الملخص:
أصدرت شركة OpenAI إعلانًا في 21 أكتوبر 2026، كشفت فيه عن مشاركتها في اكتشاف وتنسيق إصلاح اثنتين من الثغرات الأمنية الخطيرة في لغة برمجة PHP. يتم الترويج لهذا الإجراء من خلال برنامج "Patch the Planet" (تصحيح الإنترنت بالكامل) الذي أطلقته OpenAI، والذي يوحد القائمين على البرمجيات والباحثين الأمنيين ومقدمي الخدمات السحابية ووكالات أمن الشبكات الحكومية للعمل بشكل مشترك على تقليل المخاطر الناجمة عن نقاط الضعف في البنية التحتية العالمية للإنترنت. وذكرت OpenAI أن نماذج الذكاء الاصطناعي المتقدمة تمكنت من اكتشاف عيوب أمنية برمجية مع مجموعة واسعة من التأثيرات، وأن كيفية تحويل هذه النتائج بسرعة إلى تدابير وقائية فعلية أصبحت موضوعًا ذا أهمية متزايدة في مجال أمن الشبكات.
في هذه الحادثة، اكتشفت شركة الأمن Calif ثغرة أمنية خطيرة باستخدام GPT-5.6 Sol، واكتشفت شركة الأمن Wiz بشكل مستقل اثنتين من نقاط الضعف ذات الصلة وأبلغت عنهما. يتولى فريق صيانة PHP المسؤولية عن إصلاحات الثغرات الأمنية الرائدة وإصدارات إصدارات الأمان، بينما توفر OpenAI وWiz وCloudflare وشركاء آخرون البحث الفني والدعم الهندسي والتنسيق لمساعدة المؤسسات ذات الصلة على الاستعداد للحماية قبل نشر الثغرات الأمنية.
PHP هي لغة برمجة مفتوحة المصدر تستخدم على نطاق واسع في مواقع الويب وتطبيقات الشبكات. ويعتمد عليها عدد كبير من خدمات الإنترنت للتعامل مع طلبات صفحات الويب وعمليات قاعدة البيانات ومنطق الأعمال الأساسي. لذلك، هناك ثغرة أمنية خطيرة في الطبقة السفلية من PHP، وقد ينتشر التأثير بسرعة إلى العديد من مواقع الويب والخدمات السحابية وأنظمة المؤسسات. تم تصنيف كلا الثغرات الأمنية التي تم اكتشافها هذه المرة على أنها حرجة ويمكن أن تسمح للمهاجم بتنفيذ التعليمات البرمجية عن بعد دون مصادقة. أصدر فريق تطوير PHP نسخة إصلاح في 21 أكتوبر ويحث المستخدمين على الترقية على الفور.
وذكرت شركة OpenAI أن هذه الحادثة تسلط الضوء على الدور المزدوج للذكاء الاصطناعي في مجال أمن الشبكات. فمن ناحية، يمكن للنماذج المتقدمة أن تساعد الباحثين على اكتشاف العيوب التي كانت مخفية في البرامج الناضجة لفترة طويلة؛ ومن ناحية أخرى، يمكن للمهاجمين أيضًا استخدام نفس القدرات لتطوير أدوات الاستغلال وبرامج الهجوم بسرعة. لذلك، لا يمكن لفريق الأمان التركيز فقط على إمكانية اكتشاف الثغرة الأمنية، ولكن يجب عليه أيضًا إنشاء آلية فعالة لضمان إصلاح الثغرة الأمنية في الوقت المناسب وتقليل مخاطر الهجوم قدر الإمكان قبل نشر التصحيحات ذات الصلة.
وذكرت شركة OpenAI أنه وفقًا للمعلومات المتوفرة لديها حاليًا، فقد تم اكتشاف الثغرة بمساعدة الذكاء الاصطناعي المتقدم قبل أن يكتشفها المهاجم ويستغلها. وهذا يوفر وقتًا ثمينًا لإعداد الدفاع لمشرفي البرامج. تطلق الشركة على هذه المرحلة اسم "نافذة المدافع"، وهي النافذة الزمنية التي يمكن خلالها للمدافعين تحديد المشكلات، وتطوير خطط العلاج، ونشر إجراءات الحماية قبل أن يفعل المهاجمون ذلك.
ومع ذلك، لن تكون هذه النافذة موجودة دائمًا. ومع استمرار تحسن قدرات نماذج الذكاء الاصطناعي، قد تتقلص الفجوة الزمنية بين اكتشاف نقاط الضعف وتطوير أساليب الهجوم تدريجيًا. تعتقد OpenAI أن صناعة الأمن السيبراني بحاجة إلى التحول من نهج التعامل مع الثغرات اللامركزية نسبيًا في الماضي إلى آلية استجابة منهجية يمكنها التنسيق بسرعة بين القائمين على صيانة البرامج ومقدمي الخدمات ومشغلي المؤسسات والوكالات الحكومية.
ولتحقيق هذه الغاية، اقترحت OpenAI إطار استجابة منسقًا لنقاط الضعف الخطيرة، والذي يتضمن بشكل أساسي خمس مراحل.
أولاً، يحتاج مشرفو البرامج والباحثون وشركاء التكنولوجيا الرئيسيون إلى العمل معًا للتحقق من نقاط الضعف وتقييم نطاقها وتطوير الإصلاحات واختبارها. في هذه المرحلة، يجب على الفريق أيضًا استخدام نماذج متقدمة لإجراء اختبار الخصومة للتحقق مما إذا كان التصحيح يمكنه بالفعل منع الهجوم والبحث عن متغيرات الثغرات المحتملة ذات الصلة لتجنب إصلاح المشكلات السطحية فقط مع فقدان المسارات الأخرى القابلة للاستغلال.
ثانيًا، يجب إتاحة الوقت الكافي للتحضير للمؤسسات المتضررة. لدى المؤسسات المختلفة مهام حماية مختلفة: قد يحتاج ناشرو البرامج إلى نقل التصحيحات إلى الإصدارات الأقدم، ويحتاج مقدمو خدمات الاستضافة السحابية إلى التحقق من تدابير التخفيف المؤقتة، وقد تحتاج شركات أمن الشبكات إلى إعداد قواعد الكشف أو استراتيجيات حماية جدار حماية تطبيقات الويب (WAF) مسبقًا. واقترحت OpenAI ضرورة توفير المعلومات التقنية اللازمة على مراحل بناءً على مسؤوليات الحماية الفعلية لكل مشارك، ويجب تقليل مخاطر التسرب من خلال اتفاقيات تبادل المعلومات وآليات التنسيق المتخصصة.
ثالثًا، هناك حاجة إلى التعاون مع وكالات الأمن السيبراني الحكومية لضمان حصول مشغلي البنية التحتية الحيوية على التنبيهات وتوصيات الحماية في الوقت المناسب. في حادثة ثغرة PHP، اتصلت OpenAI وشركاؤها بالعديد من الإدارات الحكومية الأمريكية ووكالات الأمن السيبراني، بما في ذلك فريق عمل الاستخبارات الفائقة بالبيت الأبيض، ومكتب المدير السيبراني الوطني، ووكالة الأمن السيبراني وأمن البنية التحتية (CISA)، وتم التنسيق مع الشركاء الدوليين.
رابعًا، بعد استقرار خطة الإصلاح وخطة الإفصاح العام، يجب توسيع نطاق المشاركة للسماح لمزيد من ناشري البرامج ومقدمي الخدمات السحابية ومقدمي خدمات الاستضافة وفرق أمان المؤسسة بإعداد التحديثات مسبقًا. بالنسبة للمؤسسات التي لا تزال تستخدم الإصدارات الأقدم من البرامج ولا يمكنها تثبيت أحدث التصحيحات مباشرةً، فإنها تحتاج أيضًا إلى تقييم جدوى التراجع عن التصحيحات أو غيرها من إجراءات الحماية المؤقتة.
خامسًا، بعد إصدار التصحيح رسميًا، يجب تقديم إرشادات إصلاح واضحة للجمهور لمساعدة المستخدمين على تأكيد ما إذا كانت أنظمتهم متأثرة، والإصدار الذي يجب تثبيته، وكيفية التحقق من فعالية الإصلاح. لا تنتهي عملية الاستجابة بأكملها فورًا عند إصدار التصحيح. يحتاج فريق الأمان أيضًا إلى مواصلة تتبع النشر ومساعدة المؤسسات التي لم تكمل التحديث بعد للتعامل مع المشكلات الفعلية.
أشار OpenAI على وجه التحديد إلى وجود معضلات واضحة في مشاركة معلومات الثغرات الأمنية مسبقًا. فمن ناحية، يحتاج مقدمو الخدمات السحابية وموردو أمن الشبكات ومشغلو البنية التحتية الحيوية إلى تفاصيل فنية كافية لإعداد تدابير الحماية بشكل فعال؛ ومن ناحية أخرى، فحتى معلومات الثغرات المحدودة قد تساعد المهاجمين على تحديد الموقع المحدد للخلل. ولذلك، ينبغي توفير المعلومات ذات الصلة على مراحل بناءً على مسؤوليات الحماية للمشاركين، واحتياجات وقت الإعداد والقدرة على التعامل مع المعلومات الحساسة.
يجب أيضًا إعادة تقييم جدول الكشف الأصلي في حالة بدء الاستغلال الفعلي للثغرة الأمنية، أو تسرب التفاصيل الفنية عن طريق الخطأ، أو كشف التصحيح العام نفسه عن موقع الثغرة الأمنية. تعتقد شركة OpenAI أن آليات التنسيق يجب أن تكون قادرة على التكيف بسرعة مع تغير التهديدات، بدلاً من اتباع المواعيد النهائية المحددة تلقائيًا.
من أجل مساعدة المزيد من المؤسسات على اتخاذ الإجراءات، ذكرت OpenAI أنها ستوفر أدوات للتحقق من إصدار PHP وخططًا لإطلاق مهارات Codex الداعمة لمساعدة مشغلي النظام في تحديد إصدارات PHP التي يحتمل أن تكون محفوفة بالمخاطر وتحديد خطط التحديث القابلة للتطبيق بناءً على إرشادات PHP الرسمية ومقدمي الخدمة. تقوم OpenAI أيضًا بتجميع معلومات الكشف عن الثغرات الأمنية وأدلة الحماية من خلال مشروع "Patch the Planet" لمساعدة المسؤولين في العثور على تصحيحات موثوقة، وفهم تدابير التخفيف المؤقتة، والتحقق من نشر التحديثات بالفعل.
فيما يتعلق بدعم الموارد، تعد OpenAI بتوفير وصول مدعوم إلى خدمة Daybreak بقيمة مليار دولار أمريكي من خلال برنامج "Daybreak for Frontline Defenders"، مع التركيز على مساعدة المؤسسات ذات الموارد الأمنية المحدودة ولكنها مسؤولة عن مهام حماية الخدمة الحيوية. ستوفر الشركة أيضًا دعم الاشتراك لمشرفي البرامج مفتوحة المصدر من خلال Codex for OSS وترعى بشكل مباشر مشاريع مثل Rust Foundation لتوفير الموارد لأعمال الصيانة والتحسينات التقنية.
أشارت OpenAI إلى أن فرق الصيانة لمشاريع البرمجيات مفتوحة المصدر غالبًا ما تكون محدودة الحجم. بالإضافة إلى أعمال التطوير اليومية، يحتاجون أيضًا إلى التعامل مع التقارير الأمنية وتحديد تأثير نقاط الضعف والتحقق من التصحيحات والتوافق مع إصدارات البرامج المتعددة. تستغرق هذه المهام وقتًا طويلاً، ويمكن أن يساعد الذكاء الاصطناعي في تحليل التعليمات البرمجية، وتحديد التقارير المكررة، وكتابة الاختبارات، والتحقق من الإصلاحات، وبالتالي تقليل عبء عمل المشرفين.
بالإضافة إلى اكتشاف الثغرات الأمنية الفردية وإصلاحها، تقترح OpenAI أيضًا تقليل العيوب الأمنية بدءًا من مرحلة تصميم البرنامج. وتعتقد الشركة أن الذكاء الاصطناعي يمكن أن يساعد المهندسين على اختيار إعدادات افتراضية أكثر أمانًا، واستخدام مكتبات الأمان بشكل صحيح، واكتشاف أنماط التعليمات البرمجية الخطيرة في وقت مبكر من عملية التطوير.
هناك اتجاه مهم آخر وهو ترحيل مكونات البرامج الرئيسية إلى اللغات الآمنة للذاكرة. تنجم العديد من الثغرات الأمنية الخطيرة عن أخطاء في إدارة الذاكرة، مثل الوصول إلى الذاكرة التي تم تحريرها بالفعل أو حدوث عمليات تخزين مؤقت خارج الحدود. إن استخدام لغة ذات ضمانات سلامة الذاكرة يمكن أن يزيل فئة كبيرة من العيوب الشائعة من مصدرها. يمكن أن يساعد الذكاء الاصطناعي في ترحيل التعليمات البرمجية، ولكن سلوك ما بعد الترحيل والتوافق والأمان لا يزال يتطلب الاختبار والمراجعة المهنية.
تشدد OpenAI أيضًا على التحقق الرسمي وآليات العزل الأقوى. يستخدم التحقق الرسمي أساليب رياضية لإثبات أن البرنامج يلبي خصائص أمنية محددة في ظل افتراضات صريحة، مما يساعد على تحسين موثوقية المكونات الرئيسية؛ يمكن أن تعمل تقنية وضع الحماية على تقييد البرامج التي تعالج الملفات أو الصور أو محتوى الوسائط غير الموثوق بها في بيئة خاضعة للرقابة. وحتى لو تم اختراق البرنامج، فقد يؤدي ذلك إلى تقليل فرصة المهاجمين في التحكم بشكل أكبر في النظام بأكمله.
وفي الوقت نفسه، تعترف الشركة بأن التوسع في استخدام الذكاء الاصطناعي في الأمن السيبراني سيتطلب أيضًا إجراءات أكثر تعقيدًا لمكافحة إساءة الاستخدام. تقوم OpenAI أيضًا بتعديل مصنف الأمان لـ Daybreak في محاولة لتقليل مخاطر استخدام الأداة للهجمات الضارة. ومع ذلك، قالت الشركة إن القيود الصارمة للغاية يمكن أن تعيق أيضًا الأبحاث الأمنية المشروعة، لذلك يجب تحقيق التوازن بين فتح القدرات الدفاعية ومنع الاستخدام الضار.
تدعو OpenAI أخيرًا مشرفي البرامج والباحثين ومقدمي خدمات أمان الشبكات ومشغلي المؤسسات إلى العمل معًا لتحسين هذا الإطار. وتأمل الشركة في التركيز على عدة قضايا: كم من الوقت ينبغي السماح للمدافعين بالاستعداد قبل أن تصبح الثغرة الأمنية علنية؛ عندما يكون من الممكن الكشف عن نقاط الضعف الحرجة مسبقًا؛ وما هي المنظمات التي يجب تنبيهها مسبقًا؛ وكيفية توفير تصحيحات العودة إلى الحالة السابقة وبدائل الأمان بشكل موثوق عندما لا يمكن ترقية الإصدارات القديمة من البرامج في الوقت المناسب.
اقترحت OpenAI أيضًا سيناريو مستقبلي أكثر إثارة للجدل: قد تقوم أنظمة الإنترنت تدريجيًا بإنشاء آلية مستمرة لفحص الثغرات الأمنية، وإخطار مالكي مواقع الويب عند اكتشاف ثغرات أمنية معروفة، وحتى تصحيح النظام مباشرة بالترخيص المناسب. ومع ذلك، يتضمن هذا النوع من النهج ملكية النظام، وأذونات الإدارة، ومخاطر سوء التشغيل وحدود المسؤولية، ولا تزال هناك حاجة إلى إنشاء ضمانات فنية وإدارية صارمة.
يُظهر حادث الثغرة الأمنية في PHP أن الذكاء الاصطناعي يغير طريقة عمل أمان الشبكة. في الماضي، كان اكتشاف الثغرات الخطيرة وتحليلها وإصلاحها ونشرها على نطاق واسع يتطلب في كثير من الأحيان تنسيقًا طويل الأمد بين فرق متعددة؛ واليوم، يمكن للنماذج المتقدمة أن تعمل على تسريع أبحاث الثغرات الأمنية، ولكن الحماية الحقيقية للإنترنت لا تزال تعتمد على ما إذا كان القائمون على صيانة البرامج، ومقدمو الخدمات السحابية، والمؤسسات، والوكالات الحكومية قادرين على التصرف بسرعة.
بالنسبة لـ OpenAI، فإن "Patch the Planet" ليس مجرد استجابة طارئة لثغرات PHP، ولكنه أيضًا تمرين في استكشاف آلية منسقة للكشف عن الثغرات في عصر الذكاء الاصطناعي. مع استمرار زيادة قدرة الذكاء الاصطناعي على اكتشاف العيوب الأمنية، ربما لم يعد مفتاح المنافسة في مجال الأمن السيبراني في المستقبل هو العثور على الثغرة الأمنية أولاً، ولكن من يمكنه التحقق من المشكلة بشكل أسرع، وإصلاح التعليمات البرمجية، وحماية الأنظمة المتأثرة حول العالم في الوقت المناسب.
مقالات ذات صلة:
كشف PHP عن ثغرات أمنية خطيرة، ودخل مشغلو مواقع الويب العالمية في حالة تصحيح عاجلة
يمكن أن تؤدي اثنتين من نقاط الضعف الخطيرة إلى تنفيذ تعليمات برمجية عن بعد على تصحيح أمان الطوارئ الرسمي لخادم PHP
التعليقات