اختبارات Microsoft الفصلية تكشف أداء Defender أمام تهديدات البريد الإلكتروني

نشرت Microsoft نتائج أحدث مقارنة فصلية لأمن البريد الإلكتروني، قائلة إن Microsoft Defender فوّت أقل عدد من التهديدات عالية الخطورة بين الحلول التي جرى تقييمها خلال الفترة من مايو إلى يوليو 2026. ووفق أرقام الشركة، بلغ عدد التهديدات الفائتة 221 تهديداً لكل 1,000 مستخدم محمي، أي أقل بنسبة 55.4% من أقرب منافس من مزودي بوابات أمن البريد الإلكتروني (SEG).

وتستند المقارنة إلى قياس التهديدات التي لم تُكتشف، بدلاً من احتساب إجمالي الرسائل الخبيثة التي جرى اعتراضها. تبرر Microsoft هذا الأسلوب بأن أعداد الرسائل التي يتم التقاطها قد تتأثر باختلاف حجم التهديدات ومستوى التعرض في بيئات كل مزود. أما توحيد القياس لكل 1,000 مستخدم، فيهدف إلى تقديم مقارنة أكثر اتساقاً بين الحلول، بحسب الشركة.

ما الذي تقيسه النتائج فعلياً؟

لا تقتصر المادة على مرحلة منع الرسالة قبل وصولها إلى صندوق الوارد. فمقارنة Microsoft تشمل أيضاً حلول أمن البريد الإلكتروني السحابية المتكاملة (ICES)، التي تجمع بين التصفية قبل التسليم والكشف والمعالجة بعد التسليم. وتقول الشركة إن Defender اكتشف في المتوسط 92% من الرسائل الخبيثة بعد تسليمها خلال فترة القياس.

وتشير نتائج ICES إلى أن القيمة الإضافية الأكبر للحماية متعددة الطبقات ظهرت في تصفية الرسائل الترويجية والرسائل المرسلة على نطاق واسع. كما ارتفعت نسبة التقاط الرسائل الخبيثة لدى مزودي ICES إلى 0.30%، مقارنة بـ0.13% في الربع السابق، وارتفعت نسبة التقاط الرسائل المزعجة إلى 0.52%، مقابل 0.28%.

وتوضح Microsoft أن المعالجة بعد التسليم ليست إجراءً ينفذ مرة واحدة بعد وصول الرسالة إلى المستخدم. إذ تعيد Defender، وفق وصف الشركة، تقييم الرسائل الموجودة في صناديق البريد عندما تظهر معلومات استخباراتية جديدة أو مؤشرات خطر أو معلومات مرتبطة بحملة هجومية، ثم تعالج الرسائل التي يتضح خطرها لاحقاً.

لماذا يهم هذا الخبر؟

تكمن أهمية الأرقام في أنها تنقل تقييم أمن البريد من سؤال «كم رسالة جرى حظرها؟» إلى سؤال أكثر دقة: «كم تهديداً عالي الخطورة وصل إلى المستخدم أو بقي دون اكتشاف؟». ومع ذلك، تظل المقارنة مرتبطة بنطاق الحلول التي اختارتها Microsoft ومنهجية القياس التي عرضتها في المادة، لذلك لا تكفي الأرقام وحدها للحكم على تجربة كل مؤسسة أو كل نوع من أنواع الرسائل.

وتقول Microsoft إن التهديدات الفائتة ارتفعت عبر فترات قياس متعددة، بما في ذلك لدى Defender. وترى الشركة أن ذلك ينسجم مع استخدام المهاجمين للذكاء الاصطناعي في جمع المعلومات العامة، وتخصيص الرسائل، وصياغة محاولات انتحال أكثر إقناعاً. هذه الملاحظة لا تعني أن الذكاء الاصطناعي يفسر كل حالات الفشل، لكنها تبرز الحاجة إلى دفاع يتكيف مع الإشارات الجديدة بدلاً من الاعتماد على قواعد ثابتة فقط.

كيف انعكست النتائج على Defender؟

تربط Microsoft بين نتائج القياس وبعض الاستثمارات الأخيرة في Defender. فقد أضافت مجلد Promotions في Outlook استناداً إلى ملاحظة أن حلول ICES تحقق فائدة كبيرة في تصفية الرسائل الترويجية والرسائل المجمعة، مع إبقاء الرسائل التسويقية المشروعة متاحة للمستخدم بدلاً من خلطها بالرسائل الخبيثة أو المزعجة.

كما أعادت الشركة تصميم مكدس نماذج التعلم الآلي والذكاء الاصطناعي، مع إدخال إشارات معالجة اللغة الطبيعية، ومنها موضوع الرسالة، إلى جانب إشارات كشف أخرى. وتقول Microsoft إن قياساً أجرته أبحاثها على مدى أربعة أسابيع متتالية أظهر انخفاضاً يقارب الثلثين في حالات الفشل في اكتشاف التهديدات، وانخفاضاً يقارب الخُمس في الإنذارات الإيجابية الكاذبة لدى عملاء Defender. هذه النسب معروضة بوصفها نتيجة رصد أجرته Microsoft، ولم تورد المادة تفاصيل مستقلة عن مجموعة الاختبار أو تصميم المقارنة.

حماية المستخدمين والأنظمة التي تقرأ البريد

تتجاوز الإضافة الأخيرة المستخدم البشري، إذ تقول Microsoft إنها طورت حماية من prompt injection لاكتشاف التعليمات الخبيثة الموجهة إلى أنظمة الذكاء الاصطناعي وعزلها قبل التسليم. وتربط الشركة هذه الحماية بانتشار Copilot والوكلاء والأنظمة الأخرى التي قد تقرأ محتوى صندوق الوارد وتتخذ إجراءات بناءً عليه.

عملياً، يوسع ذلك نطاق أمن البريد من منع التصيد أو البرمجيات الخبيثة إلى فحص التعليمات التي قد تستغل نظاماً ذكياً يتعامل مع الرسائل. لكن المادة لا تقدم تفاصيل تقنية عن آلية العزل أو معدلات اكتشاف هجمات prompt injection، ما يترك أسئلة مفتوحة حول كيفية تقييم هذه الحماية خارج اختبارات Microsoft.

الخلاصة التحريرية

تقدم المقارنة مؤشراً مهماً على أن أمن البريد لم يعد طبقة منع قبل التسليم فقط. فالنتائج التي عرضتها Microsoft تضع المعالجة المستمرة بعد وصول الرسالة، والتصفية متعددة الطبقات، وتحسين النماذج، ضمن عناصر الحماية الأساسية. وفي المقابل، ينبغي قراءة الأرقام باعتبارها نتائج benchmark منشورة من الشركة نفسها، لا شهادة مستقلة شاملة على أداء Defender في جميع البيئات. القيمة الأوضح للمؤسسات هي المنهجية: متابعة الرسائل بعد التسليم، وقياس التهديدات الفائتة لكل مستخدم، ومراجعة قدرة النظام على التكيف مع حملات انتحال تتغير بسرعة.