هارنس تُطلق وكلاء الذكاء الاصطناعي للمسح، التصنيف، وتصحيح الثغرات بسرعة الآلة

أطلقت شركة هارنس، منصة توصيل البرمجيات في سان فرانسيسكو، مجموعة من وكلاء الأمن الذكائي الاصطناعي في 19 أغسطس 2026 — AI SAST، تصنيف وإصلاح وكيلية، وكيل مخصص للثغرات الصفرية، وتصحيح افتراضي — صُممت لتقليص الفجوة بين اكتشاف الثغرة وإصدار الإصلاح من أسابيع إلى ساعات.

يعتمد العرض على عدم توازن يواصل المدافعون خسارته. في منشور الهندسة الخاص بهارنس الذي يوضح الإطلاق، تشير الشركة إلى متوسط 55 يوماً لإصلاح ثغرة وفقًا لتقرير إحصائيات الثغرات لعام 2026 من Edgescan، مقابل جداول زمنية للمهاجمين (متابعةً لساعة الصفر) التي وصلت إلى الاستغلال الأول خلال ست ساعات فقط بعد الكشف. حتى بعد كتابة الإصلاح، يُظهر تقرير DORA لعام 2025 أن الوقت من الالتزام إلى الإنتاج يتجاوز الأسبوع. يغلق المدافعون نافذة تُقاس بالساعات عبر عملية تُقاس بالأسابيع.

الآن تضغط نماذج الحدود على كلا جانبي تلك الفجوة. يُظهر الفحص القائم على نماذج اللغة الكبيرة عددًا أكبر بكثير من النتائج مقارنةً بالتحليل الساكن التقليدي — شركاؤنا في مشروع غلاسوينغ التابع لـ Anthropic، الذي يمنح شركاء الأمن الوصول إلى نموذج Claude Mythos Preview للبحث عن الثغرات في البرمجيات الحرجة، وجدوا تقريبًا 10 أضعاف عدد الثغرات التي ظهرت في الاختبار. لكن الرؤية دون معالجة تُشكّل تراكمًا أكبر: شركة Comcast، أحد المشاركين في غلاسوينغ، وجدت أن 44٪ من نتائج LLM الحرجة والعالية الخطورة كانت إيجابيات كاذبة، وأن 36٪ فقط من النتائج الحرجة و33٪ من النتائج عالية الخطورة تم تأكيد قابليتها للاستغلال.

“نحن في مرحلة يصبح فيها نفس نماذج الذكاء الاصطناعي التي تساعد عملائنا على تسليم البرمجيات بسرعة أكبر هي أيضًا ما يستخدمه المهاجمون لاكتشاف واستغلال الثغرات بسرعة أكبر”، قال راهول سود، مدير عام أمن التطبيقات في هارنس، في إعلان الشركة. “الطريقة الوحيدة لسد تلك الفجوة هي جعل الأمن جزءًا أساسيًا من خط تسليم البرمجيات نفسه.”

ما الذي يفعله الوكلاء فعليًا

تقسّم طبقة الفحص عن قصد الفارق بين التحليل الحتمي والتحليل الاحتمالي، وهو اختيار تصميم ملحوظ نظرًا للحماس الحالي في الصناعة لتوجيه نماذج اللغة الكبيرة نحو قواعد الشيفرة. يجمع AI SAST من هارنس محرك تدفق بيانات حتمي مع طبقة ثقة ذكائية تصنّف كل نتيجة إما كخطر مؤكد، أو خطر محتمل، أو آمن في السياق. وتدعي الشركة، بناءً على اختبارها الخاص مقابل مجموعة OWASP Java، أن الطبقة خفضت الإيجابيات الكاذبة بنسبة 79٪ (من 454 إلى 95) وزادت الدقة من 74٪ إلى 93٪ مع الحفاظ على استدعاء بنسبة 91٪. بالنسبة للمرجعية المباشرة غير الآمنة (فئة التحكم في الوصول المكسور التي لا يستطيع تحليل تدفق البيانات رؤيتها هيكليًا، لأنه لا يوجد مدخل غير صالح للمطابقة)، تدعي هارنس تحقيق استدعاء بنسبة 71٪ ودقة 99٪ عبر مجموعة من 390 حالة في Go وJava وPython. هذه معايير من البائع، تم الإبلاغ عنها ذاتيًا، لكن الحجة الأساسية صائبة: الماسح الاحتمالي الذي يُعيد نتائج مختلفة لنفس الشيفرة مرتين، مع تكلفة رمزية لكل فحص، ليس مناسبًا لحجب CI/CD المستمر. بدلاً من ذلك، تضع هارنس فحص LLM للبحث الفردي وتقدم Orchestration لفحص LLM للفرق التي ترغب في تشغيل ماسحات LLM الخاصة بها أصلاً داخل خط الأنابيب.

في المراحل اللاحقة، ي prioritizes الوكيل التصنيفي النتائج من خلال دمج CVSS وEPSS وتحليل القابلية للوصول: الآن تتبع هارنس مسارات الاستدعاء إلى الدالة الضعيفة المحددة، بحيث يتم وضع علامة على الاعتماد فقط إذا كانت تلك الدالة بالذات قابلة للوصول. ثم يكتب الوكيل الإصلاحي إصلاحًا، يتحقق من صحته في خط الأنابيب لتجنب كسر البُنى، ويفتح طلب سحب يُراجَع من قبل إنسان. يحتفظ المطورون بسلطة الدمج.

الوكيل الصفري هو العنصر الموجه مباشرةً إلى مشكلة الست ساعات. يراقب الوكيل الصفري الإعلانات الجديدة للثغرات الصفرية، يحدد كل قطعة متأثرة وخط أنابيب عبر بيئة العميل (تقلص نصف القطر من أيام إلى ثوانٍ حسب ما تقول الشركة) وينتج إصلاحًا مُعتمدًا جاهزًا للمراجعة، متجاوزًا تمامًا طابور التصنيف. يغطي التصحيح الافتراضي النافذة المتبقية: عندما يكتشف اختبار API ثغرة، تنشر هارنس قاعدة حماية على طبقة تطبيق الويب وحماية API دون تعديل الشيفرة، مما يحمي الإنتاج خلال دقائق بينما يُكتب الإصلاح الدائم، ثم تُزيل التصحيح بمجرد شحن الإصلاح.

جميع القدرات الست متاحة الآن داخل منصة هارنس، مع تشغيل وكلاء الإصلاح والوكيل الصفري على حوكمة خط الأنابيب الحالية: بوابات السياسات، الموافقات، وسلسلة الحفظ لكل قطعة.

تطور هارنس نحو أمان التطبيقات الوكيلية

يمتد الإطلاق على قوس أمني بدأ عندما اندمجت هارنس مع شركة الأمن API Traceable في فبراير 2025، وهو صفقة وضعت المؤسس المشارك لشركة Traceable، سانجاي نغراج، مسؤولًا عن أعمال أمان التطبيقات في الشركة المدمجة. في يوليو 2026، أطلقت الشركة Agent DLC، طبقة حوكمة لدورة حياة تطوير وكيل الذكاء الاصطناعي: فحص أولي، قائمة مواد الذكاء الاصطناعي، اكتشاف الوكيل، وجدار حماية ذكائي يفرض السياسات ضد حقن المطالبات وسوء استخدام الأدوات في وقت التشغيل. وبعد أيام قليلة، وسعت شراكتها مع Kong لدفع اكتشاف وحماية الذكاء الاصطناعي إلى بوابة AI في Kong، مع جرد كل نموذج، خادم MCP، وأداة تمر من خلالها.

تابعت Unite.AI نفس التسارع من الجانب الهجومي، من تحويل كلود لسيناريو اختراق سيبراني إلى ثلاث اختراقات حقيقية إلى دراسة IBM التي وجدت أن الذكاء الاصطناعي يلعب دورًا في واحد من كل أربعة اختراقات خبيثة، ومن الجانب الدفاعي، نماذج الدفاع السيبراني Daybreak من OpenAI التي وصلت إلى Amazon Bedrock. رهان هارنس هو أن خط إصلاح الثغرات، وليس مجرد الكشف، هو المكان الذي يجب أن تصل إليه سرعة الآلة بعد ذلك.

سواء كان الوكلاء الذين يكتبون إصلاحاتهم الخاصة سيكسبون ثقة المؤسسات سيعتمد على حزمة التحقق حولهم، وهو درس تعزز عندما فتح Copilot Autofix حقنًا شل في خط أنابيب CI/CD الخاص بـ Snowflake. إجابة هارنس هي معمارية: يقترح الوكلاء، يتحقق الخط، ويقوم إنسان بالدمج.