Hermes Agent يكتسب القدرة على اكتشاف ثغرات الشيفرة عبر إضافة Security الرسمية

كل من جرّب تسليم الشيفرة إلى نموذج لغوي كبير وطلب منه «العثور على الثغرات» يعرف كيف تنتهي التجربة. ينتج النموذج قائمة طويلة من «المشكلات المحتملة»، نصفها مختلق أو لا يمكن الوصول إليه عبر نقطة دخول فعلية. ويستغرق تدقيق هذا التقرير وقتًا أطول من البحث عن الأخطاء بنفسك. هذه تحديدًا هي المشكلة التي تحاول Nous Research حلها: بات Hermes Agent يضم إضافة Security الرسمية التي طوّرها @mark_s.

ما نعرفه عن آلية عمل الإضافة

يشير الإعلان إلى أن Hermes لا يبدأ مباشرة بالبحث عن الأخطاء، بل بمرحلة استطلاع. يرسم الوكيل أولًا خريطة لما يستطيع المهاجم الوصول إليه داخل المشروع، وللمدخلات التي تثق بها الشيفرة. هذا هو المنطق المعتاد لنمذجة التهديدات. فثغرة في دالة لا يمكن الوصول إليها من الخارج لا تترتب عليها التكلفة نفسها التي يسببها الخطأ ذاته في معالج طلب متاح للعامة.

بعد ذلك، تُوزّع الشيفرة على وكلاء فرعيين يعملون بالتوازي. يحلل كل منهم الجزء المخصص له، فلا يبقى المستودع الكبير مقيدًا بسياق نموذج واحد. وبحسب النص، تبدو الخطوة الثالثة الأهم: يتحقق الوكيل من كل مشكلة مكتشفة بالرجوع إلى الشيفرة، بدلًا من إدراجها مباشرة في التقرير. ولأن نهاية المنشور مبتورة، لا يمكن الجزم من المصدر بما يحدث تحديدًا بعد هذا التحقق.

لماذا يبدو هذا النهج منطقيًا

تخيّل خدمة ويب اعتيادية. هناك نقطة نهاية تستقبل اسم ملف من المستخدم وتقرأه من القرص. قد يضع طلب مراجعة بسيط علامات على نحو عشرة مواضع تتضمن الكلمة open في ملفات مختلفة. أما الآلية الموصوفة في الإعلان فتعمل بطريقة أخرى. فهي تسجل أولًا أن المعامل يأتي من مدخل غير موثوق. ثم يتتبع الوكيل مساره، ولا يشير إلى احتمال وجود ثغرة اجتياز المسارات إلا بعد ذلك. وترتبط النتيجة بمسار محدد لتدفق البيانات، ما يسهّل على الإنسان التحقق منها.

ويعالج الوكلاء الفرعيون المتوازون هنا مشكلة هندسية. فتدقيق تطبيق أحادي البنية بالتسلسل يستغرق وقتًا طويلًا ويملأ نافذة السياق بسرعة. أما تقسيم العمل إلى أجزاء فيسرّعه ويقلل احتمال أن يفقد النموذج بعض التفاصيل في منتصف التحليل.

ما الذي لا نعرفه بعد

المنشور قصير، وانتشاره محدود: نحو 15 ألف مشاهدة. لذلك من المهم عدم إضافة افتراضات لا يسندها النص. لا يقدم المصدر بيانات عن معدل النتائج الإيجابية الكاذبة، أو اللغات المدعومة، أو تكلفة تشغيل الفحص على مستودع كبير، أو المقارنة مع أدوات التحليل الساكن. ولا يتضمن أمثلة على ثغرات حقيقية اكتُشفت. حتى الآن، نحن أمام نهج معلن، لا نتيجة مثبتة.

وثمة خطر مشترك بين جميع وكلاء التدقيق: حتى التحقق «بالرجوع إلى الشيفرة» يجريه نموذج. وقد يؤكد بثقة نتيجة خاطئة أو يفوّت ثغرة حقيقية. مثل هذه الأداة لا تحل محل اختبار أمن التطبيقات الساكن SAST، أو اختبار الاختراق، أو المراجعة البشرية.

ما العمل عمليًا

إذا كنت تستخدم Hermes Agent بالفعل، فمن المفيد تجربة الإضافة على خدمة صغيرة تعرف مواضع ضعفها. ازرع مسبقًا مشكلتين معروفتين، ثم راقب ما إذا كان الوكيل سيكتشفهما، وكم سيضيف من نتائج مشتتة. هذه أسرع طريقة لتقييم الجودة من دون الاتكال على الإعلان.

وبالنسبة إلى الفرق التي لا تضم متخصصًا متفرغًا للأمن، يتمثل الدور المعقول لهذه الأداة في إجراء فحص أولي قبل الإصدار أو قبل تدقيق فعلي. ينبغي أن تلتقط المشكلات الواضحة وتطرح فرضيات مع بيان الأساس الذي استندت إليه. أما لمديري المنتجات والمؤسسين، فالخلاصة واضحة: وكلاء مراجعة الأمن ينتقلون من توليد القوائم إلى آلية «الاستطلاع، وتقسيم العمل، والتحقق». وعلى أساس هذه المعايير الثلاثة ينبغي مقارنة الحلول المتنافسة.

كما أن ظهور إضافة رسمية من فريق Nous يشير إلى تطور آخر. فالمنظومة المحيطة بـ Hermes Agent تنمو بفضل الإضافات، وليس بفضل النموذج وحده. وستكشف الاختبارات المستقلة مدى فائدة هذه الإضافة تحديدًا، لا منشور على X.