أعلنت OpenAI عن مبادرة أمنية جديدة تستهدف أحد أكثر أجزاء البنية الرقمية حساسية في العالم: البرمجيات مفتوحة المصدر التي تعتمد عليها تطبيقات وخدمات لا حصر لها. المبادرة، التي تحمل اسم Patch the Planet، تأتي ضمن برنامج Daybreak، وتركز على الجمع بين أدوات الذكاء الاصطناعي وخبرة الباحثين الأمنيين لمساعدة القائمين على المشاريع المفتوحة المصدر في اكتشاف الثغرات وإصلاحها بطريقة أكثر عملية وأقل إنهاكًا.
الفكرة الأساسية للمبادرة لا تتمثل في إغراق مشرفي المشاريع بتقارير إضافية، بل في بناء مسار عمل يقلل الضوضاء ويرفع جودة النتائج. فمع اتساع استخدام البرمجيات مفتوحة المصدر في كل مستويات الصناعة التقنية، أصبحت مسؤولية الحفاظ على أمنها تقع غالبًا على عدد محدود من المساهمين والمشرفين، بينما يتعاملون في الوقت نفسه مع ضغط متزايد من التقارير الأمنية والطلبات العاجلة.
ضغط متزايد على مشرفي المشاريع المفتوحة المصدر
تُعد مشاريع المصدر المفتوح حجر الأساس في سلاسل التوريد البرمجية الحديثة، لكن هذا الدور الحيوي لا يقابله دائمًا مستوى كافٍ من الموارد. كثير من المشاريع يعتمد على شخص أو شخصين فقط لإدارة الصيانة الأمنية والتحديثات والاستجابة للتقارير، وهو ما يخلق فجوة واضحة بين حجم المسؤولية والإمكانات المتاحة.
هذا الواقع يجعل التعامل مع الثغرات مهمة مرهقة، خصوصًا عندما تنهال التقارير من فرق أمنية وأدوات فحص آلية على نحو يفوق قدرة المساهمين على التحقق السريع. ومع تراكم البلاغات، تصبح الأولوية ليس فقط لاكتشاف المشكلة، بل تحديد أيها حقيقي، وأيها مكرر، وأيها يستحق التدخل العاجل.
وتزداد أهمية هذه المسألة عند النظر إلى أمثلة تاريخية مثل ثغرة log4j في عام 2021، التي أظهرت كيف يمكن لخلل واحد في مكتبة واسعة الانتشار أن يتحول إلى تهديد عابر للقطاعات، ويؤثر في عشرات الآلاف من الأنظمة والتطبيقات التجارية.
كيف تعمل Patch the Planet
النهج الذي تقترحه OpenAI يقوم على مبدأ واضح: الذكاء الاصطناعي مفيد في العثور على المشكلات، لكنه ليس كافيًا إذا لم يُترجم إلى إصلاحات حقيقية. ولهذا تتضمن المبادرة طبقة مراجعة بشرية إلزامية قبل إرسال أي نتائج إلى المشرفين على المشاريع، بما يضمن أن ما يصل إليهم يكون قابلًا للتنفيذ وذا قيمة عملية.
يعمل مهندسو الأمن أولًا على تقييم الثغرات المحتملة وتحديد مدى جديتها، ثم يتعاونون مع فرق المشاريع لتطوير التصحيحات والاختبارات المرتبطة بها. ولا يتوقف الأمر عند الإصلاح الأولي، بل يشمل أيضًا بناء سير عمل قابلة لإعادة الاستخدام تساعد المشاريع على تحسين وضعها الأمني على المدى الطويل.
وتشارك شركة Trail of Bits، المتخصصة في الأمن السيبراني، بكامل فريقها البحثي في هذه الجهود، إلى جانب تعاون مع منصات مثل HackerOne وCalif للمساعدة في فرز الثغرات واكتشافها. هذا النموذج يعكس توجهًا عمليًا يربط بين البحث الأمني، وإدارة الإفصاح المسؤول، والتنفيذ البرمجي الفعلي.
الذكاء الاصطناعي في قلب البحث الأمني
تعتمد Patch the Planet على أدوات ذكاء اصطناعي متقدمة في مراحل متعددة من العمل الأمني. يحصل الباحثون على نماذج Frontier وCodex Security للمساعدة في التحليل، وكتابة التصحيحات، وبناء الاختبارات، وتوثيق النتائج. كما تحصل المشاريع المشاركة على إمكانية الوصول إلى ChatGPT Pro وحصص من واجهات API لدعم عمليات التطوير والإطلاق.
غير أن القيمة الحقيقية، بحسب ما تؤكده التجربة العملية، لا تكمن في الأتمتة وحدها. فالذكاء الاصطناعي قادر على تسريع اكتشاف الأنماط والمخاطر، لكنه يحتاج إلى حكم بشري يحدد ما إذا كانت النتيجة فعليًا ثغرة قابلة للاستغلال، وكيف ينبغي معالجتها، وما الأثر المترتب على التصحيح.
وفي إحدى الحالات، استخدم فريق Trail of Bits تشغيلات متكررة عبر Codex مع نموذج GPT-5.5-Cyber لبناء مختبر fuzzing كامل يغطي عشرات نقاط الدخول والنسخ البديلة والمنصات المختلفة في أقل من يوم واحد، وهي مهمة كان من الممكن أن تستغرق أسابيع في الظروف التقليدية. كما طورت الفرق مسارًا آليًا يستورد بيانات CVE التاريخية ويبحث عن الثغرات الشبيهة داخل قواعد الكود المستهدفة، ما يسرّع تحليل النسخ المشتقة من المشكلات الأمنية المعروفة.
نتائج أولية لافتة
المؤشرات الأولى للمبادرة توحي بأن الجمع بين الذكاء الاصطناعي والخبرة البشرية قد يكون له أثر ملموس في أمن البرمجيات. فقد تمكنت Trail of Bits من تحديد مئات المشكلات الأمنية عبر 19 مشروعًا مفتوح المصدر، مع استمرار جزء آخر من النتائج ضمن عمليات الإفصاح المنسق.
وتغطي الاكتشافات طبقات متعددة من البنية البرمجية. ففي أنظمة التشغيل، تمكن GPT-5.5-Cyber من رصد مكونات أمنية مهمة داخل أكثر من 30 مليون سطر من شيفرة نواة Linux. وفي البنية التحتية الشبكية، تم تحديد ثغرة تحمل اسم HTTP/2 Bomb قد تتيح هجومًا من نوع حجب الخدمة على بعض الخوادم الكبرى، مع الإشارة إلى أن أكثر من 880 ألف موقع ظاهر على الإنترنت كانت تستخدم برمجيات متأثرة.
أما في متصفحات الويب، فقد عثر الباحثون على خمس ثغرات قابلة للاستغلال في Chrome، وأكثر من عشر ثغرات في Safari. هذه النتائج تعكس اتساع نطاق المخاطر في المكدس البرمجي الحديث، من النواة إلى المتصفح إلى البنية الشبكية التي تربط كل شيء.
المعادلة بين المنافسة والخدمة العامة
يمكن النظر إلى المبادرة أيضًا باعتبارها خطوة استراتيجية من OpenAI في سوق تتسارع فيه قدرات الأمن السيبراني المعززة بالذكاء الاصطناعي. فبينما يُستخدم الذكاء الاصطناعي أحيانًا لتوسيع قدرات الهجوم، تحاول الشركة هنا توجيه هذه الأدوات في الاتجاه المقابل: تسريع الدفاع، وتقليل زمن اكتشاف الثغرات، وتحويل النتائج إلى إصلاحات قابلة للتنفيذ.
لكن نجاح هذا النموذج يعتمد على بقاء العنصر البشري في مركز العملية. فالمراجعة اليدوية لكل مشكلة قبل إرسالها إلى المشرفين تساعد في إزالة التكرارات، وتقدير الخطورة بدقة، وتجنب إغراق الفرق برسائل غير مفيدة. وهذه نقطة بالغة الأهمية في أي نظام آلي؛ لأن كثرة التنبيهات لا تعني بالضرورة جودة أعلى، وقد تتحول إلى عبء جديد إذا لم تُفلتر بعناية.
ما الذي ينتظر المبادرة لاحقًا
تخطط OpenAI لنشر تقارير تقنية أكثر تفصيلًا بعد اكتمال عمليات الإفصاح المنسق، بحيث تتضمن النتائج الفردية، ومنهجيات البحث، والدروس التي يمكن لباقي المدافعين عن الأمن السيبراني الاستفادة منها. كما فتحت الشركة الباب أمام مشرفي المشاريع مفتوحة المصدر للتقدم بطلبات الانضمام إلى المبادرة.
في جوهرها، تنطلق Patch the Planet من فكرة أن البرمجيات مفتوحة المصدر ليست مجرد مكون تقني، بل بنية تحتية مشتركة تحتاج إلى حماية مشتركة. وإذا كان الذكاء الاصطناعي قادرًا على تسريع اكتشاف المخاطر، فإن التحدي الحقيقي الآن هو ضمان أن هذا التسريع يخدم الأشخاص الذين يبنون هذه البرمجيات ويحافظون عليها، لا أن يضيف عبئًا جديدًا فوق أعبائهم الحالية.
ومع تزايد قدرة النماذج الذكية على تحليل الشيفرات وتحديد أنماط الضعف، يبدو أن مستقبل أمن المصدر المفتوح سيتشكل عبر شراكة أوضح بين الأتمتة والرقابة البشرية، وبين سرعة الآلة وحكم الخبراء، وبين اكتشاف المشكلة والقدرة على إصلاحها فعليًا.