SentinelOne: نماذج OpenAI تنجز في 8 ساعات هندسة عكسية تستغرق 4–6 أسابيع

صرّح غريغور ستيوارت من SentinelOne بأن قدرات نماذج OpenAI في الأمن السيبراني تبلغ مستوى الإنسان في الهندسة العكسية: فالعمل الذي يستغرق من أفضل الباحثين من أربعة إلى ستة أسابيع يستغرق من الذكاء الاصطناعي نحو ثماني ساعات. وإذا حسبنا وقت العمل على أساس أسبوع من 40 ساعة، فهذا يعادل 160–240 ساعة مقابل ثماني ساعات، أي تسريعًا بنحو 20–30 ضعفًا. والمصدر هنا هو الجهة المطوّرة والشريك في آن واحد: فقد نُشر الفيديو على قناة OpenAI.

ما الذي يتسارع تحديدًا

يتعلق الأمر بالهندسة العكسية، أي تحليل الشيفرة الخبيثة، حيث يستخرج المحلل من ملف مُترجَم ما يفعله، وكيف يخفي نفسه، ومع من يتواصل. وهي من أكثر المهام استنزافًا للجهد في مجال الأمن. ولا يؤديها إلا عدد قليل من المتخصصين، وكل ساعة من عملهم مكلفة. لذلك تضطر الفرق إلى اختيار العينات التي تستحق تحليلًا معمقًا، فتبقى البقية في الانتظار أو لا تُدرس إطلاقًا.

ويصوغ ستيوارت الأمر بلغة الاقتصاد: «هذا هو نوع الذكاء الذي لم نكن نستطيع تحمّل كلفته من قبل». والمهم هنا ليس السرعة في حد ذاتها. فحين تنخفض كلفة التحليل المعمق عشرات المرات، يتحرك الحد الفاصل في سؤال «هل تستحق هذه العينة أن نصرف عليها الوقت؟»، فتدخل في العمل عينات كانت تُستبعد سابقًا.

ماذا يمنح ذلك فريق الأمن

تذكر SentinelOne ثلاثة تأثيرات:

• عدد أكبر من عينات البرمجيات الخبيثة المحلَّلة بالعدد نفسه من الأشخاص؛
• إمكانية الربط بين التهديدات المتقاربة: الشيفرة المشتركة، والبنية التحتية، وأساليب العائلات المختلفة؛
• صورة أوضح لكيفية تطور الهجمات مع الوقت.

والنقطة الثالثة نتيجة للأوليين. فكلما حُلّلت عينات أكثر حتى مستوى المنطق البرمجي، سهل أن نلاحظ أن ثلاث أدوات «مختلفة» كتبها فريق واحد أو أنها تنمو من قاعدة شيفرة واحدة. وكانت هذه الروابط في السابق كثيرًا ما تفلت لمجرد أن أحدًا لم يكن يصل إلى ما يصل إلى نصف العينات.

ما الذي ينقص المادة

المصدر شحيح: وصف قصير للفيديو ورابط إلى دراسة حالة على موقع OpenAI. وتبقى عدة أسئلة مفتوحة:

• أي نموذج أو نظام استُخدم بالضبط؛
• على أي عينات وبأي معيار حُدّدت «جودة النتيجة البشرية»؛
• هل الساعات الثماني هي وقت الآلة الصافي أم تشمل مراجعة المحلل؛
• ما نسبة الأخطاء، وكم من الرقابة البشرية يلزم بعد عمل الذكاء الاصطناعي.

والنقطة الأخيرة جوهرية. ففي الهندسة العكسية، الاستنتاج الخاطئ عن عينة أسوأ من غياب الاستنتاج: فقد يقود التحقيق في اتجاه خاطئ أو يخلق شعورًا زائفًا بأن التهديد قد أُغلق. ولا تكون المقارنة «8 ساعات مقابل 4–6 أسابيع» سليمة إلا إذا كانت النتائج متكافئة في العمق والدقة، ولا يمكن التحقق من ذلك من المادة المنشورة.

تطبيق عملي للفرق

إذا كنتم تديرون threat research أو SOC، فمن المجدي ألا تنقلوا هذا الرقم إلى عملكم كما هو، بل أن تختبروه على بياناتكم. خذوا عدة عينات سبق أن حللها محللوكم، ومرّروها عبر مساعد ذكاء اصطناعي. ثم قارنوا النتيجة بالمرجع: الشمول، والأخطاء، والوقت اللازم للتحقق.

قيّموا بصورة منفصلة ما تراكم في طابور العينات غير المحلَّلة. فهناك قد يقدم الذكاء الاصطناعي أكبر فائدة، لأن الوقت البشري لهذا العمل لم يكن متاحًا أصلًا. وأدرجوا في العملية تحققًا بشريًا إلزاميًا: فالتسريع بمقدار 20–30 ضعفًا مفيد ما دام بالإمكان تأكيد الاستنتاجات بسرعة.

أما بالنسبة إلى السوق، فالإشارة هي أن مزوّدي الأمن بدؤوا يتحدثون عن الذكاء الاصطناعي بلغة كلفة الخبرة، لا بلغة سهولة الواجهة. ولا توجد حتى الآن قياسات مستقلة، وإلى أن تظهر ينبغي قراءة رقم SentinelOne بوصفه ادعاءً، لا نتيجة مقيسة.