يمكن للذكاء الاصطناعي اكتشاف ثغرات أكثر من أي وقت مضى. لكن البشر هم من يقررون ما يجب فعله بعد ذلك.

لسنوات، عملت فرق الأمن السيبراني وفق افتراض بسيط: لو استطعنا اكتشاف مزيد من الثغرات بوتيرة أسرع، لجعلنا البرمجيات أكثر أمانًا.

يختبر الذكاء الاصطناعي صحة هذا الافتراض. فمع انتقال النقاش الأوسع حول الذكاء الاصطناعي من التبني السريع إلى تحقيق قيمة قابلة للقياس، يكشف الأمن السيبراني عن تحدٍ لن يختفي مع تباطؤ وتيرة الذكاء الاصطناعي. تواجه المؤسسات بالفعل تزايدًا في نتائج اكتشاف الثغرات التي يولدها الذكاء الاصطناعي، والتي لا تزال تتطلب تحققًا بشريًا وتحديدًا للأولويات ومعالجة.

تقدم النتائج الحديثة من مشروع Glasswing أحد أوضح الأمثلة حتى الآن. وتشير التقارير إلى أن Claude Mythos Preview رصد أكثر من 26,000 نتيجة لاكتشاف ثغرات في مشاريع برمجية خلال بضعة أشهر فقط. ومع ذلك، ووفقًا لـتحليل مستقل لسجل الإفصاح العام الخاص بـ Glasswing، لم يصل إلى عملية الإفصاح سوى نحو 10% من تلك النتائج، ولم تُرقع في نهاية المطاف إلا نسبة تقل عن 1%.

هذه الأرقام لافتة، لكنها لا ينبغي أن تكون مفاجئة. فقد أمضت الصناعة عقودًا في تحسين قدراتها على الاكتشاف. لكنها لم تبنِ القدرة اللازمة لمعالجة نتائج اكتشاف الثغرات على نطاق الذكاء الاصطناعي.

لم تعد عنق الزجاجة في الأمن السيبراني تتمثل في اكتشاف الثغرات، بل فيما يحدث بعد ذلك.

لم يكن اكتشاف الثغرات يومًا الجزء الأصعب

في تحديث مبكر من مشروع Glasswing، أشارت Anthropic إلى أن التقدم بات مقيدًا على نحو متزايد، لا بصعوبة العثور على الثغرات، بل بالعمل البشري اللازم للتحقق من البلاغات وتنسيق الإفصاح ودعم جهود المعالجة. وأشارت الشركة أيضًا إلى أن بعض القائمين على صيانة المشاريع طلبوا إبطاء وتيرة الإفصاح، لافتقارهم إلى القدرة على معالجة حجم النتائج التي يجري توليدها.

هذا التمييز مهم، لأن اكتشاف الثغرات ومعالجتها نشاطان مختلفان جوهريًا.

أصبح الاكتشاف على نحو متزايد مسألة تعرّف على الأنماط. وتتقن أنظمة الذكاء الاصطناعي الحديثة تحليل قواعد الشيفرة البرمجية الكبيرة، ورصد السلوك غير المعتاد، وتتبع مسارات التنفيذ، وكشف مواطن الضعف المحتملة.

أما المعالجة فمختلفة. إذ يتطلب إصلاح الثغرة فهم السياق. فلا بد أن يحدد شخص ما ما إذا كانت المشكلة حقيقية، وأن يفهم أثرها المحتمل، ويقيّم الإصلاحات الممكنة، ويتأكد من أن التغييرات لا تؤدي إلى تراجع في الأداء، وينسق الجداول الزمنية للإفصاح، ويتواصل مع الأطراف المعنية، ويتحمل في نهاية المطاف مسؤولية النتيجة.

وهذه النقطة الأخيرة بالغة الأهمية. يستطيع الذكاء الاصطناعي تحديد ثغرة محتملة، لكنه لا يستطيع تحمّل مسؤولية ما يحدث بعد ذلك. وسيظل التحقق والفرز والإصلاح والإبلاغ يتطلب كلها شخصًا يتحمل المسؤولية تجاه المشروع الذي يصونه. وهذا يستغرق وقتًا من أشخاص غالبًا ما لديهم وظيفة بدوام كامل وأسرة والتزامات أخرى تتنافس على اهتمامهم. وفي كثير من مشاريع المصدر المفتوح، لا يكمن العامل المحدِّد في مدى وضوح المخاطر، بل في قدرة القائمين على صيانة المشاريع وفرق الأمن على تقييم عدد متزايد باستمرار من النتائج والاستجابة لها بمسؤولية.

هذا هو الفرق الجوهري بين الاكتشاف والمعالجة. فالاكتشاف أصبح على نحو متزايد مجالًا يستطيع الذكاء الاصطناعي مساعدتنا على توسيع نطاقه. أما المعالجة، فلا تزال تعتمد على أشخاص يملكون السياق والصلاحية والمساءلة اللازمة للتصرف بناءً على ما يكتشفه الذكاء الاصطناعي.

تحدي المصدر المفتوح

يتجلى هذا الوضع بوضوح أكبر في منظومة المصدر المفتوح. وبوجود مكونات مفتوحة المصدر في 98% من قواعد الشيفرة لدى الشركات التجارية، تعتمد الغالبية العظمى من البنية التحتية الرقمية في العالم على مشاريع تصونها مجموعات صغيرة نسبيًا من المساهمين.

في كثير من الحالات، يكون المسؤولون عن صيانة هذه البرمجيات الحيوية متطوعين أو أفرادًا يوازنون بين مسؤوليات المشروع ووظائفهم بدوام كامل والتزاماتهم الشخصية. ومع زيادة الذكاء الاصطناعي حجم البرمجيات والثغرات المكتشفة فيها، تصبح قدرة هؤلاء القائمين على الصيانة على مواكبة ذلك عنصرًا متزايد الأهمية في معادلة الأمن.

حين يولد نظام ذكاء اصطناعي فجأة مئات النتائج المحتملة أو آلافها في منظومة مشاريع ما، يصبح القائمون على صيانة تلك المشاريع هم العامل المحدِّد.

ليس هذا انتقادًا للقائمين على صيانة المشاريع، بل هو انعكاس للواقع.

حتى قبل ظهور اكتشاف الثغرات المدعوم بالذكاء الاصطناعي، واجهت مشاريع كثيرة مفتوحة المصدر صعوبات بسبب محدودية الموارد وتزايد التوقعات الأمنية وعبء الصيانة المتنامي. ويزيد الذكاء الاصطناعي الضغط على منظومة كانت تعاني أصلًا من شح الموارد.

لا يقتصر التحدي على تحديد ما إذا كانت هناك ثغرة، بل يشمل كل ما يحدث بعد ذلك.

لا بد أن يراجع أحدهم البلاغ. ولا بد أن يعيد أحدهم إنتاج المشكلة. ولا بد أن يقرر أحدهم ما إذا كانت تمثل خطرًا أمنيًا. ولا بد أن يطور أحدهم إصلاحًا ويختبره. ولا بد أن ينسق أحدهم الإفصاح وإصدار التحديثات. لا يمكن ببساطة أتمتة هذه المسؤوليات وإلغاؤها.

ومع استمرار تزايد النتائج التي يولدها الذكاء الاصطناعي، ستعتمد المؤسسات التي تستخدم البرمجيات مفتوحة المصدر بدرجة متزايدة على سلامة أوضاع الأشخاص الذين يصونونها واستدامة عملهم.

الاستعداد لطفرة اكتشاف الثغرات بالذكاء الاصطناعي

إذن، ما الذي ينبغي للمؤسسات فعله؟ أولًا، عليها أن تدرك أن الاكتشاف المدفوع بالذكاء الاصطناعي ليس مشكلة مستقبلية، بل يحدث بالفعل. وقد أثبت مشروع Project Glasswing أن النماذج المتقدمة قادرة على كشف الثغرات على نطاق كان يصعب تصوره قبل بضع سنوات فقط.

ثانيًا، ينبغي لقادة الأمن تقييم قدرة عملياتهم على معالجة الثغرات ومواكبة توسع إمكانات اكتشافها. فقد استثمرت مؤسسات كثيرة بكثافة في العثور على الثغرات، بينما لم تستثمر بالقدر الكافي في الأشخاص والعمليات المسؤولة عن معالجتها.

ثالثًا، ينبغي للمؤسسات أن تولي صيانة البرمجيات اهتمامًا أكبر بوصفها وظيفة أمنية. فكثيرًا ما يُناقش الأمن من منظور الوقاية والكشف، لكن الصيانة طويلة الأمد تظل من أهم مكونات إدارة المخاطر وأقلها تقديرًا. وقد يجعل الذكاء الاصطناعي اكتشاف الثغرات أسهل، لكنه لا يخفف مسؤولية الحفاظ على أمن البرمجيات الحيوية بمرور الوقت. تحتاج المؤسسات إلى استراتيجية لتولي مسؤولية دورة حياة البرمجيات، تتيح لها تحديثها بتأنٍ، بدلًا من الاضطرار إلى عمليات ترحيل متسرعة أو جهود معالجة تفاعلية عند ظهور المخاطر.

وأخيرًا، ينبغي للمؤسسات دعم المنظومات الأوسع التي تعتمد عليها. فمع تسريع الذكاء الاصطناعي اكتشاف الثغرات في البرمجيات مفتوحة المصدر، ستتزايد المطالب الملقاة على عاتق القائمين على صيانتها. ويتوقف أمن سلسلة توريد البرمجيات في نهاية المطاف على امتلاك هؤلاء القائمين على الصيانة الموارد اللازمة للاستجابة.

يستطيع الذكاء الاصطناعي اكتشاف الثغرات بسرعة أكبر، لكن اكتشافها لا يجعل البرمجيات آمنة. فالعمل الأصعب هو تقييم المخاطر، وتحديد الأولويات، وتقديم إصلاحات مختبرة، والحفاظ على أمن البرمجيات بمرور الوقت. ومع تسارع اكتشاف الثغرات، ستحتاج المؤسسات إلى قدرة مستمرة على معالجتها، تدعمها الخبرة والمساءلة ومستويات خدمة واضحة.

لأن أصعب مشكلة في الأمن السيبراني ليست اكتشاف الثغرة، بل ما يحدث بعد ذلك.