بحسب تقرير نشره موقع "أكسيوس"، فإن أدوات الذكاء الاصطناعي ساهمت في تسريع اكتشاف الثغرات المحتملة داخل البرمجيات مفتوحة المصدر، لكنها زادت في المقابل الضغوط على المطورين المسؤولين عن التحقق من صحة البلاغات وإعداد الإصلاحات اللازمة...
تواجه مؤسسة "أوبن إس إس إل"، المسؤولة عن تطوير إحدى مكتبات التشفير المستخدمة على نطاق واسع في تأمين الاتصالات عبر الإنترنت، تحديات متزايدة مع ارتفاع أعداد البلاغات والمساهمات البرمجية المدعومة بالذكاء الاصطناعي، في وقت تكافح فيه فرق الصيانة لمراجعة المشكلات المكتشفة والتحقق منها وإصلاحها.
وبحسب تقرير نشره موقع "أكسيوس"، فإن أدوات الذكاء الاصطناعي ساهمت في تسريع اكتشاف الثغرات المحتملة داخل البرمجيات مفتوحة المصدر، لكنها زادت في المقابل الضغوط على المطورين المسؤولين عن التحقق من صحة البلاغات وإعداد الإصلاحات اللازمة.
وأظهرت مراجعة أجرتها المؤسسة أن عدد المشكلات الجديدة تجاوز عدد الملفات التي تمكن المطورون من إغلاقها خلال معظم الأشهر الأخيرة التي شملتها المراجعة، رغم ارتفاع حجم العمل المنجز.
وتؤدي مكتبة "أوبن إس إس إل" دورًا مهمًا في حماية البيانات والاتصالات الرقمية، إذ توفر أدوات تشفير يمكن دمجها في تطبيقات وخدمات مختلفة، سواء للاستخدام التجاري أو غير التجاري، وفق شروط ترخيصها.
وتتطلب معالجة أي خلل محتمل في المكتبة تحديد الإصدارات والإعدادات المتأثرة، والتحقق من طبيعة المشكلة وخطورتها، قبل تطوير الإصلاحات واختبارها وإتاحتها للمستخدمين.
زيادة البلاغات لا تعني زيادة الثغرات
توضح السياسة الأمنية الرسمية لمشروع "أوبن إس إس إل" أن فريق الاستجابة الأمنية يتولى استقبال البلاغات والتحقيق فيها، ويمكنه الاستعانة بصورة سرية بخبراء أو مؤسسات خارجية للمساعدة في فحص المشكلات واختبار الإصلاحات.
ولا يُصنّف كل بلاغ باعتباره ثغرة أمنية، إذ يعتمد تقييم الخطورة على عوامل تشمل الإصدارات المتأثرة، والإعدادات المستخدمة، وطريقة تشغيل البرمجيات، ومدى إمكانية استغلال الخلل.
وتقسم المؤسسة الثغرات إلى أربع درجات، هي الحرجة والمرتفعة والمتوسطة والمنخفضة، وتحدد لكل منها إجراءات مناسبة للتعامل معها وإعداد الإصلاحات ونشر التحديثات.
فالمشكلة التي قد تسمح بكشف محتويات ذاكرة الخادم أو تعريض مفاتيح التشفير الخاصة للخطر تختلف في خطورتها عن خلل لا يظهر إلا عند استخدام إعدادات نادرة.
كما أن بعض المشكلات البرمجية لا تندرج ضمن التهديدات الأمنية التي تحددها سياسة المشروع، وقد يعالجها المطورون من دون تصنيفها ثغرات أمنية.
وتبرز هذه الإجراءات أهمية المراجعة البشرية، خصوصًا أن البلاغات التي تنتجها أدوات الذكاء الاصطناعي قد تبدو مقنعة من الناحية التقنية، لكنها تحتاج إلى اختبارات تؤكد صحتها ومدى تأثيرها الفعلي.
وفي مراجعة نشرتها المؤسسة خلال مايو/ أيار الماضي، أوضح مسؤول المجتمعات جون إريكسون أن سجل المشكلات المفتوحة لا يقتصر على الأعطال والثغرات الأمنية، بل يشمل أيضًا طلبات إضافة خصائص جديدة وتحسين الأداء وتطوير التوثيق.
ولذلك، فإن ارتفاع عدد الملفات المفتوحة لا يعني بالضرورة وجود العدد نفسه من الثغرات التي تهدد المستخدمين.
وكانت المؤسسة قد بدأت في أكتوبر/ تشرين الأول 2025 معالجة تراكم الملفات بإغلاق نحو 500 ملف، ارتبط كثير منها بمشكلات تعذر إعادة إنتاجها بعد انقطاع التواصل مع أصحاب البلاغات، أو بإصدارات انتهت فترة دعمها.
لكن المؤسسة أقرت بأن إغلاق أعداد كبيرة من الملفات دفعة واحدة لا يوفر حلًا مستدامًا لمشكلة تراكم العمل.
وبدعم مالي من "صندوق التكنولوجيا السيادية"، انضم مهندسان إلى المشروع للمساعدة في معالجة الملفات المتراكمة.
وأوضحت المؤسسة أنها تمكنت من إغلاق أو إنجاز 1188 ملفًا خلال عام، من دون احتساب عملية الإغلاق الجماعي السابقة.
ورغم هذا التقدم، أشارت إلى استمرار ارتفاع أعداد البلاغات الجديدة، وربطت جزءًا من هذه الزيادة بالاستخدام المتنامي لأدوات الذكاء الاصطناعي في اكتشاف المشكلات البرمجية والإبلاغ عنها.
وفي مواجهة هذه التحديات، اعتمد مشروع "أوبن إس إس إل" سياسة تنظم المساهمات البرمجية التي تستخدم أدوات الذكاء الاصطناعي، من دون حظر الاستعانة بهذه التقنيات.
وتشترط السياسة الإفصاح عن استخدام الذكاء الاصطناعي عندما يساهم في إنتاج جزء جوهري من الشيفرة أو المنطق البرمجي أو التوثيق المقدم للمشروع.
ويتعين على المساهم تحديد الأداة والنموذج المستخدمين، عندما تكون هذه المعلومات معروفة، بينما لا تخضع المهام البسيطة، مثل التصحيح الإملائي أو الإكمال التلقائي لسطر واحد، للمتطلبات نفسها.
كما تلزم المؤسسة المساهمين الذين يقدمون محتوى جوهريًا مولدًا بالذكاء الاصطناعي بتوقيع اتفاق مساهمة محدّث يتضمن بنودًا خاصة بهذه التقنيات.
ويؤكد الاتفاق مسؤولية المساهم عن المحتوى المقدم، وامتلاكه الحق في إتاحته للمشروع، بما يشمل مراعاة حقوق الملكية الفكرية.
وتشدد السياسة على ضرورة قراءة الشيفرة التي ينتجها الذكاء الاصطناعي وفهمها واختبارها قبل تقديمها، والتأكد من صحتها وكفاءتها واستيفائها متطلبات الأمن والجودة.
ولا تخضع الشيفرات المولدة آليًا لمعايير أخف من تلك المطبقة على الشيفرات التي يكتبها المطورون بأنفسهم.
ويحتفظ المشرفون على المشروع بحق طلب تعديل أي مساهمة أو رفضها إذا لم تستوف المعايير المطلوبة، بصرف النظر عن طريقة إنتاجها.
ويهدف هذا النهج إلى ضمان بقاء المسؤولية عن جودة البرمجيات وأمنها على عاتق المطورين، حتى عند الاستعانة بأدوات الذكاء الاصطناعي في إعداد الشيفرات.
وإلى جانب تنظيم المساهمات، تسعى مؤسسة "أوبن إس إس إل" إلى تعزيز قدرتها على التعامل مع البلاغات من خلال زيادة الموارد البشرية المخصصة لمراجعة الشيفرات والتحقيق في المشكلات الأمنية.
وفي مراجعة نشرتها خلال سبتمبر/ أيلول، أعلنت المؤسسة أن رعاية تقدمها شركة "سيسكو" لمدة ثلاث سنوات ساعدت في تمويل مهندس يعمل بدوام كامل، إلى جانب مساهمة جزئية من مهندس آخر.
وأوضحت أن المهندس إيغور أوستينوف يشارك في التعامل مع الزيادة في البلاغات الأمنية والبرمجية المولدة باستخدام الذكاء الاصطناعي.
وتقول المؤسسة إن هذا الدعم يوفر وقتًا إضافيًا لمهندسين متخصصين يستطيعون التحقق من المشكلات واختبار الحلول ومواصلة تطوير المكتبة.
وتأتي هذه الجهود في ظل تحديات أوسع تواجه مشاريع البرمجيات مفتوحة المصدر، مع تزايد قدرة الأدوات الآلية على فحص الشيفرات وإنتاج بلاغات أمنية بوتيرة أسرع من قدرة فرق الصيانة على مراجعتها.
وفي دليل مشترك، حذرت "مؤسسة أمن المصادر المفتوحة" و"مؤسسة الحوسبة السحابية الأصلية" من أن تكرار الإبلاغ عن المشكلة نفسها بواسطة باحثين يستخدمون أدوات متشابهة قد يستهلك وقت فرق المراجعة من دون إضافة معلومات جديدة.
ودعت المؤسستان إلى وضع قواعد واضحة للإبلاغ عن الثغرات، وتقديم أدلة قابلة للاختبار وإصلاحات مقترحة كلما أمكن، إلى جانب الإفصاح عن دور أدوات الذكاء الاصطناعي في اكتشاف المشكلات.
كما شددتا على ضرورة تقييم المخاطر في ضوء الاستخدام الفعلي للبرمجيات، بدل الاعتماد على نتائج الفحص الآلي وحدها.
وتوضح تجربة "أوبن إس إس إل" أن تسريع اكتشاف المشكلات الأمنية لا يضمن بالضرورة إصلاحها بالسرعة نفسها، إذ تظل مراجعة النتائج والتحقق منها وتطوير التحديثات واختبارها مهام تتطلب خبرة بشرية وموارد مخصصة.
وفي ظل تزايد الاعتماد على الذكاء الاصطناعي في تطوير البرمجيات وفحصها، تسعى المؤسسة إلى الاستفادة من قدرات هذه الأدوات مع الحفاظ على معايير الأمن والجودة التي تعتمد عليها المكتبة.
