Cal.com تحوّل منتجها الرئيسي إلى كود مغلق بسبب تهديدات الذكاء الاصطناعي للمصادر المفتوحة

تنقل Cal.com، إحدى الجهات البارزة في مجال المصادر المفتوحة ضمن فئة أدوات الجدولة (scheduling)، النسخة التجارية من خدمتها إلى كود مغلق. والسبب ليس تغيير نموذج العمل بحد ذاته، بل توازن جديد في تقدير المخاطر: فالشركة ترى أن أدوات الذكاء الاصطناعي الحديثة بسّطت كثيرًا البحث عن الثغرات في المستودعات العامة، وجعلت الكود المفتوح مكلفًا للغاية من حيث حماية بيانات المستخدمين.

أعلنت الشركة قرارها في 15 أبريل 2026. فكود الإنتاج (production) والتطوير اللاحق للمنتج التجاري يصبحان خاصين، أما المستودع العام فيتحول إلى فرع مجتمعي مستقل باسم Cal.diy. وتبقى هذه النسخة ذاتية الاستضافة (self-hosted) ومفتوحة المصدر، لكن بترخيص MIT بدلًا من AGPL السابق. وتحتفظ بمحرك الجدولة ومنطق الحجوزات ومتجر التطبيقات (app store) وواجهة API v2، أي بكل ما يحتاجه المطورون الأفراد والفرق الصغيرة للنشر الذاتي.

وتُزال من Cal.diy العناصر المرتبطة بالخدمة التجارية المُدارة وسيناريوهات المؤسسات (enterprise): المؤسسات والفرق، ونماذج التوجيه (routing forms)، وسير العمل الآلي (workflows)، والحجز الفوري (instant booking)، وAI phone، وSAML/SSO، ولوحات التحليلات، وجزء من واجهات الإدارة، وواجهة API v1 القديمة. وعمليًا تقسم Cal.com منتجها إلى مسارين: منصة مفتوحة للهواة وللاستضافة الذاتية، ونسخة إنتاج مغلقة تتحمل فيها الشركة مسؤولية البيانات الحساسة للعملاء. وتصف الشركة الأمر ببساطة: إنها تريد أن تكون شركة جدولة لا شركة أمن سيبراني.

وتقوم حجة Cal.com على أن الذكاء الاصطناعي يغيّر جذريًا اقتصاديات الأمن الهجومي (offensive security). ففي السابق كان اكتشاف الثغرات القابلة للاستغلال يتطلب باحثًا خبيرًا ووقتًا طويلًا من العمل اليدوي. أما الآن فيمكن للنماذج وأدوات الوكلاء (agents) أن تتنقل بالتسلسل عبر قاعدة الكود، وتتتبع تدفقات البيانات، وتبحث عن انتهاكات المنطق التجاري، وتبني إثبات المفهوم (proof of concept) بسرعة.

وفي إحدى منشورات مدونتها الخاصة، تورد Cal.com اختبارات أجراها شريكها Hex Security: ففي 28 شركة، اكتشف وكلاء اختبار الاختراق (pentest) المستقلون لديه نحو 2000 ثغرة، منها 44,6% صُنّفت حرجة أو عالية الخطورة (high severity)، وفي 65,1% من عمليات الفحص عُثر على ثغرة حرجة واحدة على الأقل. وتورد المدونة نفسها اختبارًا مرجعيًا (benchmark) يُظهر أن الوصول إلى الكود المصدري رفع اكتشاف الثغرات بنحو 20% مقارنة بالفحص بالصندوق الأسود (black-box). وكرمز عام للواقع الجديد، تشير الشركة إلى مثال نموذج الذكاء الاصطناعي Mythos، الذي تقول إنه تمكن من كشف ثغرة قديمة في BSD وبناء استغلال (exploit) عامل بسرعة.

ومع ذلك، لا تزعم Cal.com أن الكود المغلق يجعل المنتج آمنًا تلقائيًا. فهي تقرّ صراحة في تفسيرها الرسمي بأن هذا ليس حلًا مثاليًا، وبأن الأمن بالغموض (security through obscurity) وحده لا ينقذ. لكن بالنسبة إلى خدمة تعالج بيانات الاجتماعات والتقويمات والحجوزات، يبدو حتى الانخفاض الطفيف في احتمال إجراء تدقيق جماعي من المهاجمين مبررًا.

وفي الوقت نفسه، يعد الفريق بمواصلة نقل رقع الأمان (security patches) بين المنتج المغلق وCal.diy، ويقول إنه يرغب في العودة يومًا ما إلى الصيغة المفتوحة إذا أصبح مشهد التهديدات أكثر قابلية للإدارة.

وهذا تحول لافت بوجه خاص، لأن Cal.com بنت علامتها التجارية تحديدًا كبديل مفتوح المصدر لـ Calendly، ولم تُخفِ أنها ترى في الكود المفتوح مصدرًا للنمو. وبحسب إدارة الشركة، لو كانت المخاطر على وضع مختلف لفضلت البقاء على النموذج السابق. أي إن الأمر لا يتعلق بقطيعة كاملة مع المجتمع، بل بمحاولة فصل الجزء التجريبي عن الجزء التجاري من المنتج في نطاقين أمنيين مختلفين.

والاستنتاج الرئيسي هنا أوسع من مصير شركة واحدة. فقصة Cal.com تُظهر أن الذكاء الاصطناعي لا يغيّر التطوير وحده، بل يغيّر أيضًا العقد الاجتماعي للمصادر المفتوحة ذاته: فالشفافية لا تزال تساعد المدافعين، لكنها صارت توسّع عمل المهاجمين بالقدر نفسه. وقد يعني ذلك، بالنسبة إلى المنتجات التجارية مفتوحة المصدر، اختيارًا مؤلمًا بين أيديولوجيا الانفتاح والالتزام بخفض المخاطر على العملاء. وCal.com هي أول من يتخذ هذا الخيار بهذا القدر من العلنية، ولهذا بالذات تكتسب حالتها أهمية للصناعة كلها.