Anthropic تفحص البرمجيات المفتوحة مجانًا، والتقارير بلا مراجعة بشرية

في 8 أكتوبر 2026، أعلنت Anthropic في بيان إطلاق Cyber Mission تدشين OSS Scanner، وهي خدمة اختيارية تفحص المشاريع المفتوحة المقبولة دوريًا بأقوى نماذج الشركة ومن دون رسوم. تتلقى جهات الاتصال في تلك المشاريع تقارير عن ثغرات محتملة مولّدة بالنموذج من غير مراجعة بشرية مسبقة، بالتزامن مع برنامج منفصل لمساندة الجهات التي تحمي البنية التحتية الحيوية. يختصر هذا المسار زمن وصول البلاغ، لكنه يترك للمشرفين تحديد ما إذا كانت المشكلة قابلة لإعادة الإنتاج وما إذا كان الإصلاح المقترح مناسبًا.

بحسب تغطية SiliconANGLE، راجع خبراء 97 نتيجة عالية أو حرجة من نسخة مبكرة للماسح عبر 48 مشروعًا، واستوفت 85 منها شروط الإفصاح المنسق؛ ومن البقية كانت 11 عيوبًا حقيقية مكررة وواحدة غير صحيحة، فيما وصف أنطون أرابوف من OpenSSL Corporation البلاغ المصحوب باستغلال فعلي بأنه «basically job done for an engineer». هذه عينة خضعت لتقييم متخصص قبل توسيع الخدمة، فلا تعطي معدل دقة مضمونًا لكل مشروع ينضم إليها.

أهلية المشاريع وطريقة الانضمام

يستهدف OSS Scanner المشاريع الراسخة التي تؤثر في سلامة البنية التحتية وأمن المستخدمين. يُنظر في الطلبات حالةً بحالة، مع اعتبار مدى تعرض الشفرة لهجمات عن بُعد، وعدد المستخدمين أو المشاريع التي تعتمد عليها. لذلك لا يكفي أن يكون المستودع متاحًا للعموم؛ فخدمة الفحص المجاني مخصصة للمشاريع المقبولة القادرة أيضًا على التعامل مع البلاغات التي ستصلها.

يقدم أحد المشرفين الأساسيين طلب الانضمام عبر إضافة إعداد للمشروع في مستودع Anthropic المخصص للخدمة. يحدد الإعداد مستودع الشفرة وعنوان البريد الأساسي لاستقبال البلاغات، ويهيئ ملف بناء من نوع Dockerfile حتى يستطيع الماسح تحليل المشروع. تتحقق الشركة يدويًا من صفة المشرف قبل قبول الطلب. هذه مراجعة لهوية من يسجل المشروع، ولا تمتد إلى فرز النتائج الأمنية التي سيرسلها النموذج لاحقًا.

يمكن للمشرفين إضافة نموذج تهديد يحدد الشفرة الداخلة في نطاق الفحص، والمدخلات التي تعد عدائية، وطريقة تصنيف الخطورة، وشكل البرهان أو الرقعة المفضل لديهم. إذا غابت هذه التوجيهات، يتخذ الماسح تقديراته الخاصة عند الحالات الملتبسة. ويُبنى المشروع أولًا باستخدام ملف Dockerfile، ثم يعمل وكيل الفحص في بيئة معزولة بلا اتصال بالإنترنت؛ ومن ثم تؤثر قابلية بناء المشروع وتحديد نطاقه في نوع البلاغات التي يمكن تلقيها.

ماذا يتلقى المشرف بعد الفحص؟

بعد قبول المشروع وفحصه أول مرة، تصل حزمة من البلاغات إلى عنوان البريد المحدد. تتضمن المنظومة وكلاء آليين لمراجعة المشكلات المقترحة وتحليل أسبابها واقتراح إصلاحات، لكن وجودهم لا يعني تدقيقًا بشريًا قبل الإرسال. وبعد الجولة الأولى تتكرر عمليات المسح بحثًا عن ثغرات جديدة أو مشكلات فاتت الجولات السابقة، من دون وتيرة ثابتة معلنة؛ إذ تتأثر بالضغط على الخدمة وعدد المشاريع المشاركة.

يضم البلاغ شرحًا للثغرة وطريقة مستقلة لإعادة إنتاجها، وقد يحدد التغيير الذي أدخل المشكلة أو يقترح رقعة إذا أمكن توليدها. وجود هذه العناصر يتيح للفريق فحص الادعاء داخل سياق شفرته بدل التعامل مع تنبيه عام، لكن الرقعة المقترحة تظل مسودة تحتاج اختبار أثرها على سلوك المشروع. والمجانية هنا تعني أن Anthropic تتحمل كلفة تشغيل الماسح؛ أما الوقت اللازم لفهم النتائج والتحقق منها فيبقى ضمن عمل المشرفين.

يرسل النظام النتائج بالبريد حاليًا، ويمكن للإعداد أن يضيف مستلمين آخرين أو مفتاح GPG لتشفير الرسائل. إذا اختار المشروع التشفير، يقتصر الإرسال على عنوان الاتصال الأساسي ولا تُضاف نسخ إلى عناوين أخرى. هذه التفاصيل مؤثرة عند تقرير من سيتلقى معلومات عن ثغرة محتملة قبل إصلاحها، خصوصًا في المشاريع التي يوزع فيها أكثر من مشرف مسؤولية الأمن والإصدار.

كيف يتعامل المشرف مع بلاغ غير مراجع؟

النتيجة الآلية ادعاء تقني قابل للاختبار، حتى عندما يتضمن البلاغ خطوات إعادة إنتاج ورقعة. قد تكون المشكلة مكررة، أو يكون تصنيفها مبالغًا فيه، أو يفترض النموذج مدخلًا لا يستطيع المهاجم بلوغه في الاستخدام الفعلي للمشروع. لذلك يبدأ التقييم من إعادة إنتاج السلوك الموصوف، ثم مطابقته لنموذج التهديد وحدود الاستغلال، قبل ترتيب أولوية الإصلاح أو اعتماد التغيير المقترح.

يوضح الاختبار المبكر لماذا لا يصح اختزال الجودة في نسبة واحدة: كان معيار قبول النتائج للإفصاح المنسق أشد من مجرد وجود عيب في الشفرة، لأن النتائج المكررة لا تضيف بلاغًا جديدًا. كما أن العينة اقتصرت على النتائج المصنفة عالية أو حرجة وخضعت لمراجعين متخصصين. قد يمنح الوصول المبكر إلى المخرجات فريقًا مستعدًا وقتًا إضافيًا للإصلاح، لكنه يضع أمامه أيضًا مهام الفرز التي كان ينفذها مسار الإفصاح البشري.

برنامج البنية التحتية يسير بالتوازي

الشق الآخر من Cyber Mission هو برنامج لدعم مزودي الحماية العاملين مع الشبكات الكهربائية والمياه والنقل وغيرها من الأنظمة التشغيلية. يتيح لهم نماذج Claude المتقدمة ومهندسين ميدانيين وأبحاث تهديدات، بينما يخاطب OSS Scanner مشرفي الشفرة المفتوحة عبر بلاغات تصل إلى بريد المشروع. تختلف بذلك الجهة المستفيدة وطريقة العمل، ولو ارتبط المساران بهدف تقصير المسافة بين اكتشاف الثغرة وإصلاحها.

الإفصاح والإيقاف بعد وصول البلاغ

توضح قواعد OSS Scanner أن النتائج غير المتحقق منها لا تخضع لمهلة إفصاح من 90 يومًا؛ وإذا تحققت Anthropic لاحقًا من بلاغ بشريًا عبر مسار الإفصاح المنسق، فقد يبدأ حساب تلك المهلة من إخطار المشرف بهذا التحقق. وهكذا لا تتحول رسالة آلية بمجرد وصولها إلى موعد تلقائي لنشر تفاصيل الثغرة. يبقى الفرق بين البلاغ الأولي والبلاغ الذي خضع للتحقق مهمًا لمن يقرر توقيت الإصلاح والإعلان.

يمكن للمشرف الرد على رسالة النتيجة بتقييمه لها، أو تعليق التقارير الآلية عبر إعداد المشروع، أو سحب المشروع من الخدمة. وعند الانسحاب تتوقف البلاغات غير المراجعة، ويعود المشروع إلى تلقي الإفصاحات البشرية عبر المسار المعتاد. يتيح ذلك للفريق ضبط حجم النتائج التي يستقبلها إذا تجاوزت قدرته على فرزها.

اقرأ أيضًا:

• Neno تجمع 6.6 ملايين يورو: المحاسب الآلي لا يعمل بلا مراجعة بشرية
• Claude Code Projects يوزع العمل بالتوازي، والتعارضات تبقى بشرية
• Premiere يصل إلى Android مجانًا: 4K بلا علامة وميزات AI مدفوعة