على مدى الشهرين الماضيين، قدنا تحالفًا من القائمين على صيانة البرمجيات والباحثين ومزوّدي خدمات الأمن لمعالجة ثغرات حرجة في PHP، وهي لغة برمجة مفتوحة المصدر تُستخدم لتشغيل المواقع وتطبيقات الويب. اكتشفت Calif خللًا حرجًا باستخدام GPT‑5.6 Sol ضمن مبادرتنا Patch the Planet(يفتح في نافذة جديدة)، كما اكتشفت Wiz الثغرتين وأبلغت عنهما بشكل مستقل. قاد القائمون على صيانة PHP جهود الإصلاح وإصدار التحديثات، وساهمت فرقنا وشركاؤنا، مثل Wiz وCloudflare وغيرهم، بالأبحاث والدعم التقني والتنسيق لإعداد تدابير الحماية قبل الإفصاح.
الأولوية الآن للمؤسسات التي تستخدم PHP هي تطبيق الإصلاحات. نتيح أداة للتحقق من إصدار PHP في صورة مهارة لـCodex(يفتح في نافذة جديدة) لمساعدة مشغّلي الأنظمة على تحديد إصدارات PHP المحتمل تأثرها بالثغرات، ومعرفة التحديثات اللازمة بالاستعانة أيضًا بإرشادات PHP ومزوّدي خدماتهم.
نظرًا إلى خطورة هذين الخللين وانتشار استخدام PHP، نعدّ هذه القضية من أكثر القضايا الأمنية تأثيرًا في السنوات الأخيرة. وهي تُبرز قدرة الذكاء الاصطناعي على كشف عيوب أمنية واسعة التأثير على مستوى الإنترنت، لكن القدرات نفسها قد تساعد المهاجمين أيضًا على تطوير أدوات هجومية ووسائل لاستغلال الثغرات بسرعة.
بحسب علمنا، اكتشف الذكاء الاصطناعي الرائد هاتين الثغرتين قبل المهاجمين، مما أتاح نافذة فرصة للمدافعين تمكّن القائمين على الصيانة ومزوّدي خدمات الأمن من إعداد الإصلاحات وتدابير الحماية قبل الإفصاح.
لمساعدة مزيد من المدافعين على استخدام هذه القدرات، التزمنا بتخصيص مليار دولار لدعم الوصول إلى Daybreak عبر برنامج Daybreak for Frontline Defenders، مع التركيز على المؤسسات ذات الموارد الأمنية المحدودة التي تحمي الخدمات الأساسية.
على خطورتهما، ليست هاتان الثغرتان سوى اثنتين من عدة ثغرات مهمة اكتشفناها بالفعل ونعمل على إصلاحها، ونتوقع زيادة حادة في الاكتشافات المماثلة خلال الأشهر المقبلة. استنادًا إلى خبرتنا حتى الآن، نطرح نهجًا مقترحًا يلائم عصر الذكاء الاصطناعي للاستجابة للثغرات الحرجة في البرمجيات واسعة الاستخدام، وندعو مجتمع الأمن إلى المساعدة في تحسين هذا الإطار. يجمع هذا النهج بين نماذجنا وخبرتنا الأمنية والقائمين على صيانة البرمجيات لتحويل الاكتشافات إلى حماية، وبناء استجابة قابلة للتوسع مع تطوّر قدرات الذكاء الاصطناعي.
قد يتطلب تطبيق الإصلاح تكييفه مع الإصدارات الأقدم، وإعداد تدابير لتخفيف المخاطر لدى مزوّدي الخدمات، وتحديث الأنظمة في مؤسسات عديدة. وتساعد آلية عمل قابلة للتكرار هذه الفرق على التحرك بسرعة مع اكتشاف مزيد من الثغرات.
من خلال Patch the Planet، قدّمنا خبرة أمنية وأتحنا الوصول إلى النماذج لدعم الاستجابة لثغرات PHP، وعملنا مع القائمين على صيانتها وشركائنا البحثيين لاختبار الإصلاحات وإعداد الإرشادات. وساعدنا أيضًا في التنسيق مع مزوّدي البنية التحتية بشأن حماية الأنظمة المتأثرة، وأشركنا جهات حكومية للأمن السيبراني للمساعدة في إيصال الإرشادات إلى المؤسسات الحيوية. دعم ذلك الاستجابة التي قادها القائمون على الصيانة، وساعد المدافعين الآخرين على الاستعداد.
في بعض الاكتشافات، يستطيع الباحثون العمل مباشرة مع القائمين على صيانة البرمجيات للتحقيق في المشكلة وتطوير إصلاح لها. وتتطلب اكتشافات أخرى استجابة أوسع لأنها تؤثر في منتجات عديدة، أو لأن الموزّعين ومزوّدي الخدمات يحتاجون إلى وقت لإعداد التحديثات وتدابير الحماية، وهو وقت قد يكون ضيقًا إذا لم تتقدم القدرات الرائدة كثيرًا على القدرات المتاحة على نطاق واسع. في هذه الحالات، يمكن للإطار المقترح مساعدة القائمين على الصيانة في تحديد الجهات التي ينبغي إشراكها وتنسيق العمل. يمكن أن تشمل الاستجابة خمس مراحل:
التحقق من الثغرة وإصلاحها في المشروع الأصلي. يتحقق القائم على الصيانة والباحثون والشركاء التقنيون الأساسيون من الاكتشاف، ويقيّمون أثره، ويطوّرون إصلاحًا ويختبرونه. وتشمل هذه العملية اختبارات تحاكي الهجمات باستخدام نماذج رائدة للبحث عن طرق لتجاوز التصحيح وصور أخرى مرتبطة بالثغرة.
منح المؤسسات المتأثرة وقتًا للتحرك. نقترح إطارًا لتقييم المؤسسات التي تحتاج إلى معلومات مسبقة لإعداد تدابير الحماية، مع إبقاء قرار إشراك الجهات بيد القائمين على الصيانة. ونساعد في التواصل واتفاقيات مشاركة المعلومات والتنسيق بين الفرق. فقد يكيّف موزّعٌ إصلاحًا لإصدار أقدم، ويختبر مزوّد استضافة إجراءً لتخفيف المخاطر، ويُعدّ مزوّد خدمات أمنية تدابير للكشف أو الوقاية، بما فيها قواعد جدار حماية تطبيقات الويب (WAF).
التنسيق مع الشركاء الحكوميين للمساعدة في حماية الأنظمة الحيوية. تؤدي الجهات الحكومية دورًا أساسيًا في تنسيق استجابة أوسع والمساعدة في إيصال الإرشادات الأمنية إلى المؤسسات المسؤولة عن البنية التحتية الحيوية وغيرها من الخدمات الأساسية. في حالة PHP، عملنا بالتعاون مع شركائنا على التواصل مع جهات متعددة في الحكومة الأمريكية، منها قوة الذكاء الفائق التابعة للبيت الأبيض، ومكتب المدير الوطني للأمن السيبراني (ONCD)، ووكالة الأمن السيبراني وأمن البنية التحتية (CISA)، إلى جانب شركاء دوليين لدعم هذا الجهد.
إعداد التحديثات لمختلف المنتجات المتأثرة. مع استقرار الإصلاح والإرشادات وخطط الإفصاح، يمكن للقائمين على الصيانة إشراك مزيد من الموزّعين ومزوّدي الاستضافة والخدمات وفرق الاستجابة ومشغّلي الأنظمة لإعداد التحديثات وسدّ الثغرات في نطاق الحماية.
نشر الإرشادات ودعم تطبيق التصحيح فور توفره. تساعد الإرشادات المنشورة للجميع في تقييم مدى التعرض للمخاطر، والعثور على تحديثات موثوقة أو تدابير تخفيف مؤقتة، والتحقق من أن الإصلاح أصبح مطبّقًا بالفعل. وتستمر الاستجابة بينما يطبّق مشغّلو الأنظمة التحديثات ويحدّدون الجوانب التي يحتاجون فيها إلى المساعدة ويبلّغون عنها.
يراعي الإطار المقترح دور المؤسسة في الحماية، بما يشمل حماية أنظمتها وعملائها، والوقت اللازم للتحرك، وقدرتها على التعامل مع المعلومات الحساسة. وتنطبق المعايير نفسها على المؤسسات المتماثلة، مع تولّي القائمين على الصيانة تحديد الجهات التي تُشرك قبل الإفصاح.
يتلقى كل مشارك المعلومات اللازمة لأداء دوره في الحماية، بدءًا من سجلات الشبكة التي تتضمن مؤشرات اختراق، وصولًا إلى نماذج استغلال عملية لإثبات المفهوم، وهي أشد حساسية. حتى التفاصيل المحدودة قد تكشف عن ثغرة، لذا نوازن بين مخاطر مشاركتها والحماية التي تتيحها.
تعمل الفرق المتبعة لهذا الإطار مع القائمين على الصيانة لمنح المدافعين وقتًا للاستعداد، وتعيد تقييم الجدول الزمني عند رصد استغلال فعلي، أو تسريب، أو تصحيح منشور يكشف الثغرة، أو تزايد المخاطر على المستخدمين بسبب تعثر المعالجة.
يجمع موقع Patch the Planet(يفتح في نافذة جديدة) الإفصاحات العامة والإرشادات لمساعدة مشغّلي الأنظمة على تحديد الأنظمة المتأثرة، والعثور على التحديث المناسب، والتحقق من أن البرمجيات المحدّثة تعمل بصورة سليمة. وفي حالة PHP، يوجّه الموقع إلى التصحيح الرسمي وتعليمات الترقية الصادرة عن القائمين على صيانتها، وإلى الأبحاث التقنية لشركائنا. وتشمل الإرشادات أيضًا تدابير التخفيف المؤقتة، ومتى ينبغي إشراك مزوّد خدمة أو خبير، والنسخ الاحتياطي والاسترداد. قد تقلل تدابير الحماية المؤقتة المخاطر، لكننا سنوضح حدودها وما تنطوي عليه من مفاضلات تشغيلية.
يمكن لمشغّلي الأنظمة الاستعانة بـإرشادات CISA لتحديد الأولويات والمعالجة(يفتح في نافذة جديدة) لتقييم مدى سرعة التحرك اللازمة بناءً على التعرض للمخاطر والاستغلال والأثر المحتمل. وقد يعني ذلك تطبيق تصحيح طارئ، أو تدبير تخفيف فوري، أو تحديث مخطط له، إلى جانب تقييم أولي للأدلة الرقمية عند الحاجة لمعرفة ما إذا كانت الأنظمة قد اختُرقت بالفعل. ينبغي إعادة تقييم الأولويات مع تغيّر الظروف، مع تحديد مسار واضح لمعالجة دائمة.
يعتمد التنسيق العالمي على الأشخاص الذين يتولّون صيانة البرمجيات. تدير مشاريعَ كثيرة فرقٌ صغيرة تراجع التقارير الأمنية إلى جانب أعمال التطوير المعتادة. وتحتاج هذه الفرق إلى مساعدة في تمييز المشكلات الجديدة من البلاغات المكررة، وتقييم الأثر، واختبار الإصلاحات على مختلف الإصدارات المدعومة. ندعم هذا العمل بالتمويل، وإتاحة نماذج ذات قدرات عالية، والمساعدة الهندسية المباشرة.
تتطور قدرات الذكاء الاصطناعي القوية في مختلف أنحاء القطاع، ونتوقع أن يؤدي الذكاء الاصطناعي دورًا متناميًا في مساعدة المدافعين على اكتشاف الثغرات ومراقبة الأنظمة والاستجابة للتهديدات. نستثمر في النماذج والأدوات والشراكات لمساعدة المدافعين على توظيف هذه القدرات عمليًا.
تشمل استثماراتنا اشتراكات لجميع القائمين على الصيانة عبر Codex for OSS، ورعاية مباشرة لمشاريع مثل Rust Foundation(يفتح في نافذة جديدة) لدعم القائمين على الصيانة والعمل التقني. ويحدد كل مشروع أولوياته بنفسه. يمكن للاختبارات وسير العمل الأمني القابلة لإعادة الاستخدام أن تقلل الجهد اللازم للتعامل مع الاكتشافات المستقبلية. يمكن للمشاريع مفتوحة المصدر التقدّم إلى Patch the Planet(يفتح في نافذة جديدة) للحصول على دعم عملي مباشر.
نعمل أيضًا على معايرة مُصنِّفات حظر إضافية في Daybreak للمساعدة في تقليل احتمالات إساءة الاستخدام. وينطوي ذلك على مفاضلات صعبة: فتدابير الحماية الرامية إلى منع إساءة الاستخدام قد تعرقل أيضًا العمل الأمني المشروع. من الضروري إتاحة النماذج ذات القدرات العالية على نطاق واسع، وتوفير حماية فعّالة من إساءة الاستخدام في الوقت نفسه. هدفنا هو الحفاظ على القدرات التي يحتاج إليها المدافعون لاكتشاف الثغرات وإصلاحها، مع الحد من الاستخدام الضار. وسنواصل تحسين هذا التوازن مع تطوّر القدرات وما نتعلمه من كيفية استخدام هذه الأدوات.
مع تنامي قدرات النماذج، تتسع الفرصة لتتجاوز اكتشاف الثغرات وإصلاحها كلًّا على حدة. نريد مساعدة المهندسين على بناء برمجيات أكثر أمانًا منذ البداية. يمكن لتحسين مكوّن واسع الاستخدام أن يمنع الأخطاء أو يحدّ من أثرها في منتجات وخدمات عديدة.
يمكن للذكاء الاصطناعي مساعدة المهندسين على فهم الشيفرة الحالية وإعداد التغييرات وتطوير الاختبارات، فيما يتحقق القائمون على الصيانة وخبراء الأمن من أن هذه التغييرات تحافظ على سلوك البرمجيات الذي يعتمد عليه المستخدمون. نرى فرصًا في مجالات عدة:
شيفرة آمنة منذ البداية. يمكن لنماذج البرمجة مساعدة المطوّرين على اختيار إعدادات افتراضية أكثر أمانًا، واستخدام مكتبات الأمن بصورة صحيحة، ورصد الأنماط الخطرة أثناء كتابة الشيفرة. الوقاية من الثغرات أثناء التطوير تعني إصلاحات طارئة أقل للقائمين على الصيانة والمستخدمين.
برمجيات آمنة الذاكرة. يمكن لنقل المكوّنات الحيوية إلى لغات آمنة الذاكرة أن يزيل فئات شائعة من أخطاء الذاكرة. ويمكن للذكاء الاصطناعي المساعدة في عمليات النقل، مع إجراء اختبارات ومراجعات من خبراء للتحقق من السلوك والتوافق.
التحقق الصوري. يمكن للبراهين الرياضية أن تثبت استيفاء المكوّنات الحيوية لخصائص أمنية محددة في ظل افتراضات معلنة. وقد يساعد تطبيق هذه الأساليب على مكوّنات واسعة الاستخدام في استبعاد فئات من الثغرات في الخدمات والبنية التحتية الحيوية التي تعتمد عليها.
عزل أقوى. تحتاج الأنظمة إلى حماية من الثغرات التي لم تُكتشف أو تُصلح بعد. يمكن لتشغيل البرمجيات التي تعالج ملفات أو صورًا أو وسائط غير موثوقة داخل بيئات معزولة شديدة التقييد أن يحدّ من الضرر إذا اختُرقت. يمكن للذكاء الاصطناعي مساعدة المهندسين على اختبار تقنيات العزل واسعة الاستخدام وتعزيزها، مما يحسّن الحماية في تطبيقات عديدة.
نشارك نهجنا ليتسنى للقائمين على الصيانة والباحثين وفرق الاستجابة ومزوّدي الخدمات ومشغّلي الأنظمة المساعدة في جعله قابلًا للتطبيق. نريد أن نفهم أين يمكن أن يفيد، وأين قد يسبب تأخيرًا أو يضيف أعباءً، وما الذي أغفلناه. وستكون الأمثلة من الإفصاحات السابقة مفيدة على نحو خاص.
نهتم خصوصًا بالموضوعات التالية:
المهل السابقة للإفصاح. ما الوقت الذي يحتاج إليه القائمون على الصيانة ومشغّلو الأنظمة والمدافعون لإعداد إصلاحات موثوقة وتطبيقها؟ ما الأدلة التي ينبغي أن تستدعي تقديم موعد الإفصاح، خصوصًا حين يمكن حماية بعض المستخدمين قبل غيرهم؟
تطبيق التصحيحات الطارئة. هل توجد حالات ينبغي فيها للحكومات أو غيرها من مشغّلي الأنظمة استخدام ثغرة لتصحيح أنظمة تملكها أو مخوّلة بإدارتها بعد فقدان الوصول الإداري إليها؟ وما تلك الحالات؟ وما الضوابط التي ينبغي تطبيقها؟ يمكننا تصوّر الوصول في النهاية إلى فحص مستمر على امتداد الإنترنت بحثًا عن الثغرات المعروفة، مع إخطار مالكي المواقع عند اكتشاف إحداها أو تطبيق تصحيح على النظام.
الإخطار المبكر. من يحتاج إلى تحذير مسبق لاتخاذ إجراء حماية مفيد، بما في ذلك المدافعون الذين قد نغفلهم؟ متى تكون الإخطارات المرحلية أفضل من إخطار مجموعة أوسع دفعة واحدة، وكيف نوازن بين شمول الحماية ومخاطر التسريب؟
حزم برمجية آمنة افتراضيًا. كيف نساعد في تحديد الثغرات وإصلاحها في الحزم المشتقة بينما ننتظر إصلاحات المشاريع الأصلية، أو نكيّف الإصلاحات مع الإصدارات الأقدم التي لم تعد تتلقى تحديثات أمنية؟ وما الاختبارات وأعمال الصيانة التي تجعل هذه الحزم خيارات موثوقة حين تتعذر الترقية في الوقت المناسب؟
نرحب أيضًا بترشيحات لخبراء أمن مستقلين يمكنهم مراجعة النهج واختبار افتراضاته وتحديد جوانب القصور فيه. ستساعدنا مساهماتكم في تحسين الاستجابة وتحديد أولويات الدعم. شاركونا ملاحظاتكم هنا(يفتح في نافذة جديدة).
