أظهرت الجلسة الرابعة من برنامج GitHub Secure Open Source Fund أن الذكاء الاصطناعي يمكن أن يساعد مشرفي المشاريع مفتوحة المصدر على التحقيق في الثغرات وترتيب أولوياتها والاستجابة لها بسرعة أكبر، لكن القرارات النهائية بشأن ما يُدمج أو يُطلق تظل مرتبطة بخبرة المشرفين وسياق المشروع ومسؤوليتهم المباشرة. واستثمر البرنامج أكثر من 500 ألف دولار في 50 مشروعاً، مع الجمع بين الخبراء وأدوات GitHub الأمنية وسير العمل المدعوم بالذكاء الاصطناعي ومجتمع من الأقران.
وتأتي هذه النتائج في وقت يغيّر فيه الذكاء الاصطناعي سرعة تطوير البرمجيات، ويزيد في الوقت نفسه من التحديات الأمنية. فالمشرفون يتعاملون مع مساهمات غير مألوفة، وأساليب جديدة للهجوم، وثغرات تحتاج إلى معالجة، غالباً بموارد ووقت محدودين.
تجربة OpenClaw نموذجاً
دُعي مشروع OpenClaw إلى المشاركة في الجلسة الرابعة باعتباره أسرع مشروع مفتوح المصدر نمواً على GitHub، ولرغبة مشرفيه في تعزيز وضعه الأمني. وبنهاية البرنامج، وضع المشروع خطة للاستجابة للحوادث، ووسّع استخدامه لأدوات GitHub الأمنية، ودقّق في مسارات عمل GitHub Actions، كما عزز آلياته الخاصة بتحديد المشكلات الأمنية والاستجابة لها.
وتعكس تجربة OpenClaw، وفق المادة، القصة الأوسع للبرنامج. فعلى الرغم من اختلاف المخاطر بين المشاريع المشاركة، احتاج المشرفون عموماً إلى المعرفة والأدوات والدعم المتخصص لتأمين البرمجيات في ظل تغير طريقة بنائها باستخدام الذكاء الاصطناعي.
كيف صُمم صندوق Secure Open Source Fund؟
يربط الصندوق التمويل بنتائج أمنية قابلة للقياس. ويتضمن البرنامج تدريباً عملياً على الأمن، وتواصلاً مباشراً مع خبراء GitHub Security Lab، ومجتمعاً موثوقاً يتيح للمشرفين مناقشة التحديات الأمنية مع أقرانهم.
تتكون كل جلسة من دورة مكثفة مدتها ثلاثة أسابيع، بينما تمتد المشاركة الإجمالية إلى 12 شهراً. ويرتبط التمويل والمشاركة بأهداف موجهة نحو النتائج وتحسينات أمنية يجري التحقق منها. ويصمم GitHub Security Lab الدورة، وينفذها خبراء أمن من GitHub وشركائه، مع توزيع موضوعات التدريب على أسابيع تركز على:
- أساسيات أمن البرمجيات مفتوحة المصدر.
- نمذجة التهديدات والبرمجة الآمنة.
- أمن الذكاء الاصطناعي وإدارة الثغرات.
يحصل كل مشروع على 10 آلاف دولار عبر GitHub Sponsors؛ منها 6 آلاف دولار خلال الدورة المكثفة، وألفا دولار عند كل مراجعة أمنية بعد ستة أشهر وبعد 12 شهراً. كما يحصل المشاركون على عضوية في مجتمع يركز على الأمن، وساعات مكتبية مع GitHub Security Lab طوال فترة الـ12 شهراً، وموارد أمنية للتطبيق الفوري، إضافة إلى أرصدة Azure للبنية التحتية السحابية.
مجالات التحسين الأمني في الجلسة الرابعة
شملت المشاريع المشاركة طبقات متعددة من منظومة البرمجيات، من البنية التحتية للذكاء الاصطناعي إلى خدمات الإنترنت. وضمت فئة الذكاء الاصطناعي والتعلم الآلي والأنظمة الذكية مشاريع مثل Caracal وDeep Agents وDocsGPT وLadybugDB وLangChain وn8n-MCP وONNX وOpenClaw وSerena. وترى المادة أن تحسين أمن هذه المشاريع يساعد في بناء أسس أقوى لسير عمل الذكاء الاصطناعي وعمليات النشر الحديثة.
وشملت فئة أنظمة البناء وسلاسل توريد البرمجيات وأدوات الإصدار مشاريع مثل browserslist وCycloneDX Python Library وCucumber وgolangci-lint وJReleaser وpostcss وTask. وتؤثر هذه الأدوات في اختبار البرمجيات والتحقق منها وتغليفها وإصدارها، بما في ذلك قوائم مكونات البرمجيات ومسارات الإصدار وأتمتة اختبار جودة الشفرة.
أما مشاريع لغات البرمجة الأساسية وبيئات التشغيل والمكتبات التأسيسية، فضمت Byte Buddy وcore-js وFS2 وGleam وhtmx وPkl وPyodide وtermcolor. ويمكن أن تمتد التحسينات الأمنية في هذه الطبقة إلى عدد كبير من التطبيقات والأدوات التي تعتمد عليها.
وضمت أدوات المطورين ومنصات الإنتاجية مشاريع مثل cheerio وCiphey وCodeRunner وHoppscotch وMapStruct وPython Pillow وProyecto Respira وReadest وToolJet وVuetify وYjs. كما شملت فئة الويب والشبكات وواجهات برمجة التطبيقات وخدمات البنية التحتية actix-web وaiohttp وApache Solr وApache ZooKeeper وetcd وFastAPI وHaraka وHummingbird وmimetype وSniffnet وStarlette وUAParser.js، وهي تقنيات تتعامل مع واجهات البرمجة والبحث والرسائل وتنسيق الخدمات والأنظمة الموزعة.
الذكاء الاصطناعي جزء من الأمن البرمجي الأوسع
ظهرت أسئلة أمن الذكاء الاصطناعي عبر مختلف المشاريع، من أطر الوكلاء والبنية التحتية للتعلم الآلي إلى أدوات المطورين والبنية التحتية للإنترنت. لكن مسؤوليات الأمن التقليدية لم تختفِ؛ إذ ظل على المشرفين إدارة الثغرات وتأمين التبعيات وحماية مسارات الإصدار والاستعداد للحوادث.
وتخلص المادة إلى أن الذكاء الاصطناعي يضيف مخاطر جديدة ويرفع سرعة الاستجابة المطلوبة، لكنه لا يعمل بمعزل عن الممارسات الأمنية القائمة. لذلك سيحتاج المشرفون إلى تعليم عملي ومجتمعات موثوقة ودعم من الخبراء يمكنه مواكبة هذا التحول. وأعلن GitHub أن التقديم إلى الجلسة الخامسة من الصندوق متاح حتى 24 أغسطس.