تكمن أهمية هذا التصميم في الفصل بين اتساع التغطية ودقة الحكم. فقد يبحث وكيل على نطاق واسع، ويتتبع آخر مسار هجوم محدداً، بينما يحاول ثالث إثبات خطأ النتيجة. وتبقى المراجعة البشرية حاجزاً نهائياً أمام النتائج الإيجابية الكاذبة والافتراضات غير الصحيحة حول سلوك البرنامج.

ماذا تقول Mandiant عن نتائج AVDH؟

تقول Google إن Mandiant استخدمت AVDH داخلياً لنحو عشرة أشهر، وإنه كشف عشرات الثغرات القابلة للإسناد في إضافات ويب ومشروعات مفتوحة المصدر واسعة الاستخدام. وأسفرت هذه الجهود عن 12 رقم CVE مُسنداً، بينما تخضع نحو 12 ثغرة أخرى لإفصاح نشط ومنسق.

وفي تحقيق للاستجابة لحادثة شمل مستودعات شركات مسروقة، أفادت تقارير خارجية بأن النظام ساعد في تحديد أكثر من 100 ثغرة مؤكدة عالية الخطورة خلال يومين.

لكن ينبغي قراءة هذه الأرقام بحذر. فهي نتائج تشغيلية أبلغت عنها Mandiant وتغطيات مرتبطة بها، وليست مقارنة مستقلة ومدققة مع اختبارات الأمن التقليدية. كما لا يصح وصف هذه النتائج تلقائياً بأنها استغلالات «يوم الصفر» النشطة؛ فالثغرة المكتشفة حديثاً أو التي لم يُعلن عنها سابقاً لا تعني بالضرورة أنها مستغلة فعلياً في البرية.

NOVA: نماذج متعددة لاكتشاف ثغرات منطقية معقدة

تصف وحدة Unit 42 التابعة لـPalo Alto Networks نظام NOVA، وهو اختصار لـNetwork and Open-Source Vulnerability Analyzer، بأنه نظام مستقل للاكتشاف والتحقق وإعداد التقارير، مدعوم بأطر عمل خاصة متعددة الوكلاء وبنماذج عدة من نماذج الذكاء الاصطناعي المتقدمة.

وفي الاختبار الذي أعلنت عنه الشركة، حلّل NOVA 3,915 مشروعاً مفتوح المصدر خلال شهرين، وحدد 14,090 ثغرة لم تكن معروفة سابقاً. وتقول Unit 42 إن 99.4% من هذه النتائج لم تكن قد أُبلغ عنها من قبل، وإن نحو 40% منها صُنفت عالية أو حرجة الخطورة.

ولا تكمن أهمية النظام في حجم النتائج وحده. فقد أشارت التغطيات المتعلقة بالنتائج إلى أن كثيراً منها كان ثغرات دلالية أو منطقية، لا مجرد أخطاء فساد الذاكرة التي ركزت عليها أدوات التحليل الآلي تقليدياً. وقد تشمل هذه الثغرات أخطاء في التحكم بالوصول، أو معالجة المسارات، أو سلوك طلبات الخادم إلى الخادم، أو وسائل الحماية من حقن الشيفرة؛ وهي مجالات يتطلب فهمها معرفة دقيقة بالسلوك المقصود للتطبيق.

وكما هي الحال مع AVDH، فإن الأرقام الرئيسية صادرة عن الشركة. ولا يثبت وصف «غير معروفة سابقاً» بمفرده أن كل نتيجة تمثل ثغرة يوم صفر قابلة للاستغلال عملياً، كما قد تختلف درجات الخطورة باختلاف إطار التقييم المستخدم. والاستنتاج الأكثر تحفظاً هو أن الأنظمة القائمة على وكلاء ونماذج متعددة أصبحت قادرة على كشف أعداد كبيرة من المرشحين الأمنيين بسرعة قد تتجاوز وتيرة عمليات المراجعة التقليدية.

لماذا لا يكفي اكتشاف الثغرات؟

قد يرفع اكتشاف الثغرات بسرعة قدرة المؤسسات على الدفاع، لكنه قد يوسّع الأزمة أيضاً إذا ظلت دورات الإصلاح بطيئة. وتشير CERT-EU إلى متوسط زمني مقدّر للاستغلال يبلغ سالب سبعة أيام؛ أي إن الاستغلال قد يبدأ قبل أن يصبح التصحيح متاحاً على نطاق واسع.

ويغيّر هذا المؤشر دور التصحيح البرمجي. فالإصلاح الدائم للشيفرة يظل ضرورياً، لكنه قد لا يكون أول إجراء دفاعي مفيد أو الإجراء الوحيد. تحتاج فرق الأمن أيضاً إلى تقليص التعرض أثناء تحقيق المطورين واختبارهم وتنسيق الإفصاح واستكمال النشر التدريجي.

«الرقع الافتراضية» تسد الفجوة على مستوى الشبكة

صُمم برنامج Frontier AI Critical Defense من Palo Alto Networks للتنسيق بين مختبرات الذكاء الاصطناعي، ومنظمات البرمجيات والمصادر المفتوحة، وقطاعات مثل التكنولوجيا التشغيلية والرعاية الصحية. وتقترح الشركة نشر «رقع افتراضية» على مستوى الشبكة تحجب حركة الاستغلال أو السلوك المسيء للبروتوكولات قبل توفر إصلاح دائم في البرنامج.

وتقول Palo Alto إن ميزة Advanced Virtual Patching تستطيع نشر وسائل الحماية خلال ساعات، مقارنة بمتوسط صناعي معلن يبلغ 55 يوماً لنشر تصحيح تقليدي.

ومن الأفضل فهم الرقعة الافتراضية باعتبارها إجراءً تعويضياً، لا بديلاً عن إصلاح الشيفرة الضعيفة. ففعاليتها تعتمد على قدرة فريق الأمن على تحديد مسار الاستغلال بدقة، وعلى قدرة التحكم الشبكي على حجبه دون تعطيل النشاط المشروع. وقد تكون التغطية محدودة عندما تجري الهجمات عبر قنوات موثوقة، أو حركة مشفرة، أو تصعيد صلاحيات محلي، أو سلوك يصعب تمييزه عن الاستخدام الطبيعي.

هل يستطيع المدافعون استعادة الأفضلية؟

ربما، لكن ليس بمجرد إضافة ماسح يعمل بالذكاء الاصطناعي.

تربط البنية الدفاعية الأقوى عدة مراحل في حلقة تشغيلية واحدة:

1. رسم الشيفرة وسطح الهجوم لفهم وظيفة النظام ومناطقه الحساسة.
2. بناء نموذج للتهديد ومراجعته قبل توليد عدد كبير من فرضيات الثغرات.
3. استخدام وكلاء ونماذج متعددة للبحث من زوايا مختلفة وتحدي النتائج الضعيفة.
4. إعادة إنتاج الثغرات وترتيب أولوياتها بمشاركة خبراء بشريين وأدلة على قابليتها للاستغلال.
5. الإفصاح وتطوير إصلاح دائم عبر آلية التنسيق المناسبة.
6. احتواء التعرض فوراً باستخدام ضوابط الشبكة أو إجراءات تعويضية أخرى.
7. التحقق من المعالجة بعد نشر التصحيح البرمجي.

هذه هي الخلاصة الاستراتيجية من AVDH وNOVA: الأفضلية لا تأتي من مخرجات النموذج وحدها، بل من حسن تنسيق المراحل. يستطيع الذكاء الاصطناعي ضغط زمن الاكتشاف والتحقق، لكن المدافعين ما زالوا بحاجة إلى أدلة موثوقة، وترتيب دقيق للأولويات، وبنية مرنة، وأنظمة نشر تعمل بالسرعة نفسها.

ويستطيع المهاجمون استخدام نماذج مماثلة، كما أن الرقع الافتراضية مؤقتة وتعتمد على نطاق التغطية. لذلك لا يتمثل الهدف الواقعي في القضاء على مخاطر ثغرات يوم الصفر، بل في جعل الحلقة الدفاعية—من الاكتشاف إلى الاحتواء ثم المعالجة—أسرع وأكثر موثوقية من مسار المهاجم، من العثور على الثغرة إلى استغلالها.

تكمن أهمية هذا التصميم في الفصل بين اتساع التغطية ودقة الحكم. فقد يبحث وكيل على نطاق واسع، ويتتبع آخر مسار هجوم محدداً، بينما يحاول ثالث إثبات خطأ النتيجة. وتبقى المراجعة البشرية حاجزاً نهائياً أمام النتائج الإيجابية الكاذبة والافتراضات غير الصحيحة حول سلوك البرنامج.

ماذا تقول Mandiant عن نتائج AVDH؟

تقول Google إن Mandiant استخدمت AVDH داخلياً لنحو عشرة أشهر، وإنه كشف عشرات الثغرات القابلة للإسناد في إضافات ويب ومشروعات مفتوحة المصدر واسعة الاستخدام. وأسفرت هذه الجهود عن 12 رقم CVE مُسنداً، بينما تخضع نحو 12 ثغرة أخرى لإفصاح نشط ومنسق.

وفي تحقيق للاستجابة لحادثة شمل مستودعات شركات مسروقة، أفادت تقارير خارجية بأن النظام ساعد في تحديد أكثر من 100 ثغرة مؤكدة عالية الخطورة خلال يومين.

لكن ينبغي قراءة هذه الأرقام بحذر. فهي نتائج تشغيلية أبلغت عنها Mandiant وتغطيات مرتبطة بها، وليست مقارنة مستقلة ومدققة مع اختبارات الأمن التقليدية. كما لا يصح وصف هذه النتائج تلقائياً بأنها استغلالات «يوم الصفر» النشطة؛ فالثغرة المكتشفة حديثاً أو التي لم يُعلن عنها سابقاً لا تعني بالضرورة أنها مستغلة فعلياً في البرية.

NOVA: نماذج متعددة لاكتشاف ثغرات منطقية معقدة

تصف وحدة Unit 42 التابعة لـPalo Alto Networks نظام NOVA، وهو اختصار لـNetwork and Open-Source Vulnerability Analyzer، بأنه نظام مستقل للاكتشاف والتحقق وإعداد التقارير، مدعوم بأطر عمل خاصة متعددة الوكلاء وبنماذج عدة من نماذج الذكاء الاصطناعي المتقدمة.

وفي الاختبار الذي أعلنت عنه الشركة، حلّل NOVA 3,915 مشروعاً مفتوح المصدر خلال شهرين، وحدد 14,090 ثغرة لم تكن معروفة سابقاً. وتقول Unit 42 إن 99.4% من هذه النتائج لم تكن قد أُبلغ عنها من قبل، وإن نحو 40% منها صُنفت عالية أو حرجة الخطورة.

ولا تكمن أهمية النظام في حجم النتائج وحده. فقد أشارت التغطيات المتعلقة بالنتائج إلى أن كثيراً منها كان ثغرات دلالية أو منطقية، لا مجرد أخطاء فساد الذاكرة التي ركزت عليها أدوات التحليل الآلي تقليدياً. وقد تشمل هذه الثغرات أخطاء في التحكم بالوصول، أو معالجة المسارات، أو سلوك طلبات الخادم إلى الخادم، أو وسائل الحماية من حقن الشيفرة؛ وهي مجالات يتطلب فهمها معرفة دقيقة بالسلوك المقصود للتطبيق.

وكما هي الحال مع AVDH، فإن الأرقام الرئيسية صادرة عن الشركة. ولا يثبت وصف «غير معروفة سابقاً» بمفرده أن كل نتيجة تمثل ثغرة يوم صفر قابلة للاستغلال عملياً، كما قد تختلف درجات الخطورة باختلاف إطار التقييم المستخدم. والاستنتاج الأكثر تحفظاً هو أن الأنظمة القائمة على وكلاء ونماذج متعددة أصبحت قادرة على كشف أعداد كبيرة من المرشحين الأمنيين بسرعة قد تتجاوز وتيرة عمليات المراجعة التقليدية.

لماذا لا يكفي اكتشاف الثغرات؟

قد يرفع اكتشاف الثغرات بسرعة قدرة المؤسسات على الدفاع، لكنه قد يوسّع الأزمة أيضاً إذا ظلت دورات الإصلاح بطيئة. وتشير CERT-EU إلى متوسط زمني مقدّر للاستغلال يبلغ سالب سبعة أيام؛ أي إن الاستغلال قد يبدأ قبل أن يصبح التصحيح متاحاً على نطاق واسع.

ويغيّر هذا المؤشر دور التصحيح البرمجي. فالإصلاح الدائم للشيفرة يظل ضرورياً، لكنه قد لا يكون أول إجراء دفاعي مفيد أو الإجراء الوحيد. تحتاج فرق الأمن أيضاً إلى تقليص التعرض أثناء تحقيق المطورين واختبارهم وتنسيق الإفصاح واستكمال النشر التدريجي.

«الرقع الافتراضية» تسد الفجوة على مستوى الشبكة

صُمم برنامج Frontier AI Critical Defense من Palo Alto Networks للتنسيق بين مختبرات الذكاء الاصطناعي، ومنظمات البرمجيات والمصادر المفتوحة، وقطاعات مثل التكنولوجيا التشغيلية والرعاية الصحية. وتقترح الشركة نشر «رقع افتراضية» على مستوى الشبكة تحجب حركة الاستغلال أو السلوك المسيء للبروتوكولات قبل توفر إصلاح دائم في البرنامج.

وتقول Palo Alto إن ميزة Advanced Virtual Patching تستطيع نشر وسائل الحماية خلال ساعات، مقارنة بمتوسط صناعي معلن يبلغ 55 يوماً لنشر تصحيح تقليدي.

ومن الأفضل فهم الرقعة الافتراضية باعتبارها إجراءً تعويضياً، لا بديلاً عن إصلاح الشيفرة الضعيفة. ففعاليتها تعتمد على قدرة فريق الأمن على تحديد مسار الاستغلال بدقة، وعلى قدرة التحكم الشبكي على حجبه دون تعطيل النشاط المشروع. وقد تكون التغطية محدودة عندما تجري الهجمات عبر قنوات موثوقة، أو حركة مشفرة، أو تصعيد صلاحيات محلي، أو سلوك يصعب تمييزه عن الاستخدام الطبيعي.

هل يستطيع المدافعون استعادة الأفضلية؟

ربما، لكن ليس بمجرد إضافة ماسح يعمل بالذكاء الاصطناعي.

تربط البنية الدفاعية الأقوى عدة مراحل في حلقة تشغيلية واحدة:

1. رسم الشيفرة وسطح الهجوم لفهم وظيفة النظام ومناطقه الحساسة.
2. بناء نموذج للتهديد ومراجعته قبل توليد عدد كبير من فرضيات الثغرات.
3. استخدام وكلاء ونماذج متعددة للبحث من زوايا مختلفة وتحدي النتائج الضعيفة.
4. إعادة إنتاج الثغرات وترتيب أولوياتها بمشاركة خبراء بشريين وأدلة على قابليتها للاستغلال.
5. الإفصاح وتطوير إصلاح دائم عبر آلية التنسيق المناسبة.
6. احتواء التعرض فوراً باستخدام ضوابط الشبكة أو إجراءات تعويضية أخرى.
7. التحقق من المعالجة بعد نشر التصحيح البرمجي.

هذه هي الخلاصة الاستراتيجية من AVDH وNOVA: الأفضلية لا تأتي من مخرجات النموذج وحدها، بل من حسن تنسيق المراحل. يستطيع الذكاء الاصطناعي ضغط زمن الاكتشاف والتحقق، لكن المدافعين ما زالوا بحاجة إلى أدلة موثوقة، وترتيب دقيق للأولويات، وبنية مرنة، وأنظمة نشر تعمل بالسرعة نفسها.

ويستطيع المهاجمون استخدام نماذج مماثلة، كما أن الرقع الافتراضية مؤقتة وتعتمد على نطاق التغطية. لذلك لا يتمثل الهدف الواقعي في القضاء على مخاطر ثغرات يوم الصفر، بل في جعل الحلقة الدفاعية—من الاكتشاف إلى الاحتواء ثم المعالجة—أسرع وأكثر موثوقية من مسار المهاجم، من العثور على الثغرة إلى استغلالها.