نظام OpenAI المستقل للأمن السيبراني اكتشف 948 ثغرة متفردة لتصعيد الصلاحيات في نواة لينكس، وبنى استغلالات فعلية لمعظمها. كلّف هذا البحث 1.21 مليون دولار من أرصدة واجهة البرمجة (API). الأمر مهم لأن الأدوات نفسها القادرة على كشف الثغرات لصالح المدافعين قد تساعد المهاجمين قريبًا على فعل الشيء ذاته بشكل أسرع.
ما الذي حدث بالفعل
نشرت OpenAI نتائجها يوم الأربعاء، موضحة أن وكلاءها المستقلين فحصوا نحو 2.8 مليون سطر من كود نواة لينكس، أي ما يعادل 7% تقريبًا من المشروع. وبحسب موقع Decrypt، حدد الوكلاء 2,308 حالة مرشحة، وأعادوا إنتاج 1,724 ثغرة، وأنتجوا 948 استغلالًا محليًا لتصعيد الصلاحيات. كلّفت عملية أكتوبر 1,213,430 دولارًا من أرصدة الواجهة البرمجية، أي ما يقارب 1,279 دولارًا لكل ثغرة. وقارنت OpenAI هذا الرقم بمكافآت تتراوح بين 20,000 و70,000 دولار لاستغلالات مشابهة في مسابقات القرصنة، ما يشير إلى أن القيمة السوقية للاكتشاف اليدوي قد تتراوح بين 18.9 مليون و66.3 مليون دولار. وكانت عملية سابقة بنموذج GPT-5.6 Sol قد اكتشفت 166 ثغرة فريدة في يوليو بتكلفة 513,690 دولارًا. أما النموذج الأحدث وغير المُصدر بعد، فقد اكتشف في أكتوبر أكثر من خمسة أضعاف هذا العدد. وذكرت OpenAI أن الوكلاء استخدموا 10 تقنيات استغلال على الأقل لم تكن مألوفة حتى لباحثيها أو للخبراء الخارجيين.
كيف وصلنا إلى هنا
يشغّل نظام لينكس خوادم السحابة وأجهزة أندرويد وجزءًا كبيرًا من البنية التحتية الحاسوبية العالمية. وقالت OpenAI، بحسب Decrypt، إنها اختارت لينكس لدراسة مدى فعالية النماذج المتطورة في اكتشاف الثغرات وإظهار أثرها الأمني في قاعدة كود بهذا الحجم والأهمية. وفي الأسبوع الماضي، كشفت Anthropic أن نسخة غير مُصدرة من Claude اكتشفت واستغلت ثغرات خطيرة في Chrome ولينكس، وبعضها يسمح بتنفيذ تعليمات برمجية عن بُعد بتدخل محدود من المستخدم. وبشكل منفصل، أعاد باحثون في Vidoc Security إنتاج اكتشافات ثغرات مرتبطة بنموذج Mythos AI التابع لـ Anthropic باستخدام نماذج عامة بتكلفة تقل عن 30 دولارًا لكل ملف. ومعًا، تُظهر هذه الإفصاحات تحوّل أبحاث الثغرات المعتمدة على الذكاء الاصطناعي من عمل يدوي مكلف إلى أنظمة آلية أقل تكلفة خلال أشهر قليلة.
لماذا يهمك هذا
بالنسبة لمشرفي البرمجيات، يعني هذا أن مراجعة التصحيحات ستصبح أهم من اكتشاف الثغرات نفسها. فقد صاغ نظام OpenAI إصلاحات مرشحة، لكن الشركة أكدت أن المراجعين البشريين والمشرفين يبقون مسؤولين عن التحقق من هذه الإصلاحات وتنفيذها. أما بالنسبة لمصنّعي الأجهزة المتصلة، بما في ذلك الأجهزة القابلة للارتداء والنظارات الذكية التي تعمل بأنظمة مبنية على لينكس، فإن سرعة اكتشاف الثغرات ترفع من أهمية التحديثات الفورية. وبالنسبة للمستخدمين العاديين، يبقى الخطر القريب نظريًا إلى حد كبير، لأن هذه الاستغلالات تتطلب أولًا وصولًا محليًا إلى الجهاز. وتقيّد OpenAI أدواتها الأكثر قدرة لتكون متاحة فقط للمدافعين المعتمدين عبر برنامج Daybreak Red، لكنها حذّرت من أن المهاجمين ذوي الوصول المحدود إلى أنظمة قديمة قد يستخدمون الذكاء الاصطناعي بشكل متزايد لتصعيد صلاحياتهم.
السؤال الأكبر
إذا كانت أنظمة الذكاء الاصطناعي قادرة على اكتشاف واستغلال مئات الثغرات في كود ناضج وخاضع لتدقيق مكثف بتكلفة تبلغ نحو 1,279 دولارًا لكل ثغرة، فإلى متى يمكن للمدافعين البقاء متقدمين على المهاجمين الذين يستخدمون الأدوات ذاتها؟ تُقدّم OpenAI نتائجها بوصفها انتصارًا لجانب الدفاع، إذ يمكن إصدار التصحيحات قبل أن يعثر المجرمون على الثغرات نفسها. لكن الأتمتة ذاتها قد تصل إلى جهات أقل التزامًا بالأخلاقيات مع تراجع تكلفة النماذج القوية. ومن يتحكم في الوصول إلى هذه الأدوات قد يحدد الجانب الذي سيستفيد أكثر.
ما الذي يجب مراقبته
نشرت OpenAI نتائجها الخاصة بلينكس يوم الأربعاء، من دون تحديد موعد إصدار عام للنموذج الأمني الأحدث المستخدم في أكتوبر. ويواصل برنامج Daybreak Red استقطاب مدافعين معتمدين للعمل على أبحاث الثغرات والتخفيف من آثارها. ترقّبوا ردّ فعل مشرفي نواة لينكس على الثغرات المُفصح عنها، وما إذا كانت Anthropic أو مختبرات أخرى ستنشر أعدادًا مماثلة من الاستغلالات.
