تقارير الثغرات لم تعد استثنائية

لسنوات، دُرِّب مطوّرو البرمجيات مفتوحة المصدر على اعتبار كل بلاغ وطلب دمج وملاحظة هديةً لا التزاماً. وكان الاستثناء تقارير الثغرات الأمنية: فالباحث الذي يبلّغ عن خلل بسرّية بدل نشره علناً يقدّم خدمة للمشروع، لذا يُتوقّع من المطوّر الردّ سريعاً والتحقيق وإسناد الفضل في الاكتشاف.

لماذا وُجدت هذه القاعدة

في تدوينة نُشرت في 23 يونيو 2026، يتذكّر فيليبو فالسوردا — وهو مطوّر أمني مخضرم في لغة Go، والرئيس السابق لفريق أمن Go في غوغل، وعضو حالياً في مجموعة Geomys للمطوّرين المحترفين — أنه كان يشرح هذا التمييز بالتحديد للأعضاء الجدد. ولم يكن السبب يوماً أن الباحثين أنفسهم مميّزون، بل أن الرؤية التي يقدّمونها والسرّية المؤقتة اللازمة لإصدار إصلاح قبل أن ينشر المهاجم استغلالاً كانت نادرة.

هذه الفرضية لم تعد صحيحة، كما يقول. فالنماذج اللغوية الكبيرة باتت «بقدرة أي باحث أمني تقريباً»، والجميع قادر على تشغيلها: المطوّرون والمهاجمون على حدّ سواء.

عنق الزجاجة انتقل إلى الفرز

إذا كان بإمكان أي شخص توليد قائمة معقولة بالأخطاء، فالمورد النادر لم يعد الاكتشاف بل الحكم على أي النتائج حقيقية. ومن دون علاقة ثقة قائمة مسبقاً، لا يستطيع باحث خارجي المساهمة فعلياً في هذا الفرز، كما يكتب فالسوردا، وقراءة مخرجات نموذج ما تشبه في نسبة الإشارة إلى الضجيج قراءة صندوق بريد أمني.

وللسبب نفسه تفقد السرّية والحظر الإعلامي جزءاً كبيراً من وزنهما: فالمهاجم لا يحتاج إلى قراءة منشور كشف كامل ليعرف بالثغرة، بل يمكنه سؤال نموذجه الخاص، والأرجح أنه يواجه الطابور نفسه الذي يواجهه المدافعون. ويضيف في نقاش لاحق أنه يفرز أكثر من عشرة تقارير أسبوعياً، وأن كثيراً منها عيوب حقيقية لكن أثرها على المستخدم العادي غير واضح.

ما يبقى للمطوّرين

خلاصة فالسوردا أن الفرز والإصلاح السريع والوقاية هي الآن جوهر العمل، وأن على المشاريع التفكير في تشغيل تحليل قائم على النماذج داخل التكامل المستمر. وقد أثار المقال اتفاقاً واعتراضاً في الوقت نفسه: إذ يرى معلّقون أن التقارير بالغة الخطورة وتلك الواردة من باحثين موثوقين ستبقى استثنائية، وأن مهمة فرق الأمن المقبلة قد تكون تصنيف التقارير بسرعة إلى هذين القسمين. ويشير فالسوردا أيضاً إلى السياق الأوسع — تعليق curl قنوات استقبال تقارير الثغرات لمدة شهر — ويعترف بأنه لم يكن لديه، حين كتب، أي حجة بأن معالجة التقارير هي أفضل استخدام للوقت لحماية المستخدمين.