بوت يرسل مستودعًا فخًّا بـ1774 نجمة: مطوّر يحلّل 321 مستودعًا من قائمة الأكثر رواجًا

جمع بوت تيليغرام، الذي يلتقط كل صباح خمسة مستودعات رائجة على GitHub من trendshift.io، في 26 سبتمبر مستودع «Microsoft Activation Scripts» ضمن الخلاصة. كان للمشروع 1774 نجمة، ووصف مرتب، ووسوم، وزر خلاصة README نفسه الذي يظهر مع المستودعات الأربعة المجاورة. كان ذلك فخًا. وكتب مطوّر البوت عن الحادثة على Habr، وبعدها حلّل 321 مستودعًا من قوائم الأكثر رواجًا وبنى مرشّحَين يُفترض أن يلتقطا مثل هذه المشاريع مسبقًا.

لم يكشف إعلان المنشور عمّا يوجد داخل المستودع تحديدًا ولا عن كيفية عمل الخدعة. يتناول ما يلي ما هو معروف من النص، وكذلك السياق الذي يجعل الحالة مثالًا دالًّا.

كيف بدا الفخ

آلية البوت بسيطة. يعرض trendshift.io المستودعات التي تكتسب اهتمامًا على GitHub. يأخذ البوت خمسة منها ويرسلها إلى تيليغرام مع زر. تضغط الزر فتحصل على خلاصة README، وتفهم الفكرة، وأحيانًا تثبّت ما أعجبك. يقرأ المطوّر هذه الخلاصة كل يوم.

يُسقط هذا الشكل أهم إشارة، وهي التباين. حين تبدو المشاريع الخمسة متشابهة، يصعب أن يتحقق المرء من كل واحد منها على حدة. والمظهر هنا يوحي بالثقة فعلًا: عدد النجوم، والوسوم، ووصف منظّم. لا يشكّ البوت في شيء ولا يضع أي علامة تحذير. هو يعيد سرد README، وكاتب README هو من يريد أن يصدّقه الناس.

واختيار الاسم ليس عشوائيًا أيضًا. تنتمي سكربتات تفعيل Windows وOffice إلى الأدوات التي يشغّلها الناس بسرعة وبصلاحيات مرتفعة، دون قراءة الشيفرة. وهذه بيئة مريحة للتزييف: المستخدم يدخل بنفسه إلى المنطقة الرمادية، وتقلّ رغبته في التحقق من المصدر. هذا استنتاجنا من السياق، وليس ادعاءً من كاتب النص الأصلي.

لماذا لا توفّر قوائم الأكثر رواجًا حماية كافية

لم تعد النجوم على GitHub منذ زمن مقياسًا موثوقًا. يمكن التلاعب بها، وتعكس قائمة الأكثر رواجًا سرعة النمو لا الجودة ولا الأمان. ويبدو المستودع الذي يملك 1774 نجمة بارزًا لكنه ليس صاخبًا، ولذلك لا يثير الشبهات.

المعطيات المعروفة من النص:

• مصدر الخلاصة: trendshift.io؛
• حجم الخلاصة: 5 مستودعات يوميًا؛
• تاريخ الحادثة: 26 سبتمبر؛
• المستودع: «Microsoft Activation Scripts»، 1774 نجمة؛
• عيّنة التحليل: 321 مستودعًا من قوائم الأكثر رواجًا؛
• النتيجة: مرشّحان.

لا تتضمن الشذرة المتاحة معايير المرشّحين نفسها، ويجب البحث عنها في المقال الكامل. وعيّنة من 321 مستودعًا كافية بحد ذاتها لرؤية شكل المشروع الرائج الطبيعي وما يميّز المزيّف عنه. لكن الاستنتاجات المبنية عليها تبقى استنتاجات عن خلاصة واحدة وفترة واحدة.

وثمة مسألة منفصلة تخص الملخصات الآلية. إذا كان نموذج لغوي هو من يعدّ خلاصة README، فإنه يرث كل حيل كاتب الوثيقة ولا يتحقق مما يقف خلفها. النموذج يضغط النص، لا السمعة. ولم يذكر الإعلان كيف صُممت الخلاصة تحديدًا، ولذلك يبقى هذا مجرد تحذير لمن يبني خلاصات مشابهة.

كيف تقرأ قوائم الأكثر رواجًا دون خسائر

القاعدة الأولى: لا تثبّت شيئًا من قائمة رائجة إلا بعد التحقق، وكلما ارتفعت صلاحيات السكربت زاد تشدّد التحقق. وفي سكربتات التفعيل وبرامج التثبيت وكل ما يطلب صلاحيات المسؤول، تكفي ثلاث دقائق. انظر إلى عمر الحساب والمستودع، وسجل الـcommits، ونسبة النجوم إلى الـforks والـissues. قارن الاسم بالمشروع الأصلي: عادةً يكون لدى المزيّفات مالك مختلف وإحصاءات مستوية على نحو مريب.

الثانية: إذا كنت تبني بوتًا أو وكيلًا خاصًا يوصي بشيفرة برمجية، فأضف إلى الخلاصة علامات تحذيرية. تكفي فحوص آلية من اثنين إلى ثلاثة قبل الإرسال، مثل قفزة حادة في النجوم مع سجل قصير للمستودع، أو عدم تطابق المالك مع مشروع معروف. هذا النوع من المرشّحات هو ما استخلصه المطوّر من مستودعاته الـ321.

الثالثة: شغّل الشيفرة غير الموثوقة في آلة افتراضية أو حاوية، لا على حاسوبك المحمول للعمل. هذا ليس ضمانًا، لكنه يخفّض كثيرًا كلفة الخطأ.

تكمن قيمة قصة الـ1774 نجمة في أنه ليس فيها شيء غريب. خلاصة صباحية عادية، وزر عادي، واهتمام عادي بمستودع جديد. ولهذا السبب بالذات تستحق أن تُقرأ كاملة.