Anthropic تطلق OSS Scanner: فحص مجاني للثغرات بالذكاء الاصطناعي دون مراجعة بشرية

أطلقت Anthropic خدمة OSS Scanner للبحث عن الثغرات في مشاريع المصدر المفتوح. التكلفة على القائمين على الصيانة تساوي صفرًا، وعدد البشر في حلقة المراجعة صفر أيضًا. ستحصل المشاريع التي تقدّم طلب انضمام على «فحوص أمنية شاملة ودورية» تجريها أقوى نماذج الشركة. سيولّد الذكاء الاصطناعي جميع التقارير، دون مراجعة يدوية ودون فرز (triage) بشري.

كيف تعمل الخدمة

تقوم الخدمة على المشاركة الطوعية. يترك القائم على الصيانة طلبًا على صفحة red.anthropic.com، فيدخل مستودعه في قائمة الانتظار للفحص المنتظم. لا يوجد هنا تدقيق لمرة واحدة. ما تعد به Anthropic هو الدورية تحديدًا: تُفحص الشيفرة مرة بعد مرة كلما تغيّرت.

تؤكد الشركة في إعلانها أنها تستخدم أقوى نماذجها، أي التقنية نفسها التي تحتفظ بها عادةً للعملاء المدفوعين وللأبحاث الداخلية. وبالنسبة إلى المشاريع الصغيرة التي لا تملك ميزانية لتدقيق تجاري ولا فريق أمن مخصصًا، فهذه فرصة لتلقي إشارة إلى وجود مشكلة قبل أن يعثر عليها مهاجم.

أبرز معايير الخدمة:

• التكلفة: مجانًا للمشاريع المشاركة
• نمط الاشتراك: opt-in، بطلب من القائم على الصيانة فقط
• التكرار: عمليات فحص متكررة دوريًا
• المحرّك: أقوى نماذج Anthropic
• المراجعة البشرية: غير موجودة، والتقارير يولّدها النموذج بالكامل
• المخاطرة المعروفة: قد يكون جزء من التقارير غير صحيح أو غير صالح

ثمن السرعة: تقارير بلا مراجعة

أبرز تحفّظ على الخدمة أن Anthropic لا تخفي غياب البشر عن العملية. يقول الإعلان صراحةً إن نتائج الماسح ستُنشأ بالكامل بواسطة النموذج، دون مراجعة بشرية ودون فرز. وبحسب الشركة، يتيح ذلك الفحص بسرعة أكبر وبوتيرة أعلى. وتقرّ الشركة في الموضع نفسه بأن التقارير قد تكون غير صحيحة.

هذا التحفّظ جوهري بالنسبة إلى المصدر المفتوح. فالقائمون على الصيانة، وهم غالبًا متطوعون، يشتكون منذ مدة من سيل التقارير الآلية الرديئة عن الثغرات. ويستهلك كل تقرير خاطئ وقتًا هو أصلًا غير كافٍ. لذلك يبدو نظام opt-in منطقيًا: فالعبء يقع فقط على من وافق عليه بنفسه. لكن مشكلة الفرز لم تختفِ، بل انتقلت ببساطة إلى جانب المشروع. فعلى أحدهم أن يميّز الثغرة الحقيقية من «هلوسة» النموذج.

وثمة سؤال منفصل عن كيفية تعامل Anthropic مع المشكلات التي يجري العثور عليها. فمن الوصف المتاح لا يتضح سوى أن التقارير تصدر دون تصفية يدوية. ويُستحسن البحث عن تفاصيل عملية الإفصاح عن المعلومات في صفحة الخدمة.

موقع الخدمة في المشهد العام

أصبح البحث عن الثغرات بالذكاء الاصطناعي اتجاهًا مستقلًا منذ فترة. فقد طوّرت Google مشروع Big Sleep، وعرضت OpenAI الوكيل Aardvark. وتسلك Anthropic الطريق نفسه، لكنها تراهن على اتساع التغطية. فبدل التجارب المغلقة مع شركاء مختارين، تفتح باب التسجيل الواسع أمام أي مشاريع توافق على المشاركة. وهذا بالنسبة إلى الشركة أيضًا عرض للفائدة العملية لنماذجها في مجال الأمن. أما بالنسبة إلى المنظومة ككل، فهو محاولة لسدّ نقص الخبرة حيث لا يوجد من يدفع ثمن التدقيق.

لمن تناسب الخدمة وكيف تنضم

إذا كنت تدير مشروعًا مفتوح المصدر، فمن المفيد النظر في تقديم طلب، خصوصًا إن لم يخضع المشروع لأي تدقيق من قبل. فالفحص الدوري المجاني لا يكلّف الكثير، وقد يكشف في أفضل الأحوال ثغرة حقيقية قبل ظهور استغلال علني لها.

والترتيب العملي كما يلي:

1. خصّصوا وقتًا للفرز. يجب إعادة إنتاج كل تقرير يدويًا قبل اعتباره مشكلة حقيقية. 2. حدّدوا من في الفريق يتولى تحليل التقارير، واتفقوا مسبقًا على الأولويات. 3. لا تستبدلوا الماسح بالممارسات القائمة: فمراجعة الشيفرة والتحليل الساكن (static analysis) وفحص الاعتماديات والـ fuzzing تبقى كما هي. 4. تحققوا من شروط الوصول إلى المستودع ومعالجة النتائج المعلنة على صفحة الخدمة، خاصة للمشاريع المغلقة أو الحساسة.

الخلاصة بسيطة. تقدّم Anthropic مصدرًا رخيصًا وسريعًا لإشارات الأمان. أما القرار النهائي بشأن أي إشارة حقيقية، فما زال يتخذه إنسان.