ما هو إطار عمل 'ميتيس' (Metis) من Arm، وكيف يستخدم الذكاء الاصطناعي لكشف الثغرات الأمنية في أكثر من 130 مشروعًا؟

إليك كل ما تدعمه الأدلة المتاحة — وما لم تؤكده بعد — حول إطار عمل 'ميتيس' (Metis) من Arm.

---

ما هو 'ميتيس'؟

'ميتيس' هو إطار عمل أمني قائم على الذكاء الاصطناعي، مفتوح المصدر، طوّره فريق أمن المنتجات في شركة Arm. يستخدم نماذج لغوية ضخمة (LLMs) مدمجة مع تقنية التوليد المعزز بالاسترجاع (RAG) لإجراء مراجعات أمنية عميقة ومدركة للسياق للكود البرمجي. يكشف 'ميتيس' عن الأخطاء المنطقية وعيوب التصميم التي تتجاهلها أدوات التحليل الثابت التقليدية . يستضاف المشروع على الرابط github.com/arm/metis، وقد أُصدر تحت رخصة Apache 2.0 .

كيف يستخدم 'ميتيس' النماذج اللغوية الضخمة وتقنية RAG؟

يعتمد 'ميتيس' على نماذج لغوية ضخمة قادرة على التفكير المنطقي في الكود بشكل دلالي، بدلاً من الاعتماد فقط على مطابقة الأنماط . يدمج الإطار تقنية التوليد المعزز بالاسترجاع (RAG) لاسترجاع سياق المشروع ذي الصلة — مثل الأنماط المعمارية، ونتائج المراجعات السابقة، واتفاقيات البرمجة — ويُغذي هذا السياق للمساعدة في تحليل النموذج اللغوي. هذا التصفية السياقية هي ما تسمح لـ 'ميتيس' بتقليل النتائج الإيجابية الكاذبة (False Positives) مقارنة بالتحليل الثابت التقليدي . صُمم الإطار كأداة سطر أوامر (CLI) بهندسة إضافات (Plugins)، مما يسمح بتوسيعه ليشمل لغات برمجة جديدة وواجهات خلفية لنماذج لغوية مختلفة .

نطاق الاستخدام: أكثر من 130 مشروعًا داخليًا ودعم لغات متعددة

تستخدم Arm 'ميتيس' داخليًا عبر أكثر من 130 مشروعًا برمجيًا . ركز الإطلاق الأولي على لغتي C و C++ ، لكن نظام الإضافات يسمح بإضافة دعم للغات Python, Rust, TypeScript, Solidity، وغيرها . هندسة الإطار مستقلة عن اللغة على مستوى الإضافات.

مزاعم الأداء

تُظهر المؤشرات الداخلية لشركة Arm أن 'ميتيس' يقدم معدل نتائج إيجابية حقيقية (True Positive Rate) أعلى بعشر مرات، ونتائج إيجابية كاذبة أقل بنسبة 50% تقريبًا مقارنة بأدوات التحليل الثابت الرائدة . مع ذلك، لم نعثر على مصدر يذكر على وجه التحديد "معدل نتائج إيجابية حقيقية بنسبة 95% تقريبًا" كرقم رئيسي. تركز مواد Arm المنشورة على التحسينات النسبية مقارنة بالأدوات الحالية (تحسن بـ 10 أضعاف في المعدل الإيجابي الحقيقي، وانخفاض بنحو 50% في الإيجابيات الكاذبة) بدلاً من رقم مطلق يبلغ 95%. ربما يكون رقم 95% ناتجًا عن مجموعة فرعية محددة من المشاريع الداخلية، أو تحليل من جهة خارجية، أو تحديث أحدث — ولكنه غير مؤكد في المصادر الأولية التي تمت مراجعتها هنا.

لماذا جعلته Arm مفتوح المصدر تحت رخصة Apache 2.0؟

صرحت Arm بأن جعل 'ميتيس' مفتوح المصدر هو جزء من استراتيجية أوسع لمساعدة منظومة البرمجيات بأكملها على تحسين الأمن على نطاق واسع . رخصة Apache 2.0 هي رخصة مفتوحة المصدر متساهلة ومناسبة للأعمال، تسمح لأي شخص — بما في ذلك الشركات الأخرى، ومشاريع المصادر المفتوحة، والمطورين الأفراد — باستخدام الأداة وتعديلها ودمجها دون التزامات الحقوق المتروكة (Copyleft) المقيدة . تتضمن الدوافع المنطقية ما يلي:

• الارتفاع المطرد في اكتشاف الثغرات بواسطة الذكاء الاصطناعي — تُسرّع نماذج الذكاء الاصطناعي بشكل كبير من عملية فحص الثغرات الأمنية، ولكنها تولد أيضًا فيضًا من التقارير منخفضة الجودة وعالية التشويش التي تُثقل كاهل المشرفين على المشاريع . يهدف 'ميتيس' إلى حل مشكلة الجودة باستخدام تقنية RAG لتقليل النتائج الإيجابية الكاذبة مع اكتشاف العيوب الأعمق.
• الاستفادة من النظام البيئي — من خلال إتاحة الأداة مجانًا، تستفيد Arm من مساهمات المجتمع، واختبار أوسع عبر قواعد أكواد متنوعة، وتحسين الأمن في سلسلة توريد البرمجيات التي تعتمد عليها أجهزة Arm .
• التعاون الصناعي — يتوافق فتح المصدر تحت رخصة متساهلة قياسية مع استراتيجية Arm الأوسع للمصادر المفتوحة، ويدعو إلى اعتمادها من قبل فرق أمن المنتجات الأخرى، وبرامج مكافآت الثغرات، وخطوط أنابيب CI/CD.

ملاحظة جوهرية مهمة

تؤكد الأدلة على هندسة 'ميتيس' (نموذج لغوي ضخم + تقنية RAG + حلقات مراجعة وكيلية)، ونشره عبر أكثر من 130 مشروعًا داخليًا، ودعمه للغات متعددة عبر الإضافات، وإصداره مفتوح المصدر تحت رخصة Apache 2.0، والتحسينات المُقاسة في الأداء (معدل إيجابي حقيقي أعلى بـ 10 أضعاف، وإيجابيات كاذبة أقل بنحو 50%). لم يُعثر على رقم "معدل النتائج الإيجابية الحقيقية بنسبة 95% تقريبًا" في مصادر Arm الأولية التي فُحصت هنا — قد يعكس مجموعة فرعية محددة من النتائج، أو قياسًا مجتمعيًا، أو استقراءً. إن كان هذا الرقم بالغ الأهمية بالنسبة لك، نوصي بالتحقق من ملف README على GitHub الخاص بـ 'ميتيس' أو أحدث منشور في غرفة أخبار Arm للحصول على أدق المقاييس الداخلية.