OpenAI مؤخرًا عن مشاركتها في اكتشاف وتنسيق إصلاح ثغرتين أمنيتين خطيرتين في لغة البرمجة PHP. تأتي هذه المبادرة ضمن خطة "إصلاح الإنترنت بالكامل" التي أطلقتها OpenAI، والتي تجمع بين مطوري البرمجيات، والباحثين في الأمن، ومقدمي خدمات السحابة، والهيئات الحكومية المعنية بالأمنالسيبراني، بهدف تقليل المخاطر الناتجة عن الثغرات على البنية التحتية العالمية للإنترنت. وأشارت OpenAI إلى أن النماذج المتقدمة للذكاء الاصطناعي أصبحت قادرة على اكتشاف عيوب أمنية في البرمجيات تؤثر على نطاق واسع، وأن كيفية تحويل هذه الاكتشافات بسرعة إلى تدابير وقائية فعلية أصبحت موضوعًا متزايد الأهمية في مجال الأمن السيبراني.
في هذه الحادثة، استخدمت شركة Calif نموذج GPT-5.6 Sol لاكتشاف ثغرة أمنية خطيرة، بينما اكتشفت شركة Wiz بشكل مستقل وأبلغت عن ثغرتين ذات صلة. يتولى فريق صيانة PHP قيادة عملية إصلاح الثغرات وإصدار النسخ الآمنة، بينما تقدم OpenAI وWiz وCloudflare وشركاء آخرون الدعم الفني والبحثي والتنسيق، لمساعدة الهيئات المعنية في الاستعداد لحماية أنظمتها قبل الكشف عن الثغرات. تعتبر PHP لغة برمجة مفتوحة المصدر تُستخدم على نطاق واسع في المواقع وتطبيقات الويب، وتعتمد عليها العديد من خدمات الإنترنت لمعالجة طلبات الويب، وعمليات قواعد البيانات، ومنطق الأعمال الخلفية.
لذا، فإن تأثير الثغرات الخطيرة في PHP قد يمتد بسرعة ليشمل العديد من المواقع، وخدمات السحابة، وأنظمة الشركات.
OpenAI تساعد في إصلاح ثغرات PHP من خلال تقنيات الذكاء الاصطناعي
تم تصنيف الثغرتين المكتشفتين على أنهما خطيرتان، وقد تؤديان إلى تنفيذ المهاجمين لرموز عن بُعد دون الحاجة إلى مصادقة. وقد أصدر فريق تطوير PHP نسخة إصلاح في 21 أكتوبر، وحث المستخدمين على التحديث الفوري. وأشارت OpenAI إلى أن هذه الحادثة تسلط الضوء على الدور المزدوج للذكاء الاصطناعي في مجال الأمن السيبراني. من ناحية، يمكن للنماذج المتقدمة أن تساعد الباحثين في اكتشاف العيوب التي كانت مخفية لفترة طويلة في البرمجيات الناضجة؛ ومن ناحية أخرى، يمكن أن تُستخدم نفس القدرات من قبل المهاجمين لتطوير أدوات استغلال الثغرات وبرامج الهجوم بسرعة.
لذا، يجب على الفرق الأمنية ألا تركز فقط على إمكانية اكتشاف الثغرات، بل يجب أن تنشئ آلية فعالة لضمان إصلاح الثغرات في الوقت المناسب، وتقليل مخاطر الهجوم قدر الإمكان قبل نشر التصحيحات ذات الصلة.
وفقًا للمعلومات الحالية، تم اكتشاف الثغرات قبل أن يتمكن المهاجمون من اكتشافها واستغلالها، بمساعدة الذكاء الاصطناعي المتقدم، مما منح مطوري البرمجيات وقتًا ثمينًا للتحضير للدفاع. أطلقت OpenAI على هذه المرحلة "نافذة المدافعين"، وهي الفترة التي يمكن خلالها للجهة المدافعة اكتشاف المشكلة، ووضع خطة الإصلاح، ونشر تدابير الحماية قبل المهاجمين. ومع ذلك، فإن هذه النافذة لن تبقى مفتوحة إلى الأبد. مع استمرار تحسين قدرات نماذج الذكاء الاصطناعي، قد يتقلص الفارق الزمني بين اكتشاف الثغرات وتطوير أساليب الهجوم تدريجياً.
لذلك، اقترحت OpenAI إطار استجابة منسق للثغرات الخطيرة، يتضمن خمسة مراحل رئيسية. أولاً، يقوم مطورو البرمجيات والباحثون والشركاء الفنيون الرئيسيون بالتحقق من الثغرات، وتقييم نطاق التأثير، وتطوير واختبار حلول الإصلاح، واستخدام النماذج المتقدمة لإجراء اختبارات معاكسة، للتحقق من أن التصحيحات تمنع الهجمات فعليًا، والبحث عن متغيرات الثغرات ذات الصلة. ثانيًا، يتم تخصيص وقت كافٍ للتحضير للمنظمات المتأثرة، وتقديم المعلومات الفنية اللازمة على مراحل وفقًا لمسؤوليات الحماية لكل طرف مشارك. ثالثًا، يتم التعاون مع الهيئات الحكومية المعنية بالأمن السيبراني لضمان تلقي مشغلي البنية التحتية الحيوية التنبيهات في الوقت المناسب.
في حادثة ثغرات PHP، تواصلت OpenAI مع شركائها مع مجموعة العمل الخاصة بالمعلومات الاستخباراتية في البيت الأبيض، ومكتب مدير الأمن السيبراني الوطني، ووكالة الأمن السيبراني والبنية التحتية (CISA)، وعملت على التنسيق مع الشركاء الدوليين.
رابعًا، بعد أن تستقر حلول الإصلاح وخطط الكشف العلني، يتم توسيع نطاق المشاركة، مما يسمح لمزيد من ناشري البرمجيات، ومقدمي خدمات السحابة، ومقدمي خدمات الاستضافة، وفرق أمان الشركات بالاستعداد مسبقًا للتحديثات. خامسًا، بعد إصدار التصحيحات، يتم تقديم إرشادات إصلاح واضحة للجمهور، ومتابعة حالة النشر بشكل مستمر. وأشارت OpenAI بشكل خاص إلى أن مشاركة معلومات الثغرات مسبقًا تنطوي على تناقض واضح. يحتاج مقدمو خدمات السحابة، ومصنعي الأمن السيبراني، ومشغلو البنية التحتية الحيوية إلى تفاصيل فنية كافية للاستعداد بشكل فعال، لكن حتى المعلومات المحدودة عن الثغرات قد تساعد المهاجمين في استنتاج موقع العيوب.
لذا، يجب تقديم المعلومات ذات الصلة على مراحل وفقًا لمسؤوليات الحماية لكل مشارك، واحتياجات وقت التحضير، وقدرة التعامل مع المعلومات الحساسة. إذا تم استغلال الثغرات فعليًا، أو تم تسريب التفاصيل الفنية عن غير قصد، أو إذا كان الكشف العام عن التصحيحات نفسها يكشف عن موقع الثغرات، يجب إعادة تقييم الجدول الزمني المقرر للكشف. لمساعدة المزيد من المنظمات على اتخاذ إجراءات، أكدت OpenAI أنها ستوفر أداة لفحص إصدارات PHP، وتخطط لإطلاق مهارات Codex المرافقة، لمساعدة مشغلي الأنظمة في تحديد إصدارات PHP التي قد تكون معرضة للخطر. كما جمعت OpenAI معلومات الكشف عن الثغرات وإرشادات الحماية من خلال مشروع "إصلاح الإنترنت بالكامل".
فيما يتعلق بدعم الموارد، تعهدت OpenAI بتوفير خدمات Daybreak المدعومة بقيمة 1 مليار دولار من خلال خطة "فجر المدافعين في الخطوط الأمامية"، مع التركيز على مساعدة المنظمات ذات الموارد الأمنية المحدودة والتي تتحمل مهام حماية الخدمات الحيوية؛ كما تقدم دعم اشتراك لمطوري البرمجيات مفتوحة المصدر من خلال Codex for OSS، وتقدم رعاية مباشرة لمشاريع مثل مؤسسة Rust. كما اقترحت OpenAI أنه ينبغي تقليل العيوب الأمنية منذ مرحلة تصميم البرمجيات، بما في ذلك مساعدة المهندسين في اختيار إعدادات افتراضية أكثر أمانًا، ونقل المكونات الحيوية إلى لغات آمنة من حيث الذاكرة، واعتماد التحقق الرسمي وآليات العزل الأقوى.
تعترف الشركة بأن توسيع استخدام الذكاء الاصطناعي في مجال الأمن السيبراني يتطلب تدابير أكثر فعالية لمكافحة إساءة الاستخدام، وهي تعمل على تعديل مصنفات الأمان في Daybreak لتحقيق توازن بين القدرات الدفاعية المفتوحة ومنع الاستخدام الضار.
في الختام، دعت OpenAI مطوري البرمجيات، والباحثين، ومقدمي خدمات الأمن السيبراني، ومشغلي الشركات إلى تحسين هذا الإطار معًا، ومناقشة وقت التحضير قبل الكشف عن الثغرات، وشروط الكشف المسبق، والأهداف المستهدفة للتنبيهات، والبدائل الآمنة للبرمجيات القديمة. كما اقترحت الشركة تصورًا مستقبليًا أكثر جدلًا: قد يتم إنشاء آلية مسح مستمر للثغرات في أنظمة الإنترنت، حيث يتم إخطار مالكي المواقع بعد اكتشاف الثغرات المعروفة، وحتى إصلاح الأنظمة مباشرةً بموافقة مسبقة، لكن هذا يتطلب ضمانات تقنية وإدارية صارمة بشأن ملكية النظام، وصلاحيات الإدارة، ومخاطر الأخطاء، وحدود المسؤولية.