Chainguard تطلق تحالف Athena: الذكاء الاصطناعي يسدّ ثغرات المصادر المفتوحة قبل أن يصل إليها المخترقون

أعلنت Chainguard، الشركة المتخصصة في حماية سلسلة توريد البرمجيات، إنشاء تحالف Athena. وهو تجمّع من شركات التقنية الشريكة تستخدم الذكاء الاصطناعي بصورة مشتركة لاكتشاف الثغرات في الشيفرة المفتوحة وإصلاحها قبل أن يتمكن المهاجمون من استغلالها.

ما هو Athena ولماذا التحالف

لا يُعدّ Athena أداة أمنية جديدة أخرى، بل هو مبادرة على مستوى القطاع. وتقرّ Chainguard بأن سدّ جميع الثغرات في منظومة المصادر المفتوحة بجهد منفرد أمر مستحيل. فسجلات npm وPyPI وMaven وGo modules تضم مئات الآلاف من الحزم، وغالبًا ما يتولى الإشراف على الحزمة الواحدة منها متطوع أو اثنان. ويقوم نموذج التحالف على أن يتبادل المشاركون بيانات الثغرات، ويطوّروا الرقعات معًا، وينسّقوا الاستجابة للحوادث الحرجة في المكوّنات المشتركة.

وتغيّر نموذج التهديد نفسه جوهريًا. فقبل بضع سنوات كان المهاجمون يبحثون عن الثغرات في الغالب يدويًا، بوتيرة بطيئة وغير متوقعة. أما اليوم فيتيح الذكاء الاصطناعي فحص المستودعات بصورة منهجية، واكتشاف أنماط الشيفرة الهشة تلقائيًا، وتوليد إثباتات مفهوم (proof-of-concept) للثغرات خلال ساعات. وتمثّل Athena محاولة لنشر القدرات نفسها في جانب الدفاع.

كيف يعمل خط المعالجة الآلي

يقوم التحالف على عملية آلية لاكتشاف الثغرات وإصلاحها:

• فحص مستمر للمستودعات العامة بحثًا عن فئات الثغرات المعروفة (CWE، وOWASP Top 10)
• تحليل التبعيات غير المباشرة (transitive dependencies) لكشف المخاطر الخفية في سلاسل الحزم متعددة المستويات
• توليد تلقائي لمسودات الرقعات بواسطة الذكاء الاصطناعي التوليدي استنادًا إلى سياق الشيفرة
• إعداد طلبات دمج (pull requests) تتضمن شرحًا مفصّلًا للثغرة وتبريرًا للإصلاح
• ترتيب الأولويات وفق تقييم CVSS ومدى انتشار الحزمة فعليًا في بيئات الإنتاج

ويتمثل الفارق الجوهري عن برامج مكافآت اكتشاف الثغرات (bug bounty) التقليدية في الاستباقية. فالنظام لا ينتظر أن يعثر باحث على الثغرة ويبلّغ عنها، بل يبحث بنفسه ويقترح حلًا جاهزًا على الفور. ويبقى الإنسان جزءًا من الحلقة: يراجع المشرف الرقعة ويختبرها ويتخذ القرار النهائي. فهذا ليس بديلًا عن الخبرة البشرية، بل أداة تسرّع الاستجابة.

لماذا الآن

تزايدت الهجمات على سلسلة توريد البرمجيات وازدادت تعقيدًا. فقد أظهرت ثغرة Log4Shell في عام 2021 مدى عمق تغلغل مكتبة واحدة هشة، إذ وُجدت في ملايين الأنظمة المؤسسية التي لم تثبّتها عمدًا قط. وكشفت حادثة XZ Utils في عام 2024 مسارًا أكثر إثارة للقلق: فقد بنى مهاجم الثقة داخل مجتمع المصادر المفتوحة بصبر على مدى عامين، ليزرع في النهاية بابًا خلفيًا (backdoor) في حزمة ضغط واسعة الاستخدام.

تعمل Chainguard في هذا المجال منذ وقت طويل. فهي تطوّر Wolfi، وهي توزيعة Linux مصغّرة بأقل سطح هجوم (attack surface) ممكن، مزوّدة بإدارة آلية مدمجة لثغرات CVE. وتوسّع Athena الفلسفة نفسها لتشمل المنظومة بأكملها: لا داخل منتجات الشركة وحدها، بل في الحزم التي يعتمد عليها القطاع كله.

«يستخدم المهاجمون الذكاء الاصطناعي بالفعل للعثور على الثغرات في

الشيفرة المفتوحة بسرعة أكبر. حان الوقت ليستخدم المدافعون الأدوات نفسها على نطاق صناعي».

ماذا يعني ذلك

يمثّل تحالف Athena مؤشرًا على تحوّل بنيوي: ينتقل سوق الأمن السيبراني من الترقيع التفاعلي إلى الحماية الاستباقية بالذكاء الاصطناعي. وبالنسبة إلى فرق الهندسة التي تبني منتجاتها على حزمة تقنيات مفتوحة المصدر، قد يعني ذلك منظومة أنظف وسدًّا أسرع للثغرات. أما الحجم الفعلي للتغيير فسيتوقف على مدى اتساع مشاركة الشركاء، ومدى استعداد المشرفين على المشاريع لقبول الرقعات المولّدة تلقائيًا كأداة عمل اعتيادية.