نوسّع نطاق Daybreak للمساعدة في جعل تصحيح البرمجيات المعرّضة للثغرات متاحًا على نطاق أوسع وبسرعة الآلة. فعلى سبيل المثال، طبّقنا نماذجنا لاكتشاف ثغرات حرجة(يفتح في نافذة جديدة) في متصفحات رئيسية، وبنى تحتية شبكية، وأنظمة تشغيل مثل FreeBSD ونواة Linux، وإنشاء تصحيحات لها. ولتوسيع أثر هذه القدرات، نعمل على ما يلي:
- Codex Security: نطلق تحديثًا إلى المكوّن الإضافي Codex Security، يجسّد ما تعلمناه من الاستخدام الداخلي واستخدام العملاء لنماذجنا في حلّ يسرّع عملية اكتشاف الثغرات وتصحيحها في الأنظمة القائمة، إلى جانب منع الثغرات الجديدة تلقائيًا من الوصول إلى بيئة الإنتاج من الأساس.
- GPT‑5.5‑Cyber: بعد معاينة أولية مقتصرة على وضع السماح فقط، نُطلق النسخة الكاملة من GPT‑5.5‑Cyber من خلال إصدارنا المحدود المستمر للمدافعين الموثوقين. ويحقق هذا النموذج أداءً جديدًا من الطراز الأحدث على CyberGym، إذ يصل إلى 85،6% مقارنةً بـ81،8% لـ GPT‑5.5.
- برنامج شركاء Daybreak Cyber: تمكين شركاء الأمن السيبراني من توسيع فوائدهم لتشمل المزيد من المؤسسات من خلال نموذجنا الأكثر قدرة، مع توفير وصول موثوق في منتجاتهم وخدماتهم.
- Patch the Planet: مبادرة أُسست مع Trail of Bits بالتعاون مع HackerOne وCalif وباحثين ومشرفي صيانة لمساعدة المشاريع مفتوحة المصدر واسعة الاستخدام على الانتقال من النتائج المكتشفة إلى الإصلاحات.
- التزمت أكثر من 30 مشروعًا مفتوح المصدر بالمشاركة، وتشمل قائمة المشاركين الأوائل cURL وGo وPython وSigstore وpyca/cryptography.
- من خلال Patch the Planet، نعمل مع الباحثين، والمشرفين على الصيانة، والمؤسسات، والشركاء على إتاحة قدرات سيبرانية قوية للمدافعين، ضمن ضوابط مناسبة للوصول والحوكمة والإشراف البشري. ويمكنكم الاستماع إلى كلينت ودان وهما يتحدثان عن ذلك(يفتح في نافذة جديدة).
غيّر الذكاء الاصطناعي ديناميكيات الأمن السيبراني من جذورها. فقد باتت نماذج الذكاء الاصطناعي الرائدة تسرّع، على نحو متزايد، اكتشاف الثغرات الأمنية. تاريخيًا، كانت نقطة الاختناق تتمثل في العثور على الثغرات، أما الآن فقد أصبح المدافعون يواجهون سيلًا كبيرًا من الثغرات المكتشفة. ونتيجة لذلك، لم تعد نقطة الاختناق في اكتشاف الثغرات، بل في تصحيحها.
لسنوات طويلة، كان العثور على الثغرات الأمنية الخطيرة يتطلب خبرة نادرة، ووقتًا طويلًا، ومعرفة عميقة بالأنظمة المعقدة. أما الآن، فتستطيع النماذج التعامل مع قواعد تعليمات برمجية ضخمة، وتحليل مسارات الهجوم، والتحقق من الفرضيات، والكشف عن مشكلات أمنية ربما كانت ستظل مخفية لولا ذلك. ولذلك، يحتاج المدافعون بالضرورة إلى الوصول إلى هذه القدرات، كما يحتاجون إلى أدوات تساعدهم على إصلاح ما أصبح بإمكاننا اكتشافه اليوم، قبل أن يسبقنا إليه المهاجمون.
تقارير الثغرات، بحد ذاتها، لا تحمي أحدًا. فالقيمة الحقيقية تأتي من التحقق من المشكلة، وفهم أثرها، وتطوير التصحيح واختباره، وتنسيق الإفصاح عنها، ومساعدة الفرق على نشر الإصلاح. لذلك، نستثمر جنبًا إلى جنب مع شركائنا في تحسين هذه المراحل اللاحقة، بهدف منح المدافعين دفعة أقوى، وتحويل قدرات النماذج إلى خفض ملموس للمخاطر على أرض الواقع.
ينبغي ألا تتركّز القدرات الدفاعية المتقدمة في أيدي قلة محدودة. فالبرمجيات تمسّ كل جوانب الحياة، بدءًا من البنية التحتية الحيوية ووصولًا إلى تطبيقات الأعمال والشبكات الحكومية. ومع تغيّر وتيرة اكتشاف الثغرات بفعل الذكاء الاصطناعي، يحتاج المدافعون في كل مكان إلى وصول أوسع وأكثر إتاحة إلى هذه النماذج، حتى يتمكنوا من اكتشاف الثغرات وإصلاحها وحماية بنيتهم التحتية قبل أن يتمكن المهاجمون من تحديد هذه العيوب واستغلالها.
يجمع Daybreak بين القدرات السيبرانية المتقدمة لنماذج OpenAI، وTrusted Access for Cyber، ومهام سير عمل Codex Security، وشركاء المنظومة، لمساعدة المدافعين المصرّح لهم على التحقق من الثغرات، وترتيب المخاطر حسب الأولوية، وإنشاء الإصلاحات واختبارها، وتقديم الأدلة ضمن مهام سير العمل الأمنية والتطويرية القائمة. وهدفنا هو تزويد المؤسسات بالأدوات التي تحتاج إليها للحفاظ على أمنها، حتى مع استمرار تسارع مشهد التهديدات السيبرانية.
منذ إطلاق خدمة Codex Security السحابية في نسخة المعاينة البحثية في مارس، فحصت أكثر من 30 مليون التزام برمجي عبر أكثر من 30,000 قاعدة تعليمات برمجية. وقد وضع المراجعون البشريون يدويًا علامة "تم الإصلاح" على أكثر من 70,000 نتيجة، فيما تم تحديد أكثر من 500,000 نتيجة تلقائيًا على أنها أُصلحت.
هذا هو الحجم الذي باتت عمليات التصحيح مطالَبة بالعمل عليه الآن.
بنينا Codex Security حول فكرة بسيطة: إتاحة ما يعادل وجود مهندس أمن إلى جانب كل مطوّر برمجيات، من خلال دمجه مباشرةً في Codex. فبدلًا من الاكتفاء بإنشاء التنبيهات، يستطيع Codex Security فهم تعليمات فريقك البرمجية ونموذج التهديدات الخاص بها، أو إنشاء نموذج إذا لم يكن موجودًا، ثم تحديد الثغرات المحتملة، والتحقق مما إذا كانت التعليمات البرمجية المتأثرة قابلة للوصول، وجمع الأدلة لتقديم خطوات التحقق، وتطوير تصحيح موجّه، ثم التأكد من النتيجة. ويظل البشر هم أصحاب القرار في تحديد النتائج التي تستحق التحقيق، والتغييرات التي ينبغي تطبيقها، والمعلومات التي يمكن مشاركتها.
نطرح اليوم تحديثًا إلى المكوّن الإضافي Codex Security يتيح مهام سير عمل أمنية دفاعية جاهزة للاستخدام. وبذلك، يستطيع المطوّرون تشغيل فحوصات معمّقة أو مراجعة التغييرات الأخيرة، وإنشاء تقارير تتضمن مستوى الخطورة، ومواضع التعليمات البرمجية المتأثرة، وأدلة التحقق، وإرشادات المعالجة. كما يمكنهم تتبّع مسارات الهجوم، وبناء نماذج التهديدات، والتحقق من النتائج، وإنشاء تصحيحات مخصصة لقاعدة التعليمات البرمجية لعرضها على المراجعة.
أعدّ فحصًا يغطي قاعدة التعليمات البرمجية بالكامل، أو جزءًا منها، أو تغييرًا محددًا، أو التزامًا برمجيًا بعينه.
يمكن للمكوّن الإضافي أيضًا فرز النتائج القائمة والتحقق منها، سواء كانت واردة من أدوات الفحص، أو الإرشادات الأمنية، أو تقارير مكافآت اكتشاف الثغرات، أو أنظمة التذاكر. وبعد ذلك، يمكنه أتمتة إنشاء التصحيحات على نطاق واسع، بما يساعد على إغلاق تراكم الثغرات بسرعة. وعند إكمال الفحص، يستطيع Codex Security أيضًا تصدير النتائج إلى نظام قائم لإدارة الثغرات، أو التكامل مع الأدوات من خلال ملفات SARIF، واستعلامات CodeQL، وغير ذلك. ويجعل المكوّن الإضافي هذه القدرات أكثر سهولة في الوصول إليها، سواء لدعم مسارات العمل المؤتمتة باستخدام Codex CLI أو لدمجها ضمن مهام سير عمل المطوّرين في تطبيق Codex.
نطرح تحديثًا إلى GPT‑5.5‑Cyber، نموذجنا الذي يجمع بين إتاحة أوسع وقدرات أقوى لأعمال الأمن السيبراني المتقدمة والمصرّح بها.
صُممت نسخة المعاينة الأولية من GPT‑5.5‑Cyber أساسًا للحد من حالات الرفض غير الضرورية في مهام سير العمل المتخصصة. أما هذا التحديث فيذهب إلى أبعد من ذلك؛ إذ يمثل أقوى نموذج لدينا حتى الآن لاكتشاف الثغرات البرمجية والمساعدة في تصحيحها، مع الحفاظ في الوقت نفسه على الذكاء العام الذي يقدمه GPT‑5.5 وقدرته على التعامل مع المهام الطويلة والمعقدة.
يستطيع النموذج مواصلة تحليل أعمق عبر قواعد تعليمات برمجية ضخمة، بدءًا من تحديد المكوّنات ذات الصلة بالأمن، وتتبع ما إذا كانت التعليمات البرمجية المعرّضة للثغرات قابلة للوصول، والتحقق من المشكلات المحتملة في بيئات مضبوطة، وصولًا إلى تطوير التصحيحات واختبارها، وإعداد الأدلة لعرضها على المراجعة البشرية. فالهدف هو مساعدة المدافعين على التقدّم عبر دورة المعالجة الكاملة، لا مجرد إنتاج مزيد من النتائج.
في معيار CyberGym، الذي يقيس ما إذا كان الوكيل قادرًا على إعادة إنتاج ثغرات أمنية معروفة في بيئات برمجية، فإن GPT‑5.5‑Cyber المحدَّث بلغت 85,6% في تقييمات النموذج الواحد، مقارنةً بـ 81,8% لـ GPT‑5.5. هذه هي أعلى درجة في CyberGym قمنا بقياسها من نموذج واحد.
وتفوّق GPT‑5.5‑Cyber أيضًا على GPT‑5.5 في معيارَي قياس أمنيين واقعيين وصعبين؛ إذ حقق 39.5% مقابل 25.95% في ExploitGym، وهو اختبار يقيس ما إذا كان الوكلاء قادرين على تحويل الثغرات المعروفة إلى استغلالات عملية تؤدي إلى تنفيذ تعليمات برمجية غير مصرّح به. وفي SEC-bench Pro، الذي يقيّم اكتشاف الثغرات على المدى الطويل وإنشاء إثباتات المفهوم عبر أهداف برمجية معقدة، حقق GPT‑5.5‑Cyber نسبة 69.8%، مقارنةً بنسبة 63.1% لنموذج GPT‑5.5.
لا تمثّل معايير القياس سوى جزء واحد من الصورة. فما يهم عمليًا هو ما إذا كان النموذج قادرًا على اكتشاف ثغرات حقيقية، والتمييز بين المشكلات القابلة للتنفيذ والضجيج غير المفيد، ومساعدة المدافعين على إيصال الإصلاحات وتطبيقها بأمان. ونواصل تقييم أداء النموذج على مستودعات معقدة ومهام سير عمل واقعية لمعالجة الثغرات، مع اكتمال عمليات الإفصاح المنسّق.
أجرينا حوارًا مستمرًا مع حكومة الولايات المتحدة بشأن نهجنا في المجال السيبراني، بما في ذلك إعلانات اليوم واستعداداتنا لإصدارات النماذج المقبلة. ويشمل ذلك مواصلة التعاون مع مركز معايير وابتكار الذكاء الاصطناعي (CAISI) في الاختبارات السابقة للنشر لنموذجَي GPT‑5.5 وGPT‑5.5‑Cyber، إلى جانب العمل مع مكتب المدير الوطني للأمن السيبراني (ONCD) ومكتب سياسة العلوم والتكنولوجيا (OSTP) على تنفيذ الأمر التنفيذي(يفتح في نافذة جديدة) الأخير والمعايير الصناعية المرتبطة به.
بالنسبة إلى معظم المدافعين، يظل GPT‑5.5 مع Trusted Access for Cyber وCodex Security نقطة البداية المناسبة. أما GPT‑5.5‑Cyber فهو موجّه إلى المدافعين الذين تم التحقق منهم، والذين تتطلب أعمالهم المصرّح بها قدراتنا السيبرانية الأكثر تقدمًا وسلوكًا أكثر مرونة في الإتاحة، إلى جانب مستويات أقوى من التحقق والمراقبة والضوابط محددة النطاق والمراجعة. وفي الأعمال المبكرة ضمن Daybreak، ساعد GPT‑5.5 وCodex Security المدافعين على تحديد الثغرات والتحقق منها في أنظمة واسعة الاستخدام، بما في ذلك تطبيقات Firefox وV8 وSafari وOpenBSD وFreeBSD وHTTP/2.
كجزء من هذا التوسّع، نطلق أيضًا برنامج شركاء OpenAI Daybreak Cyber بالتعاون مع نخبة من مزوّدي برمجيات وخدمات الأمن السيبراني. ومن خلال هذا البرنامج، سيتمكّن الشركاء المشاركون من استخدام GPT‑5.5 عبر Trusted Access for Cyber، وهو نموذجنا الأساسي لمعظم مهام الأمن السيبراني الدفاعية، ضمن المنتجات والخدمات الأمنية التي يقدّمونها لعملائهم. وسيتيح ذلك لعملائهم الاستفادة من قدرات النموذج الدفاعية وتعزيز مرونة برمجياتهم، مع إبقاء الوصول المباشر إلى النموذج في يد الشركاء المشاركين.
وسنتعاون أيضًا مع شركاء البرنامج لمواصلة تعزيز الضوابط الوقائية، والمراقبة، ومعايير منع إساءة الاستخدام اللازمة لنشر هذه القدرات بمسؤولية عبر منظومة الأمن السيبراني. نطرح ذلك تدريجيًا بالتعاون مع مجموعة أولية من الشركاء ، ونخطط لمواصلة التوسع ليشمل المزيد من المؤسسات خلال الأشهر المقبلة.
Patch the Planet هي مبادرة مصممة لمساعدة المشرفين على الانتقال من رصد النتائج إلى تنفيذ الإصلاحات. أُطلقت المبادرة بالتعاون مع Trail of Bits، وبالشراكة مع HackerOne وCalif، ونموّل من خلالها باحثين خبراء في الأمن السيبراني ونزوّدهم ببيئة Codex Security ونماذجنا المتقدمة، ليعملوا مباشرةً مع مشرفي البرمجيات مفتوحة المصدر.
تعتمد المنتجات والخدمات العامة وأدوات المطوّرين والبنية التحتية الحيوية في مختلف القطاعات على البرمجيات مفتوحة المصدر. وقد تؤثر ثغرة في مكتبة شبكات واسعة الاستخدام في آلاف الأنظمة المعتمدة عليها لاحقًا. ومع ذلك، يعتمد كثير من هذه المشاريع على فرق صغيرة جدًا بوقت وتمويل محدودين. وجدت أبحاث من Linux Foundation وHarvard(يفتح في نافذة جديدة) أن 94 بالمئة من المشاريع واسعة الاستخدام التي شملتها الدراسة كان لديها أقل من عشرة مطوّرين مسؤولين عن أكثر من 90 بالمئة من التعليمات البرمجية المضافة خلال عام واحد.
ومع أن الذكاء الاصطناعي يتيح العثور على مزيد من الثغرات وإصلاحها بسرعة أكبر، فإنه يخلق أيضًا مزيدًا من العمل للمشرفين، الذين يحتاجون إلى فرز آلاف التقارير، وكثير منها منخفض الجودة أو يتضمن نتائج إيجابية زائفة. ولا ينبغي أن يُترك المشرفون أمام مزيد من التقارير من دون قدرة إضافية على إصلاحها. ولهذا بُنيت Patch the Planet حول مراجعة أمنية بشرية متخصصة.
يبدأ كل تعاون بجلسة مشاورة بين باحثينا الأمنيين والقائمين على الصيانة الذين يساعدونهم. ويحدّد المشرفون أولوياتهم وتفضيلاتهم وعمليات الإفصاح المعتمدة لديهم. ثم يتولى باحثو الأمن في Patch the Planet إدارة العمل من البداية إلى النهاية، بما في ذلك التحقق من الثغرات والإصلاحات وإزالة التكرار قبل وصولها إلى المشرفين، ما يقلّل العبء عليهم بشكل كبير ويسرّع عملية المعالجة.
تحصل المشاريع المشاركة على ChatGPT Pro، ووصول مشروط إلى Codex Security، وأرصدة API لدعم التطوير الأساسي، وأتمتة مهام المشرفين على الصيانة، وسير عمل الإصدارات.
كشفت الدفعة الأولية، التي استمرت 5 أيام وشملت عدة مشاريع، عن مئات المشكلات المطلوب مراجعتها، وجرى خلالها دمج عشرات التصحيحات مع استمرار العمل على المزيد، كما أُنشئت مهام سير عمل قابلة لإعادة الاستخدام للاختبار العشوائي، وتحليل المتغيرات، والاختبار التفاضلي، والاختبار القائم على المواصفات. يمكنك قراءة المزيد على مدونة Trail of Bits(يفتح في نافذة جديدة).
اكتشاف الثغرات مهم، لكن إيصال الإصلاح وتطبيقه هو ما يحمي العالم، وهذا يتطلب تعاونًا ودعمًا من المجتمع.
نتعاون أيضًا عن كثب مع الحكومات والمؤسسات حول العالم للارتقاء بقدراتها الدفاعية في مجال الأمن السيبراني وحماية البنية التحتية الحيوية. ونعمل عن كثب مع حكومة الولايات المتحدة والوكالات الفيدرالية المعنية استعدادًا لنماذج ذكاء اصطناعي تزداد قدرةً في المجال السيبراني. وخلال الشهر الماضي، أقمنا بالفعل شراكات Trusted Access for Cyber مع أستراليا، وكندا، وفرنسا، وألمانيا، واليابان، وجمهورية كوريا، ومؤسسات الاتحاد الأوروبي مثل ENISA. ولدينا أيضًا شراكة موثوقة ومتنامية مع حكومة المملكة المتحدة في مجالات الأمن السيبراني، والاختبار والتقييم، ومجالات أخرى ذات اهتمام مشترك.
نخطط للعمل مباشرةً مع مشغّلي البنية التحتية الحيوية المؤهلين، بما في ذلك الشبكات الحكومية، لتطوير ضوابط حماية مصممة خصيصًا للأنظمة التي يشغّلونها. يركّز هذا العمل على جعل الذكاء الاصطناعي المتقدم أكثر فائدة للمدافعين، مع تصعيب مهمة الجهات الخبيثة في إحداث ضرر على أرض الواقع.
سنعمل أيضًا مع عملاء المؤسسات والشركاء الموثوقين على إدماج سياقات أوسع ومعرّفات أكثر تحديدًا للأنظمة التي يشغّلونها أو يحمونها. ومن شأن ذلك أن يعزّز ضوابط الحماية السيبرانية لدينا، ويحسّن قدرتنا على منع الأنشطة السيبرانية الضارة التي قد تطال الخدمات الحيوية.
يجمع Daybreak بين النماذج، وCodex Security، ومبادرة Patch the Planet، والباحثين الخبراء، والمشرفين على الصيانة، وشركاء الأمن، ومشغّلي البنية التحتية الحيوية، وضوابط الوصول الموثوق. ويهدف هذا التكامل إلى تمكين المدافعين البشريين من الارتقاء إلى مستوى التحديات السيبرانية المتزايدة.
ويمكن للمؤسسات في القطاعين العام والخاص العمل مع OpenAI Daybreak لتحديد الثغرات والتحقق منها ومعالجتها في البرمجيات التي تطوّرها وتعتمد عليها. ومن خلال ذلك، يستطيع المطوّرون والمشرفون على الصيانة تشغيل Codex Security على التعليمات البرمجية التي يملكونها، ومراجعة النتائج، والمساعدة في إيصال الإصلاحات وتطبيقها. كما يمكن لشركاء الأمن والممارسين في هذا المجال استخدام نماذجنا الرائدة لتعزيز أدواتهم الدفاعية، وتوسيع نطاق هذه القدرات لتصل بسرعة إلى عدد أكبر من المؤسسات.
فالهدف لا يقتصر على استخدام النماذج لاكتشاف عدد أكبر من الثغرات، بل يتجاوز ذلك إلى بناء واقع تكون فيه البرمجيات أكثر أمانًا، وتتمتع فيه المنظومات الرقمية بمرونة سيبرانية أعلى.
