خلل في OpenAI أغلق الوصول أمام باحثين سيبرانيين سبق اعتمادهم

في 19 أغسطس 2026، قال عدد من الباحثين في الأمن السيبراني إن وصولهم إلى برنامج Trusted Access for Cyber (TAC) التابع لـOpenAI اختفى فجأة. وعند فتح صفحة Cyber في ChatGPT، ظهرت لبعضهم رسائل تفيد بعدم إمكانية التحقق من هويتهم أو بأن حساباتهم غير مؤهلة حاليًا. كما تلقى باحث واحد على الأقل إشعارًا بإلغاء وصوله إلى مستوى Daybreak Blue. 513

أوضحت OpenAI أن ما حدث ناتج عن مشكلة تقنية أثرت في «مجموعة محدودة» من المستخدمين، وليس عن تغيير متعمد في سياسة الوصول. وطلبت من المتضررين إعادة إتمام التحقق من الهوية وتقديم طلب جديد. 813

ماذا حدث لوصول الباحثين؟

المشكلة طالت أشخاصًا قالوا إنهم خضعوا أصلًا للتدقيق والموافقة ضمن برنامج الوصول السيبراني المقيّد. لكن صفحة Cyber تعاملت مع بعض الحسابات كما لو أنها غير موثقة أو تتقدم للمرة الأولى، بدل أن تتعرف إلى الموافقة السابقة.

وأفادت التقارير بأن إعادة الخطوات لم تؤدِّ دائمًا إلى استعادة الموافقة السابقة فورًا. وفي بعض الحالات، لم يتمكن فريق الدعم من تجاوز القرار الجديد أو إعادة حالة التحقق القديمة يدويًا. 716

لم تكشف OpenAI العدد الإجمالي للحسابات المتضررة. أما الرقم الواضح في التقارير العامة فهو خمسة باحثين جرى التواصل معهم أو تحدثوا علنًا عن المشكلة؛ لذلك فإن «خمسة» يمثل حدًا أدنى معروفًا من الحالات المعلنة، وليس إجماليًا مؤكدًا. 1317

ما المقصود بـTAC وDaybreak Blue وDaybreak Red؟

برنامج Trusted Access for Cyber هو إطار وصول يخضع للمراجعة، وليس اسم نموذج ذكاء اصطناعي. ويمنح أشخاصًا أو مؤسسات معتمدين وصولًا محدودًا إلى نماذج قادرة على تنفيذ مهام سيبرانية لأغراض مصرح بها.

ولا تكون الموافقة شاملة لكل شيء؛ فقد ترتبط بشخص أو خدمة محددة، أو بمؤسسة ومساحة عمل ومشروع API معين، إضافة إلى نموذج وواجهة استخدام بعينها. 22

وتنقسم مستويات Daybreak إلى مسارين رئيسيين:

• Daybreak Blue: يتيح نماذج عامة متقدمة، من بينها GPT-5.6 Sol، مع ضوابط مصممة لتناسب أعمال الدفاع السيبراني الموثقة. وتشمل الاستخدامات المعلنة فرز الثغرات، ومراجعة الشيفرات الآمنة، وتحليل البرمجيات الخبيثة، وهندسة أنظمة الكشف، والاستجابة للحوادث، والتحقق من تطبيق التصحيحات. 2425
• Daybreak Red: يوفر نماذج متخصصة ومدرّبة للأمن السيبراني من أجل مهام أكثر تقدمًا ومصرح بها، مثل اختبار الاختراق، وتمارين الفريق الأحمر، والتحقق من الاستغلال، والبحث المنضبط في الثغرات. ويتطلب هذا المستوى موافقة وتجهيزًا منفصلين؛ فالحصول على Blue لا يعني تلقائيًا الحصول على Red. 222425

وتكمن أهمية هذا التفريق في أن TAC ليس إعفاءً مفتوحًا من ضوابط السلامة. إنه وصول مقيد مرتبط بمستخدم أو مؤسسة جرى التحقق منهما، وبيئة معتمدة، وغرض مصرح به. كما تشترط وثائق OpenAI استخدام مساحة العمل ومشروع API والنموذج ومسار الوصول المعتمدين تحديدًا. 2227

كيف يتأهل الباحثون؟ وماذا تطلبت استعادة الصلاحية؟

يتطلب التأهل التحقق من الهوية ومراجعة حالة الاستخدام المقترحة والبيئة التشغيلية التي سيجري فيها العمل. وبالنسبة إلى المؤسسات، يمكن أن تُضبط الموافقة على مستوى مساحة العمل أو مشروع API. أما Daybreak Red فيضيف قرار أهلية منفصلًا وضوابط وصول أكثر تشددًا. 222431

بعد خلل 19 أغسطس، طُلب من المستخدمين المتضررين إعادة التحقق من هوياتهم والتقدم بطلب جديد. لكن إعادة التحقق لم تكن ضمانًا صريحًا بإعادة الموافقة السابقة؛ فقد أفادت تقارير بأن بعض الباحثين الذين اتبعوا التعليمات تلقوا رغم ذلك رسالة تفيد بعدم أهليتهم. 716

وتوصي OpenAI، عند استكشاف مشكلات الوصول العادية إلى Daybreak، بالتأكد من استخدام المؤسسة أو مساحة العمل المعتمدة، ومشروع API الصحيح، ومسار الوصول المصرح به، ومعرّف النموذج أو الاسم المستعار الدقيق.

يستخدم Daybreak Blue الاسم المستعار gpt-daybreak-blue أو معرّف النموذج gpt-5.6-sol، بينما يستخدم Daybreak Red الاسم المستعار gpt-daybreak-red أو المعرّف gpt-5.6-cyber. 27

هل تركزت المشكلة خارج الولايات المتحدة وأوروبا؟

تظهر في التقارير العامة ملاحظة جغرافية لافتة: الباحثون الخمسة الذين جرى تحديدهم علنًا قيل إنهم يقيمون جميعًا خارج الولايات المتحدة وأوروبا. وقد يثير ذلك احتمال وجود خلل إقليمي أو مشكلة مرتبطة بآلية التحقق من الهوية. 913

لكن الأدلة المتاحة لا تثبت وجود تمييز جغرافي. فلم تنشر OpenAI عدد المتضررين بالكامل، ولا الدول المعنية، ولا السبب التقني للخلل. والاستنتاج الأكثر حذرًا هو أن الحالات المعلنة أظهرت تركزًا جغرافيًا، فيما ظل نطاق المشكلة وتفسيرها غير مكتملين. 49

لماذا تنشئ شركات الذكاء الاصطناعي برامج تحقق سيبراني؟

يمكن للنماذج المتقدمة مساعدة المدافعين في العثور على الثغرات، ومراجعة الشيفرات، وتحليل البرمجيات الخبيثة، وتحسين أنظمة الكشف، والتحقق من التصحيحات. لكن القدرات نفسها قد تُستخدم أيضًا في التسلل أو تطوير الاستغلالات أو تنفيذ أنشطة ضارة.

تحاول برامج الوصول المراقب تحقيق توازن بين الأمرين: إتاحة الفائدة الدفاعية لباحثين يمكن مساءلتهم، مع فرض التحقق من الهوية، وتقييد الاستخدام، ومراقبة النشاط، وإضافة ضوابط أخرى للحد من إساءة الاستخدام. 2425

وتتبع Anthropic نهجًا مشابهًا من خلال Cyber Verification Program، المخصص لمحترفي الأمن الذين يجرون أعمالًا مشروعة مثل أبحاث الثغرات واختبارات الاختراق وتمارين الفريق الأحمر. كما تجمع منظومتها الأوسع للسلامة بين ضوابط الوصول والمراقبة الفورية والمراجعة غير المتزامنة والكشف اللاحق عن محاولات تجاوز الحماية. 444750

ويُعرف هذا النهج باسم «الدفاع متعدد الطبقات»: فلا يُفترض أن يتولى مرشح واحد منع كل المخاطر، بل تتكامل قرارات الوصول، وضوابط النماذج، والمراقبة، والمراجعة اللاحقة لتقليل احتمالات إساءة الاستخدام. 43

لماذا ينتقد الباحثون هذه الضوابط؟

تكمن المشكلة الأساسية في أن الأمن السيبراني مجال مزدوج الاستخدام بطبيعته. فقد يصف الطلب نفسه اختبارًا مشروعًا لثغرة في سياق، لكنه قد يمثل إعدادًا لهجوم في سياق آخر.

ولهذا، يقول باحثون إن المرشحات الآلية الواسعة قد تمنع أعمالًا مصرحًا بها، مثل إعادة إنتاج الاستغلالات، وتحليل البرمجيات الخبيثة، واختبار الثغرات، وتمارين الفريق الأحمر. 134150

كما تتركز الانتقادات على غموض قرارات الأهلية، وتكرار طلبات التحقق من الهوية، وبطء أو محدودية آليات الاستئناف، واحتمال تضرر الباحثين المستقلين أو العاملين خارج الأسواق الغربية الكبرى.

وقد زاد خلل TAC هذه المخاوف حدة؛ إذ أوقف، بحسب إفادات بعض الباحثين، أعمالًا دفاعية صُمم البرنامج أصلًا لدعمها، ثم أضافت عملية الاستعادة عقبة أهلية جديدة إلى المشكلة. 713

الخلاصة

تشير الأدلة المتاحة إلى إغلاق غير مقصود لوصول بعض الباحثين إلى TAC، وليس إلى تغيير مؤكد في سياسة OpenAI. فقد عزت الشركة المشكلة إلى خطأ تقني، وطلبت من المتضررين إعادة التحقق والتقدم بطلب جديد، من دون الكشف عن عدد الحسابات المتأثرة.

وكان خمسة باحثين معروفين علنًا قد أبلغوا عن المشكلة، وجميعهم، وفق التقارير، يقيمون خارج الولايات المتحدة وأوروبا. لكن هذا النمط وحده لا يكفي لإثبات تحيز جغرافي.

والدرس الأوسع يتعلق بالموثوقية بقدر ما يتعلق بالسلامة: عندما يعتمد الوصول إلى أدوات سيبرانية عالية القدرة على نظام تحقق وصلاحيات شديد التقييد، يمكن لخلل في الهوية أو الأذونات أن يتحول إلى عنق زجاجة حقيقي أمام البحث الأمني. وقد يقلل الوصول المراقب من إساءة الاستخدام، لكنه يحتاج أيضًا إلى قواعد أهلية واضحة، وآلية استعادة موثوقة، وطريق قابل للتصديق لتصحيح حالات الإغلاق الخاطئ.