مبادرة Patch the Planet: عندما يتحالف الذكاء الاصطناعي مع الخبراء البشريين لحماية البرمجيات مفتوحة المصدر

أبرز النقاط

• تجمع المبادرة بين نماذج OpenAI المتقدمة في الأمن السيبراني ومهندسي أمن من Trail of Bits لتقليل العبء على مشرفي المشاريع
• تشمل المشاريع المشاركة أسماء محورية مثل cURL وPython وSigstore وGo
• أنتجت المرحلة الأولى مئات الثغرات المكتشفة وعشرات الإصلاحات المدمجة فعلياً

أعلنت OpenAI عن إطلاق مبادرة Patch the Planet ضمن برنامج Daybreak، بالتعاون مع شركة الأمن السيبراني Trail of Bits، في خطوة تستهدف معالجة فجوة جوهرية في منظومة أمن البرمجيات مفتوحة المصدر: فبينما يتسارع اكتشاف الثغرات بفضل الذكاء الاصطناعي، يظل مشرفو المشاريع مثقلين بأعباء الفرز والإصلاح دون موارد كافية. المبادرة لا تكتفي بالإشارة إلى المشكلات، بل تتولى المساهمة في حلها فعلياً.

لماذا لا يكفي اكتشاف الثغرات وحده؟

تشير OpenAI صراحةً إلى أن الاكتشاف بمفرده لا يحمي المستخدمين. المشرفون المتطوعون على مشاريع حيوية يتلقون تقارير أمنية متزايدة، لكنهم يعملون بالوقت والموارد ذاتها. والنتيجة؟ تأخر الإصلاحات أو تجاهلها. مبادرة Patch the Planet صُممت لتخفيف هذا العبء لا لتضخيمه: مهندسو أمن متخصصون يراجعون النتائج قبل إرسالها للمشرفين، ويساعدون في تطوير الإصلاحات والاختبارات، ويبنون سير عمل قابلة لإعادة الاستخدام تمكّن الفرق من مواصلة تحسين الأمان بعد الإصلاح الأول.

كيف تعمل المبادرة عملياً؟

تبدأ كل مشاركة بالتشاور مع مشرف المشروع لفهم احتياجاته وأولوياته: هل الأولوية للتحقق من الثغرات؟ تطوير الإصلاحات؟ تحسين أنابيب CI/CD؟ أم هندسة أمنية طويلة المدى؟ بعد الاتفاق، يتولى الباحثون التحقيق في الثغرات المحتملة، والتحقق من الجوهري منها، وتطوير الإصلاحات أو صقلها، ودعم الاختبارات، وتنسيق الإفصاح عبر القنوات الرسمية للمشروع.

يستخدم الباحثون الأمنيون نماذج OpenAI الأكثر تقدماً في المجال السيبراني، إضافةً إلى أداة Codex Security لدعم التحليل وتطوير الإصلاحات والاختبارات والتوثيق. المشاريع المشاركة تحصل على وصول إلى ChatGPT Pro، ووصول مشروط إلى Codex Security، ورصيد من واجهات برمجة التطبيقات لدعم التطوير الأساسي والأتمتة وسير عمل الإصدارات.

ما المشاريع المشاركة في المرحلة الأولى؟

• cURL — مكتبة نقل البيانات الأكثر انتشاراً
• NATS Server — بنية تحتية للرسائل الموزعة
• pyca/cryptography — مكتبة التشفير الأساسية في Python
• Sigstore — أدوات توقيع سلسلة توريد البرمجيات
• aiohttp — إطار عمل HTTP غير متزامن
• مشروع Go — لغة البرمجة
• freenginx — خادم الويب
• Python وpython.org — اللغة وموقعها الرسمي

هذه المشاريع تدعم بنى تحتية واسعة الاستخدام في الشبكات والتشفير وسلسلة توريد البرمجيات، حيث يمتد أثر تعزيز أمانها إلى ملايين المنتجات والخدمات المبنية عليها. ستنضم مشاريع إضافية في جولات لاحقة.

ماذا أنجزت المرحلة الأولى؟

خصصت Trail of Bits مهندسي أمن للعمل بدوام كامل مع Codex ونموذج GPT-5.5-Cyber عبر 19 مشروعاً مفتوح المصدر. النتيجة: اكتشاف مئات المشكلات الأمنية ودمج عشرات الإصلاحات فعلياً، فيما لا يزال كثير منها قيد الإفصاح المنسق. لكن الأهم أن المرحلة أنتجت بنية تحتية أمنية قابلة لإعادة الاستخدام: أدوات fuzzing، وأنابيب تحليل الثغرات التاريخية (CVE)، وأنظمة اختبار تفاضلي، ونماذج تهديد، ومجموعات اختبار موسعة، وسير عمل لإزالة التكرارات وتصفية الإيجابيات الكاذبة وتصحيح درجة الخطورة وتوليد الإصلاحات.

أمثلة عملية: مختبر fuzzing في أقل من يوم

استخدم مهندسو Trail of Bits تشغيلات متكررة لأمر Codex /goal مع GPT-5.5-Cyber لبناء مختبر fuzzing كامل يغطي عشرات نقاط الدخول والبنى المختلفة والمنصات والبذور الاختبارية الجديدة. المهندسون حددوا الأهداف وصقلوا التعليمات، بينما استخدم النظام تغذية راجعة من التغطية للتوسع في أسطح جديدة واستهداف الحالات الحدية وتصفية المرشحين الضعفاء. النتيجة: مختبر اكتمل في أقل من يوم، بينما يقدّر Trail of Bits أن بناءه يدوياً كان سيستغرق أسابيع عدة على الأقل.

كذلك بنى الفريق نظاماً شاملاً يستوعب ثغرات CVE التاريخية، ويستخلص أنماط الثغرات ذات الصلة، ويبحث في قواعد الشيفرة المستهدفة عن عيوب مشابهة، ثم يمرر النتائج عبر وكلاء تحكيم متخصصين. الأنبوب يزيل التكرارات، ويصفّي الإيجابيات الكاذبة المحتملة، ويوجّه الأدلة الأقوى إلى مهندسي الأمن للتأكيد اليدوي — محولاً سنوات من تاريخ الثغرات العلني إلى بحث قابل للتكرار.

شراكات موسعة لتعزيز الأثر

إلى جانب Trail of Bits التي خصصت مؤسستها البحثية الأمنية بالكامل للمبادرة في مرحلتها الأولى، أعلنت OpenAI شراكات مع HackerOne وCalif لدعم جهود فرز الثغرات والإفصاح المنسق واكتشاف ثغرات إضافية مركّزة.

الأسئلة الشائعة

ما الفرق بين Patch the Planet ومنصات مكافآت الثغرات التقليدية؟

منصات المكافآت تركز على الاكتشاف والإبلاغ، بينما تتجاوز هذه المبادرة ذلك إلى التحقق والإصلاح وبناء بنية تحتية أمنية مستدامة بالتعاون المباشر مع المشرفين.

هل يمكن لأي مشروع مفتوح المصدر الانضمام؟

المرحلة الأولى تركز على مشاريع البنية التحتية الحيوية، لكن OpenAI أشارت إلى انضمام مشاريع إضافية في جولات لاحقة.

ما النماذج المستخدمة في المبادرة؟

تستخدم المبادرة نماذج OpenAI الأكثر تقدماً في المجال السيبراني، بما في ذلك GPT-5.5-Cyber وأداة Codex Security.

كيف تستفيد المشاريع المشاركة؟

تحصل على وصول إلى ChatGPT Pro وCodex Security ورصيد من واجهات برمجة التطبيقات، إضافة إلى دعم مباشر من مهندسي أمن متخصصين.