كتابة: شياو بينغ
16 شخصًا، 27.5 ساعة، 4962 مشكلة أمان، 85 ثغرة خطيرة، 635 ثغرة عالية الخطورة.
هذه الأرقام مأخوذة من منظمة متطوعين تُدعى Bitcoin Red Team. خلال اليومين الماضيين، أجرت هذه المجموعة مراجعة أمنية شاملة لـ 390 مشروعًا مفتوح المصدر متعلقًا ببيتكوين، حيث قدمت في المتوسط 166 اكتشافًا كل ساعة، وتم تأكيد ثغرة خطيرة لكل متطوع كل ساعة.
أعلن كالي، مؤسس بروتوكول Cashu، عن أول تقرير ميداني على X، حيث خلص إلى أن الوضع "سيء للغاية".
لكن ما يثير القلق حقًا ليس الأرقام نفسها.
40,000 دولار أمريكي وتمرين إطفاء حريق
لم تُبدأ هذه المراجعة من فراغ.
قبل أسبوع، شهدت بيئة البيتكوين أكبر حادث أمان في تاريخ المحافظ المادية. حيث أدى عيب في مولد الأرقام العشوائية في تحديث برنامج ثابت عام 2021 إلى إمكانية استنتاج المفاتيح الخاصة بشكل غير متصل بالإنترنت. وقد نفذ المهاجمون سلسلة من أربع هجمات بدءًا من 30 يوليو، وسرقوا أكثر من 5200 عنوان، وتشير بيانات التتبع من Galaxy Research إلى خسائر تقدر بحوالي 1816 BTC، أي ما يزيد عن 116 مليون دولار أمريكي وفقًا للسعر آنذاك.
ظل هذا الخطأ مستقرًا في الكود المفتوح لمدة خمس سنوات، حيث يمكن لأي شخص مراجعته، لكن قليلاً جداً من الناس فحصوه بشكل منهجي.
كان حدث Coldcard هو الشرارة. أسس كال وروبرت هاميلتون، الرئيس التنفيذي لـ AnchorWatch، فريق Red Team بسرعة، وحصل على الأموال من OpenSats، وأنفق أكثر من 40 ألف دولار على قوة الحوسبة للذكاء الاصطناعي. استخدموا النماذج التالية: Kimi K3 من Moonshot، وGPT Sol من OpenAI، وFable وOpus من Anthropic، وGLM5.2 من Zhipu.
في المرحلة الأولية من المشروع، كان الوصول إلى نماذج OpenAI وAnthropic محدودًا، لذا اعتمد الفريق بشكل رئيسي على النماذج مفتوحة المصدر الصينية. هذا التفصيل نفسه مثير للاهتمام: فحراس البنية التحتية لأكبر أصول التشفير في العالم هم في الواقع مجموعة من المتطوعين يستخدمون الذكاء الاصطناعي الصيني مفتوح المصدر للعمل طوال الليل.
بعد 27.5 ساعة، كانت صورة لغز البيانات كالتالي: من أصل 4962 مشكلة، كانت 14.5% من المستوى العالي أو الخطير، بمتوسط 1.85 مشكلة خطيرة لكل مشروع. كان أعلى نسبة من الاكتشافات الخطيرة في أدوات الخصوصية وCoinJoin، بنسبة 24%؛ تليها البورصات وبروتوكولات التبادل، بنسبة 21%؛ وقدمت مكتبات التشفير وSDKs أعلى كمية من الاكتشافات الأولية (1101)، لكن نسبة الخطورة كانت فقط 10%. تم تقديم 91% من الاكتشافات عبر المسح الآلي، وتم إعادة إنتاج 21% منها بالفعل باستخدام كود إثبات المفهوم في بيئة محلية.
من بين 17 مساهمًا، 14 هم بشر و3 هي أنظمة آلية.
العنق الزجاجي قد انقلب
كتب روب هاميلتون على X جملة أهم من أي أرقام: "الجزء الأصعب ليس العثور على الأخطاء، بل إيصالها إلى الشخص المناسب."
في عالم أبحاث الأمان التقليدي، فإن "الاكتشاف" هو أصعب مرحلة من حيث التكلفة. قد يقضي باحث أمان رائد أسابيع في تحليل عكسي لشفرة ما للعثور على ثغرة قابلة للاستغلال. لكن الذكاء الاصطناعي خفض هذه التكلفة إلى ما يقارب الصفر. ففريق مكون من 16 شخصًا يعمل بالتعاون مع نموذج ذكاء اصطناعي، يمكنه إنجاز ما يعادل شهورًا من عمل شركة تدقيق خلال يوم واحد.
المشكلة تكمن بعد اكتشافها. حتى وقت نشر التقرير، أكملت فقط 19 من أصل 390 مشروعًا مُدقَّقًا (أقل من 5%) الإفصاح العلوي. وقد اعتذر كالي في تغريدة للمُحافظين، قائلًا إنه يفهم أن موجة التقارير زادت من ضغطهم، وأن الفريق لا يزال يتعلم كيفية تصفية الضوضاء. تم سحب 8 اكتشافات كإبلاغات خاطئة.
هذا تغيير هيكلية: لقد جعل الذكاء الاصطناعي من "البحث عن الأخطاء" سلوكًا شبه مجاني، مما نقل العقدة الرئيسية في خط أنابيب الأمان من مرحلة الاكتشاف في البداية إلى المراحل المتوسطة والنهائية: التحقق، التصنيف، توجيهها إلى المطورين المناسبين، الإصلاح، الاختبار، ونشر التصحيحات. لا تزال هذه المراحل تعتمد بشدة على البشر، ولا تزال بطيئة، ولا تزال فوضوية.
وهذا هو الميزة الهيكلية للمهاجم.
سباق تسلح غير متماثل
يجب على المدافع إكمال سلسلة كاملة: اكتشاف الثغرة → التحقق → الإفصاح المسؤول → الانتظار حتى تأكيد المطورين → الإصلاح → نشر التصحيح → تحديث المستخدمين. كل خطوة تحمل احتكاكًا وتأخيرًا.
المهاجم يحتاج فقط إلى: اكتشاف الثغرة → الاستغلال.
جعل الذكاء الاصطناعي نقطة البداية للسلسلة رخيصة للطرفين. لكن عدم التوازن في الخطوات اللاحقة يعني أن سباق التسلح هذا يميل بشكل طبيعي لصالح الجانب الهجومي. إن حالة Coldcard دليل واضح على ذلك: ثغرة من عام 2021 كانت مخزنة علنًا في قاعدة الكود لمدة خمس سنوات، ولم يقوم المدافعون بمسح نظامي، بينما وجد المهاجمون باستخدام الذكاء الاصطناعي مساحة المفاتيح القابلة للتنبؤ، وسرقوا 1083 BTC في 41 دقيقة.
لقد ظهر إشارة أكبر. في أبريل من هذا العام، عرضت Anthropic Claude Mythos Preview، وهو نموذج ذكاء اصطناعي رُفض نشره علنًا بسبب مخاطر أمنية مرتفعة جدًا. وفقًا لشرح Anthropic، استطاع Mythos اكتشاف ثغرة واحدة بتكاليف حوسبة أقل من 50 دولارًا، واستخدمه الفريق لاكتشاف ذاتي لعيوب موجودة منذ 27 عامًا في نظام OpenBSD. يُعد OpenBSD أحد أكثر أنظمة التشغيل أمانًا على مستوى العالم، ويُستخدم على نطاق واسع لتشغيل جدران الحماية والبنية التحتية الحرجة. ونتيجة لذلك، أطلقت Anthropic برنامج Project Glasswing، بالتعاون مع حوالي 40 جهة، بما في ذلك AWS وApple وMicrosoft وGoogle، لاستخدام هذا النموذج في إصلاح الثغرات قبل أن يستغلها المهاجمون.
في مايو، أعلنت فريق تهديدات جوجل عن إنجاز آخر: فقد تمكّنوا من اعتراض حالة استخدم فيها عصابة إجرامية نموذج ذكاء اصطناعي لاكتشاف ثغرة صفرية وكتابة كود استغلال لها. كانت الثغرة عبارة عن تجاوز لمصادقة ثنائية، مدمجة في أداة إدارة مفتوحة المصدر تُستخدم على نطاق واسع. وقد تمكّنت جوجل من تحديد مصدر الهجوم من خلال سمات الذكاء الاصطناعي في الكود (تقييمات CVSS وهمية، ملاحظات بايثون نموذجية)، وتعاونت مع الشركة المصنعة لإصلاح الثغرة قبل أن تبدأ العصابة في تنفيذ استغلال واسع النطاق.
لم يترك كلام جون هولتيكويست، كبير محللي استخبارات Google، أي مجال للشك: "الاعتقاد بأن سباق التسلح في الثغرات الناتجة عن الذكاء الاصطناعي على وشك الحدوث هو خطأ في التقدير. الواقع هو أن هذا السباق قد بدأ بالفعل."
المصدر المفتوح لا يعني دائمًا أنه تم التدقيق عليه
قال شارل غيلميه، الرئيس التنفيذي التقني لشركة Ledger، أثناء تقييمه لحادثة Coldcard: "الانفتاح المصدر ومراجعته هما شيئان مختلفان."
هذه الجملة ثقبت فقاعة معرفية طويلة الأمد في صناعة التشفير. لدى مجتمع البيتكوين إيمان شبه ديني بالبرمجيات المفتوحة المصدر، معتقدين أن كون الكود مفتوحًا يعني أن أي شخص يمكنه التحقق منه، وبالتالي فهو آمن بطبيعته. كان كود Coldcard مفتوحًا لمدة خمس سنوات. شملت مراجعة فريق Red Team 390 مشروعًا. عندما توضع هاتان الحقيقتان معًا، تصبح الصورة واضحة: القابلية للتدقيق لا تعني التدقيق الفعلي.
خبرة فريق Red Team كشفت أيضًا عن قيود التدقيق الأمني للذكاء الاصطناعي. يقول كالي إن معظم عمل الفريق لا يزال يعتمد على "توجيه الذكاء الاصطناعي يدويًا"، حيث يستخدم كل شخص طريقة تفضيله الخاصة في توجيه النموذج، مما أدى إلى تغطية أوسع مقارنة بالمنهج الموحّد. وهذا يشير إلى أن التدقيق الأمني الحالي للذكاء الاصطناعي يشبه أكثر "خبراء بشريين يقودون أدوات الذكاء الاصطناعي" بدلاً من "الدوران الذاتي للذكاء الاصطناعي". يمكن للنموذج مسح أنماط الكود بسرعة، لكن تقييم ما إذا كان اكتشاف معين قابلًا للاستغلال فعليًا، وما مدى نطاق تأثيره، ومن يجب إعلامه، لا يزال يتطلب خبرة وحكمًا بشريين.
قال هاميلتون إن الفريق يخطط لفتح إطار التدقيق كمصدر مفتوح، مما يسمح للشركات التي تعمل على البيتكوين بتشغيل نفس المسح على كودها المغلق. هذا اتجاه صحيح، لكنه يعني أيضًا أن نفس الأدوات ستنت必然 في أيدي المهاجمين.
ما كشفته هذه المراجعة حقًا هو معادلة جديدة تتشكل:
الذكاء الاصطناعي جعل تكلفة اكتشاف الثغرات تقترب من الصفر. لكن تكلفة إصلاح الثغرات (التنسيق التنظيمي،投入人力، انتقال المستخدمين) لا تزال باهظة وبطيئة.
باستخدام قوة حوسبة ذكاء اصطناعي بقيمة 40 ألف دولار لمدة 27.5 ساعة، يمكن للهاكر أن يقلب نظامًا مفتوح المصدر يدير تريليونات الدولارات رأسًا على عقب. تم العثور على ثغرة في Coldcard لم يلاحظها أحد لمدة خمس سنوات، وسرق المهاجمون 116 مليون دولار خلال 41 دقيقة.
يتم إعادة كتابة السرد الأمني للبيتكوين.
المنطق السابق كان: "الكود مفتوح المصدر، لذا فهو آمن." المنطق الجديد أكثر قسوة: "الكود مفتوح المصدر، لذا فإن المهاجمين يستخدمون الذكاء الاصطناعي لمسحه."
الميزة الوحيدة للدفاع هي التقدم، أي اكتشاف وإصلاح الثغرات قبل المهاجمين. فريق الأحمر يتنافس على هذا التقدم، لكن تقاريرهم توضح أنه حتى مع امتلاك التقدم، فإن سلسلة توزيع التصحيحات اللاحقة لا تزال أضعف رابط في النظام البيئي.
المأزق الذي يواجهه البيتكوين قد يكون مجرد تجربة تمهيدية لتحول أكبر. إن عالم برامج المصدر المفتوح بأكمله على وشك مواجهة نفس السؤال: عندما لم يعد اكتشاف العيوب يتطلب خبراء، لكن تصحيحها لا يزال يتطلب ذلك، ما الذي سيملأ هذا الفجوة؟