Mythos يجد ثغرة curl بعد أن أكملت نموذج الذكاء الاصطناعي من Anthropic تحليلاً أماني شاملاً لمكتبة curl المستخدمة على نطاق واسع في مايو 2026. فحص النموذج 178 ألف سطر من كود C عبر مجلدات src و lib في curl، مما حدد خمس مشاكل محتملة تم تقليصها لاحقاً من خلال المراجعة اليدوية بواسطة فريق الأمان في curl.

قام فريق الأمان في curl بالتحقق من كل واحدة من النتائج الخمس التي أبلغ عنها Mythos خلال عدة ساعات. كشفت عملية التحقق اليدوية أن أربعة من المشاكل الخمس لم تكن ثغرات أمنية مؤكدة. كانت ثلاثة منها نتائج موجبة كاذبة تسلط الضوء على قيود موثقة في واجهات برمجية التطبيقات، بينما صُنفت واحدة على أنها خلل عام بدلاً من كونها عيب أمني. بقيت مشكلة واحدة فقط مؤهلة كثغرة مؤكدة، وتصنيفها أمني منخفض ومجدولة للنشر مع إصدار curl القادم 8.21.0 في أواخر يونيو 2026.

سجل curl الأماني والنطاق

يعمل curl على نطاق ضخم عبر البنية التحتية الحديثة. يخدم المشروع أكثر من عشرين مليار نسخة مثبتة تعمل على أكثر من 110 نظام تشغيل و 28 بنية معمارية CPU. ينفذ على كل هاتف ذكي وجهاز لوحي وسيارة وتلفاز وجهاز ألعاب وخادم عالمياً. يحتوي قاعدة الكود على 176 ألف سطر من كود C (مستثنياً الأسطر الفارغة) معادلة في الحجم لـ 12 في المئة أكثر من الكلمات من الطبعة الإنجليزية الكاملة من War and Peace.

نشر مشروع curl 188 CVE حتى الآن. شارك في التطوير 1,465 فرداً ساهموا في البرمجة المدمجة في المستودع عبر الوقت، مع 573 فرداً معترفاً بهم حالياً للبرمجة الموجودة والمُنتجة في git master. تمت إعادة كتابة كل سطر برمجي مصدر إنتاجي بمعدل 4.14 مرات، مما يعكس تحسيناً كبيراً. Mythos يجد ثغرة curl داخل قاعدة الكود المدقق عليها بشدة والخاضعة بالفعل لفحوصات OSS-Fuzz و Coverity و CodeQL وعمليات تدقيق أمن سيبراني متعددة مدفوعة الأجر.

أدوات تحليل الكود بالذكاء الاصطناعي السابقة وتأثيرها

قبل تحليل Mythos، خضع curl لفحص باستخدام أدوات تحليل كود متعددة مدعومة بـ الذكاء الاصطناعي. تم استخدام AISLE و Zeropath و OpenAI’s Codex Security لفحص قاعدة الكود على مدى فترة 8-10 أشهر. أثارت هذه الأدوات المبكرة مجتمعة ما بين 200 و 300 إصلاح خلل مدمج في curl. كانت العديد من النتائج ثغرات مؤكدة منشورة كـ CVEs، يصل عددها إلى حوالي اثني عشر أو أكثر.

يستخدم مشروع curl حالياً GitHub’s Copilot و Augment code لمراجعة طلبات السحب، حيث تساعد نتائجهم الآلية المطورين على تجنب دمج الأخطاء الجديدة. تكمل مراجعات الذكاء الاصطناعي بدلاً من أن تحل محل مراجعة البرمجة البشرية. يستخدم باحثو الأمان الذكاء الاصطناعي بشكل متزايد وفعال لتحديد الثغرات الأمنية، مما يولد كمية عالية من تقارير الأمان ذات الجودة العالية لمشروع curl.

نتائج تقرير Mythos وتصنيف الأخطاء

احتوى تقرير تحليل Mythos على أخطاء إضافية تجاوزت الخمسة المعلمة كثغرات محتملة. حدد التقرير حوالي عشرين خللاً إجمالياً، مع حصول معظمها على شروحات مفصلة وتقييمات يقين عالية. يحقق فريق curl في كل خلل، مصححاً تلك المعتبرة صالحة. كان حجم المشاكل المكتشفة بواسطة Mythos أصغر من نواتج الأدوات الأولى المستخدمة على curl، وهو متوقع لأن الأخطاء الأبسط تمت معالجتها بالفعل من خلال الفحوصات السابقة.

لاحظ التقرير عدم اكتشاف أي ثغرات تتعلق بسلامة الذاكرة أثناء التحليل. أشارت وثائق المنهجية إلى تحليل موجه يدويًا باستخدام عوامل فرعية للنموذج اللغوي لقراءات الملفات المتوازية، مع إعادة التحقق من كل نتيجة مرشحة من خلال الفحص المباشر للمصدر قبل التسجيل. لم تُستخدم أي أدوات SAST آلية. تتوافق النتيجة مع حالة curl كواحدة من قواعد كود C الأكثر اختباراً وتدقيقاً في المصدر المفتوح.

كيف يختلف محللو الكود الحديثون بالذكاء الاصطناعي عن الأدوات التقليدية

يكتشف محللو الكود الحديثون بالذكاء الاصطناعي عدم التطابق بين تعليقات الكود والتطبيق الفعلي. يمكنهم تحليل الكود للأنظمة الأساسية والتكوينات التي لا يستطيع محللو الأدوات التقليدية تشغيل مباشر ضدها. تحافظ نماذج الذكاء الاصطناعي على معرفة بمكتبات الجهات الخارجية وواجهات برمجية التطبيقات الخاصة بها، مما يتيح اكتشاف الإساءة أو الافتراضات غير الصحيحة في استخدام API.

يفهم محللو الذكاء الاصطناعي مواصفات البروتوكول التي يطبقها curl، مما يسمح لهم بتحديد تفاصيل الكود التي قد تنتهك أو تتناقض مع متطلبات البروتوكول. تتفوق هذه الأدوات في تلخيص وشرح الأخطاء المكتشفة بطرق تكافح أدوات التحليل الثابت التقليدية للمطابقة. يمكن لعديد من محللات الذكاء الاصطناعي إنشاء اقتراحات التصحيح للمشاكل المحددة، على الرغم من أن البقع غالباً ما تتطلب تحسيناً قبل النشر.

تعمل جميع نماذج تحليل الأمان الحديثة بفعالية في اكتشاف الأخطاء. يواجه أي مشروع لا يستخدم أدوات تحليل الكود المدعومة بالذكاء الاصطناعي خطر ترك الثغرات الأمنية غير المكتشفة للخصوم والمهاجمين لاكتشافها واستغلالها. يستفيد مشروع curl من التحسين المستمر من خلال ممارسات الأمان التي يقودها كل من الذكاء الاصطناعي والبشر مجتمعة.

التوقعات مقابل الواقع

حظي Mythos باهتمام إعلامي واسع في أبريل 2026 عندما وصفت Anthropic النموذج بأنه فعال استثنائياً في اكتشاف العيوب الأمنية في كود المصدر. قيدت الشركة الوصول الأولي للمنظمات المختارة من خلال Project Glasswing، مما أثار نقاشاً عاماً كبيراً حول الآثار المترتبة على أمان البرمجيات. توقع مشروع curl نتائج واسعة النطاق عند عرض الوصول إلى النموذج.

تشير النتائج الفعلية إلى أن الضجة الكبيرة المحيطة بـ Mythos كانت مدفوعة في الغالب برسائل التسويق. لا تثبت النتائج معدل اكتشاف أعلى بشكل كبير أو نهج مختلف بشكل أساسي مقارنة بأدوات تحليل الكود بالذكاء الاصطناعي السابقة. بينما قد يقدم Mythos تحسينات متواضعة، فإن درجة التقدم لا تبدو كافية لإحداث تحول كبير في ممارسات تحليل أمان الكود. يعتمد هذا التقييم على خبرة curl المحددة وقد لا يعكس أداء Mythos عبر قواعد أكواد أخرى أو أهداف تحليل مختلفة.

تبقى محللات الكود المدعومة بالذكاء الاصطناعي أفضل بكثير في تحديد العيوب الأمنية من محللات الكود التقليدية المطورة في العقود السابقة. ستكتشف المشاريع التي لم تطبق بعد أدوات تحليل الكود المستندة إلى الذكاء الاصطناعي أعداداً كبيرة من الأخطاء والثغرات الأمنية المحتملة. سيؤدي التطور المستمر لنماذج الذكاء الاصطناعي وتقنيات المحفزات الجديدة على الأرجح إلى اكتشاف مشاكل إضافية في curl والمشاريع الأخرى بمرور الوقت.

المصدر: daniel.haxx.se