تقرير Azul لعام 2026 عن فجوة الثغرات في الذكاء الاصطناعي يكشف تأخر ترقيع المؤسسات عن تهديدات الذكاء الاصطناعي

يكشف تقرير فجوة الثغرات في الذكاء الاصطناعي لعام 2026 الصادر عن Azul عن تفاوت بين السرعة التي يتوقع قادة الأمن أن يتمكن بها المهاجمون المزوّدون بالذكاء الاصطناعي من تنفيذ هجماتهم، والوقت الذي تحتاج إليه مؤسساتهم لنشر الإصلاحات. ففي استطلاع شمل 300 من قادة الأمن في الولايات المتحدة، قال 69% إن المهاجمين قد يتمكنون من إنشاء ثغرة قابلة للاستغلال خلال ثلاثة أيام، في حين قال 44% إن مؤسساتهم تحتاج إلى أربعة أيام أو أكثر لترقيع ثغرة حرجة في بيئة الإنتاج.

أبرز ما توصل إليه التقرير هو ما أفاد به المشاركون عن تجاربهم المرتبطة بهذه التأخيرات: إذ أبلغ 85% عن حادثة أو حادثة مشتبه بها أو حالة كادت أن تؤدي إلى حادثة، وعزوها إلى بطء الترقيع. يصف هذا الرقم تجارب أُبلغ عنها، لا معدل اختراقات جرى التحقق منه بشكل مستقل، كما أنه لا يثبت أن الذكاء الاصطناعي تسبب في تلك الأحداث.

كلّفت Azul شركة Censuswide بإجراء هذا البحث، الذي يركز على المؤسسات التي تستخدم Java على نطاق واسع. أما رسالته الأوسع فتتعلق بالجوانب التشغيلية: فالتعرف على الثغرة ليس سوى البداية. إذ يجب أن يجتاز الإصلاح الاختبارات، وأن يصل إلى الأنظمة المتأثرة، وأن يزيل مواطن التعرض للخطر في بيئة قد لا تكون الفرق على دراية كاملة بكل مكوناتها.

ساعتان لا تسيران على الإيقاع نفسه

يفصل الاستطلاع بين توقعات القادة بشأن المهاجمين وقدرات مؤسساتهم على نشر الإصلاحات:

• يعتقد 69% أن المهاجمين المزوّدين بالذكاء الاصطناعي يستطيعون إنشاء ثغرة قابلة للاستغلال خلال ثلاثة أيام أو أقل، ومن بينهم 22% يرون أن ذلك قد يحدث في أقل من 24 ساعة.
• يقول 56% إنهم يستطيعون نشر تحديث أمني حرج في بيئة الإنتاج خلال ثلاثة أيام: 13% في أقل من 24 ساعة، و43% خلال يوم إلى ثلاثة أيام.
• يحتاج 44% إلى وقت أطول: إذ يحتاج 32% إلى أربعة إلى ستة أيام، و12% إلى وقت أكثر من ذلك.

تعكس هذه الأرقام توزيع إجابات المشاركين في الاستطلاع، لا قياسات لسباق المهاجمين ومؤسسات بعينها على استغلال الثغرات نفسها. ويبرر هذا التفاوت القلق بشأن الجاهزية، لكن لا ينبغي اعتباره دليلاً على وجود نافذة تعرض للخطر مدتها ثلاثة أيام بالضبط لدى كل مؤسسة.

ويظهر الاختلال نفسه عند احتساب يوم واحد: إذ يتوقع 22% أن يتحرك المهاجمون بهذه السرعة، مقارنةً بـ13% يقولون إن مؤسساتهم تستطيع نشر إصلاح خلال هذه المهلة. وفي الوقت نفسه، يقر 59% بزيادة تعرضهم للخطر بسبب أدوات الهجوم المدعومة بالذكاء الاصطناعي، من دون أن يكونوا قد غيّروا وضعهم الأمني.

الاختبار عامل رئيسي في التأخير

تضيف اختبارات تحديثات بيئة تشغيل Java أربعة أيام أو أكثر إلى دورة الترقيع لدى 58% من المؤسسات التي شملها الاستطلاع. ويشمل ذلك 36% أفادوا بأن الاختبارات تستغرق أربعة إلى ستة أيام، و22% قالوا إنها تستغرق أسبوعاً أو أكثر. وأفاد 33% آخرون بأنها تستغرق يوماً إلى ثلاثة أيام، فيما قال 9% إنها تستغرق أقل من 24 ساعة. ولم يقل أي مشارك إن الاختبارات جرى تجاوزها.

قد تؤثر التغييرات في بيئة التشغيل في تطبيقات كثيرة، لذا للاختبارات غرض عملي: فتحديث أمني يعطل خدمة أساسية يخلق مشكلة تشغيلية أخرى. ويرى التقرير أن نطاق التحديثات يزيد هذا العبء، لأن إصدارات OpenJDK الفصلية الكاملة قد تتضمن تغييرات غير أمنية إلى جانب إصلاحات الثغرات.

قيّمت Azul، بصورة منفصلة، 26 تحديثاً فصلياً لـOpenJDK على مدى أكثر من ست سنوات، وصنّفت ستة منها على أنها تسببت في تراجع خطير. وتمثل نسبة 23% تقييماً للإصدارات أجرته الشركة المورّدة، وليست تقديراً مستنداً إلى استطلاع لمدى تكرار تعطل تطبيق أحد العملاء.

ومن أبرز العوائق التي أُبلغ عنها أمام تسريع الترقيع، أشار 44% إلى الاختبارات المكثفة، و40% إلى تعقيد الأنظمة المتأثرة أو تقادمها، و36% إلى محدودية الاطلاع على الثغرات المعروفة. وأشار 25% إلى تأخر المورّدين في توفير التحديثات. ويشير هذا النمط إلى أن جانباً كبيراً من تحدي المعالجة يكمن في عمليات النشر داخل المؤسسة نفسها.

ينبغي التمييز بين تقارير الحوادث وفجوات جرد الأنظمة

أفاد 55% بوقوع حادثة مؤكدة عزوها إلى بطء الترقيع، وأبلغ 53% عن حالة كادت أن تؤدي إلى حادثة. وكان بوسع المشاركين اختيار أكثر من إجابة، لذا تتداخل هذه الأرقام ولا ينبغي جمعها. كما أن النسبة الإجمالية البالغة 85% تشمل الحوادث المشتبه بها.

لا يثبت الاستطلاع أن جميع تلك الأحداث تضمنت ثغرات في Java. ويعمل المشاركون في مؤسسات تعتمد على Java بكثافة، لكن البحث يتضمن أسئلة عن ترقيع البرمجيات عموماً، إلى جانب أسئلة خاصة ببيئات تشغيل Java.

ويمثل جرد الأنظمة صعوبة أخرى. إذ يقول 19% فقط إن ما لا يقل عن 90% من بيئات تشغيل Java الإنتاجية لديهم تستخدم أحدث مستوى من التحديثات الأمنية. وهذا يعني أن 81% لا يبلغون هذه النسبة، ولا يعني أن 81% منهم لا يستخدمون أي بيئات تشغيل محدّثة. ويقول نحو واحد من كل خمسة إن نصف بيئته أو أقل يستخدم أحدث التحديثات.

وبشكل منفصل، يقر 51% بأن اطلاعهم على بيئات تشغيل Java الحرجة جزئي أو محدود، بما في ذلك البيئات المضمّنة والقديمة وغير الخاضعة للإدارة. وقد يكون العثور على بيئة تشغيل معرضة للثغرات داخل تطبيق مُجمّع أو حاوية أصعب من تحديد تثبيت تُديره جهة مركزية. ولا يمكن للتحديث إزالة التعرض للخطر عن نظام لا تصل إليه عملية النشر.

ما الذي تضيفه تقنية Azul إلى النقاش

يقتصر عرض Azul لتحديثات الأمان على إصدارات مختارة لا تتضمن سوى إصلاحات أمنية، استنادًا إلى إصدار من OpenJDK سبق تثبيته واستقراره. وتوفر الشركة تحديثات فصلية، وتحديثات شهرية موجهة، وتحديثات خارج الجدول المعتاد، بهدف تقليل التغييرات غير المرتبطة التي يتعين على المؤسسات تقييمها عند نشر إصلاح عاجل.

وهذا تدخل تقني أضيق نطاقًا من إلغاء الحاجة إلى ضبط التغييرات. فالحد من تغييرات الشيفرة البرمجية قد يقلل نطاق التحقق، لكن الفحوص الخاصة بالتطبيقات، وتحديد الجهة المسؤولة عن النشر، والاستعداد للتراجع عن التغييرات، تظل أمورًا مهمة. وAzul هي الجهة الراعية للتقرير، كما تبيع منتجات تعالج المشكلات التي يقيسها.

وتعالج أدواتها لحصر بيئات Java والثغرات الجانب الآخر من سير العمل، إذ تحدد بيئات التشغيل والإصدارات ومدى التعرض للمخاطر، بما يتيح ربط أي إفصاح جديد بالأنظمة المتأثرة. ولا يقدم التقرير مقارنة مضبوطة تبيّن مقدار التحسن الذي قد تحققه المؤسسات المشمولة بالاستطلاع إذا اعتمدت تلك المنتجات.

قال Scott Sellers، الشريك المؤسس والرئيس التنفيذي لشركة Azul: «يُظهر بحثنا أن قادة الأمن يدركون التهديد: لم يعد الوعي هو موطن القصور، بل التنفيذ».

تحويل نية تثبيت التحديثات إلى عملية قابلة للقياس

خلال العام المقبل، يرى 32% أن تثبيت التحديثات بسرعة أكبر وبوتيرة أكثر تواترًا هو استراتيجيتهم الأساسية للحد من التعرض للمخاطر، في حين يفضل 26% تحسين حصر البرمجيات وبيئات التشغيل. وتعطي نسبة أخرى تبلغ 17% الأولوية للكشف والاستجابة بدلًا من تسريع تثبيت التحديثات.

يشير البحث إلى ضرورة تتبع المسار بأكمله، من الإفصاح عن الثغرة إلى معالجتها: ما الأنظمة المتأثرة، ومن المسؤول عنها، وما الاختبارات المطلوبة، وهل وصل الإصلاح بالفعل إلى بيئة الإنتاج. ولا يكون الموعد النهائي مفيدًا إلا إذا استطاعت الفرق التحقق من إتمام العملية في جميع الأنظمة المعنية.

تستند النتائج الخاصة بالولايات المتحدة إلى عمل ميداني أُجري في الفترة من 3 إلى 7 أغسطس 2026، وشمل قادة أمن في مؤسسات لديها ما لا يقل عن 1,000 موظف وتعتمد Java/JVM على نطاق واسع في بيئات الإنتاج. وهي إجابات أبلغ عنها المشاركون بأنفسهم ضمن فئة سكانية محددة، وليست إحصاءً شاملًا للمؤسسات ولا قياسًا مباشرًا لتطوير الاستغلالات.

يعرض تقرير فجوة الثغرات الأمنية في الذكاء الاصطناعي لعام 2026 النتائج والمنهجية بالتفصيل. وأوضح ما يخلص إليه هو ضرورة تحسين سرعة تثبيت التحديثات وإمكانية رؤية بيئات التشغيل معًا: فالإصلاح السريع محدود القيمة إذا لم تتمكن المؤسسة من تحديد كل عملية نشر متأثرة أو التأكد من وصول التحديث إليها.