- لقد اكتشف برنامج Claude Mythos Preview آلاف العيوب الحرجة في البرامج الأساسية، متجاوزًا بكثير قدرات الكشف لدى البشر والأدوات التقليدية.
- مشروع Glasswing هو تحالف محدود يضم 50 شركة عملاقة في مجال التكنولوجيا والمالية تستخدم هذا الذكاء الاصطناعي لتصحيح الثغرات الأمنية قبل استغلالها.
- لا يزال النموذج خاضعًا للتحكم في الوصول نظرًا لمستوى المخاطر ASL-4 الخاص به، حيث أنه يمتلك القدرة على توليد ثغرات وظيفية بشكل مستقل.
تخيل أن البرمجيات التي تدعم الإنترنت، بدءًا من المتصفحات التي تستخدمها لقراءة هذا المقال وصولًا إلى أنظمة تشغيل أقوى الخوادم، تحتوي على ثغرات أمنية خفية لم يلاحظها أحد لعقود. حسنًا، اتضح أن شركة أنثروبيك قد حققت إنجازًا كبيرًا بأداة لا تكتشف هذه الثغرات فحسب، بل تعرف أيضًا كيفية استغلالها بدقة، مما يجبر قطاع الأمن السيبراني بأكمله على إعادة النظر في كيفية حماية بياناتنا.
لا نتحدث هنا عن تحديث بسيط لتطبيق دردشة ذكي، بل عن تحول جذري في المفاهيم. مع إطلاق مشروع "غلاس وينغ" ، قررت الشركة اتباع نهج استباقي دفاعي، حيث جمعت كبار الشخصيات في قطاعي التكنولوجيا والمال لتنظيف قاعدة البيانات العالمية قبل أن يقرر شخص ذو نوايا خبيثة استخدام نفس التقنية لإحداث فوضى رقمية.
العقل المدبر وراء العملية: كلود ميثوس (معاينة)
القوة الدافعة الحقيقية وراء هذه العملية برمتها هي برنامج Claude Mythos Preview ، وهو نموذج ذكاء اصطناعي يتفوق على سابقيه في مجال تحليل الأمن السيبراني. على عكس النماذج التجارية، يتمتع Mythos بقدرة تحليلية متقدمة تمكنه من تحديد آلاف الثغرات الأمنية غير المعروفة (ثغرات اليوم الصفر) - وهي ثغرات لم يكن حتى المطورون الأصليون على دراية بها.
ما يجعل هذا النموذج قوةً حقيقية هو قدرته على ربط الثغرات الأمنية . ففي الواقع، لا يستخدم المخترق عادةً ثغرةً واحدة، بل يجمع بين عدة ثغرات صغيرة للوصول الكامل إلى النظام. يستطيع برنامج Mythos استنتاج كيفية ربط هذه الأجزاء معًا، والأكثر إثارةً للإعجاب، قدرته على كتابة وتنفيذ أكواد اختبارية لإثبات أن الثغرة حقيقية وقابلة للاستغلال، وبالتالي التخلص من الإنذارات الكاذبة التي تُحبط محللي الأمن السيبراني وأدواتهم.
شخصيات تُقشعر لها الأبدان
إذا كنت تعتقد أن البرامج المتطورة آمنة، فإن بيانات Glasswing ستصيبك بالكوابيس. ففي غضون ثلاثين يومًا فقط، اكتشف شركاء البرنامج أكثر من 10.000 ثغرة أمنية بالغة الخطورة أو حرجة. شركة Cloudflare وحدها، الرائدة في مجال الأمن السيبراني، وجدت 2.000 خلل في أنظمتها، 400 منها حرجة ، مما يدل على أن حتى أكثر الأنظمة استعدادًا ليست بمنأى عن الأخطاء.
الوضع مع البرمجيات مفتوحة المصدر أكثر إثارة للقلق. حللت شركة أنثروبيك نحو ألف مشروع أساسي للشبكة، ووجدت أكثر من 23 ألف ثغرة أمنية محتملة، منها 6.202 ثغرة مصنفة على أنها حرجة . ولتوضيح ذلك، كشف النموذج عن ثغرة أمنية في نظام OpenBSD ظلت كامنة لمدة 27 عامًا ، بالإضافة إلى ثغرات عمرها 16 و17 عامًا في برنامجي FFmpeg وFreeBSD على التوالي. برامج اجتازت عمليات تدقيق لا حصر لها، ومع ذلك لا تزال تعاني من ثغرة أمنية.
لماذا لا نستطيع استخدام ميثوس في المنزل؟
ربما تتساءل عن سبب عدم إتاحة شركة أنثروبيك لهذا النموذج للعامة. والجواب بسيط: إنه شديد الخطورة. صُنِّف نموذج ميثوس داخليًا ضمن المستوى الرابع من مستويات أمان الذكاء الاصطناعي (ASL-4) ، ما يعني أنه قادر على إحداث أضرار كارثية إذا وقع في الأيدي الخطأ. فنموذجٌ يكتشف ثغرةً بهذه الدقة يمكنه، في لمح البصر، توليد ثغرة مثالية لاختراق البنية التحتية الحيوية.
لذا، يقتصر الوصول على دائرة مغلقة تضم 50 منظمة مختارة ، من بينها شركات عملاقة مثل مايكروسوفت، وجوجل، وآبل، وأمازون، وجيه بي مورغان تشيس. الفكرة هي أن تستخدم هذه الجهات الذكاء الاصطناعي لتصحيح البرامج على نطاق واسع قبل أن يطور المهاجمون أدواتهم الخاصة استنادًا إلى نماذج مماثلة. إنها في جوهرها سباق تسلح تسعى فيه شركة أنثروبيك إلى منح الجهات الداعمة للأمن السيبراني اليد العليا.
دروس للقطاع ومستقبل التنمية
يُؤكد هذا التطبيق بوضوح أن الأمن لم يعد مجرد فكرة ثانوية. وقد أشارت كلاود فلير إلى أن استخدام وكلاء الذكاء الاصطناعي يتطلب بيئة اختبار مُخصصة للغاية؛ فليس من الكافي ببساطة مطالبة النموذج "بالبحث عن الأخطاء". بل يجب تقسيم المهام واستخدام مراجعة مُضادة (وكيل ثانٍ يُشكك في نتائج الأول) لمنع الذكاء الاصطناعي من تزييف المعلومات.
علاوة على ذلك، برزت مشكلة بشرية مقلقة: إذ يكتشف الذكاء الاصطناعي الأخطاء البرمجية أسرع من قدرة المبرمجين على إصلاحها. فبينما يكشف نظام ميثوس آلاف الأخطاء، لا تزال عملية الفرز والإبلاغ والتصحيح تعتمد على عدد كبير من الموظفين البشريين المثقلين بالأعباء. وقد دفع هذا بعض الشركات إلى محاولة تقليص اتفاقيات مستوى الخدمة (SLA) للاستجابة إلى ساعتين فقط من تاريخ نشر تقرير CVE ، على الرغم من أن هذا ينطوي على خطر إصدار تصحيحات دون إجراء اختبارات كافية للتحقق من مدى ثباتها.
لمواجهة هذا التحدي، أطلقت شركة أنثروبيك برنامج كلود سيكيوريتي بنسخته التجريبية لعملاء المؤسسات، بالإضافة إلى برنامج التحقق السيبراني، مما يتيح للمهنيين المعتمدين استخدام نماذجه دون القيود المعتادة. كما خصصت الشركة ملايين الدولارات لمؤسسات مثل مؤسسة لينكس ومؤسسة أباتشي لمساعدة مطوري البرامج مفتوحة المصدر على إدارة هذا الكم الهائل من التقارير الأمنية.
الحقيقة هي أن تكلفة اكتشاف الثغرات الأمنية قد انخفضت بشكل كبير، وأن الفترة الفاصلة بين الاكتشاف والاستغلال أصبحت أضيق من أي وقت مضى. ويُبرهن نجاح مشروع "غلاس وينغ" على أن السبيل الوحيد للبقاء في هذا النظام البيئي الجديد هو الشفافية والتعاون بين مختلف القطاعات ، مع التسليم بأن الذكاء الاصطناعي أصبح الأداة الرئيسية للهجوم على البنية التحتية الرقمية العالمية والدفاع عنها.
