الأمن السيبراني
Cogent تعلن أن VR-1.1 اجتاز اختبارات الإصلاح في 57.9٪ من مهام LiveCVEBench
أضف Unite.AI إلى مصادرك المفضلة على Google
قدّمت Cogent Security نموذج VR-1.1 في 3 نوفمبر 2026، وأفادت بأن نموذج إصلاح الثغرات حقق إصلاحات اجتازت الاختبارات في 57.9٪ من مهام LiveCVEBench البالغ عددها 190 مهمة، مقارنةً بنسبة 45.3٪ لكل من Claude Code وCodex.
توسّع أحدث إضافة إلى عائلة VR من Cogent قدرات المعالجة التي ظهرت مع VR-1. وقارنت عملية التقييم أداء VR-1.1 بأداء Claude Code الذي يشغّل Claude Opus 5.5، وأداء Codex الذي يشغّل GPT-5.6-Cyber. وتلقّى كل نظام المدخلات والإعدادات نفسها، وأُتيحت له ثلاث محاولات لكل مهمة؛ واستندت الدرجات إلى التصحيح النهائي بعد محاولات الإصلاح الداخلية.
معيار يركّز على إصلاحات عملية ناجحة
يركّز LiveCVEBench على إصلاح الثغرات الواقعية في بيئات التطوير. وتصف ورقة CVE-Factory مجموعةً تُحدَّث باستمرار، تضم 190 مهمة موزعة على 14 لغة برمجة و153 مستودعًا. ويضع مشروع المعيار الوكلاء في بيئات تطوير حقيقية، حيث يتعين عليهم استكشاف قواعد الشيفرة بصورة مستقلة، وتحديد سياق كل ثغرة، وتنفيذ إصلاح لها. وتُضاف معرّفات CVE جديدة بانتظام.
قدّمت بيئة Cogent لكل مهمة تقريرًا عن الثغرة وقاعدة الشيفرة المتأثرة بها. ولم يُحتسب التصحيح إلا إذا اجتاز اختبارات الثغرات وظلّ مجتازًا لاختبارات الوظائف. وتشمل المهام عيوب الحقن والتحكم في الوصول والتهيئة وسلامة الذاكرة؛ لذلك لا يكفي تقديم تفسير مقنع إذا أبقى التغيير مسارًا آخر يؤدي إلى الثغرة، أو عطّل سلوكًا مشروعًا، أو تسبب في تراجع وظيفي، أو أوجد نقطة تعرض جديدة.
وهذا الشرط المزدوج هو ما يميّز الإصلاح عن مجرد إيقاف عرض واحد لهجوم. إذ يجب على النموذج الحفاظ على السلوك المقصود مع سدّ الثغرة، بما في ذلك المسارات المرتبطة التي تشترك معها في موطن الضعف.
آلية الإصلاح في VR-1.1
تعزو Cogent هذه النتيجة إلى التدريب على إصلاح الثغرات الأمنية، وإلى بيئة اختبار تعيد إنتاج موطن الضعف، ثم تصححه وتختبر التصحيح بحثًا عن سبل لتجاوزه. وحين تسمح إعدادات التشغيل بذلك، يفحص VR-1.1 التقرير والشيفرة المصدرية قبل كتابة إثبات مفهوم يُفعّل الخلل. وبذلك تتوفر للنموذج حالة إخفاق يتتبعها واختبار يعيد تشغيله بعد التصحيح.
يبحث النموذج عن مسارات شيفرة مرتبطة تشترك في موطن الضعف قبل إجراء تغيير محدد النطاق. ثم تراجع جهة منفصلة التصحيح في سياق جديد بحثًا عن سبل لتجاوزه وعن أخطاء أُدخلت معه. ويكتب VR-1.1 أيضًا اختبارات الانحدار. وعندما يفشل التحقق، يستعين النموذج بتحليله السابق وبالمعلومات المتعلقة بالإخفاق لتوجيه محاولة أخرى.
إصلاح في Fiber على أرض الواقع
تضمّن أحد التشغيلات المسجلة الثغرة CVE-2025-48075 في إطار عمل الويب Fiber. ويفيد التنبيه الأمني للمشروع بأن استخدام فهرس سالب في بيانات نموذج متداخلة قد يتسبب في تعطل BodyParser وانهيار الخادم، ما ينشئ خطر حجب الخدمة. ويذكر التنبيه أن الإصدارات بدءًا من 2.52.6 متأثرة، وأن الإصدار 2.52.7 هو الإصدار الذي عالج الثغرة.
أعاد VR-1.1 إنتاج الانهيار وأضاف فحصًا لحدود النطاق قبل استخدام الفهرس، رافضًا الفهارس السالبة أو المفرطة مع الحفاظ على معالجة النماذج الصحيحة. وتفيد Cogent بأن اختبارات الثغرات التسعة اجتازت جميعها بعد ذلك، مقارنةً بصفر قبل الإصلاح، فيما اجتازت اختبارات الوظائف الاثنا عشر جميعها قبل الإصلاح وبعده. وجاء هذا المثال من تشغيل منفصل مسجل شمل 182 مهمة، لا من التقييم النهائي الذي شمل 190 مهمة.
حدود التقييم والاستخدام في بيئات الإنتاج
حظر التقييم الوصول إلى الشبكات الخارجية أثناء الإصلاح، كما حجبت اختبارات التقييم الخاصة بـLiveCVEBench إلى أن انتهى كل وكيل من عمله. ومنعت هذه الشروط استرجاع إصلاح من مصدر خارجي أو استخدام اختبارات التقييم مباشرةً أثناء إجراء التصحيح.
تحذّر Cogent من أن مواعيد انتهاء تدريب كلا النموذجين المرجعيين جاءت بعد تواريخ نشر معرّفات CVE الواردة في الإصدار الحالي من LiveCVEBench؛ ما يعني احتمال ظهور التنبيهات والإصلاحات الخاصة بها في بيانات التدريب. وتشير الشركة إلى أن أوصاف المهام المكتوبة بأسلوب تقارير المستخدمين، وحظر الاتصال بالشبكات، وتوحيد الظروف، تحدّ من أفضلية النموذجين.
وفي اختبارات Cogent الاستطلاعية، استطاعت النماذج وصف بعض الثغرات اعتمادًا على ذاكرتها، لكنها لم تتمكن من إعادة إنتاج تصحيحات مطابقة تمامًا. وتعمل الشركة أيضًا على إنشاء مجموعة مهام تستند إلى معرّفات CVE أُفصح عنها بعد مواعيد انتهاء التدريب ذات الصلة، وتخطط لإبقائها محدّثة.
يختبر LiveCVEBench ثغرات معروفة في بيئات معزولة، ويعني اجتياز الاختبار استيفاء معايير التحقق المقدمة. وتقول Cogent إن نشر النموذج في بيئة إنتاج لا يزال يتطلب المراجعة والاختبار في البيئة المستهدفة. وتعمل الشركة على إدماج VR-1.1 في سير عملها لمعالجة الثغرات، على أن يُرفق بكل تصحيح تشخيصه وإثبات المفهوم والاختبارات، كي يراجعها المختصون. لذا تقيس نتيجة المعيار إصلاحات خضعت للتحقق في ظروف مضبوطة؛ أما الاستخدام في بيئة الإنتاج فيظل مرهونًا بالتحقق من تلك الإصلاحات في البيئة التي سيعمل فيها البرنامج.
