IT之家 خبر في 14 أكتوبر/تشرين الأول: أصدر مركز الاستجابة لحالات الطوارئ الأمنية التابع لهواوي اليوم إعلانًا حول قواعد معالجة تقارير الثغرات اللاحقة ضمن برنامج مكافآت أمن الأجهزة الطرفية من هواوي.
وأكدت الجهة الرسمية أنها تلقت هذا العام عددًا كبيرًا من تقارير الثغرات التي استُخرجت بمساعدة أدوات الذكاء الاصطناعي، ومعظم هذه التقارير تضمنت PoC (ملاحظة IT之家: إثبات المفهوم، أي كود أو سكربت أو حزمة طلب أو خطوات إعادة إنتاج مفصلة تثبت أن ثغرة أمنية معينة موجودة فعلًا ويمكن تفعيلها)،لكن لا مفر من وجود نتائج إيجابية كاذبة ناتجة عن تضليل "الهلوسة" لدى الذكاء الاصطناعي。
ولتوزيع موارد المراجعة المحدودة بشكل معقول، وضمان قدرة فريق مراجعة برنامج مكافآت أمن الأجهزة الطرفية من هواوي على التركيز على الثغرات الحقيقية والفعالة، مع الحفاظ على بيئة مجتمعية صحية ومنظمة، تُطرح المتطلبات التالية:
أولاً: متطلبات تقرير الثغرة
بالنسبة لتقارير الثغرات المكتشفة بمساعدة الذكاء الاصطناعي أو بشكل آلي، يجب إجراء تحليل وتحقق بشريين قبل الإرسال. نشجع خِبراء الأمن (القبعات البيضاء) على تقديم تحقق كامل لسلسلة هجوم EXP، ويُرجى ضمان أن يقدم التقرير دليلًا على الأثر الأمني الفعلي للثغرة، بما في ذلك على سبيل المثال لا الحصر:
PoC كامل قابل للتنفيذ ديناميكيًا؛
المنتج المتأثر وإصدار النظام ووصف الضرر (ملاحظة: يُشترط أن يكون المنتج المتأثر بالثغرة ضمن نطاق برنامج المكافآت وأن يكون قد تمت ترقيته إلى أحدث إصدار من نظام HarmonyOS )؛
محتوى التقرير واضح وسهل الفهم، وخطوات إعادة الإنتاج مختصرة وواضحة؛
سجلات كاملة ولقطات شاشة للنتائج / فيديو توضيحي؛
يجب أن يبدأ مسار الهجوم من مدخل سيناريو هجوم فعلي وأن يثبت حدوث أثر أمني فعلي.
ثانيًا: السلوكيات غير المقبولة
يجب على خبراء القبعات البيضاء الحفاظ على الاحترام المتبادل طوال فترة مشاركتهم الكاملة في برنامج المكافآت، والتواصل بأسلوب ونبرة مهنية وودية. يُحظر السلوكيات التالية:
الاستمرار في إرسال تقارير غير صالحة بشكل متكرر وبكميات كبيرة، تكون مولدة مباشرة بواسطة الذكاء الاصطناعي دون إعادة إنتاج بشري، أو لم يتم تفعيلها عبر أحدث واجهة قابلة للاستدعاء، أو اعتمدت على تحقق وتحليل مقتطفات كود غير مكتملة، أو لم تقدم نتائج تحقق تثبت وجود أثر أمني فعلي؛
تحريف الحقائق، أو تشويه سمعة برنامج مكافآت أمن الأجهزة الطرفية من هواوي بقصد، أو ارتكاب هجمات لفظية أو شتائم أو تهديدات أو مضايقة الموظفين أو إغراق التعليقات وغيرها من السلوكيات الخبيثة.
ثالثًا: التعامل مع السلوكيات غير المقبولة
بالنسبة للسلوك المذكور في البند 1 أعلاه، سيرفض النظام التقارير ذات الصلة مباشرةً دون إبداء أسباب الرفض واحدة تلو الأخرى. أما الحسابات التي أرسلت تراكميًا 3 تقارير غير صالحة من النوع المذكور أعلاه، فسيتلقى أصحابها تنبيهًا من النظام؛ وعند بلوغ 5 تقارير تراكميًا، يحق للنظام حظر حسابه في برنامج مكافآت أمن هواوي.
بالنسبة للسلوك المذكور في البند 2 أعلاه، يحق لبرنامج مكافآت أمن الأجهزة الطرفية من هواوي إنهاء أهلية مشاركة صاحب الحساب (بما في ذلك الفريق / المنظمة) فورًا أو فرض حظر دائم عليه.
بالإضافة إلى ذلك، قامت الجهة الرسمية بتعديل نطاق قبول ثغرات الأدوات:
اعتبارًا من 30 سبتمبر/أيلول 2026، لن تُقبل مؤقتًا الثغرات المتعلقة بأدوات أجهزة هواوي الطرفية (مثل DevEco وغيرها). لكن إذا اكتشفت ثغرة قد تؤدي إلى تلويث سلسلة التوريد في المستودع العام للأدوات ذاتية التطوير أو ثغرة يمكن من خلال استخدام هذه الأداة التأثير على أمن أجهزة هواوي الطرفية، فلا يزال بإمكانك إرسالها، وسنرد بعد تقييم شامل بناءً على عوامل مثل أثر الثغرة.