا الذي كنتم تواجهونه سابقاً. وفي دول الخليج، حيث تتسارع برامج التحول الرقمي مثل رؤية السعودية 2030 واستراتيجية الإمارات للذكاء الاصطناعي، تتضاعف كلفة هذا الافتراض الخاطئ مع كل خدمة حكومية أو مالية جديدة تُنقل إلى الإنترنت.
هل يجب إعادة كتابة الشيفرة غير الآمنة للذاكرة بدلاً من ترقيعها؟
هنا الانعكاس الذي لم يسعّره أحد تقريباً. النماذج ذاتها التي تخفّض كلفة كتابة الاستغلالات تخفّض أيضاً كلفة إزالة فئة الثغرات التي تتغذّى عليها تلك الاستغلالات. لثلاثين عاماً، كانت إعادة كتابة شيفرة قديمة بلغة C أو C++ بلغة آمنة للذاكرة هي الخطوة المسؤولة التي لم تُتّخذ أبداً، لأن كلفة العمالة لم تكن مجدية اقتصادياً وخطر إدخال أخطاء جديدة كان حقيقياً. الترجمة بمساعدة الآلة تغيّر هذه المعادلة. مشاريع مثل إدماج لغة Rust في نواة لينكس تُظهر اتجاه المسار، والذكاء الاصطناعي يجعل النسخة الشاملة، أي الترجمة الجماعية للوحدات القديمة إلى قوالب أكثر أماناً، قراراً حياً لتخصيص رأس المال بدلاً من كونه فكرة بعيدة المنال. هذا تنبؤ، وأصنّفه بوضوح على هذا الأساس: خلال سنوات قليلة، ستصبح الخطوة الأرخص لكثير من الأنظمة غير الآمنة للذاكرة هي إعادة كتابة فئة الثغرة كلياً، لا الاستمرار في مطاردة كل نسخة منها بينما يؤتمت مهاجموكم عملية المطاردة من الجهة المقابلة.
لا شيء من هذا يجعل المهندس زائداً عن الحاجة. إنه ينقل موقعه فحسب. القيمة في بنك أو مورّد طيران لم تكن يوماً سرعة توليد الشيفرة الخام؛ بل هي منظومة الامتثال والهندسة المعمارية والتدقيق التي تفرض على أي مُخرج، بشرياً كان أم آلياً، المرور بالخطوات التنظيمية الملزمة قانوناً للمؤسسة. هذا العمل لا يختفي حين تكتب الشيفرة بواسطة نموذج، بل يتركّز. يتحوّل المتخصص أكثر فأكثر إلى ما يشبه مدير منتج تقني، مسؤول عن شيفرة كتبتها الآلة يجب أن يكون قادراً على قراءتها واختبارها والدفاع عنها، وهذا بالضبط جوهر إبقاء الإنسان في موقع التحكم بالذكاء الاصطناعي العملي. الفجوة بين هذا الانضباط والبرمجة الارتجالية الهاوية على وشك أن تصبح الفارق بين منتج قابل للشحن وآخر غير قابل له.
الدرس الأوسع: أنتم تقيسون المتغير الخطأ
لخطأ نموذج التهديد توأم في السياسة العامة. تُسوَّق حظر معدات الشبكات الاستهلاكية على أنها جغرافيا سياسية، بجنسية المورّد بوصفها المخاطرة. قواعد مثل حظر المشتريات بموجب القسم 889 الأمريكي تكرّس هذا الحدس. لكن المتغير الفعلي الذي يتنبأ باختراق جهاز توجيه منزلي أو مكتب صغير ليس مكان تصنيعه، بل ما إذا كان يُحدَّث تلقائياً تحت مسؤولية جهة تشغيل خاضعة للمساءلة. جهاز التوجيه غير المُدار لا يُرقّعه مالكه أبداً، أياً كانت الجهة التي صنعته، ولهذا تعود أطر خط الأساس مثل إطار Cyber Essentials البريطاني دائماً إلى الترقيع والبرمجيات المدعومة بدلاً من مصدر التصنيع. الجنسية بديل مريح، والمساءلة عن التحديث هي الآلية الفعلية. اخلطوا بين الاثنين وستحظرون الأجهزة الخطأ بينما يبقى الأسطول الذي لا يُرقَّع أبداً مشرعاً على مصراعيه. المنطق نفسه ينطبق على أطر حماية البيانات الإقليمية، من نظام حماية البيانات الشخصية السعودي (PDPL) إلى التشريعات الإماراتية المماثلة: المساءلة التشغيلية، لا شعار المصدر، هي ما يحدد المخاطر الفعلية.
النمط واحد في الحالتين: متغير مريح (براعة المهاجم، علم المورّد) يحل محل الآلية الفعلية التي تحرّك المخاطر حقاً (أتمتة كتابة الاستغلالات، أتمتة الترقيع). كانت الندرة تؤدي عمل الأمن نيابة عنكم، بصمت، لسنوات. لقد توقفت عن ذلك. سعّروا دفاعاتكم لخصم قادر الآن على استئجار المهارة الوحيدة التي كنتم تعوّلون على افتقاره إليها.
أسئلة شائعة
هل يتيح الذكاء الاصطناعي للقراصنة كتابة ثغرات يوم الصفر تلقائياً؟
ليس بضغطة زر واحدة، وليس بشكل موثوق ضد هدف محصّن جيداً، لكن هذا معيار خطأ للحكم. التغيير الجوهري هو أن النماذج باتت تؤدي الآن العمل الشاق في منتصف عملية تطوير الاستغلال، أي تكييف ثغرة معروفة لتصبح شيفرة تعمل فعلاً، وهي بالضبط الخطوة التي كانت تُقصي المهاجمين غير المهرة سابقاً. تعاملوا مع هذه القدرة كواقع حقيقي ومتصاعد، ولا تنتظروا عرضاً إعلامياً موجهاً ضد بنيتكم التحتية أنتم لتصدّقوه.
هل إعادة كتابة شيفرة C القديمة بلغة Rust أرخص من الاستمرار في ترقيعها؟
بالنسبة لبعض قواعد الشيفرة، الجواب أصبح نعم بشكل متزايد، وهذا تحوّل حقيقي. الترجمة بمساعدة الآلة خفّضت الكلفة التاريخية لنقل الشيفرة غير الآمنة للذاكرة إلى لغة آمنة، فلم تعد المعادلة تُحسم تلقائياً بأنها «مكلفة أكثر من اللازم». قيّموا كل نظام على حدة: كلما كانت الشيفرة أقدم وأكثر تعرضاً، وكلما كانت فئة ثغراتها مستهدفة فعلياً، كان التحول إلى إعادة الكتابة أسرع جدوى من دورة ترقيع لا تنتهي. إنه قرار رأسمالي الآن، لا محرّم هندسي.
هل أجهزة التوجيه الصينية الصنع أخطر فعلاً من غيرها؟
الجنسية في معظم الأحيان بديل عن مخاطرة يمكن قياسها مباشرة. المتغير الذي يتنبأ فعلاً بالاختراق هو ما إذا كان الجهاز يُحدَّث تلقائياً تحت مسؤولية جهة خاضعة للمساءلة، لا العلم المرسوم على العلبة. جهاز توجيه من مورّد محظور لكنه مُدار جيداً قد يكون أكثر أماناً من جهاز مهجور من علامة تجارية موثوقة. اشتروا أولاً لأجل البرمجيات المدعومة والتحديثات التلقائية، وضعوا مصدر التصنيع في مرتبة ثانوية.
مواضيع ذات صلة
- في أوبونتو 26.04 LTS، حزمة coreutils التي تعتمد عليها بنيتكم التقنية لم تعد GNU
- علاوة السيادة: لماذا تكسب حلول الذكاء الاصطناعي السيادي للمؤسسات الرهان على حرية الوصول لا على السرعة
- قضايا الأسرار التجارية تُحسم قبل سنوات من استقالة أي موظف. اسألوا شركة فاسيندا تشيكن
- Security & Trust
كُتب بواسطة شخصية تحريرية بالذكاء الاصطناعي ضمن نظام التحرير الخاص بـ Abyshire وروجع من فريقنا.