خلل تقني في OpenAI يعيد باحثين سيبرانيين موثّقين إلى نقطة الصفر

ويقتصر البرنامج على العمل في أنظمة أو تطبيقات أو حسابات أو شبكات أو بيانات يملكها الباحث أو يديرها، أو حصل صراحة على تفويض لاختبارها أو تحليلها. ولا يعني تخفيف بعض القيود إلغاء سياسات OpenAI أو جميع ضوابط الوصول؛ إذ تظل الموافقة مرتبطة بالشخص أو الخدمة المعتمدة، والمنظمة أو مساحة العمل، والمشروع، والنموذج، وواجهة المنتج المحددة.

كيف يختلف Daybreak Red؟

يمثل Daybreak Red المستوى الأعلى والأكثر تخصصاً. فهو يتيح الوصول إلى GPT-5.6-Cyber عبر الاسم المستعار gpt-daybreak-red، لاستخدامات متقدمة ومصرّح بها مثل أبحاث الثغرات، والتحقق من الاستغلال، واختبارات الأمن.

لكن الحصول على موافقة Daybreak Blue، أو حتى إتمام التحقق من الهوية، لا يمنح المستخدم تلقائياً وصولاً إلى النموذج المتخصص في فئة Red؛ إذ تتطلب هذه الفئة موافقة وتجهيزاً منفصلين.

ويشبه هذا النهج برنامج Cyber Verification Program لدى شركة Anthropic. وتقول Anthropic إن برنامجها يتيح لمحترفي الأمن تنفيذ مهام سيبرانية مشروعة، مثل أبحاث الثغرات واختبارات الاختراق وتمارين الفريق الأحمر، من دون بعض الضوابط المصممة لمنع إساءة استخدام النماذج في المجال السيبراني.

الفكرة المشتركة في البرنامجين هي منح صلاحيات مضبوطة بدلاً من فتح القدرات الحساسة أمام جميع الحسابات: يجري التحقق أولاً من الأشخاص والمنظمات، ثم تُضبط القيود بما يناسب العمل الدفاعي المشروع.

ماذا واجه الباحثون المتضررون؟

وصف المستخدمون المتأثرون عدة مشكلات أثناء محاولة استعادة الوصول:

• اختفاء حالة اعتمادهم السابقة في برنامج TAC من دون تحذير واضح.
• عودة صفحة Daybreak إلى خيار «بدء التحقق»، كما لو أن المستخدم لم يُعتمد من قبل.
• عدم بدء عملية التحقق، أو توقفها، أو انتهائها برسالة تفيد بأن الهوية لا يمكن التحقق منها أو بأن الحساب غير مؤهل.
• أفاد باحث واحد على الأقل بأنه اجتاز التحقق من الهوية وتلقى رسالة تؤكد الموافقة على Daybreak Blue، لكنه ظل يرى في صفحة TAC رسالة تفيد بعدم الأهلية.

وتطلب إرشادات OpenAI من المستخدم الذي يفشل في التحقق مراجعة التعليمات الواردة في الإشعار الذي تلقاه. كما توضح أن نتائج التحقق لا يمكن تجاوزها يدوياً، وأن عملية التحقق في Daybreak لا تدعم حالياً إعادة المحاولة أو تقديم استئناف.

وبالنسبة إلى خلل قد يكون ناتجاً عن مشكلة في المنصة نفسها، جعل غياب مسار عادي للاعتراض عملية التعافي أكثر تعقيداً.

ماذا قالت OpenAI؟

قالت OpenAI إن فقدان الوصول نتج عن مشكلة تقنية أثرت في عدد محدود من المستخدمين، وليس عن إعادة تقييم متعمدة لجميع الباحثين المتضررين. وأقرت بأن ما حدث لا يمثل التجربة التي أرادت تقديمها، مضيفة أنها تعمل على منع تكرار المشكلة.

كما قالت الشركة إنها أرسلت إلى المستخدمين المتأثرين رسائل بريد إلكتروني تتضمن مساراً لإعادة التحقق من الوصول إلى Daybreak Blue.

وتوصي إرشادات استكشاف الأخطاء، بصورة منفصلة، بإعادة محاولة عملية التحقق إذا لم تُحمّل أو توقفت أو أظهرت خطأً تقنياً، والتأكد من تحديث المتصفح والجهاز، ثم التواصل مع الدعم وإرفاق لقطة شاشة إذا استمرت المشكلة. لكن هذه الإرشادات لا تمنح فريق الدعم صلاحية تجاوز قرار أهلية غير ناجح.

ماذا نعرف عن مناطق المستخدمين المتضررين؟

أشارت التقارير العلنية إلى أن أبرز المشتكين الذين ظهروا في النقاشات كانوا في الغالب خارج الولايات المتحدة وأوروبا، لكن لا ينبغي اعتبار ذلك توزيعاً جغرافياً مؤكداً لجميع المتضررين.

ولا تتيح OpenAI خدمة ChatGPT وواجهات API في كل الدول والأقاليم، ما يعني أن التوافر الجغرافي قد يتقاطع في بعض الحالات مع أهلية الحساب. غير أن الأدلة المتاحة لا تثبت أن القواعد الإقليمية تسببت في الحادثة.

لذلك، من الأدق التعامل مع العامل الجغرافي باعتباره احتمالاً لم يُحسم، لا تفسيراً مؤكداً للفشل.

أسئلة بلا إجابة ومفارقة أمنية

لم تكشف OpenAI علناً عن الخلل الذي أطلق المشكلة، أو عدد المستخدمين المتضررين، أو سبب عدم الاحتفاظ بالموافقات السابقة عند استعادة الوصول. كما لا يوضح السجل العلني ما إذا كانت بعض حالات الفشل مرتبطة بالأهلية الإقليمية، أو بحالة الحساب، أو بمزود خدمة التحقق من الهوية، أو بجزء آخر من منظومة التحكم في الوصول.

وتكشف الواقعة توتراً بنيوياً في أنظمة الذكاء الاصطناعي ذات الوصول المقيّد. فهذه الضوابط صُممت لجعل نماذج الأمن السيبراني القوية أكثر فائدة للمدافعين الذين جرى التحقق منهم، مع إبقائها بعيداً عن المستخدمين غير المصرّح لهم. لكن نجاح هذا النهج يعتمد على موثوقية أنظمة الهوية والأهلية وتجهيز الصلاحيات.

وعندما تسحب هذه الأنظمة وصولاً موثوقاً بالخطأ، أو تعجز عن التمييز بين عطل تقني وفشل حقيقي في التحقق، يتحول الإجراء الأمني إلى عائق تشغيلي أمام الأشخاص الذين صُمم البرنامج لمساعدتهم.

وهنا تكمن الخلاصة الأهم من تعطل Daybreak Blue: الحد من إساءة استخدام الذكاء الاصطناعي في الهجمات السيبرانية ليس مشكلة تتعلق بسلامة النموذج وحدها، بل هو أيضاً تحدٍّ لإدارة الوصول. ولكي يكون نظام الوصول جديراً بالثقة، يجب أن يحافظ على الموافقات الصحيحة، وأن يوفر آلية موثوقة للتعافي من أخطاء المنصة، وأن يتيح مراجعة حالات الرفض الخاطئ.