ثغرة أوبونتو تكشف قوة الذكاء الاصطناعي في الأمن السيبراني

قد تتيح ثغرة جديدة في نظام Ubuntu لمهاجمين السيطرة على الخوادم التي تعمل به، وقد عُثر عليها خلال ساعتين فقط باستخدام نموذج من OpenAI. المكتشف هو Max Justicz، المؤسس المشارك والمدير التقني لشركة Charge Robotics الناشئة في الروبوتات. وقد أصدر مشروع Debian إصلاحاً للثغرة، ولا يوجد حتى الآن دليل معروف على استغلالها. لكن الواقعة تتجاوز حدود هذه الثغرة وحدها، فهي تُظهر كلفة البحث عن الثغرات بالذكاء الاصطناعي، ومن يملك الأدوات القادرة على ذلك.

ما الثغرة التي وجدها Justicz؟

تحمل الثغرة الرقم CVE-2026-109518، ويمكن الاطلاع على سجلها الرسمي. وUbuntu نظام تشغيل مفتوح المصدر قائم على لينكس ويُستخدم على نطاق واسع، وهذا ما يجعل أي ثغرة تتيح السيطرة على الخوادم التي تشغّله مسألة جدية. ومشروع Debian هو الجهة التي تتولى صيانة البرمجيات المعنية بالثغرة.

استخدم Justicz نموذج GPT 5.6 Sol، الذي أطلقته OpenAI في يوليو، عبر برنامج Daybreak Blue المخصص للمدافعين في مجال الأمن السيبراني. وللرجل اهتمام هاوٍ بالأمن السيبراني، وكان قد عثر سابقاً على ثغرة في قاعدة الشيفرة نفسها. ويصف ما فعله قائلاً: «ببساطة وجّهتُ ChatGPT إلى مجموعة الشيفرة نفسها وقلت له: “وجدتُ هذه الثغرة سابقاً وجرى إصلاحها قبل عدة سنوات، فابحث عن ثغرات بالسوء نفسه أو أسوأ”، وعاد بعد ساعتين بهذه النتيجة».

ويضيف Justicz عن طبيعة الثغرة: «إنها معقّدة للغاية ويصعب على البشر اكتشافها، لكنها تعمل!». بعد ذلك أبلغ مشروع Debian، فأصدر المشروع الإصلاح.

أما الكلفة فيقول Justicz إنه أنفق نحو 5,000 دولار على الاشتراكات والرموز (tokens) ليجد عدة ثغرات قابلة للاستغلال. وهو مبلغ صغير قياساً بما تنفقه الشركات الكبرى، لكنه كبير على باحث هاوٍ. ويرى Justicz أن هذه الطريقة صارت مجدية، إذ كتب: «قد يكون هذا بديهياً لمعظم الموجودين هنا، لكن هناك اليوم عائداً هائلاً في أخذ شيفرة أو ملف تنفيذي لم يدقّقه أحد بعد وتوجيه نموذج ذكاء اصطناعي قوي نحوه».

ماذا أعلنت OpenAI؟

جاءت القصة في يوم أعلنت فيه OpenAI نموذجاً جديداً هو ChatGPT Cyber، المتخصص في الأمن السيبراني. وسيتاح لأعلى فئة من مستخدمي Daybreak Red، وهو البرنامج الذي يمنح باحثي الأمن الهجومي أدوات للبحث عن الثغرات وتطويرها. ويمكن الاطلاع على إعلان الشركة عن ChatGPT Cyber.

وكانت الشركة قد ذكرت أمس أن النموذج نفسه فحص شيفرة نواة لينكس (Linux kernel) وأعدّ إصلاحات لثغرات فيها. وتقول OpenAI إنها عثرت على 948 مشكلة محتملة في النواة، وعلى 81 ثغرة «جديدة» في متصفح Firefox. وتتوافر نتائج فحص النواة على موقع الشركة. كلّفت عملية البحث في لينكس 1.2 مليون دولار. وأنفقت OpenAI نحو 6 ملايين دولار من الرموز للبحث عن حلّ محتمل لمسألة شهيرة في ديناميكا الموائع.

وقال Eric Wallace، الباحث في الفريق التقني لدى OpenAI: «نخصّص الآن قدراً كبيراً من قدرتنا الحاسوبية المتقدمة لاكتشاف الثغرات وإصلاحها في قواعد الشيفرة المفتوحة المصدر، مجاناً بالكامل».

وتعلن الشركة هدفاً أوسع، ورد في بيان لها: «هدفنا أن نوسّع Daybreak توسيعاً كبيراً، لنوصل أبحاث الأمان المتقدمة إلى المؤسسات من كل الأحجام، والباحثين المستقلين، والقائمين على صيانة المشاريع المفتوحة المصدر». كما أعلنت مبادرة بقيمة مليار دولار تدعم متخصصي الأمن السيبراني في البرنامج الذين يعملون على البنية التحتية الحيوية، مثل شبكة الكهرباء وأنظمة المياه. وهنا يتضح ما يعنيه الأمر لقارئ يهمه أمن المرافق: فالمدافعون عن هذه الأنظمة هم من تراهن عليهم المبادرة.

هل المدافعون في موقع أضعف؟

تبدو الصورة أقل بساطة حين ننظر إلى القيود. يقول Justicz إن Daybreak Blue بدا في الآونة الأخيرة «مُضعَفاً» عمداً لتقليل فائدته في اكتشاف الثغرات. ويذكر أنه رفع صورة لرخصة قيادته ليتمكن من الانضمام إلى البرنامج.

ويشكو متخصصون في الأمن السيبراني من أن القيود المفروضة على التقنيات المتقدمة تضعهم في موقع أضعف أمام جهات خبيثة تستخدم نماذج مفتوحة الأوزان أُزيلت منها ضوابط الأمان. والنموذج مفتوح الأوزان هو نموذج تتاح معاملاته للجميع، فيمكن لأي شخص تشغيله وتعديله خارج رقابة الشركة التي طوّرته. وتقول OpenAI إن «الآلاف» من متخصصي الأمن السيبراني يشاركون في Daybreak، في مقابل عدد أكبر بكثير من المخترقين المحتملين.

وقد أطلقت OpenAI أيضاً مبادرة Daybreak للمدافعين في الخطوط الأمامية. وتقول الشركة إن أمام المدافعين نافذة ضيقة للتحرك قبل أن تصبح نماذج الذكاء الاصطناعي أقدر على الاختراق وأسهل منالاً.

أما Justicz فيتوقع ما هو أسوأ، إذ يقول: «لا أستطيع إلا أن أتخيّل ما يمكن فعله بوقت أطول ووصول إلى نماذج أقل تقييداً. ينبغي أن نتوقع اكتشاف ثغرات مجنونة للغاية واستغلالها خلال الأشهر القليلة المقبلة». ويبقى السؤال المفتوح: هل ستصل الأدوات إلى المدافعين عن شبكات الكهرباء والمياه قبل أن تصل إلى من يريدون مهاجمتها؟ لم تقدّم OpenAI حتى الآن جواباً عنه.