ترقيع الكوكب: تنسيق استجابة عالمية بينما يكتشف الوكلاء ثغرات حرجة

خلال الشهرين الماضيين، قدنا ائتلافاً من المشرفين على الصيانة والباحثين ومزودي الأمن لمعالجة ثغرات حرجة في PHP، وهي لغة برمجة مفتوحة المصدر تُستخدم لتشغيل المواقع والتطبيقات الشبكية. اكتشف كاليف ثغرة حرجة باستخدام GPT‑5.6 Sol كجزء من ترقيع الكوكب⁠(يفتح في نافذة جديدة) مبادرتنا، كما اكتشفت شركة Wiz كلتا الثغرتين بشكل مستقل وأبلغت عنهما. وقد قاد مشرفو صيانة PHP عملية الإصلاح والإصدار، مساهمين فرقنا وشركائنا مثل Wiz وCloudflare وغيرهم بأعمال بحثية ودعم تقني وتنسيق لتهيئة الحمايات قبل الإفصاح.

بالنسبة للمؤسسات التي تستخدم PHP، فإن الأولوية الآن هي تطبيق الإصلاحات. نحن نشارك أداة فحص إصدارات PHP كمهارة Codex⁠(يفتح في نافذة جديدة) لمساعدة المشغلين على تحديد إصدارات PHP التي قد تكون معرضة للثغرة، وتحديد، استناداً إلى إرشادات PHP ومزوديها، التحديثات المنطبقة عليهم.

نظراً لخطورة هذه العيوب وانتشار استخدام PHP على نطاق واسع، نعتبر هذه إحدى أكثر المشكلات الأمنية تأثيراً في الذاكرة الأخيرة. فهي تسلط الضوء على كيفية قدرة الذكاء الاصطناعي على كشف الثغرات الأمنية ذات التأثير على مستوى الإنترنت، لكن القدرات ذاتها يمكن أن تساعد المهاجمين أيضاً على تطوير أدوات واستغلالات هجومية بسرعة.

إلى حد علمنا، عثر الذكاء الاصطناعي الرائد على هذه الثغرات قبل المهاجمين، مما يفتح نافذة المدافع للمشرفين على الصيانة ومزودي الأمن لتهيئة الإصلاحات والحمايات قبل الإفصاح.

ولمساعدة مزيد من المدافعين على استخدام هذه القدرات، التزمنا بمبلغ 1 مليار دولار من وصول Daybreak المدعوم من خلال Daybreak للمدافعين في الخطوط الأمامية، مع التركيز على المؤسسات ذات الموارد الأمنية المحدودة التي تحمي خدمات أساسية.

وبقدر ما هي كبيرة، فإن هذه الأخطاء تندرج ضمن عدة ثغرات هامة وجدناها بالفعل ونعمل على إصلاحها، ون anticipate أن تتزايد نتائج مماثلة بشكل حاد في الأشهر المقبلة. واستناداً إلى تجربتنا حتى الآن، نشارك مقترحاً لنهج ملائم لعصر الذكاء الاصطناعي للاستجابة للثغرات الحرجة في البرمجيات واسعة الاستخدام، ونطلب من مجتمع الأمن المساعدة في تحسين هذا الإطار. فهو يجمع نماذجنا وخبرتنا الأمنية والمشرفين على الصيانة للمساعدة في تحويل النتائج إلى حماية وبناء استجابة قابلة للتوسع مع تقدم قدرات الذكاء الاصطناعي.

تنسيق استجابة عالمية

قد يعني إدخال إصلاح حيّز الاستخدام تكييفه للإصدارات الأقدم، وتهيئة تخفيفات من المزودين، وتحديث الأنظمة عبر عديد من المؤسسات. وتساعد عملية قابلة للتكرار تلك الفرق على التصرف بسرعة مع اكتشاف المزيد من الثغرات.

من خلال برنامج "ترقيع الكوكب"، ساهمنا بالخبرة الأمنية والوصول إلى النماذج لدعم الاستجابة لثغرات PHP، وعملنا مع المشرفين على الصيانة والشركاء البحثيين لاختبار الإصلاحات وتهيئة الإرشادات. وساعدنا أيضاً في التنسيق مع مزودي البنية التحتية بشأن حمايات للأنظمة المتأثرة، وتواصلنا مع الوكالات الحكومية السيبرانية للمساعدة في وصول الإرشادات إلى المؤسسات الحرجة. وهذا دعم الاستجابة التي يقودها المشرفون على الصيانة وساعد المدافعين الآخرين على الاستعداد.

بالنسبة لبعض النتائج، يمكن للباحثين العمل مباشرة مع مشرفي صيانة البرمجيات للتحقيق في المشكلة وتطوير إصلاح. أما أخرى فتحتاج استجابة أوسع لأنها تؤثر على منتجات كثيرة أو لأن الموزعين ومزودي الخدمات يحتاجون وقتاً (الذي قد يكون شحيحاً إذا لم تكن القدرات الرائدة متقدمة كثيراً عن المتاحة على نطاق واسع) لتهيئة التحديثات والحمايات. في تلك الحالات، يمكن للإطار المقترح أن يساعد المشرفين على الصيانة في تحديد من ينبغي إشراكه وتنسيق العمل. ويمكن أن تشمل الاستجابة خمس مراحل:

• التحقق من الثغرة الأصلية وإصلاحها. يقوم المشرف على الصيانة والباحثون والشركاء التقنيون الأساسيون بتأكيد النتيجة وتقييم تأثيرها وتطوير إصلاح واختباره. وتشمل هذه العملية اختباراً خصمياً باستخدام النماذج الرائدة للبحث عن طرق لتجاوز الرقعة ومتغيرات ذات صلة من الثغرة.

• إعطاء المؤسسات المتأثرة وقتاً للتصرف. نقترح إطاراً للنظر في أي المؤسسات تحتاج معلومات مسبقة لتهيئة الحمايات، بينما يقرر المشرفون على الصيانة من يُشرك. نساعد في التواصل واتفاقيات مشاركة المعلومات والتنسيق بين الفرق. فقد يقوم موزع بتكييف إصلاح لإصدار أقدم، وقد يجري مزود استضافة اختباراً لتخفيف، وقد يهيئ مزود أمن إجراءات كشف أو وقاية، بما في ذلك قواعد جدار حماية تطبيقات الويب (WAF).

• التنسيق مع الشركاء الحكوميين للمساعدة في حماية الأنظمة الحرجة. تلعب الوكالات الحكومية دوراً أساسياً في تنسيق استجابة أوسع والمساعدة في وصول الإرشادات الأمنية إلى المؤسسات المسؤولة عن البنية التحتية الحرجة وغيرها من الخدمات الأساسية. وفي حالة PHP، عملنا، بالتعاون مع شركائنا، على التواصل مع عدة أجزاء من حكومة الولايات المتحدة، بما فيها قوة الذكاء الفائق في البيت الأبيض، ومكتب المدير الوطني للأمن السيبراني (ONCD)، ووكالة أمن البنية التحتية والأمن السيبراني (CISA)، بالإضافة إلى شركاء دوليين لدعم ذلك الجهد.

• تجهيز التحديثات عبر المنتجات المتأثرة. ومع استقرار خطط الإصلاح والإرشاد والإفصاح، يمكن للمشرفين إشراك موزعين إضافيين وموفري الاستضافة والخدمات وفرق الاستجابة والمشغلين لتجهيز التحديثات وسد الفجوات في التغطية.

• بمجرد توفر رقعة، انشر الإرشاد ودعم النشر. يساعد الإرشاد العام الأشخاص على تقييم مدى تعرضهم، وإيجاد تحديثات موثوقة أو تدابير تخفيف مؤقتة، والتحقق من أن الإصلاح يعمل. وتستمر الاستجابة بينما ينشر المشغلون التحديثات ويبلّغون عن المواضع التي يحتاجون فيها إلى مساعدة.

يراعي الإطار المقترح الدور الوقائي للمنظمة، بما يشمل حماية أنظمتها وعملائها، والوقت اللازم للتصرف، وقدرتها على التعامل مع المعلومات الحساسة. وستنطبق المعايير نفسها على المنظمات المماثلة، مع قرار المشرفين بشمن من سيُشرك قبل الإفصاح.

يتلقى كل مشارك المعلومات اللازمة للقيام بعمله الوقائي، بدءاً من سجلات الشبكة التي تتضمن مؤشرات اختراق وصولاً إلى استغلالات إثبات المفهوم العاملة الأكثر حساسية. وحتى التفاصيل المحدودة يمكن أن تكشف عن ثغرة أمنية، لذا نزن مخاطر مشاركتها مقابل الحماية التي توفرها.

ستعمل الفرق التي تتبع هذا الإطار مع المشرفين لمنح المدافعين وقتاً للتحضير، وإعادة تقييم الجدول الزمني إذا كانت هناك استغلالات نشطة في البرية، أو تسريب، أو رقعة عامة كاشفة، أو زيادة المخاطر على المستخدمين بسبب تعثر المعالجة.

يوفّر موقع Patch the Planet⁠(يفتح في نافذة جديدة) الإفصاحات والإرشادات العامة لمساعدة المشغلين على تحديد الأنظمة المتأثرة، وإيجاد التحديث المناسب، والتحقق من أن البرنامج المحدّث يعمل بشكل صحيح. وفيما يتعلق بـ PHP، يشير الموقع إلى رقعة المشرفين الرسمية وتعليمات الترقية وإلى الأبحاث التقنية لشركائنا. ويغطي الإرشاد أيضاً التدابير التخفيفية المؤقتة، ومتى يجب إشراك مزوّد أو خبير، والنسخ الاحتياطي والاستعادة. ويمكن للحمايات المؤقتة أن تقلل المخاطر، لكننا سنوضح حدودها ومقايضاتها التشغيلية.

يمكن للمشغلين استخدام إرشادات CISA بشأن تحديد الأولويات والمعالجة⁠(يفتح في نافذة جديدة) لتقييم مدى سرعة التصرف بناءً على التعرض والاستغلال والتأثير المحتمل. قد يعني ذلك ترقيعاً طارئاً، أو تخفيفاً فورياً، أو تحديثاً مخططاً له، إلى جانب الفرز الجنائي عند الاقتضاء لتقييم ما إذا كانت الأنظمة قد اخترقت فعلاً. ويجب إعادة تقييم الأولويات مع تغير الظروف، مع مسار واضح نحو معالجة دائمة.

تمكين المشرفين من القدرة والموارد للاستجابة

يعتمد التنسيق العالمي على الأشخاص الذين يحافظون على البرمجيات. تدير فرق صغيرة كثيراً من المشاريع، حيث تراجع التقارير الأمنية إلى جانب التطوير الروتيني. وتحتاج هذه الفرق إلى مساعدة في التمييز بين المشكلات الجديدة والمكررة، وتقييم الأثر، واختبار الإصلاحات عبر الإصدارات المدعومة. ندعم هذا العمل بالتمويل، والوصول إلى نماذج قادرة، ومساعدة هندسية مباشرة.

تتقدم قدرات الذكاء الاصطناعي القوية في جميع أنحاء الصناعة، ونتوقع أن يلعب الذكاء الاصطناعي دوراً متنامياً في مساعدة المدافعين على اكتشاف الثغرات ومراقبة الأنظمة والاستجابة للتهديدات. نستثمر في النماذج والأدوات والشراكات لمساعدة المدافعين على توظيف تلك القدرات.

تشمل استثماراتنا اشتراكات لجميع المشرفين عبر Codex for OSS والرعاية المباشرة لمشاريع مثل مؤسسة Rust⁠(يفتح في نافذة جديدة) للمشرفين والعمل التقني. يحدد كل مشروع أولوياته بنفسه. ويمكن للاختبارات القابلة لإعادة الاستخدام وسير العمل الأمني أن تقلل الجهد اللازم للتعامل مع النتائج المستقبلية. ويمكن لمشاريع مفتوحة المصدر التقديم إلى Patch the Planet⁠(يفتح في نافذة جديدة) للحصول على دعم مباشر.

نقوم أيضاً بمعايرة مصنّفات حجب إضافية لـ Daybreak للمساعدة في تقليل احتمال إساءة الاستخدام. وينطوي ذلك على مقايضات صعبة: فقد تحجب الضمانات المصممة لمنع إساءة الاستخدام أيضاً العمل الأمني المشروع. وكلاهما بالغ الأهمية: الوصول الواسع إلى نماذج قادرة، والحماية الفعالة من إساءة الاستخدام. هدفنا هو الحفاظ على القدرات التي يحتاجها المدافعون لاكتشاف الثغرات وإصلاحها مع الحد من الاستخدام الضار. وسواصل تحسين هذا التوازن مع تقدم القدرات وتعلمنا من كيفية استخدام هذه الأدوات.

بناء أسس برمجية أكثر أماناً

مع ازدياد قدرة النماذج، تمتد الفرصة إلى ما هو أبعد من اكتشاف الثغرات الفردية وإصلاحها. نريد مساعدة المهندسين على بناء برمجيات أكثر أماناً منذ البداية. فالتحسينات على مكوّن واسع الاستخدام يمكن أن تمنع الأخطاء أو تحدّ من تأثيرها عبر العديد من المنتجات والخدمات.

يمكن للذكاء الاصطناعي أن يساعد المهندسين على فهم الشيفرة الحالية، وإعداد التغييرات، وتطوير الاختبارات، بينما يتحقق المشرفون وخبراء الأمن من أن تلك التغييرات تحافظ على السلوك الذي يعتمد عليه المستخدمون. ونرى فرصاً في عدة مجالات:

• شيفرة آمنة منذ البداية. يمكن لنماذج البرمجة مساعدة المطورين على اختيار إعدادات افتراضية أكثر أماناً، واستخدام مكتبات الأمان بشكل صحيح، ورصد الأنماط الخطرة أثناء الكتابة. فمنع الثغرات أثناء التطوير يعني إصلاحات طارئة أقل للمشرفين والمستخدمين.

• برمجيات آمنة الذاكرة. نقل المكونات الحرجة إلى لغات آمنة الذاكرة يمكن أن يزيل فئات شائعة من أخطاء الذاكرة. ويمكن للذكاء الاصطناعي المساعدة في عمليات الترحيل، مع اختبارات ومراجعة خبراء للتحقق من السلوك والتوافق.

• التحقق الرسمي. يمكن للبراهين الرياضية أن تُظهر أن المكونات الحاسمة تحقق خصائص أمنية محددة ضمن افتراضات معلنة. ويمكن لتطبيق هذه الأساليب على المكونات واسعة الاستخدام أن يساعد في استبعاد فئات من نقاط الضعف عبر الخدمات والبنية التحتية الحاسمة التي تعتمد عليها.

• عزل أقوى. تحتاج الأنظمة إلى الحماية من نقاط الضعف التي لم يُعثر عليها أو يُصلحها بعد. إن تشغيل البرمجيات التي تعالج ملفات أو صورًا أو وسائط غير موثوقة في بيئات معزولة (sandboxes) مقيّدة بإحكام يمكن أن يحدّ من الضرر في حال تعرضها للاختراق. ويمكن للذكاء الاصطناعي أن يساعد المهندسين في اختبار وتقوية تقنيات العزل واسعة الاستخدام، مما يحسّن الحماية عبر تطبيقات كثيرة.

ساعدونا في تحسين هذا النهج

نشارك منهجنا حتى يتمكن المشرفون على الصيانة والباحثون وفرق الاستجابة والمزوّدون والمشغّلون من المساعدة في جعله قابلاً للتطبيق. نريد أن نفهم أين سيكون مفيدًا، وأين قد يضيف تأخيرًا أو عبئًا، وما الذي فاتنا. وستكون الأمثلة من الإفصاحات السابقة مفيدة على وجه الخصوص.

نحن مهتمون بشكل خاص بـ:

• نوافذ الإفصاح. كم من الوقت يحتاج المشرفون على الصيانة والمشغّلون والمدافعون للتحضير ونشر إصلاحات موثوقة؟ وما الأدلة التي ينبغي أن تؤدي إلى إفصاح مبكر، خاصة عندما يمكن حماية بعض المستخدمين قبل غيرهم؟

• الترقيع الطارئ. متى، إن وُجد ذلك، ينبغي للحكومات أو مشغّلين آخرين استخدام ثغرة لترقيع أنظمة يملكونها أو مخوّلون بإدارتها بعد فقدان الوصول الإداري؟ وما الضمانات التي ينبغي أن تُطبَّق؟ يمكننا تصور حالة نهائية تتمثل في مسح دائم على مستوى الإنترنت للثغرات المعروفة، مع إما إخطار أصحاب المواقع عند رصد ثغرة أو ترقيع النظام.

• الإخطار المبكر. من يحتاج إلى إنذار مسبق لاتخاذ إجراء وقائي مفيد، بمن في ذلك المدافعون الذين قد لا نلتفت إليهم؟ ومتى تعمل الإخطارات المتدرجة بشكل أفضل من إخطار مجموعة أوسع دفعة واحدة، وكيف ينبغي أن نوازن بين التغطية وخطر التسريب؟

• حزم البرمجيات الآمنة افتراضيًا. كيف يمكننا المساعدة في تحديد وإصلاح نقاط الضعف في الحزم اللاحقة (downstream) بينما إصلاحات المصدر الأصلي (upstream) معلّقة، أو نقل الإصلاحات إلى إصدارات أقدم لم تعد تتلقى تحديثات أمنية؟ وما الاختبارات والصيانة التي ستجعل هذه الحزم خيارات موثوقة عندما لا يكون الترقية في الوقت المناسب ممكنة؟

نرحب أيضًا بتوصيات لخبراء أمن مستقلين يمكنهم مراجعة النهج وتحدي افتراضاته وتحديد الثغرات فيه. وستساعدنا مداخلاتكم في صياغة الرد وتحديد أولويات الدعم. شاركوا ملاحظاتكم هنا⁠(يفتح في نافذة جديدة).