Anthropic تطلق OSS Scanner المجاني بعد أن رصد الذكاء الاصطناعي 29 000 ثغرة

تطلق Anthropic خدمة OSS Scanner، وهي خدمة اختيارية تفحص فيها أقوى نماذج الشركة، ومنها Claude Mythos، مشاريع المصدر المفتوح بحثًا عن الثغرات على نحو دوري. والخدمة مجانية للمشاريع. أما الخلفية فهي أن النماذج رصدت خلال الأشهر الستة الماضية، في إطار Project Glasswing، أكثر من 29 000 ثغرة محتملة في مشاريع برمجية مهمة. ولم يتمكن الفريق من فحص وفرز سوى نحو 6 000 منها يدويًا. وما تبقّى يتعثر بسبب نقص الأشخاص القادرين على تأكيد هذه النتائج.

لماذا ظهرت الحاجة إلى خدمة مستقلة

تغيّر الوضع جذريًا خلال عام ونصف. ففي اختبار CyberGym الأكاديمي، ارتفعت نسبة الثغرات التي تكتشفها النماذج اللغوية من أقل من 20% في بداية العام الماضي إلى أكثر من 85% هذا العام. وبعد أن كان القائمون على صيانة المشاريع (المايْنتينرز) يتلقون من نماذج LLM في الغالب نتائج عديمة القيمة، باتوا يتلقون الآن تقارير أخطاء عالية الجودة.

وفي مرحلة ما، بدأ هؤلاء المايْنتينرز يطلبون من Anthropic بأنفسهم كل ما لديها، حتى غير المفحوص منه، مع الرقع المقترحة. وقد أُرسل بالفعل قرابة 5 000 تقرير من هذا النوع مباشرةً. والمنطق واضح: أصبحت الاستغلالات (exploits) تُكتب في دقائق، ومن يفوز هو من يعثر على الثغرة ويسدّها أولًا. فالمهاجمون يبحثون عن نقاط الضعف نفسها.

أما الإفصاح المنسّق (CVD) مع الفحص اليدوي فلا يزال قائمًا. وهو يظل المسار الأساسي للمشاريع التي لا تملك الموارد لفرز التقارير بنفسها. ويضيف OSS Scanner إليه مسارًا سريعًا لمن هم مستعدون لتلقي النتائج فورًا.

كيف تعمل الخدمة

استُلهمت الفكرة من Google OSS-Fuzz، الذي يبحث عن الثغرات في الشيفرة المفتوحة باستخدام أدوات الفَزَّر (fuzzers). ويختلف OSS Scanner عن المنتج المؤسسي Claude Security، الموجَّه لحماية أنظمة الشركات، بأنه يقدّم تدقيقًا مجانيًا للمصادر المفتوحة. والتحفظ الرئيسي هنا أن النتائج يولّدها النموذج بالكامل، دون فحص أو فرز بشري. وهذا يسرّع الفحص ويزيد وتيرته، لكنه يتيح ظهور تقارير خاطئة أو غير صالحة.

• النماذج: أقوى نماذج Anthropic، ومنها Claude Mythos.
• صيغة المشاركة: اختيارية (opt-in)، مع فحوص دورية.
• محتوى التقرير: شيفرة مكتفية بذاتها تعيد إنتاج الثغرة، وشرح للثغرة، وإن أمكن تحديد الـcommit الذي ظهر فيه الخلل بالتقسيم الثنائي (bisection)، ورقعة مقترحة.
• المرحلة التجريبية: عدة أسابيع على عشرات المشاريع، وأسفرت عن مئات التقارير، بينها سلاسل ثغرات تؤدي إلى تنفيذ شيفرة عن بُعد دون مصادقة.
• التكلفة على المشاريع: مجانًا.

ماذا يقول المايْنتينرز

تؤكد آراء المشاركين في المرحلة التجريبية جودة النتائج. يشير نوا ميتش (Noah Misch) من PostgreSQL إلى أن نسبة غير معتادة من النتائج تعلقت بعيوب حقيقية، وأن بعض الإصلاحات يمكن تطبيقه تقريبًا دون تعديل. وأتاح المسار السريع (Fast-track) إغلاق مشكلات حديثة قبل صدور إصدار GA. أما أنطون أرابوف (Anton Arapov) من OpenSSL Corporation فيتذكر أن تقارير الذكاء الاصطناعي المبكرة قبل عام ونصف كانت سيئة للغاية. وفي تقديره، فإن تقارير Anthropic، بما فيها المخرجات الخام للنموذج، ليست أسوأ من التقارير البشرية، وأحيانًا تتفوق عليها، خصوصًا حين يرفق بها استغلال (exploit) عملي يمكن التحقق منه فورًا.

وفي wolfSSL جاءت الإحصائية كالتالي: من أصل 74 تقريرًا، تبيّنت صحة جميعها باستثناء اثنين، وتحوّلت خمسة منها إلى CVE. وأشاد إدي كولر (Eddie Kohler) من HotCRP بفهم النموذج لنموذج الصلاحيات المعقّد وبترتيبه أولويات الأخطاء.

وللتحقق المستقل، طلبت Anthropic من خبراء اختبار اختراق (pentesters)، ممن يراجعون عادةً النتائج في إطار CVD، تقييم 97 ثغرة حرجة وعالية الخطورة من 48 مشروعًا. والرقم النهائي مقطوع في النص المتاح، لذا ينبغي الاعتماد على آراء المشاركين في المرحلة التجريبية وعلى إحصائية wolfSSL المذكورة.

ماذا يفعل المايْنتينرز

يحسن بالمشاريع التي لديها فريق نشط وعملية مستقرة لاستقبال التقارير أن تنضم. فالتقارير المرفقة بشيفرة تعيد إنتاج الثغرة تُفحص بسرعة. لكن عليها أن تحدد مسبقًا من سيتولى معالجة هذا التدفق، وكيف ستستبعد الإنذارات الكاذبة، إذ لا يوجد هنا فحص بشري من جانب Anthropic. أما المشاريع الصغيرة التي لا تملك موارد للفرز فالأجدر بها أن تبقى على الإفصاح المنسّق (CVD) التقليدي مع التحقق اليدوي. وعلى الجميع أن يفترضوا أن المهاجمين يحصلون على إمكانات النماذج نفسها، وأن وتيرة الإصلاح باتت هي التي تحدد مستوى الأمان.