تقرير Patchmageddon يحذر من تفوق الذكاء الاصطناعي على التصحيح في المؤسسات

يقول تقرير Patchmageddon لشهر يوليو 2026 من Michael Cembalest إن نماذج الذكاء الاصطناعي تجد الثغرات أسرع من قدرة كثير من المؤسسات على تصحيحها، مع تحمّل المصدر المفتوح للضغط في البداية. ويشير التقرير، المذكور في منشور برعاية Broadcom، إلى مساهمات من قيادة الأمن السيبراني في J.P. Morgan Asset Management.

ساعة الاستغلال في يوم واحد

يقول التقرير إن نماذج مثل Mythos من Anthropic وGPT-5.5 من OpenAI تجد الآن ثغرات لم تكن معروفة سابقا على نطاق لا يستطيع أي فريق بحث بشري مجاراته. وقد وجد Anthropic وشركاؤه في Project Glasswing أكثر من 10,000 ثغرة يوم صفري جديدة عالية أو حرجة الخطورة في الشهر الأول وحده. وكان الوسيط الزمني من الإفصاح إلى أول استغلال نحو سنة في 2021، وانخفض إلى يوم واحد في 2026، ومن المتوقع أن يصل إلى دقيقة واحدة بحلول 2027. وما يقارب 80% من حالات الاستغلال تحدث الآن في يوم الإفصاح العلني أو قبله.

المصدر المفتوح يتحمل الضربة الأولى

يقع الضغط على المصدر المفتوح أولا لأن البرمجيات الحديثة مبنية منه ولأن مصدره مفتوح للجميع. ومن بين 530 نتيجة عالية أو حرجة الخطورة أبلغ عنها Anthropic مشرفي الصيانة في المصدر المفتوح بحلول مايو 2026، لم يُصحح سوى 75. ويلاحظ التقرير أيضا أن المشرفين أغلقوا برامج مكافآت اكتشاف الثغرات وعلقوا لافتة gone fishing لتخفيف الضغط. ويبرز التقرير تركز المشرفين: في دراسة أجرتها Linux Foundation وHarvard على أفضل 50 مشروعا في المصدر المفتوح، كان في 23% منها مطور واحد مسؤولا عن أكثر من 80% من الأسطر المضافة، وفي 94% منها كان أقل من عشرة مطورين يكتبون أكثر من 90% من الشيفرة. وأحصى Anchore أكثر من 18 مليون حزمة npm تسرد مشرفا واحدا.

خطة لتصحيح أسرع

يقول التقرير إن المؤسسات ستضطر إلى الحكم على نفسها بسرعة التصحيح، لا بالدقة وحدها، وإن نوافذ الإفصاح البالغة 90 يوما تُقاس الآن بساعة تعمل بالساعات. ويستشهد ببحث وجد أن أكثر من 80% من خبراء الأمن تجاهلوا تصحيحا ما لتجنب تعطيل الأعمال، ويرى أن النظام غير المصحح أصبح الآن التهديد الأكبر. وقيادة التكنولوجيا في J.P. Morgan صريحة: شغّلوا الإصدارات الحالية، وابتعدوا عن التبعيات التي لا يمكنكم تحديد من يشرف على صيانتها، أو التي يبدو مشرفها شخصا واحدا، أو التي تبدو مهجورة. ويقول التقرير إن المصدر المفتوح المهني تدعمه شركة لها مصلحة ومخاطرة حقيقية، أو مؤسسة تملك فريق استجابة أمنية ومشرفين ممولين وعملية إصدار تصمد أمام الإنهاك. وإذا لم تستطيعوا تسمية من يشرف على صيانة حزمة، فلا يمكنكم الاعتماد على أحد لإصلاحها.

غيّروا مصدر البروكسي، لا عادات المطورين

يقول المنشور إن معظم الشركات الكبيرة تمرر بالفعل كل تنزيل تبعية عبر بروكسي داخلي للمصنوعات البرمجية مثل JFrog Artifactory أو Sonatype Nexus. ويرى أن المؤسسات تستطيع توجيه البروكسي إلى مصدر مدعوم مثل TrueSource دون تغيير ملفات البناء أو العناوين أو خطوط الإنتاج. ويستطيع البروكسي حجب الإصدارات الضعيفة المعروفة وتقديم أقرب إصدار مصحح بدلا منها، فيصبح الإصدار المصحح هو الافتراضي. ويوصي المنشور أيضا بقياس سرعة وصول الإصلاحات إلى الإنتاج في أهم 50 تبعية، وبمعرفة من يشرف على التبعيات الحرجة، وباستخدام الذكاء الاصطناعي لاكتشاف الإصلاحات واقتراحها مع إبقاء قرار الدمج بيد البشر، والأفضل أن يكونوا مشرفي الشيفرة أنفسهم.

المصادر: The New Stack