OpenAI تكشف ثغرات حرجة في PHP عبر مبادرة Patch the Planet
أعلنت OpenAI عن اكتشاف ثغرات أمنية خطيرة في لغة PHP باستخدام نماذج ذكاء اصطناعي متقدمة، ضمن إطار عمل جديد لتنسيق الاستجابة العالمية.
رضوان عبدالهاديمحرر وكاتب تقني
اكتشاف ثغرات حرجة في PHP
قادت OpenAI تحالفاً ضم صانعي البرمجيات والباحثين ومقدمي الخدمات الأمنية لمعالجة ثغرات حرجة في لغة PHP، وهي لغة مفتوحة المصدر تُستخدم على نطاق واسع لتشغيل المواقع والتطبيقات الويب. جاء هذا الكشف ضمن مبادرة Patch the Planet التي تهدف إلى ربط الباحثين الأمنيين بصانعي البرمجيات وفرق الاستجابة للحوادث لمعالجة الثغرات الحرجة في البرمجيات مفتوحة المصدر. حدد فريق Calif ثغرة حرجة باستخدام نموذج GPT-5.6 Sol، بينما اكتشفت شركة Wiz المستقلة وكشفت عن كلا الثغرتين بشكل مستقل. تولّى صانعو PHP قيادة عملية الإصلاح والإصدار، مع مساهمة فرق OpenAI وشركاء مثل Wiz وCloudflare في تقديم الدعم الفني والتنسيق لإعداد الحماية قبل الكشف العام.
أدوات الفحص والدعم الفني
تؤكد OpenAI أن الأولوية الحالية للمؤسسات التي تستخدم PHP هي تطبيق الإصلاحات. ولتسهيل هذه العملية، تشارك الشركة أداة فحص إصدارات PHP، وستطلق مهارة Codex مرفقة تساعد المشغلين على تحديد الإصدارات التي قد تكون عرضة للخطر. تعمل هذه الأدوات جنباً إلى جنب مع إرشادات PHP ومقدمي الخدمات لتحديد التحديثات المناسبة. وتعتبر الشركة هذه الثغرات من أكثر القضايا الأمنية تأثيراً في الذاكرة الحديثة، نظراً لخطورتها وانتشار PHP الواسع، مما يبرز كيف يمكن للذكاء الاصطناعي اكتشاف عيوب أمنية ذات تأثير على نطاق الإنترنت، مع تحذير من أن القدرات نفسها قد تساعد المهاجمين في تطوير أدوات هجومية بسرعة.
نافذة الدفاع والاستباقية
توضح OpenAI أن نماذج الذكاء الاصطناعي المتقدمة اكتشفت هذه الثغرات قبل المهاجمين، مما فتح ما تسميه "نافذة الدفاع" (Defender’s Window) أمام الصانعين ومقدمي الخدمات الأمنية لإعداد الإصلاحات والحمايات قبل الكشف. ولتمكين المزيد من المدافعين من استخدام هذه القدرات، التزمت الشركة بتقديم مليار دولار للوصول المدعوم إلى منصة Daybreak، ضمن برنامج Daybreak for Frontline Defenders، والذي يركز على المؤسسات ذات الموارد الأمنية المحدودة التي تحمي الخدمات الأساسية. وتؤكد أن هذه الأخطاء ليست الوحيدة، بل هي جزء من عدة ثغرات كبيرة تم اكتشافها بالفعل والعمل على إصلاحها، مع توقع زيادة حادة في مثل هذه الاكتشافات في الأشهر القادمة.
إطار عمل الاستجابة في عصر الذكاء الاصطناعي
بناءً على تجربتها، تشارك OpenAI مقترحاً لإطار عمل مناسب لعصر الذكاء الاصطناعي للاستجابة للثغرات الحرجة في البرمجيات واسعة الاستخدام، وتطلب من مجتمع الأمن المساهمة في تحسينه. يجمع هذا الإطار بين النماذج والخبرة الأمنية والصانعين لتحويل الاكتشافات إلى حماية وبناء استجابة قابلة للتوسع مع تقدم قدرات الذكاء الاصطناعي. قد يتطلب إدخال الإصلاح استخداماً فعلياً تكييفه للإصدارات الأقدم، وإعداد تخفيفات من مقدمي الخدمات، وتحديث الأنظمة عبر العديد من المؤسسات. يساعد العملية القابلة للتكرار هذه الفرق على التحرك بسرعة مع اكتشاف المزيد من الثغرات.
مراحل التنسيق الخمس
تقترح OpenAI إطاراً من خمس مراحل للاستجابة. المرحلة الأولى هي التحقق من الثغرة وإصلاحها في المصدر، حيث يؤكد الصانع والباحثون والشركاء التقنيون الأساسيون الاكتشاف، ويقيّمون تأثيره، ويطورون إصلاحاً ويختبرونه، بما في ذلك الاختبار العدائي باستخدام النماذج المتقدمة للبحث عن طرق للتحايل على الرقع. المرحلة الثانية هي منح المؤسسات المتأثرة وقتاً للتحرك، حيث يقترح الإطار النظر في أي المؤسسات تحتاج إلى معلومات مسبقة لإعداد الحماية، بينما يقرر الصانعون من يجب إشراكهم. تساعد OpenAI في التواصل واتفاقيات مشاركة المعلومات والتنسيق بين الفرق، حيث قد يكيّف الموزع إصلاحاً لإصدار أقدم، أو يختبر مزود الاستضافة تخفيفاً، أو يجهز مزود الأمن إجراءات كشف أو منع، بما في ذلك قواعد جدار حماية تطبيقات الويب (WAF).
التعاون الحكومي وحماية الأنظمة الحرجة
تشمل المرحلة الثالثة التنسيق مع الشركاء الحكوميين للمساعدة في حماية الأنظمة الحرجة. تلعب الوكالات الحكومية دوراً أساسياً في تنسيق استجابة أوسع والمساعدة في وصول الإرشادات الأمنية إلى المؤسسات المسؤولة عن البنية التحتية الحيوية والخدمات الأساسية. في حالة PHP، عملت OpenAI بالتعاون مع شركائها على التواصل مع عدة جهات في الحكومة الأمريكية، بما في ذلك قوة الفائق الذكاء في البيت الأبيض، ومكتب الموجه الوطني للأمن السيبراني (ONCD)، ووكالة الأمن السيبراني وأمن البنية التحتية (CISA)، بالإضافة إلى شركاء دوليين لدعم هذا الجهد. وتؤكد الشركة أن هذا الدعم عزز الاستجابة بقيادة الصانعين وساعد المدافعين الآخرين على الاستعداد.
تحديث المنتجات والنشر العام
المرحلة الرابعة هي إعداد التحديثات عبر المنتجات المتأثرة. عندما تصبح الإصلاحات والإرشادات وخطط الكشف مستقرة، يمكن للصانعين إشراك موزعين إضافيين ومقدمي خدمات الاستضافة وفرق الاستجابة والمشغلين لإعداد التحديثات ومعالجة الفجوات في التغطية. أخيراً، بمجرد توفر الرقعة، يتم نشر الإرشادات ودعم النشر. تساعد الإرشادات العامة المستخدمين على فهم الخطوات اللازمة، بينما توفر OpenAI من خلال مبادرة Patch the Planet الخبرة الأمنية والوصول إلى النماذج لدعم استجابة PHP، وعملت مع الصانعين والشركاء البحثيين لاختبار الإصلاحات وإعداد الإرشادات، كما ساعدت في التنسيق مع مقدمي البنية التحتية للحماية من الأنظمة المتأثرة.
المصادر
- OpenAI NewsPatch the Planet: global response coordination as agents uncover critical vulnerabilities
تابع التسلسل الزمني
تغطية الكيانات المرتبطة
أخبار مرتبطة
أزمة PHP2Shell: الذكاء الاصطناعي يحوّل ثغرات قديمة إلى أخطار فعلية
استخدم باحثون أدوات ذكاء اصطناعي لكشف ثغرات PHP2Shell القديمة، مما أدى لمحاولات استغلال واسعة. التفاصيل حول دور التقنية في تسريع الهجمات.
PHP2Shell: لماذا نطاق الضرر أهم من درجة الخطورة
بعد ثغرات PHP2Shell، يوضح تقرير أن تقليل صلاحيات الحسابات والوكلاء الذكيين يحد من أضرار الاختراق بشكل أكبر من الاعتماد على سرعة تطبيق التصحيحات.
كلاودفلير تفعّل حماية WAF ضد ثغرات php2shell الحرجة
أطلقت كلاودفلير قواعد جدار حماية تطبيقات ويب جديدة تعتمد على تحليل الطلبات والاستجابات لصد هجمات php2shell قبل الكشف العلني، مما يحمي ملايين المواقع التي تعتمد على PHP.
OpenAI تكشف ثغرات حرجة في PHP تهدد 70% من مواقع الويب
أعلنت OpenAI أن نموذج GPT-5.6 Sol ساعد في اكتشاف ثغرات أمنية حرجة في لغة PHP، مما دفع المؤسسة لإصدار تحديثات عاجلة لحماية ملايين المواقع من استغلال محتمل.
