مايكروسوفت تسدّ 1411 ثغرة في شهر واحد: الذكاء الاصطناعي يكتشف الثغرات أسرع مما يستطيع البشر ترقيعها

ما زال الجدل مستمراً حول قدرة الذكاء الاصطناعي على كتابة شيفرة سليمة. وفي الوقت نفسه، يعثر ذكاء اصطناعي آخر بصمت على أخطاء في شيفرة مكتوبة أصلاً، وبسرعة تفوق قدرة البشر على إصلاحها. في أكتوبر 2026 أصدرت مايكروسوفت تحديثاتها الأمنية الشهرية متضمنة 1411 إصلاحاً. أما طوال عام 2025 فبلغ مجموع الإصلاحات في هذه الإصدارات 1130، وفي 2024 بلغ 1009. أي أن شهراً واحداً تفوّق على عام كامل.

رقم قياسي كل شهر

حتى يونيو كانت 206 ثغرات مُغلقة تُعدّ رقماً قياسياً. وفي يوليو حذّرت مايكروسوفت عملاءها من أن عدد التصحيحات في كل إصدار سيزداد، ثم أخذت الأرقام في الارتفاع: نحو 600 في يوليو (أحصت وسائل إعلام مختلفة بين 570 و622)، ونحو 420 في أغسطس، و974 في سبتمبر، و1411 في أكتوبر. وكان الرقم القياسي السنوي السابق البالغ 1245 ثغرة صامداً منذ عام 2020، لكن إصداراً واحداً في أكتوبر تجاوزه. وعلّق خبير في Zero Day Initiative على إصدار يوليو قائلاً: «لقد حلّ أخيراً يوم القيامة للأخطاء البرمجية».

وقد سمّت مايكروسوفت نفسها المصدر الرئيسي لهذا التدفق: إنه MDASH، نظام وكيلي للبحث عن الثغرات يجمع عدة نماذج، من بينها نماذج من جهات خارجية. يعمل على مرحلتين. في الأولى يفحص ماسح الملفات الثنائية الحرجة في Windows، بينما تتناقش نماذج من عائلات مختلفة فيما بينها حول كل اكتشاف. وفي الثانية يستبعد مسار منفصل ما تبقى من الإنذارات الكاذبة. ولا يصل إلى المهندسين إلا الاكتشافات التي يكون النظام أكثر ثقة بها. كما يقترح الذكاء الاصطناعي حلولاً للإصلاح ويختار اختبارات الانحدار، بينما يقيّم البشر المخاطر ويتخذون القرارات.

لماذا أصبح هذا ممكناً الآن تحديداً؟ كانت الأداة الرئيسية سابقاً هي الاختبار العشوائي (fuzzing): يُغذّى البرنامج بملايين المدخلات التالفة ثم يُراقب أين ينهار. لكن أداة fuzzing لا تفهم الشيفرة وتفوتها الأخطاء المنطقية التي لا يراها إلا من يقرأ الشيفرة المصدرية. أما النموذج اللغوي فيقرأ الشيفرة تقريباً كما يقرأها الإنسان، لكن بسرعة تفوقه بأضعاف. في عام 2024 عثر وكيل الذكاء الاصطناعي Big Sleep على خطأ قابل للاستغلال في SQLite، وفي عام 2025 في نهائي DARPA AI Cyber Challenge اكتشفت الأنظمة 54 من أصل 63 ثغرة مخفية، وأعدّت إصلاحاً في المتوسط خلال 45 دقيقة بتكلفة نحو 152 دولاراً للمهمة الواحدة.

PHP2Shell: ثغرات يزيد عمرها على عشر سنوات

تعمل التقنية نفسها مع شيفرة الآخرين. ففي 21 أكتوبر أصدرت PHP تحديثات طارئة لثغرتين حرجتين في المفسّر نفسه، سُمّيتا PHP2Shell. عبرهما يمكن تنفيذ تعليمات برمجية على خادم الويب بطلب واحد ودون مصادقة، حتى قبل تشغيل شيفرة الموقع. وتعود الأخطاء إلى PHP 5.4 الذي صدر عام 2012. وقد اكتشفها فريقان بشكل مستقل، هما Calif وWiz، واستخدم كلاهما الذكاء الاصطناعي.

فشلت خطة الإفصاح: تسرّبت التفاصيل إلى Hacker News، ورصد فخّ (honeypot) تابع لأمازون محاولة استغلال قبل أربعة أيام من الإعلان العلني. وأضافت CISA الثغرتين إلى كتالوج الثغرات المستغلة فعلياً، ووفق تقديرات Censys بقي على الشبكة، حتى بعد ذلك، أكثر من 32 مليون خدمة PHP بإصدارات عرضة للثغرات. ومع ذلك يخفف أصحاب الاكتشاف أنفسهم من الحماس: فبحسب Calif عملوا بنماذج متاحة للجميع، وكانت معرفة تاريخ PHP أهم من النموذج نفسه. لقد كان الذكاء الاصطناعي هنا مساعداً سريعاً جداً لباحث خبير.

الاكتشاف رخيص والإصلاح مكلف

للعملة وجه آخر. فكل تصحيح من التصحيحات الـ1411 يجب أن يحمّله شخص ما ويختبره وينشره. ووفق استطلاع أجرته Socura، أخذ 22% من مسؤولي الأمن البريطانيين إجازة مرضية أو عادية لتفادي Patch Tuesday، وعمل 41% ساعات إضافية. وأضافت Oracle إصدارات شهرية للتصحيحات الحرجة، بينما تراهن VMware على Express Patches.

وفي الشيفرة المفتوحة يكون الوضع أشد حدة. فقد أغلق مشروع curl برنامج المكافآت على الثغرات: كان الفريق يغرق في التقارير، وكثير منها ولّده الذكاء الاصطناعي، ولم تكن بين سبعة تقارير في أسبوع واحد أي ثغرة حقيقية. لدى مايكروسوفت مسار منفصل يستبعد الاكتشافات الكاذبة، أما المتطوعون فلا يملكون مثله.

ماذا نفعل عملياً

أولاً: إذا كنتم مسؤولين عن البنية التحتية، فانتقلوا إلى التثبيت التلقائي للتحديثات مثل Windows Autopatch، واتفقوا مسبقاً على آلية للتصحيحات العاجلة الطارئة. ثانياً: تحققوا من إصدارات PHP العاملة في بيئة الإنتاج لديكم، وخاصة القديمة منها، وحدّثوها. ثالثاً: لا تتوقعوا أن تساعدكم الأرقام القياسية في ترتيب الأولويات. فعدد الأخطاء المكتشفة يدل على مدى جودة بحث الذكاء الاصطناعي، لا على عدد ما يشكل منها خطراً حقيقياً عليكم تحديداً.

يتقلّص الزمن بين الاكتشاف والهجوم لأن النماذج نفسها تساعد في تحويل الخطأ إلى استغلال عامل. وسيكسب من يتعلم التحديث بالسرعة التي يبحث بها الذكاء الاصطناعي عن الثغرات. أما الباقون فسيتعيّن عليهم التعوّد على Patch Tuesday من ألف وخمسمئة بند.