نافذة المدافع

كانت حادثة OpenAI-Hugging Face⁠(يفتح في نافذة جديدة) لحظة فارقة في الأمن السيبراني، لأنها أتاحت لمحة عن الكيفية التي قد تتطور بها قدرات الجهات المهدِّدة خلال الأشهر المقبلة. وقد تحدثت مع العديد من المؤسسات خلال الأسابيع القليلة الماضية، وثمة أمر واحد واضح: إنها تدرك ضرورة الارتقاء جذريًا بممارساتها في مجال الأمن السيبراني، وبسرعة غير مسبوقة. في هذا المقال، سأشارك ما نفعله للدفاع عن OpenAI، والخطوات العملية التي يمكن للمؤسسات الأخرى اتخاذها اليوم، ولماذا حان وقت التحرك الآن.

أصبحت نماذج الذكاء الاصطناعي التي يجري تطويرها حول العالم قادرة بشكل متزايد على أتمتة أجزاء من الهجمات السيبرانية الواقعية، مما يجعل الفجوات الأمنية القائمة منذ زمن طويل — بدءًا من الأخطاء البرمجية المدفونة عميقًا في البرمجيات التي كتبها البشر وصولًا إلى الأذونات المنسية — أسهل اكتشافًا واستغلالًا. وفي المقابل، تمنح قدرات الذكاء الاصطناعي نفسها المدافعين طرقًا جديدة لاكتشاف نقاط الضعف هذه وإصلاحها، لكن عليهم التحرك الآن. وإذا تصرفت الشركات بحزم، بما في ذلك تعزيز أساسياتها الأمنية وتمكين فرقها بالذكاء الاصطناعي، فيمكننا جعل الإنترنت أكثر أمانًا من أي وقت مضى.

في حادثة OpenAI-Hugging Face، تمكنت مجموعة من الوكلاء القادرين على العمل باستقلالية من اختراق ليس فقط البنية التحتية البحثية لـ OpenAI، بل أيضًا البنية التحتية الإنتاجية لشركة أخرى، وذلك عبر سلسلة من الثغرات وأساليب الاستغلال، بدءًا من عيوب أمنية لم تكن معروفة سابقًا وصولًا إلى استخدام بيانات اعتماد لحسابات مستخدمين كانت قد تسرّبت إلى الإنترنت. ويتضح بصورة متزايدة أن الدين التقني⁠(يفتح في نافذة جديدة) المتراكم لدى كل شركة قد يخفي ثغرات كبيرة، وأن على المدافعين العثور عليها وإصلاحها قبل أن يفعل المهاجمون ذلك.

ولمنح المدافعين أفضلية على المهاجمين، بدأنا في وقت سابق من هذا العام بإتاحة قدراتنا السيبرانية للمدافعين الموثوق بهم فقط. ومنذ ذلك الحين، أصدرت شركات مختلفة نماذج بأوزان مفتوحة تتمتع بقدرات سيبرانية لا تتأخر عن النماذج الرائدة إلا ببضعة أشهر. ويبدو أن أحدث هذه النماذج سيصدر⁠(يفتح في نافذة جديدة) في نهاية أغسطس، ومن المرجح أن يؤدي ذلك إلى تسارع كبير في تطور مشهد التهديدات.

في حين سيتمكن المهاجمون المدعومون بالذكاء الاصطناعي قريبًا من اكتشاف ثغرات قديمة في العديد من الأنظمة الحالية، فإن الذكاء الاصطناعي سيجعل أيضًا من الأسهل بكثير على المدافعين اكتشاف تلك الثغرات نفسها وترتيبها حسب الأولوية وإصلاحها. ولا يزال الأمن لعبة قط وفأر، لكن الذكاء الاصطناعي قد يغيّر اقتصاديات⁠(يفتح في نافذة جديدة)هذه اللعبة بما يمنح المدافعين أفضلية جوهرية. فعلى سبيل المثال، بدأنا تدريب نماذجنا خصيصًا على كتابة تعليمات برمجية بمستوى أمان يتجاوز ما يستطيع البشر تحقيقه. كما تتميز نماذجنا بقدرات استثنائية في البراهين الرياضية، ويمكن توظيف هذه القدرات في التحقق الصوري من أمان البرمجيات، وهي مهمة ثبت أنها شديدة الصعوبة على البشر.

بعد حادثة OpenAI-Hugging Face، طلبت من ChatGPT العمل (باستخدام GPT‑5.6 Sol المتاح للعامة) تقييم أمان gregbrockman.com⁠(يفتح في نافذة جديدة). وهو موقع ثابت بسيط، مستضاف على AWS مع استخدام Cloudflare كواجهة أمامية، لذلك توقعت ألا تكون هناك مساحة كبيرة لظهور الثغرات.

في غضون نحو 15 دقيقة، اكتشف 13 مشكلة، كثير منها ربما لا يكون قابلًا للاستغلال بمفرده، لكن كان من السهل تصور إمكانية ربط بعضها بثغرات أخرى بما قد يؤدي إلى أثر كبير. ولم أكن قد أعددت سجلات DNS الخاصة بي لمنع المهاجمين من تزوير رسائل بريد إلكتروني تبدو صادرة مني؛ كما كان موقعي يستخدم إصدارًا غير آمن من jQuery، وكانت Cloudflare تمرر الطلبات إلى AWS عبر HTTP غير مشفّر.

ثم طلبت من "ChatGPT العمل" إصلاح هذه المشكلات، وقد أنجز ذلك خلال نحو ساعة. فتح لوحة تحكم Cloudflare في متصفحي، وتولى ضبط إعدادات DNS وTLS وإعدادات الأمان المتقدمة على النحو الصحيح؛ وأزال jQuery بالكامل من الموقع؛ ونقل استضافة الموقع من AWS إلى Cloudflare Pages؛ وبدأ تطبيق DMARC⁠(يفتح في نافذة جديدة) تدريجيًا.

وكان هذا مجرد موقعي الإلكتروني الشخصي. وهذا مثال بسيط على كيفية عمل نماذجنا الحالية كحارس سيبراني: إذ يمكنها اكتشاف مجموعة كبيرة من المشكلات المتفرقة التي قد لا يملك الإنسان الوقت أو الخبرة اللازمة للوصول إليها، فالعديد من الإعدادات التي أصلحتها أعرفها بشكل عام، لكنني لا أعرف من الوهلة الأولى الطريقة الصحيحة لضبطها، ثم إصلاحها وفق خطة تنفيذ تدريجية مضبوطة بعناية.

أظهرت حادثة Hugging Face أننا قلّلنا من تقدير القدرات السيبرانية الفعلية لنماذج الذكاء الاصطناعي لدينا. ولذلك، نعمل على تعزيز متطلبات السلامة لدينا، ما يزيد بدوره من الحاجة الملحّة إلى مواصلة أبحاث السلامة وأعمال الأمن الداخلي التي نقوم بها بالفعل.

أشارك هنا لمحة عن نهجنا الحالي في تأمين OpenAI، على أمل أن يكون مفيدًا للمؤسسات الأخرى. ولحماية OpenAI، نستثمر بشكل كبير في الضوابط الأساسية، أي إتقان الأساسيات، وفي الوقت نفسه نعزز دفاعاتنا من خلال قدرات الذكاء الرائدة. وترتكز هذه الاستراتيجية على أربع ركائز رئيسية.

أولًا، نستخدم نماذجنا للمساعدة في تأمين تعليماتنا البرمجية. ويساعد Codex، بما في ذلك المكوّن الإضافي للأمان لدينا، في التحقق من تغييرات التعليمات البرمجية واكتشاف الثغرات ومساعدة المطورين على إصلاح المشكلات قبل نشرها. وليس هدفنا ببساطة إنتاج المزيد من النتائج الأمنية التي تحتاج إلى تحقق بشري؛ بل نهدف إلى اكتشاف الثغرات الحقيقية قبل وصولها إلى الإنتاج، وتقليص المدة بين اكتشاف المشكلة ونشر إصلاح لها بأمان. ومع استمرارنا في تدريب نماذجنا على إنتاج تعليمات برمجية أكثر أمانًا، نسعى إلى القضاء على بعض فئات الثغرات البرمجية في التعليمات البرمجية المكتوبة حديثًا.

ثانيًا، نسخّر نماذجنا باستمرار للدفاع عن بنيتنا التحتية. واليوم، تتولى أنظمة الذكاء الاصطناعي فرز جميع تنبيهاتنا الأمنية الأولية تقريبًا قبل إشراك البشر. ويساعد ذلك على تقليل الأعباء الروتينية على فرق الدفاع، وتحسين زمن الاستجابة، وإتاحة المجال للبشر لتركيز وقتهم حيث تكون مهاراتهم أكثر قيمة، ولا سيما في التمييز وإصدار الأحكام وتطبيق الخبرة العملية. كما نربط هذه الاكتشافات بصورة متزايدة باستجابات آلية مضبوطة النطاق، مع إبقاء البشر مسؤولين عن القرارات الأعلى أثرًا. والهدف هو ضمان قدرتنا على اكتشاف المشكلات الأمنية والاستجابة لها بسرعة الآلة.

ثالثًا، نستخدم قدرات الذكاء الرائدة باستمرار لحصر مسارات الهجوم المحتملة وفحصها وتحديدها. ومن خلال اكتشاف الثغرات الأمنية وأخطاء التهيئة والهويات ذات الامتيازات المفرطة وحدود الثقة غير المقصودة، يمكننا تحديد هذه الفجوات وإغلاقها بسرعة قبل أن يتمكن المهاجمون من استغلالها. ويتيح لنا ذلك تقييم ثوابتنا الأمنية ومراقبتها واختبارها باستمرار، أي الخصائص الأمنية التي نفترض صحتها، عبر منتجاتنا وبنيتنا التحتية وأنظمتنا.

وأخيرًا، نستثمر بكثافة في الأساسيات وعلى نطاق واسع. ونواصل الاستثمار في هندسة الأنظمة الآمنة والضوابط الأمنية، ونتبنى استراتيجيات مثل الدفاع المتعمق ومبدأ الحد الأدنى من الامتيازات، كما نصمم أنظمة لا يمكن أن يقع فيها حدث كارثي إلا إذا فشلت عدة ضوابط مستقلة في الوقت نفسه. وستصبح ضوابط الأمن التقليدية، مثل عزل الشبكات وتحصين أحمال العمل والمراقبة والتطبيق الآمن للتصحيحات والنشر، أكثر أهمية من أي وقت مضى في مستقبل الذكاء الاصطناعي.

الوقت عامل حاسم، وسيتعين على المدافعين تنفيذ الخطوات التالية بأقصى سرعة. سأذكر تقنيات OpenAI فيما يلي، لكن هناك العديد من المنافسين في المنظومة الذين يستحقون التقييم أيضًا. فالأهم ليس الأداة بعينها بقدر ما هو إتاحة ذكاء اصطناعي قادر لفرق الدفاع لديك الآن.

• احصل على التزام مؤسسي وتأييد داخلي.. نشهد تغيرًا سريعًا في المخاطر الأمنية؛ لذا احرص على أن تحظى فرق الأمن والهندسة في مؤسستك بالدعم والتعاون والموارد اللازمة لمعالجة هذه المخاطر بسرعة. ونفّذ مع فرقك تمارين محاكاة مكتبية لمحاكاة الكيفية التي قد تظهر بها هذه الهجمات داخل مؤسستك وكيفية الاستجابة لها.
• امنح فريق الأمن لديك وكيلاً. ابدأ باستخدام Codex أو المكوّن الإضافي Codex Security⁠(يفتح في نافذة جديدة) أو أداة أخرى قوية للبرمجة والأمن قائمة على الوكلاء. وامنحها وصولًا معتمدًا إلى قواعد التعليمات البرمجية وإعدادات البنية التحتية والوثائق التقنية التي يحتاج فريق الأمن إلى تقييمها. ولا تنتظر طرح الأداة على مستوى الشركة بأكملها؛ ابدأ بأنظمتك الأعلى أولوية.
• زوّد ذلك الوكيل بالخبرة الأمنية. ابدأ من المهارات⁠(يفتح في نافذة جديدة) المدعومة من المجتمع، والتي تشمل مهام سير عمل للتحليل الثابت، ومراجعة التعليمات البرمجية التي تركز على الأمان، وتحليل متغيرات الثغرات الأمنية، ومخاطر سلسلة التوريد الخاصة بالبرمجيات، ومهام سير العمل الأمنية الأخرى. ثم طوّر مهاراتك الخاصة بما يتناسب مع بنية مؤسستك، ومعايير الأمان فيها، ونماذج التهديد، وأدلة التشغيل.
• أجرِ تقييمات أمنية لأنظمتك فورًا. أعط الأولوية لتقييم الخدمات المتاحة عبر الإنترنت، وتدفقات المصادقة، والبنية التحتية كتعليمات برمجية، ومسارات النشر، والأنظمة التي تتعامل مع المعلومات الحساسة. ثم وسّع نطاق الفحص تدريجيًا مع ازدياد ثقة فريقك.
• اعمل على معالجة قائمة الثغرات المتراكمة لديك. زوّد وكيلك بالنتائج الواردة من أدوات فحص التعليمات البرمجية، وتنبيهات التبعيات، وتذاكر الأمن، وتقارير مكافآت اكتشاف الثغرات، والتقييمات السابقة. واطلب منه فرز هذه النتائج، والتمييز بين المشكلات القابلة للاستغلال والنتائج غير المهمة، وتحديد الثغرات ذات الصلة في مواضع أخرى من قاعدة التعليمات البرمجية، والتوصية بما ينبغي إصلاحه أولًا.
• أدرج المراجعة الأمنية مباشرةً في عملية التطوير.. استخدم الوكلاء لمراجعة تغييرات التعليمات البرمجية قبل دمجها وتشغيل فحوصات الأمان ضمن التكامل المستمر (CI). ابحث عن أخطاء المصادقة، ومحاولات تجاوز ضوابط التحكم في الوصول، وبيانات الاعتماد المكشوفة، والتبعيات غير الآمنة، والإعدادات الافتراضية غير الآمنة، والتغييرات التي توسّع نطاق الوصول إلى أنظمة الإنتاج، والثغرات الأمنية الأخرى.
• دع الوكيل يساعد في إصلاح ما يكتشفه. بالنسبة إلى المشكلات التي تم التحقق منها، اطلب منه إنشاء تصحيح محدد النطاق والتحقق منه، وكتابة اختبار انحدار، والتأكد من أنه لم يعد بالإمكان إعادة إظهار الثغرة. وأبقِ المراجعة البشرية للتغييرات ذات العواقب المهمة، لكن تخلّص من التأخير غير الضروري بين اكتشاف مشكلة حقيقية وتقديم إصلاح آمن إلى المهندس لمراجعته.
• أتمتة فرز الاكتشافات تدريجيًا. لا تبدأ بمحاولة بناء مركز عمليات أمنية مستقل بالكامل. ابدأ بإجراء فحص أمني بصلاحية القراءة فقط على مستودع واحد، أو اطلب من وكيل مراجعة التنبيهات التي سبق حلها باستخدام صلاحية القراءة فقط لسجلاتك الحالية. دعه يلخص الأدلة ويوصي بالإجراء المناسب، بينما يظل الإنسان مسؤولًا عن اتخاذ كل قرار. ومع تزايد الثقة، انتقل إلى الفحص الاستشاري لطلبات السحب (Pull request)، ثم إلى فرز التنبيهات الآنية، ثم إلى الإغلاق التلقائي للإيجابيات الكاذبة المحددة بدقة.
• احرص على تجهيز إمكانات للتحقيق الجنائي الرقمي بمساعدة الذكاء الاصطناعي قبل أن تحتاج إليها. تقدّم إلى Trusted Access for Cyber⁠(يفتح في نافذة جديدة) واحصل على الموافقة لفريقك لاستخدام GPT‑Daybreak‑Blue في الأعمال الدفاعية المصرح بها، بما في ذلك الاستجابة للحوادث وهندسة الكشف وتحليل البرمجيات الخبيثة. وتدرّب على استخدام هذه الإمكانات لتحليل السجلات وبيانات القياس عن بُعد والتنبيهات الأمنية.
• جرّب، ونظّم أسابيع للابتكار، وكرّر بسرعة. سنحتاج إلى بناء أنواع كثيرة من الأدوات الجديدة، وتغيير أساليب عملنا، والارتقاء بمهارات الجميع استعدادًا للعالم الذي نتجه إليه. شجّع فرقك على إجراء التجارب، ونظّم أسبوعًا للابتكار لبناء قدرات جديدة، وركّز على إنشاء حلقات تكرار سريعة تؤتمت أجزاء صغيرة من المشكلة. فالتقدم التدريجي السريع يؤدي إلى مكاسب دفاعية تتراكم بمرور الوقت، ويمكنك توسيع نطاق الاستقلالية تدريجيًا مع ازدياد ثقة فريقك.

لا يمكن لأي شركة أن تفعل ذلك بمفردها. ندعو مختبرات الذكاء الاصطناعي وموردي حلول الأمن والمؤسسات والقائمين على الصيانة إلى مشاركة النتائج التي تم التحقق منها والإصلاحات وأدلة الإجراءات العملية، بحيث يسهم اكتشاف مؤسسة واحدة في تعزيز المنظومة بأكملها.

نافذة المدافع مفتوحة الآن. وخلال الأشهر المقبلة، ستحتاج كل مؤسسة إلى البدء في أتمتة جزء كبير من برنامجها الأمني للحفاظ على أمنها، كما يجب على مجتمع الأمن السيبراني أن يتحرك بسرعة لتحديد الأدوات والممارسات وأدلة الإجراءات التي تعزز قدرات المدافعين بوتيرة أسرع من قدرات المهاجمين مع استمرار تقدم الذكاء الاصطناعي. وسيتطلب ذلك جهدًا هائلًا وغير مسبوق، لكن إذا تكاتفنا، يمكننا أن نبني عالمًا أكثر أمانًا مما كان يمكن تصوره من قبل.