أصبح اكتشاف الثغرات المحتملة في البرمجيات مفتوحة المصدر أسهل مع أدوات الذكاء الاصطناعي، لكن سهولة العثور على مشكلة مفترضة لا تعني أنها ثغرة حقيقية قابلة للاستغلال. ونتيجة لذلك، يواجه مشرفو المشاريع تدفقاً من البلاغات المطولة أو غير الدقيقة أو المتكررة، ما يستهلك وقتاً كان يمكن توجيهه إلى إصلاح العيوب وتطوير البرمجيات.
تحاول مبادرة Akrites، التي أعلنتها مؤسسة Linux Foundation في يونيو، معالجة هذه الفجوة عبر فريق مشترك للاستجابة للحوادث الأمنية (SIRT). وتتمثل مهمته في تجميع بلاغات الثغرات والتحقق منها وتنسيق الإصلاحات مع مشرفي المشاريع الأصلية. وفي مقابلة مع The New Stack خلال Open Source Summit Europe في براغ، شرح Christopher Robinson، المدير التقني لـAkrites وكبير معماريي الأمن في Open Source Security Foundation (OpenSSF)، وLaura Guazzelli، معمارية الأمن للذكاء الاصطناعي والأنظمة الوكيلة في Linux Foundation، طبيعة المشكلة وآلية المبادرة.
من «البحث العفوي» إلى عبء تشغيلي
يقول Robinson إن امتلاك حساب مدفوع بقيمة 20 دولاراً يكفي الآن لبدء البحث عن ثغرات، في إشارة إلى انخفاض حاجز الدخول أمام غير المتخصصين. ووصف Adrianne Marcum، كبيرة موظفي OpenSSF، هذا النمط بصورة ساخرة بعبارة «vibe researching»، لوصف استخدام أدوات الذكاء الاصطناعي لفحص الشيفرة وإرسال النتائج دون امتلاك السياق الأمني أو الخبرة اللازمة للتحقق منها.
ويقدر Robinson أن مراجعة طلب أمني واحد قد تستغرق من المهندس ما يصل إلى ثماني ساعات. كما أن البلاغات الآلية، وفق وصفه، شديدة التفصيل لكنها غير دقيقة غالباً، وتبالغ في تقدير شدة المشكلة ولا تقدم دائماً البيانات المطلوبة لكتابة تصحيح أو فهم طريقة الاستغلال.
لماذا لا يكفي اكتشاف الشيفرة المشبوهة؟
تتمثل إحدى القيود الرئيسية في أن النموذج قد يرى مقطعاً مشبوهاً من دون فهم البنية الأمنية الكاملة للمشروع. فقد تكون هناك ضوابط إضافية في موضع آخر تمنع استغلال الخلل، وهو ما يجعل البلاغ إنذاراً كاذباً أو يخفف خطورته الفعلية. كما أن النماذج المتشابهة تميل إلى اكتشاف العيوب نفسها، فتصل إلى المشرفين بلاغات متعددة عن المشكلة ذاتها.
ومع ذلك، لا ترى Akrites أن تجاهل البلاغات المولدة بالذكاء الاصطناعي خيار عملي. يقول Robinson إن جودة النتائج تحسنت خلال العام، خصوصاً لدى النماذج المدفوعة الأعلى كلفة، كما تستطيع الأدوات أحياناً ربط مشكلات منخفضة الخطورة وتحويلها إلى سلسلة استغلال أكبر، وهي مهمة قد تستغرق من الباحث البشري أشهراً أو سنة.
المراجعة البشرية قبل وصول البلاغ إلى المشروع
تستخدم Akrites الذكاء الاصطناعي لتقييم البلاغات الواردة واكتشاف التكرار، ثم يتولى مهندسون منتدبون مراجعتها قبل إحالتها إلى المشرفين. ولا يقتصر دورهم على الحكم بوجود الثغرة، بل يشمل اختصار البلاغ، وإضافة حالات اختبار وإثباتات مفهوم وتصحيحات، حتى يتمكن المشروع من اتخاذ قرار أسرع وأكثر استناداً إلى الأدلة.
وتضم المبادرة أعضاء مؤسسين من بينهم Anthropic وOpenAI وGoogle وMicrosoft وAWS وNVIDIA وCisco وIBM وRed Hat وCiti وJPMorganChase. ووفق Robinson، يُطلب من الأعضاء تقديم موارد هندسية إلى جانب التمويل، وقد يصل الالتزام إلى 10 مهندسين بدوام كامل لكل عضو. ويقول إن لديه نحو 200 مهندس منتدب، كثير منهم مساهمون أو مشرفون أصلاً في مشاريع مفتوحة المصدر.
ما الذي يتغير عملياً؟
تضع Akrites طبقة فرز وتحقق بين أدوات اكتشاف الثغرات ومشرفي المشاريع، بدلاً من نقل كل نتيجة آلية مباشرة إلى أصحاب الشيفرة. وهذا قد يقلل الضوضاء ويحسن قابلية البلاغات للتنفيذ، لكنه لا يلغي الحاجة إلى الخبرة البشرية أو إلى تمويل مستمر؛ إذ تستهلك البنية التحتية واستخدام نماذج اللغة موارد كبيرة.
وتعمل مبادرة أخرى مرتبطة بمؤسسة Linux Foundation، هي open source Cyber Reasoning System (OSS-CRS)، على تطوير أدوات تساعد المشاريع نفسها في التحقيق بالثغرات واقتراح الإصلاحات. بينما تركز Akrites على تنسيق دورة البلاغات بين المشاريع، يهتم OSS-CRS بتمكين المشرفين من تنفيذ جزء أكبر من العمل. وتبقى فعالية التصحيحات المقترحة سؤالاً مفتوحاً، إذ يجب التحقق من أنها تعالج السبب الجذري ولا تضيف ثغرات جديدة أو تكسر وظائف قائمة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.