Cognition تحدّث Devin Security: Claude Mythos ومئات الملايين في صورة أرصدة

أطلقت Cognition، الشركة المطوّرة لوكيل البرمجة Devin، مبادرتين لفرق الأمن في آن واحد. الأولى تحديث كبير لمنتج Devin Security، المخصص لاكتشاف الثغرات وترتيبها حسب الأولوية وإصلاحها من البداية إلى النهاية، وقد أصبح يتضمن فحوصات معمّقة تعمل على Claude Mythos ونماذج سيبرانية متقدمة أخرى. أما الثانية فهي وعد باستثمار مئات الملايين من الدولارات في أرصدة Devin، كي تفحص المؤسسات شيفراتها البرمجية مجانًا وتسدّ أخطر الثغرات قبل أن يصل إليها المهاجمون.

والفكرة بسيطة. فالذكاء الاصطناعي يجعل الهجمات المعقدة أقل كلفة ويقلّص الوقت المتاح للمدافعين للرد، بينما تتراكم لدى فرق الأمن نتائج تفوق عدد المهندسين القادرين على إصلاحها. وتحدد الماسحات التقليدية مستوى الخطورة (severity) دون أن تعرف قاعدة الشيفرة ولا طريقة النشر ولا وسائل الحماية القائمة. فتبالغ في تقدير بعض المخاطر وتقلّل من شأن أخرى، في حين تواصل مواعيد الامتثال (compliance) اقترابها. ويهدر المهندسون وقتهم على نتائج مشكوك فيها، ولا يعرفون ما الذي يستدعي المعالجة العاجلة فعلًا.

نموذج التهديدات كوثيقة مشتركة

يقوم Devin Security على نموذج تهديدات «حيّ» يبنيه المنتج مع فريقي الأمن والتطوير. ويصف هذا النموذج الأنظمة والخدمات والمضيفات (hosts) والتفاعل بينها، وسياسات الشبكة ومجموعات الأمان (security groups)، وطريقة نشر الشيفرة، والأجزاء التي لا تُستخدم أصلًا من الشيفرة. وما لا يمكن استنتاجه من الشيفرة، كالمنطقة التي تعمل فيها الخدمة أو ما إذا كانت محمية داخل المحيط الأمني، يستكمله إنسان. كما يسأل Devin عن العواقب على الأعمال: ماذا يحدث إذا اطّلع مستخدم على بيانات مستخدم آخر، أو حصل على صلاحيات المسؤول، أو بدأ يستخدم المنتج مجانًا. وتدخل هذه الإجابات بدورها في النموذج، وتتغيّر مع تغيّر النظام.

وعلى أساس هذا النموذج تجري الفحوصات والتحقيقات والإصلاحات. وتستهدف الفحوصات المعمّقة سلاسل الاستغلال (exploit chains) المعقدة في قواعد الشيفرة الكبيرة. والمنتج في ذلك محايد تجاه النماذج (model-neutral): فـ Cognition تبني خدمة مُدارة واحدة يمكنها ربط أفضل النماذج السيبرانية من مختبرات مختلفة، واستبدالها مع تطورها. كما يجلب Devin عبر API النتائج من الماسحات القائمة وبرامج bug bounty والنشرات الأمنية (advisories)، ويزيل التكرارات، ويعيد التحقق منها بنماذج متقدمة.

أربع طرق لإغلاق النتيجة

بعد ذلك يعيد Devin تقييم كل نتيجة، سواء كانت من اكتشافه أو من أداة أخرى، من حيث قابلية الاستغلال والضرر المحتمل في البيئة المحددة. فيرى الفريق ما يجب إصلاحه الآن، وما يمكن جدولته، والحالات التي يكون فيها تعديل المخاطر الموثّق مناسبًا. والإغلاق لا يعني دائمًا pull request. وتتوفر أربعة خيارات:

• إعادة التصنيف مع الأدلة. يوثّق Devin الإنذارات الكاذبة أو يقترح تعديل المخاطر استنادًا إلى إمكانية الوصول وضوابط الوصول وعوامل التخفيف الأخرى، ويُعدّ سجلات قبول المخاطر. ويتطلب كل اقتراح موافقة إنسان، ويبقى تقييم CVSS الأصلي إلى جانب التعديل. أما الثغرات المدرجة في كتالوج KEV فلا يُعاد تصنيفها أبدًا.
• التخفيف على مستوى البنية التحتية. عند ضبط الصلاحيات، يطبّق Devin قاعدة WAF، أو يغيّر مجموعة أمان (security group)، أو يغلق الوصول العام إلى خدمة. ويقلّ بذلك التعرّض للخطر ريثما يُعدّ الإصلاح الدائم، لكن الثغرة نفسها تبقى.
• إصلاح الثغرة. يشغّل Devin آلاف الجلسات المتوازية في أجهزة افتراضية مستقلة. وتعيد كل جلسة إنتاج الثغرة، وتكتب الإصلاح، وتشغّل اختبار إعادة الإنتاج والاختبارات القائمة، ثم تفتح PR مرفقًا بالأدلة.
• القضاء على فئة الثغرات. في حالة العيوب المتكررة، يقيّم Devin إعادة هيكلة (refactoring) أوسع ويساعد في تنفيذها، مثل مركزة فحوصات التفويض أو تحويل الاستعلامات إلى استعلامات معلَّمة (parameterized) في التطبيق كله.

وتعود النتائج إلى أدوات الأمن القائمة، ويمكن تصدير السجلات الداعمة إلى أنظمة POA&M وGRC.

وكلاء سحابيون وأرصدة بمئات الملايين

يستند المنتج تقنيًا إلى البنية السحابية لـ Devin. فمنذ أكثر من عامين ينفّذ Devin أعمالًا هندسية بالتوازي، ولكل جلسة جهاز افتراضي خاص بها لإعادة إنتاج المشكلة وإجراء التعديلات والتحقق المستقل. وبفضل ذلك تقول Cognition إنه بالإمكان تشغيل آلاف الفحوصات والإصلاحات في وقت واحد على خدمات حقيقية، لا بالتحليل الساكن (static analysis) فحسب.

أما الجانب المالي: فيحصل العملاء الحاليون والمستقبليون من الشركات على فحوصات مجانية بنماذج سيبرانية متقدمة. ويمكن للعملاء الجدد أيضًا الحصول على أرصدة لمعالجة أخطر الثغرات. وتَعِد فرق Cognition بالعمل إلى جانب العملاء في مرحلتي التحقيق والإصلاح.

والخلاصة العملية لقادة الأمن: قبل اعتماد أداة كهذه، ينبغي تقييم مدى استعداد الفريق لإدارة نموذج تهديدات مشترك، لأن جودة ترتيب الأولويات تعتمد على السياق الذي يقدّمه البشر. ومن المفيد أن تحدّدوا منذ البداية فئات التعديلات المسموح بها دون مراجعة، وتلك التي تتطلب موافقة، وأن تمنحوا Devin في البنية التحتية الصلاحيات التي تثقون بها فقط لا أكثر. وتوفّر الفحوصات المجانية طريقة منخفضة الكلفة لمقارنة نتائجه بمخرجات الماسحات الحالية، قبل السماح بالإصلاحات الآلية في بيئة الإنتاج (production).