مشكلة الـ6%: الذكاء الاصطناعي يكتشف الثغرات بسرعة الآلة، والعالم يرقّعها بسرعة البشر
برنامج واحد للإفصاح عن الثغرات التي يكتشفها الذكاء الاصطناعي سجّل معدل إصلاح لا يتجاوز 6% فقط. طبّق هذا الرقم على شجرة تبعيات برمجية نموذجية وعلى مهلة الترقيع الإلزامية في إطار «Cyber Essentials» البريطاني، لتكتشف أن كل موعد إصدار لنموذج ذكاء اصطناعي متطور يتحول إلى موجة ترقيعات تفوق طاقة الاستيعاب لدى معظم المؤسسات.
بحلول نهاية مايو 2026، كان نحو 6% فقط من الثغرات المُفصح عنها عبر أحد برامج الاكتشاف بالذكاء الاصطناعي قد أُصلحت. يأتي هذا الرقم من شهادة أمام لجنة الأمن الداخلي في مجلس النواب الأمريكي، التي طرحت سؤالاً مباشرًا: هل تستطيع أنظمة الإفصاح عن الثغرات مواكبة وتيرة إصدار كل نموذج ذكاء اصطناعي جديد؟ إنه أدق رقم نُشر حتى الآن حول كيفية تغيير الذكاء الاصطناعي لاكتشاف الثغرات وإدارة الترقيعات، لأنه يحوّل قلقًا غامضًا إلى معادلة حسابية يمكن تطبيقها على أنظمتك الخاصة. وهذا ما تفعله هذه المقالة.
كيف يغيّر الذكاء الاصطناعي اكتشاف الثغرات وإدارة الترقيعات؟
صُمم الإفصاح المنسّق عن الثغرات لعالم الندرة: يكتشف باحث ثغرة، يبلغ عنها بهدوء، يحصل المورّد على مهلة ثابتة (تسعون يومًا تقريبًا) لإصدار إصلاح، ثم يُعلن التقرير للعامة. كل جزء في هذه الآلية يفترض أن الاكتشاف يصل على شكل قطرات متفرقة.
الاكتشاف بسرعة الآلة يكسر كل هذه الافتراضات دفعة واحدة. درس تحالف أمن السحابة (Cloud Security Alliance) ادعاءات موردين بأن نموذجًا واحدًا كشف آلاف الثغرات غير المعروفة سابقًا، من بينها ثغرات ظلت كامنة في شيفرة مفتوحة المصدر خضعت لمراجعات مكثفة لعقود. التحالف لم يتمكن من التحقق المستقل من هذه الادعاءات، لذا ينبغي التعامل مع الأرقام الإجمالية المحددة بحذر. أما رقم الـ6% الخاص بالإصلاح فلا يحتاج إلى مثل هذا التحفظ: أيًا كان معدل الاكتشاف الحقيقي، فمعدل الإصلاح موثّق، وهو مخيب للآمال. الاكتشاف تجري أتمتته. أما الإصلاح فلا.
ما حجم نصيبك من هذا التراكم؟
ابدأ بشكل شجرة التبعيات الحديثة. وجدت دراسة عن نظام npm البيئي، قُدّمت في مؤتمر USENIX Security، أن تثبيت حزمة واحدة في المتوسط يعني الوثوق ضمنيًا بـ79 حزمة أخرى و39 مطوّرًا. لذا فإن منتجًا متوسط الحجم يضم بضع عشرات من التبعيات المباشرة يقف فعليًا على مئات إلى ألف عنصر مستقل، لم يقرأ أغلبها مطوّروه قط.
والآن ضع أرقامًا لموجة إفصاح. لنفترض، بتحفظ، أن حدث إفصاح بسرعة الآلة يمسّ 2% من شجرة مكوّنة من 1,000 عنصر: عشرون عنصرًا متأثرًا. وبمعدل الإصلاح المذكور في الشهادة أمام الكونغرس، فإن عنصرًا واحدًا فقط من هذه العشرين سيكون له إصلاح جاهز من المصدر يوم الإصدار. أما التسعة عشر الباقية فمسؤوليتك أنت: تخفيفها أو عزلها أو استبدالها.
وفي المملكة المتحدة، هناك مهلة محددة لهذا العمل. يشترط إطار «Cyber Essentials» تطبيق تحديثات الأمان الحرجة وعالية الخطورة خلال 14 يومًا، وتُعد الشهادة شرطًا قائمًا للعديد من عقود القطاع العام هناك. أما المؤسسات في المنطقة العربية التي تتعامل مع عملاء بريطانيين أو أوروبيين، أو التي تخضع لأطر تنظيمية مماثلة مثل نظام حماية البيانات الشخصية السعودي (PDPL)، فتواجه ضغوطًا زمنية مشابهة من جهات تنظيمية مختلفة. تسعة عشر تدبير تخفيف على مستوى العنصر خلال أربعة عشر يومًا يعني إنجاز 1.4 تدبير يوميًا، بلا توقف لمدة أسبوعين، فوق العمل الاعتيادي.
قارن ذلك بالواقع المقاس فعليًا. وجد تحليل شركة Veracode لشيفرات الطرف الثالث أن 79% من المكتبات البرمجية لا تُحدَّث أبدًا بعد إضافتها إلى قاعدة الشيفرة، وبالتالي فإن خط الأساس الصادق لمعدل الإنجاز لدى معظم الفرق أقرب إلى الصفر. وإذا بدت نسبة 2% مبالغًا فيها، فجرّب الحساب عند 0.5%: خمسة عناصر خلال أسبوعين لا يزال يفوق ما يستطيع فريق يُصدر تحديث تبعية واحدًا أسبوعيًا استيعابه. والخلاصة تصمد أمام أي مدخل معقول: موجة إفصاح متواضعة تتجاوز الطاقة الاعتيادية للترقيع بمقدار عشرة أضعاف تقريبًا.
من يحصل على الترقيع قبلك؟
أي مختبر يمتلك كمًا من الثغرات غير المعلنة لا بد أن يخبر أحدًا قبل أن يخبر الجميع. الجلوس عليها أمر لا يمكن تبريره، وإلقاؤها دفعة واحدة على العامة أسوأ، وإبلاغ آلاف المشاريع المتأثرة سرًا أمر مستحيل عمليًا. الخيار المنطقي هو تزويد دائرة صغيرة بإحاطة مسبقة: أكبر المنصات، التي تملك فرق أمن كبيرة بما يكفي لاستيعاب سيل معلومات سرّي. هذا هو الفرز، وهو أيضًا، بأي تعريف تجاري، مستوى عضوية متميز. والفاصل الزمني بين ترقيع هذه الدائرة سرًا وإتاحة النموذج للعامة هو نافذة تعرّض مجدولة، ذات موعد بداية يمكن التنبؤ به تقريبًا، وقائمة ضيوف لا حول لك ولا قوة فيها.
خارج هذه الدائرة، يقع العبء على أقل الأطراف تجهيزًا في السلسلة. وجد مشروع Census II التابع لمؤسسة Linux Foundation حول برمجيات المصدر المفتوح والمجاني أن أكثر المكتبات استخدامًا ترتكز على عدد صغير من المطوّرين، كثير منهم متطوعون غير مأجورين. لا وجود لجدول مناوبة لمتطوع يعتني بمكتبة تحليل نصوص عمرها عشرون عامًا، ولا اتحاد سيرقّع تبعياتك غير المباشرة نيابة عنك. رقم الـ6% هو ما يبدو عليه الاكتشاف حين يتوسع كالبرمجيات بينما لا يزال الإصلاح يتوسع كالبشر.
كيف يبدو نموذج التعامل مع موجة ترقيعات يوم الإصدار؟
تعامل مع مواعيد إصدار نماذج الذكاء الاصطناعي المتطورة المُعلنة كما تتعامل فرق الصيانة مع تنبؤات العواصف: أحداث محددة الموعد تُطلق استجابة متدربًا عليها مسبقًا. يتكون النموذج من أربعة عناصر.
الملكية. تقع مسؤولية الموجة على عاتق من يملك خط أنابيب النشر، وعادة ما يكون رئيس الهندسة أو عمليات تقنية المعلومات. مهمة فريق الأمن هي الفرز والترتيب حسب الأولوية؛ ومهمة فريق الهندسة هي التنفيذ. خطة موجة يملكها فريق لا يستطيع النشر ليست سوى وثيقة على الورق.
خط أساس مقاس. احسب عدد تحديثات التبعيات التي اختبرها فريقك ونشرها فعليًا في الأسبوع خلال الربع الأخير، بالاستناد إلى سجلات التغيير لا الذاكرة. هذا الرقم هو طاقتك الحقيقية لاستيعاب الموجة، ومكانه في استراتيجيتك التقنية إلى جانب جرد للتبعيات يحدد العناصر التي لن يصلحها أحد من المصدر نيابة عنك أبدًا.
العتبات. قدّر حجم الموجة بالحسابات أعلاه: حجم الشجرة، مضروبًا في معدل تأثر مفترض، مضروبًا في نسبة الـ94% من النتائج التي ينبغي افتراض وصولها دون إصلاح، مقسومًا على أربعة عشر يومًا. إذا وقعت النتيجة ضمن طاقتك المقاسة، فتدرّب على السيناريو وامضِ قدمًا. أما إذا تجاوزت الطاقة، وهو ما سيحدث لمعظم المؤسسات المتوسطة الحجم، فاتفق مسبقًا على تدابير تخفيف لا تعتمد على الترقيع: ترقيعات افتراضية عند البوابة، عزل شبكي للعناصر المعرضة للخطر، مفاتيح إيقاف قائمة على أعلام الميزات (feature flags)، وقائمة مرتبة بأولوية الدفاع عن أهم عشرين تبعية. تصميم المكونات بحيث يمكن فصلها دون إسقاط المنتج بأكمله هو ذات المبدأ الذي ندافع عنه في تأمين الأنظمة العاملة بالوكالة (agentic).
تبعات محلية موثّقة. في المملكة المتحدة، قد يؤدي سقوط شهادة «Cyber Essentials» إلى استبعاد المؤسسة من عقود القطاع العام، ويبدأ اختراق يمس بيانات شخصية عدّاد الساعات الاثنتين والسبعين للإبلاغ لدى مكتب مفوض المعلومات (ICO). أما في دول الخليج، فتفرض أطر مثل نظام حماية البيانات الشخصية السعودي والقوانين المماثلة في الإمارات التزامات إبلاغ وامتثال مشابهة في الجوهر، إلى جانب برامج التحول الرقمي الوطنية، مثل رؤية السعودية 2030 واستراتيجية الإمارات للذكاء الاصطناعي، التي تجعل من جاهزية الأمن السيبراني شرطًا متزايد الأهمية للمشاركة في المشاريع الحكومية والاستثمارات السيادية في الذكاء الاصطناعي. وتسأل شركات التأمين السيبراني عن وتيرة الترقيع عند كل تجديد للبوليصة. هذه التبعات الثلاث ينبغي أن تكون حاضرة في أوراق المشتريات قبل بناء أي شيء على نموذج ذكاء اصطناعي متطور، وهو الجانب غير البرّاق من الجاهزية للذكاء الاصطناعي.
ستحتفظ دائرة الترقيع المسبق بقائمتها، وستستمر مواعيد الإصدار في القدوم. من بين كل الأرقام في هذا المقال، طاقة الترقيع المقاسة هي الرقم الوحيد الذي تتحكم فيه، وموعد الإصدار القادم مدوّن بالفعل في مفكرة أحدهم. قِس طاقتك هذا الأسبوع.
أسئلة شائعة
ما هي نافذة الإفصاح عن الثغرات الأمنية، ولماذا أصبحت أكثر خطورة؟
هي الفجوة الزمنية بين الإبلاغ السري عن ثغرة وإعلان تفاصيلها للعامة. كانت تاريخيًا تحمي المستخدمين ريثما يصدر إصلاح. أما حين يكون نموذج الذكاء الاصطناعي هو من يولّد النتائج ويصبح متاحًا للعامة في موعد معروف مسبقًا، فإن النافذة تتحول إلى عد تنازلي نحو لحظة يلتقي فيها هذا الأداة القوية للاكتشاف بالمؤسسات غير المرقّعة في العلن.
كيف أحسب طاقة الترقيع المطلوبة ليوم إصدار نموذج جديد في مؤسستي؟
اضرب حجم شجرة تبعياتك في معدل تأثر مفترض بالإفصاح (نسبة تتراوح بين 0.5% و2% نطاق تخطيط معقول)، ثم اخصم النسبة الصغيرة من النتائج التي يُرجَّح أن يكون لها إصلاح من المصدر، ثم اقسم الناتج على 14 يومًا. هذا يمنحك المعدل اليومي المطلوب للتخفيف. قارنه بطاقتك الفعلية المقاسة من سجلات التغيير الحقيقية، وسدّ أي فجوة بتدابير متفق عليها مسبقًا مثل العزل ومفاتيح الإيقاف، لا بالتفاؤل.
هل يحميني الاعتماد على مصادر مفتوحة ناضجة وخاضعة لمراجعات واسعة من ثغرات يكتشفها الذكاء الاصطناعي؟
أقل مما كان الحال سابقًا. الادعاءات قيد الفحص تشمل ثغرات صمدت لعقود داخل شيفرة خضعت لمراجعة مكثفة، وبيانات الإصلاح تشير إلى أن طاقة المطوّرين، لا عمر الشيفرة، هي عنق الزجاجة. وجد مشروع Census II أن أكثر المكتبات استخدامًا يعتمد على حفنة من المطوّرين، ما يعني أن الشعبية تُركّز التعرض يوم الإصدار بدلًا من أن تخفّفه.
مواضيع ذات صلة
- علاوة السيادة: لماذا تكسب حلول الذكاء الاصطناعي السيادي للمؤسسات الرهان على حرية الوصول لا على السرعة
- واشنطن تضع مختبرها الخاص للذكاء الاصطناعي على قائمة المخاطر... وهذا يغيّر معنى الارتهان لمزوّد الذكاء الاصطناعي
- لماذا تفشل مشاريع الذكاء الاصطناعي التجريبية في التوسع: المشكلة ثقة لا قدرة
- Security & Trust
كُتب بواسطة شخصية تحريرية بالذكاء الاصطناعي ضمن نظام التحرير الخاص بـ Abyshire وروجع من فريقنا.