باحث بحاسوب محمول و«Claude» يكتشف أكثر من 100 ثغرة في أكواد المواقع الحكومية البريطانية

عندما يدور الحديث عن الذكاء الاصطناعي والأمن السيبراني، يُرسم عادةً مشهد مخيف: نماذج فائقة الذكاء تخترق كل شيء. لكن الواقع، كما تروي قصة حديثة نشرتها Wired، أكثر عادية وأشد إزعاجًا. فقد أخذ باحث حاسوبًا محمولًا عاديًا، وربطه بـClaude Opus وSonnet، وعثر في وقت قصير على أكثر من مئة ثغرة خطيرة في الكود المفتوح للحكومة البريطانية.

ما الذي اكتُشف تحديدًا

تعمل بريطانيا منذ نحو عشر سنوات بمبدأ «الكود المكتوب بأموال الدولة يُنشر علنًا». وهذا يحقق الشفافية، كما أن إعادة الاستخدام توفّر في الميزانية. وقد فحص كريس نيسبيت-سميث من ControlPlane عدد 349 مستودعًا عامًا تابعًا لـ33 جهة، من بينها وزارة الصحة والرعاية الاجتماعية ووزارة الداخلية (Home Office) والسلطات المحلية. وظهرت الثغرات في نحو ثلثي قواعد الأكواد.

وتتعلق أخطر الحالات بـPlanning Inspectorate، وهي الجهة المعنية بقضايا استخدام الأراضي في إنجلترا. فقد أودع الموظفون عن غير قصد في GitHub العام بيانات اعتماد Microsoft Entra ID، ولم يُلغوها بالكامل. ووفق الباحث، منحت هذه البيانات وصولًا «إلهيًا» للقراءة والكتابة إلى جميع مواقع SharePoint وحسابات OneDrive الشخصية للموظفين، بما فيها السجلات الوظيفية ومكتبات الأدلة في النزاعات التخطيطية. ويبدو أن صلاحيتها لم تكن تنتهي.

وفي وزارة التعليم وُجدت ثغرات في خدمة المشتريات للمدارس، وفي تطبيق المعلمين (وفيه بيانات شخصية ومؤهلات ونسخ ممسوحة من الوثائق)، وفي السجل الرئيسي لمراكز التدريب المعتمدة. وفي بوابة البيانات المفتوحة لحكومة اسكتلندا كان بإمكان أي زائر قراءة بيانات حسابات المسؤولين وتغيير إعدادات الموقع. وقد أُصلح كل ذلك الآن.

الأمر لا يتعلق بـ«هجمات فائقة التعقيد»

أهم ما في القصة هو بساطة المكتشفات. يقول نيسبيت-سميث إن شيئًا من ذلك لا يتطلب البراعة التي تتحدث عنها الصحافة: «كل هذا حماقات». وكان تدقيق تقني دوري عادي سيكشف الكثير منها. فالذكاء الاصطناعي هنا لا يخترع ثغرات استغلال جديدة، بل يجعل رخيصًا وسريعًا ما كان يتطلب سابقًا خبيرًا مكلفًا ووقتًا طويلًا. وصار بمقدور أي شخص يملك اشتراكًا وحاسوبًا محمولًا فحص مئات المستودعات. وهذا يعني أن المهاجم يستطيع ذلك أيضًا.

وقال ممثل Planning Inspectorate لـWired إن أنظمة المراقبة لديهم رصدت نشاط الباحث فورًا في أغسطس، وإن الثغرة أُغلقت خلال 20 دقيقة من إبلاغهم. وبحسب قولهم، لم يحدث تسرّب للبيانات. وتشدد أماندا بروك، رئيسة مجموعة OpenUK القطاعية، على أن المشكلة ليست في الكود المفتوح، بل في خلل نظافة العمليات. فالأسرار يجب ألا تصل إلى المستودع أصلًا.

إغلاق الكود ليس حلًا

بعد موجة الاكتشافات في القطاع الحكومي، ظهرت دعوات إلى التوقف عن نشر الأكواد المصدرية. وبحسب ما ذُكر، طلبت NHS في مايو من فرقها التقنية الابتعاد عن الكود المفتوح بسبب مخاوف تتعلق بنماذج الذكاء الاصطناعي. ويصف نيسبيت-سميث الإغلاق دون إصلاح الثغرات بأنه «السيناريو الأسوأ». فالباحثون سيتوقفون عن العثور على المشكلات، بينما المهاجمون على الأرجح استنسخوا المستودعات بالفعل وسيحتفظون بإمكانية الوصول إلى النسخ القديمة. ويشبّه ذلك بلافتة «هنا تعيش التنانين، لكن لا تنظروا».

ماذا نفعل عمليًا

الدرس للفرق بسيط وممل لكنه عاجل:

• فعّلوا فحص الأسرار وحماية الدفع (push protection) في GitHub حتى لا تصل المفاتيح إلى عمليات الإيداع.
• إذا تسرّب مفتاح فأَلغوه بالكامل، ولا تكتفوا بحذف الملف: فسجل الإيداعات يحتفظ بكل شيء.
• امنحوا الرموز المميزة (tokens) أقل الصلاحيات الممكنة ومدد صلاحية معقولة. فغياب القيود هو ما حوّل الخطأ إلى كارثة محتملة.
• مرّروا مستودعاتكم عبر المخطط نفسه الذي استخدمه الباحث قبل أن يفعل ذلك شخص آخر.

وللقصة حدود أيضًا: فالمنشور لا يتضمن تفاصيل عن نسبة الإنذارات الكاذبة ولا عن حجم المراجعة اليدوية المطلوبة. لكن الاستنتاج الرئيسي لا يتغير: فقد خفّض الذكاء الاصطناعي كلفة التدقيق إلى ما يقارب الصفر، وانتهى نهائيًا عهد «الأمن عبر الغموض» كاستراتيجية.