OSS Scanner من Anthropic: 29 ألف ثغرة محتملة و516 إصلاحاً فقط، أين يضيع الفرق؟
خدمة OSS Scanner من Anthropic وجدت 29 ألف ثغرة محتملة لكن 516 فقط رُقّعت. نقرأ الأرقام، ونشرح مخاطر التقارير الآلية، وماذا يفعل المشرفون والمستهلكون.
في 8 أكتوبر 2026 أطلقت Anthropic خدمة اختيارية ومجانية باسم OSS Scanner لفحص المشاريع مفتوحة المصدر بحثاً عن الثغرات. العنوان الجذّاب هو الرقم: أكثر من 29 ألف ثغرة محتملة اكتشفتها النماذج خلال ستة أشهر. لكن الرقم الذي يهمّ المشرفين فعلاً أصغر بكثير: 516 إصلاحاً فقط وصلت إلى الشيفرة الأصلية حتى الآن. هذه الفجوة هي القصة الحقيقية.
ما الذي أُعلن بالضبط؟
وفق ما نشرته Anthropic وما نقلته التغطيات المستقلة، فإن الخدمة تتيح لمشرفي المشاريع التسجيل طوعاً لتلقّي تقارير أمنية يولّدها النموذج. يضمّ كل تقرير عادةً:
- وصفاً للثغرة المحتملة وموضعها في الشيفرة.
- حالة اختبار تعيد إنتاج المشكلة (Reproducer).
- تحديداً للتعديل الذي أدخلها (Bisection) متى أمكن.
- رقعة مقترحة (Candidate Patch).
الجانب الأكثر إثارة للجدل أن بعض هذه التقارير تصل دون مراجعة بشرية، وتقرّ Anthropic بأن ذلك يعني احتمال وجود تقارير خاطئة أو غير صالحة.
قراءة الأرقام بهدوء
| المؤشر | القيمة التقريبية |
|---|---|
| ثغرات محتملة اكتشفها النموذج | أكثر من 29,000 |
| ما رُوجع بشرياً عبر جهات أمنية | نحو 6,000 |
| ما أُبلغ به المشرفون | نحو 6,157 |
| ما أُرسل مباشرة وقد يتضمن إيجابيات كاذبة | نحو 4,824 |
| ما رُقّع فعلاً في المصدر | 516 |
تختلف بعض الأرقام قليلاً بين المصادر لأن بعضها يخص برنامج الإفصاح الأوسع وليس الخدمة الجديدة وحدها، لذلك اقرأها كمرتبة حجم لا كحسابات محاسبية دقيقة.
ماذا عن الدقة؟
في عيّنة من 97 نتيجة حرجة وعالية الخطورة موزعة على 48 مشروعاً، اعتُبرت 85 نتيجة مستوفية لمعيار الإفصاح الموثّق بشرياً. أما الـ12 الباقية فكانت 11 منها حقيقية لكنها مكررة لمشكلات معروفة، وواحدة فقط غير صالحة. هذه نتيجة مشجعة، لكن العيّنة اقتصرت على الخطورة العالية، وأجرتها جهات مرتبطة بالبرنامج نفسه، ولم يُنشر تدقيق مستقل حتى الآن.
المشكلة لم تعد في العثور على الثغرة، بل في وجود إنسان لديه الوقت ليفهمها ويراجعها ويدمج إصلاحها.
لماذا يُعدّ هذا تحوّلاً في اقتصاد الأمن؟
على مدى عقود كان العثور على الثغرات هو الجزء الشحيح والمكلف. اليوم انقلبت المعادلة: الاكتشاف رخيص وسريع، بينما المراجعة والإصلاح والإصدار ما زالت تعتمد على متطوعين قلة. النتيجة أن ازدياد الاكتشاف لا يعني تلقائياً ازدياد الأمان؛ قد يعني فقط قائمة انتظار أطول.
المخاطر العملية للمشرف
- ضجيج التقارير: كل تقرير غير مراجَع يستهلك وقتاً للتحقق حتى لو تبيّن أنه خاطئ.
- ضغط الإفصاح: وجود ثغرة مبلَّغ عنها يخلق مهلة غير معلنة قبل أن يعرفها الآخرون.
- رقع مقترحة تحتاج حكماً: قد تعالج العَرَض وتترك السبب، أو تكسر سلوكاً قديماً.
- إصلاحات بلا CVE: بعض الإصلاحات قد تصدر دون معرّف، فلا تلتقطها أدوات فحص التبعيات.
ماذا تفعل إن كنت مشرفاً على مشروع؟
- قرّر مسبقاً هل تريد كل التقارير أم المؤكَّدة فقط، فهذا خيار متاح عند التسجيل.
- خصّص قناة واحدة للتقارير الآلية، وضع لها قالب فرز بسيطاً: قابل للتكرار؟ مكرر؟ خطورته؟
- ابدأ بإعادة الإنتاج: تقرير بلا Reproducer ناجح لا يستحق وقتاً قبل أن يتوفر ذلك.
- اختبر الرقعة بالاختبارات الموجودة قبل أن تقرأ منطقها، ثم راجع المنطق بعين بشرية.
- وثّق الإصلاح في ملاحظات الإصدار حتى لو لم يوجد CVE.
وماذا تفعل إن كنت مستهلكاً لهذه المكتبات؟
لا تنتظر أن يخبرك النظام. ثبّت تبعياتك، وتابع سجلات التغيير لا الإعلانات الأمنية فقط، وفعّل التحديثات الآلية للإصلاحات الصغيرة ضمن اختبارات بناء جيدة. وإن كنت تعتمد على مكتبة بمشرف وحيد، فاسأل بجدية عمّا إذا كان بوسعك المساهمة بوقت أو تمويل، فالرقعة الآلية لا تغني عن الإنسان الذي يدمجها.
أسئلة شائعة
هل التقارير الآلية دليل على أن المشاريع مفتوحة المصدر غير آمنة؟
لا. هي دليل على أن أدوات الاكتشاف تحسّنت. وجود ثغرات في مشروع كبير أمر معتاد، والجديد فقط أننا صرنا نراها بوتيرة أعلى.
هل أستطيع الاعتماد على الرقع التي يقترحها النموذج مباشرة؟
لا ينبغي ذلك. تعامل معها كمسودة جيدة: شغّل الاختبارات، وراجع الأثر الجانبي، ثم ادمجها بقرار بشري.
هل الخدمة إلزامية للمشاريع؟
لا، فهي اختيارية، ويسجّل المشرف مشروعه بنفسه ويحدد نوع التقارير التي يريدها.
الخلاصة
OSS Scanner خطوة مهمة وتُظهر أن الذكاء الاصطناعي صار يجد ثغرات حقيقية بكميات كبيرة، لكن الفجوة بين 29 ألف اكتشاف و516 إصلاحاً تذكّرنا بأن عنق الزجاجة انتقل من البحث إلى المراجعة البشرية. نجاح هذه المبادرة لن يُقاس بعدد الثغرات المكتشفة، بل بعدد ما يُرقَّع فعلاً دون أن يحترق المشرفون.
المصادر: Anthropic، Security Affairs، Implicator
