أكثر من 100 شركة تحذر من هجمات AI، لكن الرسالة بلا مواعيد ملزمة
في 27 أغسطس 2026، حذرت أكثر من 100 شركة وجهة، بينها OpenAI وAnthropic وGoogle وMicrosoft، من أن الهجمات السيبرانية المدعومة بالذكاء الاصطناعي قد تصبح أوسع وأكثر تعقيدًا خلال الأشهر المقبلة. وتقول رسالة التحرك الجماعي إن الخطر يمتد إلى المستشفيات ومحطات معالجة المياه والبنية التحتية التي تشغّل الإنترنت.
وفي اليوم نفسه، دعت الشركات والجهات الموقعة المؤسسات والحكومات وموردي التقنية إلى إصلاح نقاط الضعف الخطرة، والتحقق من النتائج، وتقليص الصلاحيات، وتشديد الوصول، وبناء دفاع متعدد الطبقات. لكن تغطية Axios أوضحت أن الرسالة لم تتضمن التزامات أو مواعيد نهائية أو استثمارات محددة؛ فهي دعوة طوعية وليست معيارًا تنظيميًا أو خطة ممولة.
ما الذي تطلبه الرسالة فعليًا؟
تنطلق الرسالة من أن مستوى الحماية المعتاد لن يكفي إذا جعل الذكاء الاصطناعي القدرات الهجومية المتقدمة أقل تكلفة وأسهل وصولًا. وهي تحدد مشكلات متراكمة تشمل البرمجيات غير المحدثة، والإعدادات الخاطئة، والمصادقة الضعيفة، والصلاحيات المفرطة، والديون التقنية في الأنظمة القديمة.
الطلب المباشر إلى المؤسسات هو جعل الدفاع السيبراني أولوية قيادية فورية، ثم معالجة نقاط الضعف الأعلى خطرًا والتحقق من نجاح الإصلاح من دون تعطيل الخدمات الأساسية. وإذا تعذر ترقيع نظام حيوي بأمان، تدعو الرسالة إلى تطبيق ضوابط تعويضية واختبارها، بدل الاكتفاء بتسجيل الخطر أو تأجيله بلا حماية بديلة.
وتوزع المسؤولية على أطراف أخرى أيضًا. يُطلب من شركات الأمن والتقنية اختبار دفاعاتها باستمرار، ومشاركة معلومات التهديد وخطط الاستجابة المجربة، ومساعدة مشغلي البنية التحتية على نشر الأدوات والتحقق من الإصلاحات. أما الحكومات، فالدعوة موجهة إليها لتنسيق الاستجابة وتمويل الخدمات الأساسية محدودة الموارد، بينما تُطالب شركات نماذج الذكاء الاصطناعي المتقدمة بتوفير وصول مسؤول وتمويل كبير وتدريب ودعم عملي.
أولوية تنفيذية للمؤسسات خلال 30 يومًا
لا تضع الرسالة برنامجًا مدته 30 يومًا. لكن يمكن تحويل مبادئها إلى دورة أولى قصيرة لمشغلي المستشفيات والمياه والاتصالات وغيرها من الخدمات الحيوية في الشرق الأوسط وشمال أفريقيا. الترتيب الآتي اقتراح تحريري مستقل، ولا يمثل تعهدًا من الشركات الموقعة:
- الأيام 1–5: حصر الخدمات التي يسبب توقفها ضررًا مباشرًا للمرضى أو إمدادات المياه أو الاتصالات أو التشغيل الأساسي. يُسمى مسؤول تنفيذي وآخر تقني لكل خدمة، وتبدأ المراجعة بالأصول المكشوفة للإنترنت والحسابات ذات الامتيازات المرتفعة.
- الأيام 6–12: ترتيب نقاط الضعف بحسب قابلية الاستغلال وأثرها في الخدمة، ثم إصلاح الأعلى خطرًا أولًا. عندما يتعذر التحديث من دون توقف غير مقبول، تُستخدم ضوابط تعويضية قابلة للاختبار، مثل عزل الوصول وتقليص المسارات المسموح بها.
- الأيام 13–20: مراجعة الحسابات الإدارية والخدمية وحسابات الموردين والمتعاقدين، وإلغاء الصلاحيات التي لا تتطلبها المهمة، وفرض مصادقة قوية على المسارات الحساسة حيثما كان ذلك ممكنًا.
- الأيام 21–26: اختبار الإصلاحات والضوابط التعويضية في ظروف تحافظ على استمرارية الخدمة. معيار الإنجاز هنا هو إثبات إغلاق مسار الهجوم أو خفض خطره، لا مجرد توثيق تثبيت تحديث أو تغيير إعداد.
- الأيام 27–30: إجراء تمرين قصير لاكتشاف حادث افتراضي وعزل الجزء المتأثر واستمرار التشغيل والتواصل بين فرق الأمن والتشغيل والإدارة. تُسند كل فجوة باقية إلى مسؤول داخلي وموعد داخلي، من دون تقديمه بوصفه مهلة صادرة عن الرسالة.
هذه الدورة لا تتطلب شراء منتج من إحدى الجهات الموقعة. قيمتها في تحديد الخدمات الحرجة، وإغلاق المسارات الأخطر، وإثبات أن الضوابط تعمل، وهي نتائج يمكن للمؤسسة قياسها داخل بيئتها الحالية.
نافذة الاستعداد قد تكون بضعة أشهر
التحذير الزمني الوارد في الرسالة تقديري، لا موعد تقنيًا ثابتًا. وأفادت تغطية CBS News المنشورة في 27 أغسطس بأن النافذة المتاحة لتعزيز الدفاعات قد لا تستمر سوى بضعة أشهر، مع توقع قدرة التقنية قريبًا على دعم هجمات متطورة ضد الشركات والمؤسسات.
لا تعني عبارة «بضعة أشهر» أن نوعًا جديدًا من الهجمات سيبدأ في تاريخ واحد، ولا أنها مهلة امتثال. يتباين التعرض بين مؤسسة وأخرى بحسب الأنظمة المكشوفة، وقوة المصادقة، واتساع صلاحيات الحسابات، وسرعة اكتشاف الحوادث، والقدرة على فصل البيئات الحساسة.
كما تختلف سرعة المعالجة داخل البنية التحتية الحيوية عنها في بيئة يمكن إيقافها بسهولة. تحديث نظام طبي أو صناعي قد يتطلب نافذة صيانة واختبارات سلامة وموافقة المورد؛ ولهذا تربط الرسالة الإصلاح بالتحقق واستمرار الخدمة، وتسمح بضوابط تعويضية عندما يكون الترقيع المباشر خطرًا تشغيليًا.
ما الذي لم تتعهد به الشركات؟
الحد الأهم في الخبر أن الرسالة تصف ما ينبغي فعله، لكنها لا تحول هذه المطالب إلى التزامات قابلة للإنفاذ. حتى دعوتها شركات الذكاء الاصطناعي إلى تقديم تمويل «كبير»، والحكومات إلى تمويل الخدمات محدودة الموارد، لا تحدد مبلغًا أو جهة مستفيدة أو آلية توزيع.
- لا تمويل محدد: لم تُعلن مبالغ مخصصة للمستشفيات أو مرافق المياه أو المناطق الجغرافية.
- لا مواعيد نهائية: لا يوجد تاريخ ملزم لتوفير الأدوات أو إغلاق نقاط الضعف أو إطلاق برامج الدعم.
- لا مقاييس إلزامية مشتركة: تقترح الرسالة قياس عدد المؤسسات المحمية وسرعة احتواء الهجمات وفعالية الإصلاحات، لكنها لا تحدد خط أساس أو حدًا أدنى للنجاح أو جهة تدقيق مستقلة.
- لا صفة تنظيمية: الانضمام إلى الرسالة لا ينشئ معيار امتثال، ولا يحل محل قواعد الجهات الوطنية المنظمة ومتطلبات القطاعات الحيوية.
إذن، المؤكد هو اتفاق واسع على تشخيص الخطر وعلى أولويات دفاعية يمكن البدء بها فورًا. أما القيمة العملية للتحالف فستتضح عندما تظهر برامج ممولة، وجداول تنفيذ، وشروط وصول للمؤسسات محدودة الموارد، ونتائج قابلة للمقارنة تثبت أن الإصلاحات تعمل؛ وهي تفاصيل لم تتضمنها الرسالة عند نشرها.
اقرأ أيضًا:
اشترك في نشرتنا الإخبارية
احصل على أحدث أخبار الويب 3 والذكاء الاصطناعي والعملات المشفرة مباشرة في بريدك.