استخدمت شركة Anthropic نموذج Claude لفحص 25 مشروعًا مفتوح المصدر، أي برامج شيفرتها متاحة للجميع، ورصدت قرابة 500 مشكلة أمنية. إذا كنت تعتمد على مشاريع كهذه في عملك، فراجع إعداداتها الافتراضية قبل النشر.
غطى الفحص مشاريع مكتوبة بلغات C، C++، Java، PHP، Python. تنوعت المشكلات بين ضوابط أمنية عُطّلت بسبب تعارض الإعدادات، وشيفرة حساسة يمكن الوصول إليها قبل التحقق من هوية المستخدم، وثغرة بقيت داخل الشيفرة 21 عامًا دون أن يلاحظها أحد.
ما الذي فعلته Anthropic؟
شمل الفحص أكثر من خمسة ملايين سطر برمجي. أعدّ Claude قائمة بأكثر من 17 ألف خيار إعداد، منها 3842 خيارًا مرتبطًا بضوابط أو ميزات أمنية. ركز البحث على ثلاث طرق تجعل الشيفرة مكشوفة دون حاجة: ميزات متاحة في الإعدادات الافتراضية رغم أن المستخدم لا يحتاجها، وإعدادات مختلفة تضعف الأمان عند جمعها معًا، وشيفرة معقدة وحساسة تعمل قبل فحوصات الأمان.
لماذا تركز Anthropic على سطح الهجوم؟
سطح الهجوم هو مجموع الأجزاء التي يستطيع المهاجم الوصول إليها في البرنامج. ترى Anthropic في تقريرها أن البحث عن الثغرات واحدة تلو الأخرى مهمة لا تنتهي، ولا تتوسع بسهولة، ولا تضمن الأمان. وتقترح على المدافعين تقليل الشيفرة المكشوفة دون داعٍ. وقالت الشركة: «المدافع الذي يقلل سطح الهجوم غير الضروري في شيفرته يقلل الخطر الناتج عن كل الثغرات المجهولة فيها دفعة واحدة، بما في ذلك أي ثغرات يجري استغلالها بهدوء فعلًا».
ما أبرز النتائج؟
| العنصر | العدد |
|---|---|
| المشاريع المفحوصة | 25 |
| الأسطر البرمجية | أكثر من 5 ملايين |
| خيارات الإعداد المحصورة | أكثر من 17 ألفًا |
| خيارات مرتبطة بالأمان | 3842 |
| نقاط هجوم قبل التحقق في الإعدادات الافتراضية | 93 |
| حالات تنفيذ شيفرة قبل التحقق من الهوية | 37 |
| توليفات إعدادات أضعفت ضوابط ما قبل التحقق | 61 |
| توليفات إعدادات مقبولة دون توثيق لسلوكها | 162 |
وجد التحليل أن المشاريع الـ11 المصممة لخدمة مستخدمين موثّقين، أي بعد تسجيل الدخول، تضمنت كلها شيفرة يمكن الوصول إليها حيث لا ينبغي ذلك. وفي بعض الحالات عُطّلت ضوابط الأمان فعلًا، وفي حالات أخرى ظهرت تناقضات ومشكلات متنوعة. كما حدد Claude طرقًا لتقليص سطح الهجوم تزيل تعريض الشيفرة دون حاجة قبل أن يستغلها أحد.
سبق أن تناولنا أداة OSS Scanner من Anthropic لفحص المصادر المفتوحة، وتجربة Claude في إثبات صحة شيفرة مكتبات مفتوحة المصدر رياضيًا. ولمتابعة هذا المجال، تصفح قسم أخبار الذكاء الاصطناعي.
ماذا يعني لك؟
يعتمد كثير من المطورين وفرق تقنية المعلومات في مصر والخليج على مشاريع مفتوحة المصدر في مواقعهم وخوادمهم. ننصحك بمراجعة خيارات الإعداد الافتراضية، وتعطيل الميزات التي لا تحتاجها، والانتباه إلى توليفات الإعدادات التي لا تشرحها وثائق المشروع بوضوح. لم يُعلن رسميًا في التفاصيل المتاحة أسماء المشاريع التي شملها الفحص، لذلك لا يمكن الجزم بأن مشروعًا بعينه متأثر.
