مؤسسة Apache تفحص 230 مستودعًا بالذكاء الاصطناعي في ثلاثة أيام

أجرت مؤسسة Apache Software Foundation ‏(ASF) فحصًا أمنيًا كاملًا على 230 من مستودعاتها في ثلاثة أيام خلال أغسطس 2026. نفّذ العمل فريقا ASF Security وASF Tooling ضمن Responsible AI Initiative ‏(RAI)، باستخدام نموذج Claude Mythos 5 من Anthropic عبر برنامج Project Glasswing. ووصلت النتائج إلى المشاريع المالكة للشيفرة عبر مسار الإفصاح الرسمي، والمعالجة مستمرة.

لماذا بدأ الفحص

حلّلت ASF Security عمليات فحص قائمة على Mythos نفّذتها Alpha-Omega على مشروعين من مشاريع المؤسسة ووجدت التقارير محددة ومفصّلة. وفي الوقت نفسه يرتفع حجم تقارير الثغرات المولّدة بالذكاء الاصطناعي الواردة إلى مشاريع المصادر المفتوحة، وتمييز المفيد منها عن الضجيج يستهلك وقتًا لا يتوفر للقائمين على الصيانة. وقررت المؤسسة أن تنفّذ التحليل بنفسها مع المشاريع وبسياق كافٍ.

ما كان جاهزًا سابقًا

منذ مطلع 2026 يشغّل ASF Tooling خط تدقيق آليًا يقيّم الشيفرة وفق معيار OWASP ASVS على Gofannon، منصة الوكلاء الخاصة بالفريق. وللخط ثلاث طبقات: خفيفة تُرشّح الحجم الكبير، ومتوسطة تبني جردًا لمحتوى الشيفرة، وثقيلة تنفّذ التحليل الذي يحتاج استدلالًا حقيقيًا. ويُختار نموذج كل طبقة عند التشغيل من مجموعة Opus وSonnet وHaiku أو Mythos وGemma وQwen. وبحسب الفريق، خفّض تزويد النماذج بسياق الشيفرة النتائج الخاطئة بشكل حاد.

نموذج التهديد أولًا

قبل الفحص دعت ASF Security المشاريع إلى العمل على نموذج تهديد. سجّلت 75 لجنة إدارة مشروع (PMC) تغطي أكثر من 180 مستودعًا، ووصفت ما يهم، وأي الحدود يجب أن تصمد، وأي الافتراضات مستقرة. ورُوجعت النماذج المبنية بمهارة Threat Model من Alpha-Omega أولًا، وكلف الفحص استنادًا إلى نموذج مُراجَع نحو خُمس المبلغ أقل.

‏Glasswing والإفصاح والخطوات التالية

يمنح برنامج Project Glasswing من Anthropic مؤسسات مختارة وصولًا إلى أقوى نماذج الشركة. أُجريت الفحوص بأداة Glasswing في جلسات متوازية من Claude Code، وأُرفقت بالثغرات الحرجة رقعة مُعدّة ومُراجَعة منفصلة. وتصل النتائج الحساسة أولًا إلى قائمة أمن المشروع وتعالجها اللجنة وفق جدولها. وتأتي لاحقًا فحوص تراكمية وأنواع فحص إضافية ووضع ذاتي الخدمة بميزانية رموز تديرها المؤسسة.