Cognition تطلق Devin Security 2.0 وتوزّع أرصدة بمئات الملايين

أطلقت Cognition الإصدار Devin Security 2.0، وهو منتج يرافق الثغرة من لحظة اكتشافها حتى فتح pull request جرى التحقق منه. يقوم المنتج على فحص مُدار يعتمد على نموذج Claude Mythos ونماذج frontier أخرى متخصصة في الأمن السيبراني، وعلى ترتيب الأولويات بحسب نموذج التهديدات الخاص بكل شركة، وعلى إصلاحات ذاتية التنفيذ. وتتعهد Cognition، بالتزامن مع الإطلاق، بتوفير أرصدة Devin بمئات الملايين من الدولارات: عمليات فحص مجانية للعملاء المؤسسيين الحاليين والمستقبليين، وأرصدة لإصلاح أخطر الثغرات للعملاء الجدد.

لماذا أصبح طابور الثغرات أهم من الثغرات نفسها

تشرح الشركة قرار الإطلاق بحدث وقع مؤخرًا. فالأسبوع الماضي كشف مشروعا PHP وNode.js عن ثغرات تنفيذ شيفرة عن بُعد. ووجدت كل شركة تعتمد على هاتين المنظومتين نفسها في الموقف ذاته: مسار استغلال علني، ومهاجمون يقرؤون الـ advisory نفسه، ورقع ينبغي نشرها عبر صور الحاويات وحزم نظام التشغيل وخطوط CI وإعدادات البنية التحتية في عشرات المستودعات.

وتحلّل Cognition بصورة منفصلة الاستغلال المسمّى PHP2Shell. فقد لوحظت علامات على إحدى المشكلات الكامنة وراءه منذ عام 2024، لكن المشرفين على المشروع لم يعثروا على مسار محدد إلى RCE. وتعطّل الإصلاح بسبب تنازلات التوافق ونقص الموارد والخلافات حول المنهج، بينما أُعطيت الأولوية للأخطاء الأكثر وضوحًا. وبحسب Wiz، ساعدت نماذج frontier الباحثين على بناء استغلالات عاملة وتكييفها لعدة تطبيقات خلال ساعات. والاستنتاج مقلق: فقد تكمن في قوائم المهام المتراكمة (backlog) أخطاء مؤجلة كثيرة جعلها الذكاء الاصطناعي عمليًا قابلة للاستغلال في الهجمات.

ومن جهة أخرى، يضخّم الذكاء الاصطناعي التدفق الوارد. فقد وصف مشرف curl دانيال شتينبرغ (Daniel Stenberg) الوضع بأنه «حجم مرتفع بجودة مرتفعة». وبحسب بيانات المشروع في 22 أكتوبر 2026، بلغ عدد البلاغات 356 بلاغًا، مقابل 181 طوال عام 2025. وللمقارنة، ورد 86 بلاغًا في 2024، و102 في 2023.

كيف يعمل مسار Devin Security

يقوم الفحص على بنية Agentic MapReduce المستقلة عن النموذج. فتُستخدم نماذج frontier مع أكثر المستودعات حساسية، ويمكن اختيار نماذج أقل كلفة لبقية المستودعات. وتمرّ العملية بخمس خطوات:

• Plan: يطابق الوكيل المستودع مع نموذج التهديدات ويكتب قواعد للشيفرة الحساسة، مثل المسارات (routes) وحدود التفويض والوصول إلى البيانات وإلغاء التسلسل (deserialization) واستدعاءات API الخطرة. • Shard: تُقسَّم الشيفرة المختارة إلى مجموعات. • Map: تُفحص المجموعات بالتوازي بواسطة وكلاء منفصلين. • Reduce: تُجمَّع النتائج وتُزال التكرارات، وتُربط النتائج التي تشكّل معًا سلسلة هجوم أخطر. • Verify: تُفحص الحالات ذات الأولوية داخل sandbox على نسخة تعمل من التطبيق.

بعد ذلك يمكن إسناد النتائج إلى Devin واحدة تلو الأخرى أو دفعة واحدة. يطابقها Devin مع الشيفرة الحالية، ويجمع ما يُعالَج بإصلاح واحد، ثم يطلق جلسات مستقلة لكل منها آلة افتراضية خاصة. وفي هذه الآلة يشغّل Devin الخدمات الفعلية ويعيد إنتاج المشكلة، ثم يكتب إصلاحًا موضعيًا ويشغّل اختبار إعادة الإنتاج والاختبارات القائمة، ويفتح PR مرفقًا بنتائج التحقيق. وتبقى النتيجة مفتوحة إلى أن يُدمج الـ PR ويتأكد Devin من إغلاق مسار الهجوم. وإذا كان الإصلاح الدائم قيد الإعداد، فيمكن للوكيل، عند ضبط الصلاحيات اللازمة، أن يضيف قاعدة WAF مؤقتة أو يغيّر security group أو يغلق الوصول العام إلى الخدمة.

نموذج التهديدات بدلًا من تقييم CVSS الواحد

تحدّد الأولويةَ أسئلةٌ عدة: هل يمكن الوصول إلى الشيفرة الضعيفة من مدخلات غير موثوقة؟ وعبر أي حدّ ثقة؟ وهل يتطلب ذلك مصادقة أو إعدادًا خاصًا؟ وهل الشيفرة قيد الاستخدام فعلًا؟ وما معنى الضرر للأعمال: قراءة بيانات الآخرين، أو التصعيد إلى مسؤول المؤسسة، أو استخدام المنتج دون دفع؟ ويجمع Devin الإجابات في نموذج تهديدات بالتعاون مع الفريق، يشمل الخدمات والمضيفات وسياسات الشبكة وتدفقات البيانات وحدود الثقة. وبعض هذه المعلومات يمكن قراءته من الشيفرة وتعريفات البنية التحتية، وبعضها الآخر (مثل منطقة الخدمة، وإتاحة أداة داخلية عبر الإنترنت) لا يمكن قراءته منها، ولذلك فالعمل تشاركي.

والتحقق ضروري حتى مع النماذج القوية. فبحسب مراجعة Anthropic Glasswing، من أصل 1752 نتيجة قُيّمت في البداية على أنها high أو critical، تبيّن أن 90,6% منها ثغرات حقيقية، لكن 62,4% فقط تأكّدت بوصفها high أو critical. فإيجاد الخطأ وتقدير خطورته بدقة مهمتان مختلفتان.

وتعمل العملية نفسها على ما هو متراكم أصلًا: يستورد Devin النتائج من Snyk وWiz وملفات CSV وتقارير bug bounty، مع الإبقاء على المعرّفات والروابط الأصلية. وتعيد جلسات متوازية فحصها على الشيفرة الحالية، وتبحث عن التكرارات، وتتحقق مما إذا كانت المشكلة قد أُغلقت. وتُزامَن قرارات الإغلاق وإعادة الفتح مع الأدوات المدعومة. ويمكن أيضًا إعادة فحص التقارير القديمة الصادرة عن نماذج ذكاء اصطناعي أضعف.

وثمة سيناريو مستقل هو الامتثال (compliance). ففي FedRAMP وPCI DSS والسياسات الداخلية، تُطلق نتيجةٌ بتصنيف high أو critical عدّادَ المهلة المحددة للإصلاح، ولا يمكن خفض المخاطر إلا بتوثيق. ولكل نتيجة أُعيد تقييمها، يحتفظ Devin بتقييم CVSS الأصلي ويكتب مسوّغًا وفق ستة محاور:

• إمكانية الوصول — هل يمكن لمدخلات غير موثوقة أن تبلغ الشيفرة؛ • المصادقة — ما الصلاحيات المطلوبة؛ • البيانات — ما الذي يمكن كشفه أو تغييره؛ • حدود الثقة — أي حدّ يجب عبوره؛ • التحقق — ما الذي جُرّب وما الذي لوحظ، بما في ذلك النتائج غير الحاسمة؛ • المصدر — من أين جاءت النتيجة.

يعتمد الإنسان الخلاصة ويصدّرها إلى POA&M أو إلى نظام GRC. أما الثغرات المدرجة في كتالوج CISA KEV فلا يعيد Devin تقييمها.

من أين يبدأ فريق الأمن

الحد الأدنى العملي هو جمع قائمة المهام المتراكمة من Snyk وWiz وbug bounty في مكان واحد، وإعادة فحصها على الشيفرة الحالية دون الوثوق بالتقييمات القديمة. وينبغي بالتوازي صياغة نموذج التهديدات، فبدونه تبقى أي أولوية آلية مجرد تخمين. وبالنسبة للمستودعات الحرجة، من المنطقي تشغيل فحص بنموذج قوي ما دامت عمليات الفحص المجانية من Cognition متاحة، مع ترك جميع الإصلاحات للمراجعة البشرية. وترى Cognition أن «الميل الأول» في الاستجابة للحوادث سيمرّ قريبًا دون تدخل بشري. ويعتزم رئيس الأمن في الشركة أليكس ستاموس (Alex Stamos) الحديث عن وضع التهديدات في لقاء يُعقد في 26 أكتوبر الساعة 10:30 بالتوقيت الصيفي للمحيط الهادئ.