كانت حادثة OpenAI-Hugging Face(يفتح في نافذة جديدة) لحظة فارقة في الأمن السيبراني، لأنها أتاحت لمحة عن الكيفية التي قد تتطور بها قدرات الجهات المهدِّدة خلال الأشهر المقبلة. وقد تحدثت مع العديد من المؤسسات خلال الأسابيع القليلة الماضية، وثمة أمر واحد واضح: إنها تدرك ضرورة الارتقاء جذريًا بممارساتها في مجال الأمن السيبراني، وبسرعة غير مسبوقة. في هذا المقال، سأشارك ما نفعله للدفاع عن OpenAI، والخطوات العملية التي يمكن للمؤسسات الأخرى اتخاذها اليوم، ولماذا حان وقت التحرك الآن.
أصبحت نماذج الذكاء الاصطناعي التي يجري تطويرها حول العالم قادرة بشكل متزايد على أتمتة أجزاء من الهجمات السيبرانية الواقعية، مما يجعل الفجوات الأمنية القائمة منذ زمن طويل — بدءًا من الأخطاء البرمجية المدفونة عميقًا في البرمجيات التي كتبها البشر وصولًا إلى الأذونات المنسية — أسهل اكتشافًا واستغلالًا. وفي المقابل، تمنح قدرات الذكاء الاصطناعي نفسها المدافعين طرقًا جديدة لاكتشاف نقاط الضعف هذه وإصلاحها، لكن عليهم التحرك الآن. وإذا تصرفت الشركات بحزم، بما في ذلك تعزيز أساسياتها الأمنية وتمكين فرقها بالذكاء الاصطناعي، فيمكننا جعل الإنترنت أكثر أمانًا من أي وقت مضى.
في حادثة OpenAI-Hugging Face، تمكنت مجموعة من الوكلاء القادرين على العمل باستقلالية من اختراق ليس فقط البنية التحتية البحثية لـ OpenAI، بل أيضًا البنية التحتية الإنتاجية لشركة أخرى، وذلك عبر سلسلة من الثغرات وأساليب الاستغلال، بدءًا من عيوب أمنية لم تكن معروفة سابقًا وصولًا إلى استخدام بيانات اعتماد لحسابات مستخدمين كانت قد تسرّبت إلى الإنترنت. ويتضح بصورة متزايدة أن الدين التقني(يفتح في نافذة جديدة) المتراكم لدى كل شركة قد يخفي ثغرات كبيرة، وأن على المدافعين العثور عليها وإصلاحها قبل أن يفعل المهاجمون ذلك.
ولمنح المدافعين أفضلية على المهاجمين، بدأنا في وقت سابق من هذا العام بإتاحة قدراتنا السيبرانية للمدافعين الموثوق بهم فقط. ومنذ ذلك الحين، أصدرت شركات مختلفة نماذج بأوزان مفتوحة تتمتع بقدرات سيبرانية لا تتأخر عن النماذج الرائدة إلا ببضعة أشهر. ويبدو أن أحدث هذه النماذج سيصدر(يفتح في نافذة جديدة) في نهاية أغسطس، ومن المرجح أن يؤدي ذلك إلى تسارع كبير في تطور مشهد التهديدات.
في حين سيتمكن المهاجمون المدعومون بالذكاء الاصطناعي قريبًا من اكتشاف ثغرات قديمة في العديد من الأنظمة الحالية، فإن الذكاء الاصطناعي سيجعل أيضًا من الأسهل بكثير على المدافعين اكتشاف تلك الثغرات نفسها وترتيبها حسب الأولوية وإصلاحها. ولا يزال الأمن لعبة قط وفأر، لكن الذكاء الاصطناعي قد يغيّر اقتصاديات(يفتح في نافذة جديدة)هذه اللعبة بما يمنح المدافعين أفضلية جوهرية. فعلى سبيل المثال، بدأنا تدريب نماذجنا خصيصًا على كتابة تعليمات برمجية بمستوى أمان يتجاوز ما يستطيع البشر تحقيقه. كما تتميز نماذجنا بقدرات استثنائية في البراهين الرياضية، ويمكن توظيف هذه القدرات في التحقق الصوري من أمان البرمجيات، وهي مهمة ثبت أنها شديدة الصعوبة على البشر.
بعد حادثة OpenAI-Hugging Face، طلبت من ChatGPT العمل (باستخدام GPT‑5.6 Sol المتاح للعامة) تقييم أمان gregbrockman.com(يفتح في نافذة جديدة). وهو موقع ثابت بسيط، مستضاف على AWS مع استخدام Cloudflare كواجهة أمامية، لذلك توقعت ألا تكون هناك مساحة كبيرة لظهور الثغرات.
في غضون نحو 15 دقيقة، اكتشف 13 مشكلة، كثير منها ربما لا يكون قابلًا للاستغلال بمفرده، لكن كان من السهل تصور إمكانية ربط بعضها بثغرات أخرى بما قد يؤدي إلى أثر كبير. ولم أكن قد أعددت سجلات DNS الخاصة بي لمنع المهاجمين من تزوير رسائل بريد إلكتروني تبدو صادرة مني؛ كما كان موقعي يستخدم إصدارًا غير آمن من jQuery، وكانت Cloudflare تمرر الطلبات إلى AWS عبر HTTP غير مشفّر.
ثم طلبت من "ChatGPT العمل" إصلاح هذه المشكلات، وقد أنجز ذلك خلال نحو ساعة. فتح لوحة تحكم Cloudflare في متصفحي، وتولى ضبط إعدادات DNS وTLS وإعدادات الأمان المتقدمة على النحو الصحيح؛ وأزال jQuery بالكامل من الموقع؛ ونقل استضافة الموقع من AWS إلى Cloudflare Pages؛ وبدأ تطبيق DMARC(يفتح في نافذة جديدة) تدريجيًا.
وكان هذا مجرد موقعي الإلكتروني الشخصي. وهذا مثال بسيط على كيفية عمل نماذجنا الحالية كحارس سيبراني: إذ يمكنها اكتشاف مجموعة كبيرة من المشكلات المتفرقة التي قد لا يملك الإنسان الوقت أو الخبرة اللازمة للوصول إليها، فالعديد من الإعدادات التي أصلحتها أعرفها بشكل عام، لكنني لا أعرف من الوهلة الأولى الطريقة الصحيحة لضبطها، ثم إصلاحها وفق خطة تنفيذ تدريجية مضبوطة بعناية.
أظهرت حادثة Hugging Face أننا قلّلنا من تقدير القدرات السيبرانية الفعلية لنماذج الذكاء الاصطناعي لدينا. ولذلك، نعمل على تعزيز متطلبات السلامة لدينا، ما يزيد بدوره من الحاجة الملحّة إلى مواصلة أبحاث السلامة وأعمال الأمن الداخلي التي نقوم بها بالفعل.
أشارك هنا لمحة عن نهجنا الحالي في تأمين OpenAI، على أمل أن يكون مفيدًا للمؤسسات الأخرى. ولحماية OpenAI، نستثمر بشكل كبير في الضوابط الأساسية، أي إتقان الأساسيات، وفي الوقت نفسه نعزز دفاعاتنا من خلال قدرات الذكاء الرائدة. وترتكز هذه الاستراتيجية على أربع ركائز رئيسية.
أولًا، نستخدم نماذجنا للمساعدة في تأمين شيفرتنا البرمجية. يتحقق Codex، بما يشمل مكوّننا الإضافي للأمان، من تغييرات الشيفرة ويحدد الثغرات ويساعد المطورين على إصلاح المشكلات قبل نشرها. ليس هدفنا مجرد إنتاج مزيد من النتائج الأمنية التي تتطلب تحققًا بشريًا؛ بل اكتشاف الثغرات الحقيقية قبل طرح البرمجيات، وتقليص المدة من اكتشاف المشكلة إلى نشر إصلاح آمن. ومع مواصلة تدريب نماذجنا على إنتاج شيفرات أكثر أمانًا، نهدف إلى القضاء على بعض فئات الثغرات البرمجية في الشيفرات الجديدة.
ثانيًا، نُسخّر نماذجنا للدفاع المستمر عن بنيتنا التحتية. اليوم، يُفرَز جميع تنبيهاتنا الأمنية الأولية تقريبًا بواسطة الذكاء الاصطناعي قبل إشراك البشر. يساعد ذلك في تخفيف الأعباء الروتينية عن المدافعين، وتحسين زمن الاستجابة، وإتاحة المجال للبشر للتركيز حيث تحقق مهاراتهم أكبر أثر: التمييز والتقدير وتطبيق الخبرة. ونربط هذه الاكتشافات تدريجيًا باستجابات آلية محدودة النطاق، مع إبقاء مسؤولية القرارات الأعلى تأثيرًا على عاتق البشر. الهدف هو ضمان قدرتنا على اكتشاف المشكلات الأمنية والاستجابة لها بسرعة الآلة.
ثالثًا، نستخدم ذكاءً اصطناعيًا رائدًا لحصر مسارات الهجوم المحتملة وفحصها وتحديدها باستمرار. ومن خلال تحديد الثغرات، والإعدادات الخاطئة، والهويات ذات الامتيازات المفرطة، أو حدود الثقة غير المقصودة، نستطيع اكتشاف هذه الفجوات وسدها سريعًا قبل أن يستغلها المهاجمون. ويتيح لنا ذلك تقييم ثوابتنا الأمنية ومراقبتها واختبارها باستمرار، أي الخصائص الأمنية التي نعتقد بصحتها، عبر منتجاتنا وبنيتنا التحتية وأنظمتنا.
وأخيرًا، نستثمر بكثافة في تطبيق الأساسيات على نطاق واسع. نواصل الاستثمار في البنى والضوابط الآمنة، ونتبنى استراتيجيات مثل الدفاع متعدد الطبقات ومبدأ أقل الامتيازات، ونصمم أنظمة لا تقع فيها كارثة إلا إذا تعطلت ضوابط مستقلة متعددة في الوقت نفسه. ستغدو ضوابط الأمن التقليدية، مثل عزل الشبكات، وتحصين أعباء العمل، والمراقبة، والتصحيح والنشر الآمنين، أهم من أي وقت مضى في مستقبل الذكاء الاصطناعي.
الوقت عامل حاسم، وعلى المدافعين تنفيذ الخطوات التالية بأقصى سرعة. سأذكر أدناه تقنيات OpenAI، لكن المنظومة تضم أيضًا الكثير من المنافسين الجديرين بالتقييم. الأهم من الأداة المحددة هو وضع ذكاء اصطناعي قادر بين أيدي المدافعين لديكم الآن.
احصلوا على التزام المؤسسة ودعمها. نشهد تغيرًا سريعًا في المخاطر الأمنية؛ لذا احرصوا على حصول فرق الأمن والهندسة لديكم على الدعم والشراكات والموارد اللازمة للتصدي لهذه المخاطر بسرعة. نفّذوا مع فرقكم تمارين محاكاة نظرية لتصور كيفية ظهور هذه الهجمات في مؤسساتكم وكيف ستستجيبون لها.
امنحوا فريق الأمن لديكم وكيلًا. ابدؤوا باستخدام Codex أو مكوّن Codex الإضافي للأمان(يفتح في نافذة جديدة) أو أداة أخرى قادرة للبرمجة الوكيلة والأمان. امنحوه وصولًا معتمدًا إلى قواعد الشيفرات وإعدادات البنية التحتية والوثائق التقنية التي يحتاج فريق الأمن إلى تقييمها. لا تنتظروا تعميمه على مستوى الشركة لبدء العمل على أنظمتكم الأعلى أولوية.
زوّدوا ذلك الوكيل بخبرة أمنية. ابدؤوا بـالمهارات(يفتح في نافذة جديدة) المدعومة من المجتمع، التي تشمل سير عمل للتحليل الساكن، ومراجعة الشيفرات أمنيًا، وتحليل صور الثغرات المختلفة، ومخاطر سلسلة توريد البرمجيات، وغيرها من مهام الأمن. ثم طوّروا مهاراتكم الخاصة استنادًا إلى بنية مؤسستكم ومعاييرها الأمنية ونماذج التهديد وخطط الاستجابة لديها.
نفّذوا فورًا تقييمات أمنية لأنظمتكم. أعطوا الأولوية لتقييم الخدمات المتصلة بالإنترنت، ومسارات المصادقة، والبنية التحتية المعرّفة برمجيًا، ومسارات النشر، والأنظمة التي تتعامل مع معلومات حساسة. وسّعوا نطاق الفحص مع ازدياد ثقة فريقكم.
عالجوا قائمة الثغرات المتراكمة لديكم. زوّدوا وكيلكم بنتائج أدوات فحص الشيفرة، وتنبيهات التبعيات، وتذاكر الأمن، وتقارير مكافآت اكتشاف الأخطاء، والتقييمات السابقة. اطلبوا منه فرز هذه النتائج، وتمييز المشكلات القابلة للاستغلال من الضجيج، وتحديد الثغرات المرتبطة بها في مواضع أخرى من قاعدة الشيفرة، والتوصية بما ينبغي إصلاحه أولًا.
ادمجوا المراجعة الأمنية مباشرةً في عملية التطوير. استخدموا الوكلاء لمراجعة تغييرات الشيفرة قبل دمجها، ولتشغيل فحوص أمنية ضمن التكامل المستمر. ابحثوا عن أخطاء المصادقة، وتجاوز ضوابط الوصول، وبيانات الاعتماد المكشوفة، والتبعيات غير الآمنة، والإعدادات الافتراضية غير الآمنة، والتغييرات التي توسع الوصول إلى أنظمة الإنتاج، وغيرها من الثغرات.
اجعلوا الوكيل يساعد في إصلاح ما يكتشفه. بالنسبة إلى المشكلات التي تم التحقق منها، اطلبوا منه إنشاء تصحيح محدد النطاق والتحقق منه، وكتابة اختبار لمنع تكرار الخلل، والتأكد من تعذر إعادة استنساخ الثغرة. أبقوا المراجعة البشرية للتغييرات المهمة، لكن أزيلوا التأخير غير الضروري بين تحديد مشكلة حقيقية وتقديم إصلاح آمن إلى المهندس.
أتمتوا فرز الاكتشافات تدريجيًا. لا تبدأوا بمحاولة إنشاء مركز عمليات أمنية مستقل بالكامل. ابدؤوا بفحص أمني للقراءة فقط على مستودع واحد، أو اجعلوا وكيلًا يراجع تنبيهات حُلّت سابقًا مع منحه صلاحية قراءة سجلاتكم الحالية فقط. دعوه يلخص الأدلة ويوصي بكيفية التعامل معها، مع إبقاء جميع القرارات بيد البشر. ومع ازدياد الثقة، انتقلوا إلى فحص طلبات السحب استشاريًا، ثم فرز التنبيهات المباشرة، ثم الإغلاق الآلي للنتائج الإيجابية الكاذبة المحددة بدقة.
جهّزوا قدرةً للتحقيق الجنائي الرقمي بمساعدة الذكاء الاصطناعي قبل أن تحتاجوا إليها. تقدموا بطلب للحصول على الوصول الموثوق للعمل السيبراني(يفتح في نافذة جديدة) واعتمدوا فريقكم لاستخدام GPT‑Daybreak‑Blue في أعمال دفاعية مصرح بها، تشمل الاستجابة للحوادث، وهندسة الاكتشاف، وتحليل البرمجيات الخبيثة. تدربوا على استخدام هذه القدرة لتحليل السجلات والبيانات القياسية عن بُعد والتنبيهات الأمنية.
جرّبوا ونظّموا أسابيع للابتكار وطوّروا بسرعة. سنحتاج إلى بناء شتى أنواع الأدوات الجديدة، وتغيير أساليب عملنا، والارتقاء بقدرات الجميع استعدادًا للعالم الذي نتجه إليه. شجعوا موظفيكم على إجراء التجارب، وحددوا أسبوعًا للابتكار لبناء قدرات جديدة، وركزوا على تحسين دورات تؤتمت أجزاء صغيرة من المشكلة بسرعة وتكرارًا. يؤدي التقدم التدريجي السريع إلى نتائج دفاعية متراكمة، ويمكنكم توسيع نطاق الاستقلالية تدريجيًا مع ازدياد ثقة فريقكم.
لا تستطيع أي شركة إنجاز ذلك بمفردها. ندعو مختبرات الذكاء الاصطناعي وموردي الحلول الأمنية والمؤسسات ومشرفي الصيانة إلى مشاركة النتائج المتحقق منها والإصلاحات وخطط الاستجابة العملية، حتى يسهم اكتشاف مؤسسة واحدة في تعزيز المنظومة بأكملها.
نافذة الفرصة أمام المدافعين مفتوحة الآن. خلال الأشهر المقبلة، سيتعين على كل مؤسسة أن تبدأ أتمتة برنامجها الأمني بدرجة كبيرة للحفاظ على أمنها، وعلى مجتمع الأمن أن يسارع إلى تحديد الأدوات والممارسات وخطط الاستجابة التي ستعزز قوة المدافعين بوتيرة أسرع من قوة المهاجمين مع استمرار تقدم الذكاء الاصطناعي. سيتطلب ذلك جهدًا هائلًا وغير مسبوق، لكن إذا توحدنا فبوسعنا بناء عالم أكثر أمانًا مما كان يمكن تصوره من قبل.
