Anthropic تطلق Cyber Mission: ماسح مجاني للثغرات بالذكاء الاصطناعي بدقة تتجاوز 90%

أطلقت Anthropic برنامج Cyber Mission الذي يجمع بين مسارين: حماية البنية التحتية الحيوية، وفحص البرمجيات المفتوحة المصدر بحثًا عن الثغرات. وتشارك CrowdStrike وPalo Alto Networks بصفتهما شريكتين، وستساعدان في تأمين شبكات الطاقة وأنظمة إمدادات المياه. أما لمشاريع open-source، فقد أصدرت الشركة ماسحًا مجانيًا بالذكاء الاصطناعي يبحث عن الثغرات تلقائيًا. والدقة المتوقعة المعلنة تتجاوز 90%. ذلك ما نقله موقع The Decoder.

مهمتان تحت اسم واحد

يتناول البرنامج مشكلتين تقعان عادةً في مجالين مختلفين. فشبكات الطاقة ومرافق المياه أنظمة صناعية تتسم بدورات تحديث طويلة وكلفة توقف مرتفعة. أما مكتبات open-source فهي الشيفرة التي يقوم عليها تقريبًا كل برنامج حديث، مع أن فرقًا صغيرة تتولى صيانتها، وكثيرًا ما يتولاها متطوعون أفراد. وتجمع Anthropic المسارين في مبادرة واحدة، وتراهن على أن نماذج الذكاء الاصطناعي تجيد قراءة الشيفرة واكتشاف الأخطاء فيها.

ويبدو دور الشريكين على النحو التالي: CrowdStrike وPalo Alto Networks شركتان لهما خبرة في رصد التهديدات والاستجابة للحوادث. وهما تقدمان خبرة في قطاعات لا تملك Anthropic نفسها تجربة تشغيلية فيها. أما تفاصيل توزيع المهام بين المشاركين فلم تُكشف في التقارير الأولى.

ما المعروف عن الماسح

يعمل الماسح مع المشاريع المفتوحة تلقائيًا ومجانًا. وفيما يلي أبرز المعطيات التي أمكن تأكيدها:

• اسم البرنامج: Cyber Mission.
• الشريكان: CrowdStrike وPalo Alto Networks.
• الأهداف: البنية التحتية الحيوية (شبكات الطاقة وإمدادات المياه) ومشاريع open-source.
• كلفة الماسح لمشاريع open-source: مجاني.
• الدقة المتوقعة في اكتشاف الثغرات: أكثر من 90%.

كلمة «المتوقعة» مهمة هنا. فهذه ليست نتيجة اختبار مستقل، بل رقم استرشادي أُعلن عند الإطلاق. ولا يُعرف على أي مجموعة بيانات أُجري التقييم. كما أن المقصود بالدقة غير واضح: هل هي نسبة الثغرات الحقيقية التي عُثر عليها، أم نسبة الإنذارات الصحيحة بين جميع ما رُصد؟ وبالنسبة إلى ماسح الشيفرات، هذا فرق جوهري. فالأداة التي تكتشف كل شيء تقريبًا لكنها تغرق المستخدمين في إنذارات كاذبة سيسارع المشرفون على المشاريع (maintainers) إلى تعطيلها.

ولم يُذكر كذلك النموذج الذي بُني عليه الماسح. وشروط الوصول، والحدود المفروضة على حجم المستودع، وآلية الإفصاح عن الثغرات المكتشفة، كلها غير موصوفة حتى الآن.

لماذا تحسم الإنذارات الكاذبة كل شيء

النقص الأكبر لدى مشاريع open-source هو وقت البشر، لا الأدوات. فكل تقرير يصدره الماسح يجب أن يقرأه أحدهم ويعيد إنتاجه ويغلقه. وحتى مع دقة 90%، تبقى عشرات النتائج المشكوك فيها في قاعدة شيفرة كبيرة. فإذا رافق النموذج كل نتيجة بوصف واضح ومثال على الاستغلال وإصلاح مقترح، وفّر الماسح ساعات من العمل. أما إذا اكتفى بتحذيرات عامة، فسيضيف عبئًا إضافيًا.

والمسألة الثانية هي المسؤولية عن الإفصاح. فالبحث الآلي عن الثغرات مفيد بالقدر نفسه للمدافعين والمهاجمين. وكيف ستتعامل Anthropic مع الثغرات المكتشفة قبل صدور الإصلاحات، فسيتضح من ممارسة البرنامج.

كيف تتعامل مع الأداة عمليًا

يحسن بالقائمين على صيانة المشاريع المفتوحة تشغيل الماسح على مستودع واحد غير حرج، ومقارنة نتيجته بقائمتهم للمشكلات المعروفة وبمخرجات المحللات الثابتة (static analyzers) المعتادة. وبهذا يمكن تقدير نسبة الإنذارات الكاذبة قبل دمجه في CI.

وعلى فرق الأمن في الشركات التي تعتمد على open-source أن تتحقق من أي من تبعياتها الأساسية ستشملها عملية الفحص، وأن تطلب من Anthropic منهجية حساب نسبة الـ90% المعلنة. أما مشغّلو البنية التحتية فالأجدى لهم انتظار وصف الخدمات التي سيقدمها الشريكان ضمن البرنامج. وحتى الآن، ما لدينا إعلان نوايا برقم محدد واحد، وسيتعين اختباره على شيفرة حقيقية.