الذكاء الاصطناعي الذي يكتشف الثغرات الأمنية: ماذا يعني Glasswing ومعرّفات CVE الجديدة لك

ما هو مشروع Glasswing؟

مشروع Glasswing مبادرة أعلنتها Anthropic في 7 أبريل 2026 لاستخدام نماذج متقدمة في العمل الدفاعي على البرمجيات الحيوية والبرمجيات المفتوحة المصدر. وتقول Anthropic إن شركاءها في الإطلاق يستخدمون Claude Mythos Preview ضمن عملهم الأمني الدفاعي، وإنها ستشارك ما تتعلمه. ^[2] وفي إعلانها عن Cyber Mission بتاريخ 8 أكتوبر 2026، قالت Anthropic إنها دمجت مشروع Glasswing في برنامجها الموسّع Cyber Verification Program في وقت سابق من ذلك الأسبوع. ^[5] ولا تدل هذه التسمية على ثغرة في منتج استهلاكي بعينه، وليست تحذيراً من أن كل حاسوب قد تأثر.

تأتي القيمة الخبرية من تغيّر في مسار الاكتشاف. فالبرمجيات احتوت دائماً على عيوب؛ والنموذج القادر قد يساعد الباحثين على فحص قدر أكبر من الشيفرة وتوليد عدد أكبر من التقارير المرشّحة. لكن التقرير المرشّح ليس سوى البداية. فلا بد من إعادة إنتاج المشكلة، وتقييم صلتها بالأمن، والإفصاح عنها بأمان، وإصلاحها، وإصدار الإصلاح، ثم تثبيته لدى المستخدمين المتأثرين. ولوحة معلومات Anthropic نفسها تصف الفرز الذي تجريه شركات خارجية وتقول إن المراجعة المستقلة هي الخطوة التي تحدّ من وتيرة العمل. ^[1]

لذلك فإن الإجراء الفوري لعامة الناس ليس البحث عن Glasswing ولا محاولة تحديد العيوب بأنفسهم. السؤال المفيد هو: هل أصدر مورّد الجهاز أو التطبيق تحديثاً أمنياً مشروعاً لمنتج يُستخدم فعلاً؟ فإن كان قد فعل، فثبّته عبر آلية التحديث المعتادة في الجهاز أو عبر قناة الدعم الرسمية للمورّد.

قد يحسّن الاكتشاف بمساعدة الذكاء الاصطناعي أمن البرمجيات في نهاية المطاف، لكنه قد يولّد أيضاً عبئاً كبيراً من أعمال التحقق. ولهذا يكتسب الإفصاح المسؤول أهميته: فنشر تفاصيل الاستغلال قبل توافر إصلاح قد يضر بالمستخدمين، وإرسال تقارير رديئة الجودة قد يُغرق الأشخاص الذين يتولون صيانة برمجيات مهمة. والنتيجة العملية أن عدد النتائج المبلَّغ عنها ليس إحصاءً مباشراً للخطر الذي يتعرض له القارئ.

ماذا تقيس فعلاً الأرقام المرتبطة بمشروع Glasswing؟

حُدّثت لوحة معلومات الإفصاح المنسّق عن الثغرات لدى Anthropic آخر مرة في 2 نوفمبر 2026. وهي تفيد بوجود 37,966 نتيجة مرشّحة، و6,376 نتيجة راجعتها شركات أمن خارجية، و6,009 نتائج تأكدت صحتها، و5,087 ثغرة أُفصح عنها في 680 مشروعاً مفتوح المصدر، و629 ثغرة أُصلحت في المصدر الأصلي، و733 معرّفاً تتألف من 230 معرّف CVE و503 من إشعارات GitHub Security Advisories. ^[1] ويجمع الإجمالي البالغ 5,087 بين 1,862 نتيجة أُبلغ بها بعد فرز خارجي و3,225 نتيجة أبلغت بها Anthropic القائمين على الصيانة مباشرة، وهي مجموعة تصفها الصفحة بعبارة «قد تحتوي على إيجابيات كاذبة». ^[1] ولا تستخدم الصفحة اسم Glasswing؛ بل تصف نتائج صادرة عن نماذج Claude، ومنها نسخة مبكرة من Claude Mythos Preview، اكتُشفت بين 1 نوفمبر 2025 و2 نوفمبر 2026. ^[1] وهذه مراحل مختلفة، فلا ينبغي جمعها معاً ولا التعامل معها على أنها رقم واحد لعدد المستخدمين المتأثرين.

تحذّر لوحة المعلومات صراحةً من أن معدل الإيجابيات الحقيقية ليس سوى مؤشر تقريبي واحد على الأثر. وتقول إن نسبتها البالغة 94.2% تستند إلى 6,009 نتائج تأكدت صحتها من أصل 6,376 نتيجة مرشّحة راجعتها الشركات، وإن هذه الفئة تشمل أخطاء حقيقية تبيّن لاحقاً أنها مكررة أو أن إصلاحها غير مرجّح. وتعدّ عدد الإصلاحات مؤشراً أكثر موثوقية لكنه متأخر. ^[1] ولهذا التوضيح أهميته، لأن النموذج وشركة الفرز والقائم على صيانة المشروع قد يقدّرون درجة الخطورة تقديرات مختلفة.

ونشرت VulnCheck تحليل تتبع مستقلاً في 9 نوفمبر 2026. وتقول إن منهجيتها تجمع بين سجلات CVE، وإشعارات GitHub Security Advisories، وإيداعات نواة Linux، وسجل Anthropic، مع عمليات تحقق يدوية. وأفادت بوجود 442 معرّف CVE يمكن نسبتها إلى Anthropic بعد سبعة أشهر، وقدّرت ذلك بنحو 0.5% من أصل 93,450 معرّف CVE نُشرت هذا العام، وقالت إن اثنين فقط من الـ442 استُغلّا فعلياً في هجمات واقعية عند تتبعها مقابل VulnCheck KEV، وهو فهرسها الخاص للثغرات المعروف استغلالها. ^[4] وعند قراءة السجل العلني لدى Anthropic، أحصت VulnCheck كذلك 7,349 نتيجة من أصل 37,966 (19.4%) على أنها أُعلنت للعموم و217 نتيجة موسومة بأنها أُصلحت، وهو ما يختلف عن الـ629 التي تفيد لوحة المعلومات نفسها بأنها أُصلحت في المصدر الأصلي. ^[1][4] وهذه الأرقام تحليل مستقل له طريقته الخاصة في النسبة؛ وينبغي تقديمها على أنها إحصاءات VulnCheck، لا على أنها إجمالي رسمي لمشروع Glasswing.

يمكن أن تكون الإحصاءات المختلفة كلها صادقة وهي تقيس أشياء مختلفة. فالنموذج قد يولّد نتيجة مرشّحة. وشركة أمن قد تتحقق من صحتها. والقائم على الصيانة قد يستلمها، أو يرفضها، أو يعدّها مكررة، أو يصلحها دون إشعار أمني، أو ينشر إشعاراً أمنياً. وقد يُخصَّص معرّف CVE قبل أن يصل الإصلاح إلى المستخدمين. وقد يوجد الإصلاح دون أن يُثبَّت. وقراءة التسمية المكتوبة بجانب الرقم أهم من ترديد أكبر رقم متاح.

والخلاصة على مستوى القارئ متواضعة: الأدلة العلنية تُظهر نشاطاً كبيراً في الاكتشاف والمراجعة، إلى جانب استمرار الاختناق في مرحلة المعالجة. وهي لا تُظهر أن 37,966 عيباً قابلة للاستغلال على جهاز واحد، ولا أن 442 معرّف CVE تحدد تهديداً مشتركاً واحداً. ^[1][4]

ما هو معرّف CVE، وهل وجوده يعني أنك في خطر؟

CVE اختصار لعبارة Common Vulnerabilities and Exposures، أي الثغرات ونقاط الانكشاف الشائعة. ويصف برنامج CVE مهمته بأنها تحديد ثغرات الأمن السيبراني المُفصح عنها علناً وتعريفها وفهرستها. ^[3] ويساعد معرّف CVE المورّدين وفرق الأمن والمستخدمين على الإشارة إلى المشكلة نفسها. وهو ليس برمجية خبيثة، وليس إصلاحاً، ولا يثبت وقوع استغلال على هاتف أو حاسوب أو حساب بعينه.

يعتمد الخطر على المنتج والإصدار والإعدادات ومدى الانكشاف. فقد لا تمسّ المشكلة سوى إصدار معيّن من البرنامج، أو ميزة معطّلة، أو منتج خوادم لا تطبيقاً استهلاكياً، أو تهيئة لا يستخدمها القارئ العادي. والمقال الذي يتناول معرّف CVE ويغفل ذكر المنتج المتأثر والإصدار الذي يتضمن الإصلاح لا يكفي لتشخيص حالة جهاز.

التسلسل المعقول هو: حدّد المنتج بدقة والإصدار المثبَّت؛ ثم راجع الإشعار الأمني أو صفحة التحديثات الخاصة بالمورّد نفسه؛ ثم ثبّت تحديث المورّد إذا كان المنتج متأثراً؛ ثم اتبع أي خطوات تخفيف إضافية يوصي بها المورّد. لا تنزّل «إصلاحاً» من منشور على وسائل التواصل أو إعلان أو رسالة دردشة أو موقع شبيه بالموقع الأصلي. فالعناوين الأمنية تجتذب عادةً تنزيلات مزيفة وعمليات احتيال باسم الدعم الفني.

تُخصَّص بعض معرّفات CVE بعد انقضاء مهلة إفصاح منسّق؛ وقد تصبح أخرى علنية قبل أن تُنشر الإصلاحات على نطاق واسع. وتشير لوحة معلومات Anthropic إلى أن سجلات CVE وGHSA العلنية تُخصَّص لنتائجها سواء صدر إصلاح أم لم يصدر، وأن القائمين على الصيانة هم من يقررون إنشاء إشعار أمني من عدمه. ^[1] ولهذا يجب أن يُقرن وجود معرّف CVE بإرشادات المورّد الفعلية.

وبالنسبة إلى معظم الناس، تكمن قيمة أخبار CVE في إدراك أن التحديثات مهمة. وهي ليست دعوة إلى تشغيل شيفرة استغلال، ولا إلى فحص أنظمة الآخرين، ولا إلى اتخاذ قرار بشأن منتج استناداً إلى معرّف واحد فقط.

هل يجعل اكتشاف الذكاء الاصطناعي مزيداً من الثغرات الجميعَ أقل أماناً؟

ليس تلقائياً. فزيادة الاكتشاف قد تساعد المدافعين حين يجري التحقق من النتائج والإفصاح عنها بمسؤولية وإصلاحها قبل أن يستخدمها المهاجمون. وقد تكشف أيضاً عن مشكلة في الطاقة الاستيعابية حين يرتفع عدد التقارير بوتيرة أسرع من قدرة القائمين على الصيانة على تقييمها وإصلاحها. ولوحة المعلومات العلنية لدى Anthropic وإعلانها عن Cyber Mission بتاريخ 8 أكتوبر 2026 يصفان كلاهما المراجعة البشرية وطاقة القائمين على الصيانة والإصلاح بأنها أجزاء أساسية من العملية. ^[1][5]

تقول Anthropic إن أداتها الاختيارية OSS Scanner يمكن أن ترسل تقارير يولّدها النموذج دون مراجعة بشرية إلى القائمين على الصيانة الذين لديهم القدرة على استقبالها. وتقول صفحة Cyber Mission إن ذلك قد يجعل التقارير أسرع، لكنه يعني أن بعض التقارير قد يتضمن معلومات غير دقيقة، ومنها تقدير خاطئ لدرجة الخطورة. وتقول إن المشاريع الأخرى ستواصل تلقّي إفصاحات تحقق منها بشر بموجب سياستها للإفصاح المنسّق. ^[5] وهذا تمييز مفيد: الاكتشاف الآلي قابل للتوسع، أما التحقق فما زال قراراً يتخذه أشخاص يعرفون سياق المشروع.

ويقدّم تحليل VulnCheck ثقلاً موازناً للعناوين التي تتحدث عن حجم الاكتشاف. فهو يتساءل عن الطريقة التي ينبغي بها تفسير الإجماليات المنشورة ومعدل الإيجابيات الحقيقية، ويرى أن عبء الفرز ينتقل إلى القائمين على صيانة المشاريع المفتوحة المصدر، ويحصي 442 معرّف CVE منسوبة إلى Anthropic، ويقول إن اثنين منها استُغلّا فعلياً في هجمات واقعية وفق تتبعه الخاص للثغرات المعروف استغلالها. ^[4] وانخفاض الاستغلال المرصود في مجموعة بيانات حديثة العهد ليس دليلاً على أن العيوب الباقية غير مؤذية؛ وبالمثل، ارتفاع عدد النتائج ليس دليلاً على استغلال جماعي وشيك. وكلا الادعاءين يتجاوز ما تقوله الأرقام.

بالنسبة إلى القائم على الصيانة أو فريق الأمن، تتعلق المسألة بجودة الفرز، وقابلية إعادة الإنتاج، ودرجة الخطورة، وإمكانية الإصلاح، وتنسيق الإفصاح. أما بالنسبة إلى المستخدم العادي، فالمسألة أبسط كثيراً: استخدم برمجيات مدعومة، وثبّت التحديثات الرسمية، وتشكّك في الادعاءات التي تزعم أن مشروع ذكاء اصطناعي حديث التسمية يعني أن جهازاً شخصياً قد اختُرق بالفعل.

يتحسن الأمن حين يعمل الاكتشاف والتحقق والإصلاح معاً. والاكتشاف وحده ليس خط النهاية. فالخطأ الذي لا يستطيع أحد إعادة إنتاجه أو الإصلاح الذي لا ينشره أحد لا يوفّران الحماية نفسها التي يوفّرها إصلاح متحقَّق منه ومثبَّت على النظام المتأثر.

ماذا ينبغي أن يفعل المستخدمون العاديون بعد عنوان عن ثغرات يكتشفها الذكاء الاصطناعي؟

أولاً، تبيّن هل يسمّي المقال منتجاً تستخدمه فعلاً. تجاهل العبارات العامة مثل «الذكاء الاصطناعي عثر على آلاف الأخطاء» إلى أن يربط إشعار رسمي من المورّد مشكلةً بمنتج وإصدار محددين. فرقم CVE من دون بيان بالمنتج المتأثر لا يكفي للحكم بأن حاسوباً محمولاً أو هاتفاً أو حساباً في خطر. ^[3]

ثانياً، حدّث عبر المسار الموثوق المعتاد: شاشة التحديث المدمجة في الجهاز، أو أداة التحديث الرسمية للبرنامج، أو صفحة الدعم الأصلية للشركة المصنّعة. لا تستخدم روابط تصلك في رسائل غير متوقعة. فالمحتال قد يستغل خبراً أمنياً حقيقياً ليدفع إليك أداة تثبيت مزيفة، أو يطلب كلمة مرور، أو يطالب بمبلغ مقابل «حماية عن بُعد».

ثالثاً، حافظ على أساسيات أمن الحسابات. استخدم كلمات مرور فريدة، وفعّل المصادقة المتعددة العوامل حيثما توافرت، واحتفظ بنسخ احتياطية، وأبقِ معلومات الاسترداد محدّثة. هذه الممارسات لا تُصلح عيباً برمجياً، لكنها تقلّل الضرر الناتج عن الطرق الشائعة لاختراق الحسابات وتجعل التعافي أسهل إذا اقتضى الأمر إعادة ضبط الجهاز أو استبداله.

رابعاً، تحقق مما إذا كان المنتج ما زال مدعوماً. فالجهاز الذي لم يعد يتلقى تحديثات أمنية يختلف وضعه من حيث المخاطر عن جهاز يتلقى إصلاحاً حديثاً من المورّد. وإذا قال المورّد إن المنتج لا يمكن تحديثه، فتجنّب التنزيلات المرتجلة وادرس بديلاً مدعوماً أو مسار إصلاح لدى مختص بحسب أهمية المنتج.

خامساً، إذا قال إشعار مشروع إن هناك حاجة إلى إجراء عاجل، فالتزم بنطاق ذلك الإشعار وجدوله الزمني. لا تطبّق تعليمات معقدة موجّهة إلى مسؤولي الأنظمة على نظام لا تديره. وفي أجهزة العمل أو المدرسة أو الأجهزة الطبية أو التجارية، أبلغ عن الإشعار عبر قناة تقنية المعلومات أو الأمن المخوّلة بدلاً من تغيير إعدادات قد تعطّل خدمة مُدارة.

كيف ينبغي أن يتعامل المطوّرون والقائمون على الصيانة مع تقارير الأخطاء التي يولّدها الذكاء الاصطناعي؟

ينبغي للمطوّرين والقائمين على الصيانة أن يعاملوا التقرير الذي يولّده الذكاء الاصطناعي على أنه خيط يُتتبَّع، لا حكماً نهائياً. تأكدوا من الإصدار المتأثر، وأعيدوا إنتاج السلوك بأمان في بيئة مصرّح بها، وحددوا الحدّ الأمني وقارنوه بنموذج التهديد الخاص بالمشروع. وقد تكون تصنيفات الخطورة المولَّدة قبل مراجعة القائم على الصيانة خاطئة، لأن صاحب التقرير قد لا يعرف سياق النشر. وتوضح لوحة معلومات Anthropic هذه النقطة بتمييزها بين تقييمات النموذج والشركة الخارجية والقائم على الصيانة. ^[1]

استخدموا إجراءً راسخاً للإفصاح عن الثغرات. فالتقرير المفيد يشرح المكوّن المتأثر، وحالة دنيا قابلة لإعادة الإنتاج، والافتراضات المتعلقة بالأثر، وقناة اتصال مسؤولة. لا تنشروا خطوات الاستغلال أو شيفرة إثبات المفهوم قبل الأوان. فالإفصاح المنسّق يمنح القائمين على الصيانة وقتاً للتحقق من المشكلة وإصلاحها قبل أن تصل التفاصيل التقنية إلى جمهور أوسع.

تتبّعوا نتيجة كل تقرير: صحيح، أو مكرر، أو خارج النطاق، أو لن يُصلح، أو قيد الانتظار، أو أُصلح، أو صدر بشأنه إشعار أمني. فذلك يُظهر الجودة الحقيقية لأداة الفحص ويمنع أن يصبح الحجم الخام للتقارير المرسلة مقياس نجاح مضللاً. وتشير Anthropic إلى أن عدد الإيجابيات الحقيقية لديها قد يشمل مشكلات صحيحة تبيّن لاحقاً أنها مكررة أو أن إصلاحها غير مرجّح، في حين يتتبع عدد ما أُصلح الإصلاحات الصادرة في المصدر الأصلي. ^[1]

وفي المشاريع التي تختار الانضمام إلى الإبلاغ الآلي بالجملة، ضعوا حدوداً للطاقة الاستيعابية ومساراً لتأكيد الاستلام قبل وصول التقارير. وتقول Anthropic إن أداتها OSS Scanner غير الخاضعة للمراجعة موجّهة إلى المشاريع القادرة على مواكبة النتائج التي تظهر. ^[5] وقد يكون عدد أقل من التقارير الجيدة التوثيق والقابلة لإعادة الإنتاج أعلى قيمة من عدد كبير من التنبيهات التخمينية.

وينبغي أن يقتصر الاختبار على الأنظمة والبرمجيات التي يملك المختبِر تصريحاً بتقييمها، باتباع الإجراء الأمني الموثّق للمشروع.

ماذا يغيّر 442 معرّف CVE ومشروع Glasswing بالنسبة إليك؟

إنهما يغيّران السياق أكثر مما يغيّران قائمة الإجراءات الفورية. فرقم 442 الصادر عن VulnCheck هو إحصاء أجراه باحث لمعرّفات CVE المنسوبة بعد سبعة أشهر، في حين تعرض لوحة معلومات Anthropic مسار عمل أوسع يضم النتائج المرشّحة والفرز والإفصاحات والإصلاحات. وتُظهر الأرقام أن الاكتشاف الآلي قادر على توليد قدر كبير من العمل. لكنها لا تحدد منتجاً استهلاكياً واحداً يجب على كل قارئ أن يحدّثه. ^[1][4]

الدرس الباقي هو أن للنتيجة الأمنية دورة حياة. فالنتائج المرشّحة تحتاج إلى تحقق. والثغرات الصحيحة تحتاج إلى إفصاح منسّق. والمورّدون المتأثرون عليهم إصدار الإصلاحات. والمستخدمون والمؤسسات عليهم تثبيت تلك الإصلاحات. ولوحة معلومات Anthropic تصف صراحةً مرحلتي الفرز البشري والقائمين على الصيانة، وتقول صفحة Cyber Mission إن التحقق والإفصاح والإصلاح ما زالت بطيئة ومعتمدة على البشر. ^[1][5]

وبالنسبة إلى المستخدمين العاديين، تبقى أفضل استجابة هادئة ومحددة: حدّث نظام التشغيل والمتصفح والتطبيقات والبرنامج الثابت للجهاز من القنوات الرسمية؛ واحتفظ بنسخ احتياطية من البيانات المهمة؛ ولا تثق بغرباء يستخدمون اسم ثغرة جديدة للمطالبة بصلاحية وصول أو بمال. فالمبادرة الحسنة التسمية أو قائمة CVE الطويلة ليست تشخيصاً شخصياً.

أما المختصون، فعليهم أن يقيسوا الأدوات الدفاعية بالنتائج المتحقَّق منها والمعالَجة وبالعبء الواقع على القائمين على الصيانة، إضافة إلى عدد النتائج المرشّحة المكتشفة. فهذا الإطار ينصف الوعد الذي يحمله الاكتشاف الأسرع كما ينصف العمل العملي اللازم لتحويل تقرير إلى برمجيات أكثر أماناً.