كيف كشف نموذج Claude Mythos آلاف الثغرات الأمنية في البرامج العالمية خلال أسابيع

نتائج الشهر الأول: أكثر من 10 آلاف ثغرة

في أول تحديث رسمي للمشروع، أعلنت Anthropic عن نتائج واسعة النطاق:

• اكتشاف أكثر من 10,000 ثغرة أمنية عالية أو حرجة الخطورة عبر شركاء البرنامج.
• معظم المؤسسات المشاركة اكتشفت مئات الثغرات الخطيرة خلال الشهر الأول فقط.
• بعض الفرق أفادت بأن معدل اكتشاف الثغرات ارتفع أكثر من عشرة أضعاف باستخدام النظام.

أحد الأمثلة التي ذكرتها الشركة هو شركة Cloudflare، التي قالت إنها اكتشفت حوالي 2000 خلل برمجي، بينها 400 ثغرة عالية الخطورة في خدماتها الأساسية باستخدام النموذج.

هذه الأرقام تشير إلى أن الذكاء الاصطناعي قد يسمح لفرق الأمن بتحليل قواعد برمجية ضخمة بسرعة أكبر بكثير من التدقيق اليدوي التقليدي.

الأداء التقني والاختبارات

تشير بعض المؤشرات الخارجية أيضًا إلى أداء قوي في مجال الأمن السيبراني.

فقد أفاد معهد أمن الذكاء الاصطناعي في المملكة المتحدة بأن نموذج Claude Mythos Preview نجح في حل 73٪ من تحديات الأمن السيبراني المتقدمة من نوع Capture‑the‑Flag (CTF)، وهي اختبارات تُستخدم لمحاكاة مهام اكتشاف الثغرات الواقعية.

وتشير التقارير التقنية إلى أن النظام قادر على:

• اكتشاف ثغرات يوم الصفر (Zero‑Day) في أنظمة التشغيل والمتصفحات.
• ربط عدة ثغرات معًا للوصول إلى تصعيد الصلاحيات أو السيطرة على النظام.
• إنشاء كود استغلال فعلي يوضح كيفية استغلال الثغرة.

هذه المهام عادة ما تكون من اختصاص الباحثين الأمنيين الأكثر خبرة.

أمثلة على الثغرات المكتشفة

بسبب عملية الإفصاح المنسق عن الثغرات، لم تُنشر تفاصيل معظم الاكتشافات بعد. لكن بعض الأمثلة ظهرت في تقارير مبكرة، منها:

• ثغرة عمرها 27 عامًا في نواة نظام OpenBSD مرتبطة بخيارات TCP SACK.
• خلل برمجي عمره 16 عامًا في برنامج FFmpeg لم تكتشفه ملايين الاختبارات الآلية السابقة.
• سلاسل ثغرات في نواة لينكس سمحت بالانتقال من حساب مستخدم عادي إلى السيطرة الكاملة على النظام.

وتقول Anthropic إن أكثر من 99٪ من الثغرات المكتشفة لم يتم إصلاحها أو إعلانها علنًا بعد، لذلك لا يمكن نشر تفاصيلها في الوقت الحالي.

الشركات المشاركة في المشروع

يعمل Project Glasswing كتحالف بين شركات تقنية كبرى ومؤسسات أمنية وبنية تحتية رقمية.

من بين الشركاء الذين ذُكروا عند إطلاق المشروع:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• Linux Foundation

إجمالاً يضم البرنامج حوالي 50 منظمة مشاركة تعمل على اختبار النموذج داخل أنظمتها وبرمجياتها.

لماذا لم يُطرح النموذج للجمهور؟

أكدت Anthropic أن قدرات النموذج قد تكون خطيرة إذا أصبحت متاحة للجميع.

فوجود نظام قادر على اكتشاف ثغرات يوم الصفر وإنشاء استغلالات لها تلقائيًا قد يخفض بشكل كبير الحواجز أمام الهجمات السيبرانية.

لهذا السبب قررت الشركة إطلاقه ضمن برنامج محدود الهدف منه إصلاح أكبر عدد ممكن من الثغرات قبل أن تصبح هذه القدرات متاحة على نطاق أوسع.

انتقادات وتشكيك من خبراء الأمن

على الرغم من الأرقام اللافتة، هناك عدة نقاط أثارت نقاشًا داخل مجتمع الأمن السيبراني.

1. محدودية التحقق المستقل
معظم الأرقام الكبيرة—مثل اكتشاف أكثر من 10 آلاف ثغرة—تأتي من تقارير Anthropic نفسها أو من ملخصات تعتمد عليها. وبما أن معظم الثغرات لم تُكشف بعد، لا يستطيع الباحثون المستقلون تقييمها بشكل مباشر.

2. احتمال تشابه القدرات مع أدوات موجودة
يرى بعض الباحثين أن قدرات اكتشاف الثغرات قد تكون ممكنة بالفعل باستخدام نماذج عامة وأدوات مفتوحة المصدر، ما يعني أن Mythos قد يكون تسريعًا للعمل أكثر من كونه طفرة تقنية جديدة بالكامل.

3. نقص البيانات حول معدلات التحقق الفعلية
رغم وجود مؤشرات أداء مثل نجاح 73٪ في تحديات CTF، لا توجد حتى الآن إحصاءات عامة مفصلة حول عدد الثغرات التي تم تأكيدها وإصلاحها في الأنظمة الواقعية.

الخلاصة

إذا ثبتت صحة الأرقام التي أعلنتها Anthropic، فقد يمثل Project Glasswing أحد أكبر برامج اكتشاف الثغرات باستخدام الذكاء الاصطناعي في التاريخ. ففي شهر واحد فقط تم الإبلاغ عن أكثر من 10 آلاف ثغرة خطيرة في برمجيات وبنى تحتية مهمة عالميًا.

لكن في الوقت نفسه، ما زال المجتمع الأمني ينتظر مزيدًا من الإفصاح والتحقق المستقل لمعرفة ما إذا كانت هذه النتائج تمثل اختراقًا تقنيًا فريدًا أم مجرد خطوة متقدمة ضمن الاتجاه المتسارع لاستخدام الذكاء الاصطناعي في تحليل أمن البرمجيات.

المؤكد حتى الآن هو أن الذكاء الاصطناعي أصبح لاعبًا رئيسيًا في أبحاث الأمن السيبراني—قادرًا على تحليل ملايين الأسطر البرمجية، اكتشاف ثغرات دقيقة، وحتى إنتاج استغلالات عملية لها خلال وقت قصير.