سباق على اكتشاف الثغرات وصراع على الإفصاح.. من يحاسب شركات التكنولوجيا؟

في العشرين من أكتوبر/تشرين الأول المنصرم، أُعلن على عجل عن ثغرتين خطيرتين في لغة البرمجة PHP المستخدمة في بناء ما يقرب من 70% من الإنترنت. في اليوم التالي صدر تحديث لسد الثغرتين، وتسابق مطورو المواقع لتحديثها أو حتى إغلاقها حتى يتأكدوا من إصلاح الثغرة. 

لكن المخترقين لم ينتظروهم، إذ رصدت Cloudflare آلاف المحاولات لاستغلال الثغرة بدأت قبل 10 ساعات من الإعلان عنها، وبالطبع قفزت إلى مئات الآلاف في غضون ساعتين فقط من الإعلان، إلى أن وصلت لملايين المحاولات وفق المدير التنفيذي للشركة التي تمر عبر شبكتها معظم حركة الإنترنت.

تتيح الثغرة لمن ينجح في استغلالها السيطرةَ الكاملةَ على الخادم الذي يستضيف الموقع، ما يمكّنه من الوصول إلى البيانات أو التلاعب بها، أو تخريب الخادم، أو الحصول على الشيفرة المصدرية للموقع. والاحتمال الأخير أخطر مما يبدو، لأن حصول المخترق على الشيفرة المصدرية يتيح له استخدام الذكاء الاصطناعي للبحث عن ثغرات جديدة خاصة بالموقع نفسه، خصوصًا إذا كان يمتلك أدوات AI متقدمة، وهو ما يعني أن الخطر قد يستمر حتى بعد إصلاح الثغرة الأصلية.

بناء على هذه الأخطار، أثار الإعلان عن الثغرة ضجةً عالميةً وذعرًا مستحقًا، وأغلقت العديد من المواقع ضمنها مواقع حكومية أوروبية وكندية، ودعت وكالة الأمن القومي الأمريكية NSA ومكتب التحقيقات الفيدرالي FBI الشركات لتثبيت تحديث سد الثغرة في أسرع وقت أو إغلاق مواقعها حتى ذلك.

لكن رغم كل هذا الاهتمام بالثغرة والأسئلة التي تطرحها عن دور AI في اكتشاف الثغرات والحماية منها، لم يسلط الضوء الكافي على كواليس اكتشافها وتعامل عمالقة الذكاء الاصطناعي معها.

بصمة رقمية تخفي التهديد

بدأت القصة في الأول من أغسطس/آب، حين اكتشف الباحث الأمني ريان أوستن الثغرة الأولى. وبعد أربعة أيام نشر تغريدة تحتوي على سلسلة غامضة من الحروف والأرقام كانت في الواقع بصمة رقمية توثّق اكتشافه دون الكشف عن تفاصيله، فهذه التقنية تثبت أن معلومات معينة كانت بحوزة صاحبها وقت النشر، دون إتاحتها للآخرين، وبالفعل لم يتضح مغزى التغريدة إلا بعد الإعلان عن الثغرة بأكثر من شهرين.

يوم 21 أغسطس، اكتشفت الثغرة الثانية عبر أوستن نفسه الذي يعمل مهندسًا في شركة Calif، المتخصصة في الأمن الرقمي بالاعتماد على الذكاء الاصطناعي، والتي تؤدي دورًا أساسيًّا في حملة أطلقتها شركة OpenAI للبحث عن الثغرات الأمنية. 

ورغم أن فريق Calif لم يتوقع العثور على ثغرات مهمة بعدما سبق لآخرين البحث عنها، فقد تمكن من اكتشاف الثغرتين اللتين تهددان أمن عدد هائل من مواقع الإنترنت. وكما يوضح الباحث الأمني فإن هذا الاكتشاف لم يكن نتيجة عمل الذكاء الاصطناعي وحده، إذ لا تزال النماذج اللغوية الكبيرة عاجزة عن اكتشاف مثل هذه الثغرات بمفردها، ويؤكد أن معرفته العميقة بلغة PHP وتاريخ ثغراتها كانت ضرورية لتوجيه نماذج الذكاء الاصطناعي نحو المسارات التي قادت إلى الثغرتين.

سباق على الاكتشاف

لم تكن Calif الشركة الوحيدة التي توصلت إلى الثغرة. ففي 19 أغسطس، اكتشفت شركة Wiz الإسرائيلية الأمريكية، التي استحوذت عليها Alphabet، الشركة الأم لجوجل، الثغرةَ بصورة مستقلة. وبينما أكد المدير التقني لشركة Wiz تعدد الجهات التي توصلت إلى الاكتشاف والطبيعة التعاونية للعمل على معالجته، أصرت Calif على أن مهندسها راين أوستن كان أول من اكتشف الثغرة، وهو ما يدل على منافسة الشركتين على أسبقية الاكتشاف والتقدير المرتبط به.

لكن أهمية ما حدث تتجاوز تحديد صاحب الاكتشاف الأول. فقد امتلكت الشركتان طوال الأسابيع التي سبقت الإعلان الرسمي معرفةً بثغرات أمنية خطيرة لم تتح لعموم مطوري المواقع والمستخدمين. وهي المعرفة التي تمنحهما قدرة محتملة على اختراق أعداد هائلة من المواقع المعرضة للثغرة، كما أشار أحد الباحثين المشاركين في الاكتشاف. هنا تظهر مسألة أخرى تتعلق بالجهات التي تمتلك هذه المعلومات، ومن يقرر مشاركتها مع الآخرين، والمدة التي تظل خلالها المواقع المعرضة للخطر دون علم أصحابها.

أبلغت الشركتان PHP بالثغرات، وتعاونتا معها لتطوير الإصلاحات اللازمة والتحقق من عدم وجود ثغرات أخرى مرتبطة بها، وهو جهد استخدمته الشركتان لتفسير الفترة الطويلة التي فصلت بين الاكتشاف الأول والإعلان الرسمي، إذ استغرق الوصول إلى الإصلاحات والتحقق منها وقتًا قبل إتاحتها للمستخدمين. وخلال هذه الفترة، نسّقتا أيضًا مع عدد من شركات التكنولوجيا الكبرى لضمان استعدادها لتطبيق التحديثات الأمنية فور صدورها.

يعني ذلك أن المعلومات المتعلقة بالثغرات لم تكن متاحة للجميع في الوقت نفسه، وأن بعض الشركات حصلت عليها قبل غيرها ضمن ترتيبات الإفصاح الأمني. وقد يكون لهذا التفاوت مبرر تقني يتعلق بمنع استغلال الثغرات قبل إصلاحها، لكنه يثير مسألة تتعلق بكيفية اختيار الجهات التي تحصل على هذه المعلومات، والسلطة التي تملكها الأطراف المشاركة في تحديد نطاق الإفصاح وتوقيته.

الصراع على توقيت الإفصاح

كان مقررًا إصدار التحديث الأمني لسد الثغرتين يوم الخميس 22 أكتوبر، لكن تسرب المعلومات عنهما أدى إلى تقديم موعد الإصدار يومًا كاملًا، إذ رصدت شركة أمازون محاولات لاستغلال الثغرة بدأت في 17 أكتوبر، أي قبل الإعلان الرسمي عنها بأربعة أيام، وفي يوم 20 أكتوبر، ظهرت معلومات مسربة عن الموعد الأصلي لإصدار التحديث على أحد المنتديات المهتمة بالأمن السيبراني نشرها شخص قال إنه علم بوجود الثغرة من "مصدر موثوق".

خلال الساعات التالية، انتشرت الأقاويل والتعليقات عن الثغرة في أوساط المتخصصين بالأمن السيبراني، وبدأ كثيرون محاولة اكتشافها واستغلالها. وزاد الموقف تعقيدًا بعد بث شركة Calif فيديو قالت إنه نُشر بالخطأ، يوثّق استغلال الثغرتين لاختراق عدة مواقع داخل بيئة اختبار محلية أعدّها الباحث لإثبات إمكانية استخدام الثغرة في اختراق أي موقع يستخدم نفس إطار العمل البرمجي/framework. ورغم تحويل الفيديو إلى حالة unlisted بعد وقت قصير، فإنه كشف بعض التفاصيل التي ساعدت على فهم طبيعة الثغرة. 

صحيح أن الفيديو لم يتضمن معلومات تقنية كثيرة، باستثناء فتاة أنيمي ترقص وبعض الأكواد البسيطة التي ظهرت في الخلفية، لكن هذه الأكواد، لا فتاة الأنيمي، قدمت للباحثين إشارات سهّلت عليهم اكتشاف الثغرة.

دفعت هذه التطورات مؤسسة PHP إلى الإعلان عن الثغرتين يوم 20 أكتوبر، قبل أن تكون التحديثات الأمنية جاهزة للنشر، ثم أصدرتها في اليوم التالي قبل الموعد الأصلي بيوم كامل. لكن الخلافات بشأن توقيت نشر الإصلاحات لم تنتهِ عند هذا الحد. ففي 21 أكتوبر، أصدرت شركة Chainguard تحديثًا لسد الثغرتين في حاوياتها البرمجية قبل أكثر من 6 ساعات من إصدار التحديث العام لجميع المستخدمين، وهو ما أثار غضب بي إتش بي، لأن إتاحة الإصلاح مبكرًا تمنح المخترقين فرصة لدراسته ومعرفة طبيعة الثغرات التي يعالجها، ومن ثم تسهيل استغلالها قبل أن يتمكن باقي المستخدمين من حماية مواقعهم.

أما دان لورينك، المدير التنفيذي لشركة Chainguard الذي اتخذ قرار نشر التحديث مبكرًا، فقد برر موقفه بأن المعلومات عن الثغرتين كانت قد بدأت تتسرب بالفعل، مع ظهور مؤشرات على استغلالهما، وأن فريق شركته استطاع اكتشاف الثغرات واستغلالها بسهولة.

 قناة شركة كاليف على يوتيوب- فيديو نشر قبل الإعلان الرسمي عن الثغرة قبل تحويله إلى unlisted 

ثغرات قديمة 

ليست الثغرات المذكورة حديثة، إذ تعود إلى إصدار PHP 5.4.0 عام 2012، ما يعني أنها ظلت موجودة لأكثر من عقد دون أن تُعالج، حتى أتى عصر الـAI الذي لم يقتصر دوره على المساعدة في اكتشافها، فقد ساهم أيضًا في جعل استغلالها ممكنًا.

في الواقع، اكتُشف أصل المشكلة للمرة الأولى عام 2020 على يد شخص مجهول لا نعرف عنه سوى بريده الإلكتروني jr@coredu.edu ، ثم اكتُشفت مشكلة مرتبطة بها مرة أخرى عام 2024، لكنها لم تُعالج، لأن المطورين لم يتمكنوا حينها من إيجاد طريقة لاستغلالها.

في الحالتين، اعتُبرت المشكلة مجرد خلل برمجي يصعب حدوثه يؤدي إلى وصول البرنامج إلى أجزاء من الذاكرة لم تُهيأ بعد بالبيانات المطلوبة، أو لا تزال تحتوي على بيانات متبقية من معالجة طلب سابق. وفي معظم الحالات، يؤدي هذا الخلل إلى حدوث خطأ في تنفيذ البرنامج، دون أن يتمكن أحد من استغلاله. لكن إذا أمكن ترتيب محتويات الذاكرة بطريقة معينة، فقد يتحول الخلل إلى ثغرة أمنية قابلة للاستغلال.

كان ترتيب محتويات الذاكرة بالدقة المطلوبة للاستغلال أمرًا بالغ الصعوبة في الماضي، لكن الذكاء الاصطناعي أتاح إمكانية إنشاء مدخلات شديدة التعقيد للموقع، مصممة بعناية للتأثير في طريقة تنظيم البيانات داخل الذاكرة، بما يسمح باستغلال الثغرة. ومع ذلك، لا تزال العملية صعبة، إذ تتطلب معرفة تفاصيل عن بيئة تشغيل الموقع، مثل إصدار بي إتش بي ونظام التشغيل وغيرها. كما يجب أن تصل البيانات المستخدمة في الاستغلال إلى الخادم نفسه، وأن يعالجها عامل التنفيذ نفسه داخل الخادم. ولهذا يحتاج استغلال الثغرة إلى قدر وافر من الحظ أو إلى تكرار المحاولة مرات عديدة، لكنه يظل ممكنًا مع توافر الوقت والموارد الكافية.

تنافُس على التقدير وتهرُّب من المساءلة

ما حدث أن الشركات تنافست على نيل التقدير لدورها في إنقاذ الإنترنت من ثغرة أمنية خطيرة، بينما تغيب مساءلتها عما جرى خلال الأسابيع التي امتلكت فيها معلومات تتيح استهداف أعداد هائلة من المواقع. ولا نعرف على أي أساس قررت مشاركة هذه المعلومات مع جهات دون غيرها، أو من منحها سلطة تحديد توقيت الإفصاح عنها. كما أنها لم تخضع حتى للمحاسبة على التسريبات المتهورة التي فاقمت الأزمة وعرّضت المواقع لمخاطر إضافية، وسط تنافس الشركات على أسبقية الاكتشاف والحصول على التقدير.

لا تقع المسؤولية على المهندس الذي اكتشف الثغرة بمساعدة شركات الذكاء الاصطناعي الكبرى، ووجد نفسه فجأة يمتلك معرفة تمنحه قدرة هائلة على اختراق المواقع. فهو اتبع الإجراءات التقليدية المتعارف عليها، وأبلغ  بي إتش بي أولًا، ثم توسعت دائرة الجهات التي حصلت على المعلومات تدريجيًا مع اقتراب موعد نشر التحديث الأمني، إنما تكمن المشكلة في أن هذه الأطر التقليدية لم تعد مناسبة للتعامل مع تهديدات بهذا الحجم، إذ تترك قدرات هائلة ومعلومات شديدة الحساسية تحت سيطرة عدد محدود من الأفراد والشركات والدول، دون مساءلة تتناسب مع حجم السلطة التي يمتلكونها.

تتجاوز الأسئلة التي تطرحها هذه الأزمة تفاصيل الثغرتين، وتمتد إلى كيفية إدارة المخاطر التي يخلقها تطور الذكاء الاصطناعي، والجهات التي تمتلك سلطة اتخاذ القرارات بشأنها، ومن شأن هذا أن يطرح تساؤلًا أكبر عن احتمال استغلال الأجهزة المخابراتية الأمريكية لمثل هذه الثغرات في انتهاك قواعد الإفصاح. بالتالي فإنه دون مساءلة حقيقية وأطر جديدة لتنظيم هذه السلطة، ستظل الشركات الكبرى قادرة على اتخاذ قرارات تمس أمن ملايين المستخدمين دون رقابة كافية.

يتطلب التعامل مع هذه الأزمات بصورة أكثر مسؤولية إضفاء الطابع الديمقراطي على إدارة الذكاء الاصطناعي، وإتاحة المشاركة الجماعية في تحديد كيفية مواجهة تهديداته، بدلًا من ترك القرارات التي تؤثر في حياة البشر وأمنهم الرقمي لحفنة من كبار مديري شركات التكنولوجيا ومستشاريهم.