تورفالدس يحذر: سيل تقارير الثغرات المولدة بالذكاء الاصطناعي جعل إدارة أمان لينكس شبه مستحيلة

تورفالدس لم يرفض استخدام الذكاء الاصطناعي في تطوير لينكس. على العكس، يرى أن هذه الأدوات قد تكون مفيدة في تحليل الشيفرة. المشكلة تظهر عندما يتم إرسال نتائج الذكاء الاصطناعي الخام مباشرةً دون تحقق أو تحليل بشري، ما يضيف ضجيجًا بدل أن يقدم فائدة فعلية للمطورين.

لماذا تتكرر الثغرات المكتشفة بالذكاء الاصطناعي؟

مشاريع ضخمة مثل نواة لينكس تحتوي ملايين الأسطر من الشيفرة. أدوات التحليل الحديثة المدعومة بالذكاء الاصطناعي تستطيع فحص هذه الشيفرة بسرعة كبيرة، لكن ذلك يؤدي إلى ظاهرة متوقعة.

عندما يستخدم عدد كبير من الباحثين الأدوات نفسها لمسح الشيفرة نفسها:

• يكتشف عدة أشخاص المشكلة نفسها بشكل مستقل.
• يرسل كل شخص تقريرًا منفصلًا عن الثغرة.
• يضطر مشرفو النواة إلى مراجعة كل تقرير على حدة.

وتشير وثائق المشروع إلى أن هذه الثغرات غالبًا ما تظهر في الوقت نفسه لدى عدة باحثين، وأحيانًا في اليوم نفسه، ما يضاعف عبء العمل على فريق الأمان.

وعند وصول تقرير جديد، يجب على المشرفين التحقق من عدة أمور قبل اعتباره ثغرة فعلية:

• هل المشكلة حقيقية أم إنذار كاذب؟
• هل هي ثغرة أمنية فعلية أم مجرد خطأ برمجي عادي؟
• هل تؤثر على إصدارات لينكس المدعومة حاليًا؟
• هل تم إصلاحها بالفعل في إصدار أحدث؟

حتى عندما يكون الجواب أن المشكلة تم إصلاحها مسبقًا، يبقى على أحدهم التأكد والرد.

ما الذي تغير في وثائق Linux 7.1؟

لمحاولة تقليل الضجيج، أضاف مشروع لينكس إرشادات جديدة توضح كيفية الإبلاغ عن الثغرات الأمنية وكيفية استخدام أدوات الذكاء الاصطناعي بشكل مسؤول في اكتشافها.

التحديثات تشرح بوضوح:

• الحالات التي لا يجب فيها إرسال التقرير إلى قائمة الأمان الخاصة.
• أنواع الأخطاء التي لا تُعد ثغرات أمنية.
• الحد الأدنى من المعلومات المطلوبة في التقارير المدعومة بالذكاء الاصطناعي.

كما توضح الوثائق ما الذي يُعتبر ثغرة أمنية فعلية. عادةً تكون المشكلة التي تمنح المهاجم قدرة غير مصرح بها على نظام مُعدّ بشكل صحيح في بيئة الإنتاج.

الهدف هو منع الأخطاء العادية أو المشاكل النظرية أو القضايا التي أصبحت عامة بالفعل من دخول مسار المعالجة الأمنية السرية دون داعٍ.

الحد الأدنى الجديد لجودة التقارير

أحد أهم المتطلبات الجديدة هو توفير دليل قابل للتحقق.

تنص وثائق نواة لينكس على أن أي تقرير عن ثغرة أمنية يجب أن يتضمن نطاق إصدارات النواة المتأثرة، وتصف هذه المعلومة بأنها «ضرورية للغاية». وإذا لم يتضمن التقرير هذه المعلومة فلن تتم معالجته.

السبب بسيط: جزء كبير من التقارير يتضح لاحقًا أنه يتعلق بأخطاء تم إصلاحها بالفعل في إصدارات أحدث. بدون تحديد الإصدارات، يصعب على المشرفين معرفة ما إذا كانت المشكلة ما تزال موجودة.

وبشكل عام، يجب أن تستوفي التقارير المدعومة بالذكاء الاصطناعي نفس المعايير المطلوبة لأي تقرير تقني جاد، مثل:

• شرح واضح للمشكلة
• أدلة أو سجلات تثبت وجود الخطأ
• التحقق من المشكلة في الإصدارات الحالية
• تفاصيل كافية لإعادة إنتاج الخطأ

ببساطة، إرسال مخرجات أداة الذكاء الاصطناعي كما هي غالبًا لن يفي بهذه المعايير.

ماذا تكشف هذه المشكلة عن مستقبل أمن البرمجيات المفتوحة؟

هذه الحالة تعكس تحولًا مهمًا في عالم أمن البرمجيات.

في السابق كان التحدي الأكبر هو العثور على الثغرات. أما اليوم، ومع انتشار أدوات الذكاء الاصطناعي وتحليل الشيفرة، أصبح العثور على المشاكل أسرع وأسهل بكثير.

لكن هذا خلق اختناقًا في مكان آخر:

• اكتشاف الثغرات أصبح أسرع وأرخص
• التكرار في الاكتشاف أصبح شائعًا
• قدرة البشر على مراجعة التقارير أصبحت العامل المحدد

رد مجتمع لينكس لم يكن رفض الذكاء الاصطناعي، بل وضع قواعد واضحة: يمكن للأدوات أن تساعد في اكتشاف الثغرات، لكن المسؤولية عن فهم المشكلة والتحقق منها وإصلاحها تبقى على الإنسان الذي يرسل التقرير.

بمعنى آخر: الذكاء الاصطناعي قد يساعد في العثور على الأخطاء — لكن تحويل الاكتشاف إلى إصلاح مفيد ما زال عملًا بشريًا.