يُقال إن نموذجًا للأمن بالذكاء الاصطناعي عثر على 271 ثغرة في Firefox 150 قبل إطلاقه

أدت رواية Mozilla عن Firefox إلى زيادة حدّة الجدل المحتدم أصلًا حول أمن الذكاء الاصطناعي

تقول Mozilla إن نموذج Mythos Preview من Anthropic ساعدها في تحديد 271 ثغرة أمنية في Firefox 150 قبل إطلاق المتصفح، وهو ما يرفع فورًا من حجم الرهان في السباق لفهم كيف سيؤثر الذكاء الاصطناعي المتقدم في الأمن السيبراني.

هذا الاكتشاف، كما نقلته Ars Technica، يضيف دليلًا ملموسًا على نحو غير معتاد إلى نقاش كان مدفوعًا حتى الآن إلى حد كبير بالتكهنات وادعاءات المقاييس والتحذيرات الصادرة عن شركات الذكاء الاصطناعي. وفي أوائل أبريل، قالت Anthropic إن Mythos كان فعالًا إلى درجة دفعتها إلى تقييد الإطلاق الأولي للنموذج ليقتصر على مجموعة صغيرة من الشركاء الصناعيين الأساسيين. وتُعد تجربة Mozilla المعلنة الآن واحدة من أوضح الإشارات الواقعية إلى ما قد تبدو عليه هذه القدرة عمليًا.

ووصف Bobby Holley، كبير مسؤولي التقنية في Firefox، التداعيات بصياغة واسعة، قائلًا إن فرق الأمن الدفاعية قد تكون بدأت أخيرًا تكتسب أفضلية. وحتى من دون الإفصاح التفصيلي عن مدى خطورة الثغرات الـ 271، يصعب تجاهل حجم النتيجة المعلنة.

من عشرات الأخطاء إلى مئاتها في دورة إصدار واحدة

أكثر المقارنات لفتًا للنظر في التقرير الأصلي ليست بين الذكاء الاصطناعي والبشر، بل بين جيل من نماذج الذكاء الاصطناعي والجيل الذي يليه. وقال Holley إن نموذج Opus 4.6 من Anthropic عثر على 22 خطأ حساسًا أمنيًا عند تحليل Firefox 148 الشهر الماضي. أما Mythos Preview، أثناء فحص Firefox 150، فقد كشف بحسب التقرير عن 271 ثغرة.

إذا كانت هذه الأرقام قابلة للمقارنة مباشرة، فالقفزة هائلة. وهذا يوحي بأن تقدم النماذج في تحليل الثغرات قد لا يكون خطيًا. وحتى مع احتساب الاختلافات في الكود المستهدف أو ظروف البحث، فإن الانتقال من عشرات قليلة إلى مئات النتائج في تلك الفترة القصيرة يشير إلى تغيير ذي معنى في القدرة.

ويقول التقرير الأصلي إن النموذج وجد هذه المشكلات بمجرد تحليل الشيفرة المصدرية غير المنشورة. وهذه نقطة مهمة لأنها تقدم النموذج ليس كمحرك اختبار عشوائي آلي يتطلب تشغيلًا على نطاق واسع، بل كنظام استدلال قادر على فحص قواعد الشيفرة والإشارة إلى الثغرات المحتملة.

وقارن Holley هذا العمل بما يمكن إنجازه إما عبر الاختبار العشوائي الآلي أو عبر باحثين بشريين نخبة يستدلون على تعقيدات كود المتصفح. والفرق العملي، على حد قوله، يكمن في التكلفة والسرعة. فإذا كان بإمكان نموذج ذكاء اصطناعي العثور على العيوب الأمنية من دون أشهر طويلة من الجهد المتخصص المركز، فإن المراجعة الدفاعية تصبح أقل كلفة وأكثر قابلية للتوسع.

لماذا يُعد أمن المتصفحات حالة اختبار مهمة

تُعد المتصفحات من أكثر منتجات البرمجيات الاستهلاكية تعقيدًا وتعرضًا للهجوم في العالم. فهي تعالج مدخلات غير موثوقة باستمرار، وتمتد عبر قواعد شيفرة ضخمة، وتتطلب تعاملًا دقيقًا مع الذاكرة والعرض والبرمجة النصية والشبكات وعزل الحاويات.

وهذا يجعل Firefox بيئة اختبار قوية لادعاءات اكتشاف الثغرات المدعوم بالذكاء الاصطناعي. فالنموذج القادر على العثور على أخطاء ذات معنى في متصفح حديث يفعل أكثر من مجرد الفوز في معيار اختبار تجريبي. إنه يعمل في مجال يمكن أن تؤثر فيه العيوب الحقيقية في ملايين المستخدمين، وحيث تكون مراجعة الأمن من قبل الخبراء متقدمة بالفعل بدرجة كبيرة.

ولا يحدد التقرير الأصلي توزيع شدة الثغرات الـ 271. وهذا التفصيل المفقود مهم. فمئات المشكلات منخفضة الشدة لا تحمل الدلالة الاستراتيجية نفسها التي تحملها مئات الثغرات عالية التأثير. ومع ذلك، فإن القدرة على تحديد عدد كبير من الأخطاء الحساسة أمنيًا قبل الإطلاق العام ستُمثل تحولًا كبيرًا في أساليب حماية البرمجيات.

سؤال المدافعين مقابل المهاجمين أصبح أصعب في الإجابة

على مدى أشهر، تأرجح النقاش حول الأمن السيبراني المرتبط بالذكاء الاصطناعي المتقدم بين القلق والتشكيك. فهناك من يخشى أن تجعل النماذج القوية الاستغلال أسهل وأكثر قابلية للتوسع لدى المهاجمين. وهناك من يرى أن الذكاء الاصطناعي يسرّع أساسًا العمل الذي يقوم به المدافعون أصلًا، وأن الضجيج يتجاوز غالبًا النتائج العملية.

ولا تنهي استخدام Mozilla المعلن لـ Mythos هذا الجدل، لكنه يدفعه إلى الأمام. فوجهة نظر Holley، كما وردت في التقرير الأصلي، هي أن اكتشاف الثغرات بتكلفة أقل يفيد المدافعين لأن بائعَي البرمجيات يمكنهم العثور على المشكلات وإصلاحها قبل أن يستغلها المهاجمون.

وهذا ممكن على نحو معقول، خاصة بالنسبة للمنظمات التي لديها وصول إلى النماذج الرائدة والقدرة الهندسية على دمجها في مسارات التطوير الآمن. لكن القدرة الأساسية نفسها قد تفيد المهاجمين أيضًا إذا أصبحت أنظمة مماثلة أكثر توافرًا أو تسربت إلى سلاسل أدوات هجومية.

بعبارة أخرى، قد يعتمد التفوق أقل على ما إذا كان الذكاء الاصطناعي قادرًا على العثور على الثغرات، وأكثر على من يستطيع تشغيل هذه القدرة بسرعة أكبر وبقدر أعلى من المسؤولية.

ما الذي يتغير داخل تطوير البرمجيات

إذا ثبتت نتيجة Mozilla، فقد يتوقف مراجعة الشيفرة المدعومة بالذكاء الاصطناعي عن كونها ميزة إضافية، وتصبح متطلبًا أساسيًا للمشروعات البرمجية الكبرى. وقال Holley لمجلة Wired، بحسب التقرير الأصلي، إن كل برمجية قد تحتاج قريبًا إلى التعامل مع هذا النوع من التحليل المساند بالذكاء الاصطناعي لأن كل برمجية ستتعرض لهذه القدرة نفسها من الخارج.

وهذا يخلق حدًا أدنى جديدًا. فقد تجد المشروعات التي لا تستخدم أدوات ذكاء اصطناعي قوية لفحص الشيفرة نفسها في وضع أضعف أمام المهاجمين أو المنافسين الذين يفعلون ذلك. وقد تبدأ مراجعة الأمن في التشبه أكثر بفرز مستمر مدعوم بالذكاء الاصطناعي، مضافًا إلى الاختبارات التقليدية والاختبار العشوائي والبحث البشري.

وقد يغيّر ذلك أيضًا ديناميكيات العمل داخل فرق الأمن. فقد يقضي الباحثون ذوو المهارة العالية وقتًا أقل في التنقيب اليدوي عبر مسارات شيفرة منخفضة العائد، ووقتًا أكثر في التحقق من النتائج التي يولدها النموذج وترتيب أولوياتها واستغلالها أو إصلاحها. وفي هذا السيناريو، لا يستبدل الذكاء الاصطناعي العمل الأمني النخبوي بقدر ما يغيّر اقتصاده.

التفاصيل الناقصة لا تزال مهمة

الرقم العنواني مثير للإعجاب، لكن الأسئلة غير المحسومة كبيرة. فالتقرير الأصلي لا يكشف كم عدد الثغرات الشديدة، وكم عددها الذي كان يمكن العثور عليه بالأدوات الداخلية القائمة، أو كيف بدا معدل الإيجابيات الكاذبة. كما يترك مفتوحًا ما إذا كان الأداء يعتمد على إرشاد مميز أو أدوات أو صياغة مطالبات يصعب تكرارها على نطاق واسع.

هذه التحفظات لا تلغي أهمية النتيجة، بل تحدد فقط ما يزال مجهولًا. وتكون الادعاءات الأمنية أقوى عندما يتمكن باحثون خارجيون من التحقق منها عبر الزمن وعبر قواعد شيفرة متعددة وبيئات تشغيلية مختلفة.

لحظة مفصلية للذكاء الاصطناعي في الدفاع السيبراني

حتى مع هذه الشكوك، تبدو رواية Mozilla كأنها حدث عند عتبة تحول. فحتى الآن، كثيرًا ما بدت الادعاءات حول الذكاء الاصطناعي الرائد والقدرات السيبرانية افتراضية أو ذات مصلحة ذاتية. لكن أن تقول شركة متصفح إن نموذجًا ساعد في اكتشاف 271 ثغرة في إصدار رئيسي يمنح هذا الجدل شكلًا أكثر واقعية.

إذا كان الرقم يعكس عيوبًا أمنية حقيقية وذات معنى، فإن الذكاء الاصطناعي المتقدم بدأ بالفعل يغيّر اقتصاديات ضمان البرمجيات. وهذا لا يضمن أن المدافعين قد انتصروا بشكل حاسم، كما يجادل Holley. لكنه يشير إلى أن المنافسة دخلت مرحلة جديدة، أصبحت فيها القدرة على الاستدلال عبر الشيفرة بسرعة الآلة عاملًا أمنيًا عمليًا بدلًا من كونها احتمالًا مستقبليًا.

أما السؤال التالي فلم يعد ما إذا كان الذكاء الاصطناعي يمكن أن يكون مهمًا في أبحاث الثغرات. بل أصبح: إلى أي مدى ستتكيف بقية صناعة البرمجيات مع عالمٍ أصبح فيه ذلك واقعًا بالفعل.

هذه المقالة مبنية على تغطية Ars Technica. اقرأ المقال الأصلي.