GPT-6 Cyber تكتشف 81 ثغرة خطيرة في Firefox وتحقق 48.5% في ExploitGym

في السابق، كانت نماذج اللغة تساعد في مجال الأمن غالباً على قراءة السجلات وشرح ثغرات CVE التي اكتشفها آخرون. أما GPT-6 Cyber، بحسب النتائج التي نشرتها OpenAI، فتخطو خطوة أخرى: فهي لا تكتفي بتحليل الأخطاء المعروفة، بل تبحث عن أخطاء جديدة وتكتب لها برمجيات استغلال. وبالنسبة لمن يتولون مسؤولية المنتجات والبنية التحتية، فهذه إشارة إلى أن وتيرة اكتشاف الثغرات آخذة في التغيّر.

ما الذي أظهره النموذج بالضبط

إليكم الأرقام الواردة في الإعلان. في اختبار ExploitGym حقق GPT-6 Cyber نسبة 48.5%، وتصفها OpenAI بأنها رقم قياسي جديد. وفي Firefox اكتشف النموذج 81 ثغرة عالية الخطورة لم تكن معروفة من قبل. أما في Linux فقد أظهر كيف يمكن استخدام 948 خطأً لرفع الصلاحيات.

من المهم التمييز بين هذه النتائج الثلاث. فالاختبار يقيس القدرة على تحويل الخطأ المكتشف إلى برنامج استغلال يعمل في مهام قياسية. أما البحث عن أخطاء جديدة في Firefox فيتعلق بشيفرة حقيقية يثبّتها آلاف الأشخاص على أجهزتهم. وأما الأخطاء الـ948 في Linux فلا تعني 948 عملية اختراق جاهزة، بل أخطاء استطاع النموذج، بحسب ما تقوله OpenAI، ربطها برفع الصلاحيات.

كيف يبدو الأمر في مثال بسيط

تخيّلوا أن لديكم وحدة قديمة مكتوبة بلغة C تحلل ملفاً يقدمه المستخدم. في السابق كان المدقق يقضي أسابيع في قراءة الشيفرة وتشغيل أداة fuzzing والبحث عن المكان الذي يتجاوز فيه المخزن المؤقت حدوده. أما الآن فيتلقى الوكيل في Codex المستودع، ويشغّل البناء بنفسه، ويجرّب مدخلات مختلفة، ويلاحظ الانهيار، ثم يحدد ما إذا كان يمكن تحويله إلى تنفيذ شيفرة غريبة أو الحصول على صلاحيات root. وهذه الخطوة الثانية تحديداً، من «الخطأ موجود» إلى «الخطأ يعمل»، هي ما يقيسه ExploitGym.

بالنسبة للمدافعين هذا خبر جيد: فما كان يستغرق أسابيع يمكن إنجازه في ساعات وتطبيقه على الشيفرة كلها، لا على الأجزاء الأكثر حساسية فقط. وبالنسبة للمهاجمين فالخبر نفسه لكن بإشارة معاكسة. وليس من قبيل الصدفة أن يمازح البعض في تعليقات الإعلان قائلين: سيكون متاحاً للمخترقين أيضاً.

من سيحصل على الوصول وما الذي لا يزال غامضاً

حالياً يتوفر GPT-6 Cyber في Codex وعبر API فقط لمشاركين مختارين في برنامج Daybreak Red. ويبدو ذلك إطلاقاً حذراً: باحثون موثوقون أولاً، ثم ربما نطاق أوسع. أما GPT-6.2 Astra وSol المنتظران فلم يصدرا اليوم، لذا من المبكر الحديث عنهما.

كما ينبغي الانتباه إلى القيود. فكل الأرقام مأخوذة حتى الآن من تصريحات OpenAI نفسها، ولا يوجد في الإعلان تحقق مستقل. ونسبة 48.5% في الاختبار تعني أن النموذج لا يزال يفشل في حل أكثر من نصف المهام. ولا يُعرف كم من الثغرات الـ81 قابل للاستغلال فعلاً، ولا كم من الإنذارات الكاذبة اضطر البشر إلى استبعادها. كما لم يُكشف عن تكلفة تشغيل كهذا.

ماذا نفعل عملياً

أولاً: إذا كنتم تتولون صيانة شيفرة C أو C++ أو نواة نظام أو مكونات متصفح أو خدمات شبكية، فاعتبروا أن التدقيق بالذكاء الاصطناعي سيصبح جزءاً عادياً من العملية، وليس لديكم وحدكم. وستضيق النافذة بين ظهور الخطأ واستغلاله.

ثانياً: سرّعوا دورة التصحيحات. إذا كان تحديث التبعيات لديكم يستغرق شهراً، فهذا بحد ذاته خطر. أتمتوا البناء والاختبارات ونشر الإصلاحات.

ثالثاً: إذا كنتم تعملون في الأمن بشكل احترافي، فاطلعوا على برنامج Daybreak Red وشروط الوصول إليه. فالتعرف المبكر على هذه الأدوات سيمنحكم أفضلية قبل أن تنتشر على نطاق واسع.

رابعاً: لا تصدقوا الأرقام بشكل أعمى. انتظروا عمليات التحقق المستقلة وتحليلات القائمين على صيانة Firefox وLinux أنفسهم، فهم من سيحدد مدى حقيقة هذه الاكتشافات.

الخلاصة الرئيسية بسيطة: الذكاء الاصطناعي في الأمن يتحول من مساعد إلى باحث مستقل. والسؤال لم يعد هل سيجد النموذج ثغرة في شيفرتكم، بل من سيجدها أولاً: أنتم أم شخص آخر.