باحثو JFrog: ثغرات SQLite «الحرجة» من صنع الذكاء الاصطناعي لا أكثر

خلص باحثو الأمن في شركة JFrog إلى أن مجموعة التقارير التي ادّعت وجود ثغرات «حرجة» في SQLite ونُشرت خلال الأيام الماضية هي في معظمها محتوى ملفّق ولّده الذكاء الاصطناعي. نُشر التحليل على مدونة الشركة في الثلاثين من يوليو.

ماذا ادّعت التنبيهات

نشر مستودع GitHub أُنشئ حديثًا سلسلة تقارير عن ثغرات في SQLite ضمن أكثر من خمسين ثغرة يعتقد الباحثون أن نموذجًا لغويًا كبيرًا ولّدها كلها باستثناء واحدة. صنّفت قاعدة البيانات الوطنية للثغرات الأمريكية (NVD) هذه التقارير كحرجة، ووافقها على ذلك برنامج المعالجة الآلية ADP التابع لوكالة CISA. ووصفت التقارير الخاصة بـ SQLite ست ثغرات من نوع use-after-free في دوال مثل sqlite3ExprDelete() وjsonBlobEdit() وjsonRemoveFunc()، بدرجات تراوحت بين 7.5 High و9.8 Critical.

لماذا انهارت الادعاءات

عند مقارنة التقارير بالشيفرة المصدرية الرسمية، وجد الباحثون أن الأسطر المذكورة إما غير موجودة في الإصدارات المعنية أو تشير إلى منطق لا علاقة له بالثغرة. بعض التنبيهات ذكرت أسماء دوال غير موجودة، وأخرى أشارت إلى إصدارات «مُصلَحة» لم تصدر قط. شُغّل كود الاختبار (PoC) كما هو على إصدارات رسمية بُنيت داخل حاويات Docker معزولة تحت أداة AddressSanitizer، ولم يتسبب أي منها في انهيار. ولا تظهر أي من هذه الثغرات في صفحة التنبيهات الرسمية لـ SQLite، التي يعدّها الباحثون معيارًا ذهبيًا لتتبع الثغرات الحقيقية. كما صنّف كاشف النصوص المولّدة آليًا التقارير كلها كمحتوى أنتجته آلة.

ما الذي تكشفه الحادثة

منحت Red Hat في البداية الثغرة CVE-2026-51302 الدرجة القصوى 10.0 Critical، ثم خفّضتها لاحقًا إلى 7.6 High. وتُظهر الحادثة مدى سرعة انتشار تقارير غير موثّقة داخل منظومة يُفترض أن تحمي المستخدمين. فالتنبيهات المزيفة تستهلك وقت المطوّرين، وتشوّه إحصاءات الثغرات، وتقوّض الثقة في نظام CVE، في وقت أصبح فيه توليد تقرير كهذا بالذكاء الاصطناعي شبه مجاني. وخلاصة JFrog بسيطة: ما يميّز الثغرة الحقيقية عن الضجيج هو إعادة إنتاج المشكلة، لا درجة الخطورة.