أطلقت شركة Vercel برنامج مكافآت لاكتشاف الثغرات الأمنية ضمن بيئتها المعززة، والتي تعتمد على أجهزة افتراضية مصغرة (MicroVMs) مبنية بتقنية Firecracker، ومصممة خصيصاً لعزل التعليمات البرمجية غير الموثوقة الخاصة بوكلاء الذكاء الاصطناعي.
امتد البرنامج لمدة أسبوعين، من 18 أغسطس إلى 1 سبتمبر، بمحفظة جوائز بلغت مليون دولار أمريكي. استهدف التحدي الباحثين الأمنيين في منصة HackerOne لإجراء اختبارات الاختراق بنظام الصندوق الأسود، بالإضافة إلى مهندسي شركة Trail of Bits لإجراء اختبارات الصندوق الأبيض.
أسفرت هذه المبادرة عن تلقي 1,285 تقريراً أمنياً في وقت قياسي، ما يعكس بوضوح الكفاءة والسرعة التي يوفرها الذكاء الاصطناعي للباحثين في هذا المجال.
ومع استمرار عملية فرز التقارير وتقييمها حتى الأول من أكتوبر، أسفرت النتائج الأولية عن التحقق من ثغرة أمنية واحدة حرجة، و7 ثغرات عالية الخطورة، و15 ثغرة متوسطة، و49 ثغرة منخفضة الخطورة، إلى جانب 19 تقريراً معلوماتياً. وبناء على هذه النتائج، التزمت Vercel بصرف مكافآت مالية بلغت نحو 325 ألف دولار أمريكي حتى الآن. والجدير بالذكر أنه رغم العدد الهائل من التقارير والمحاولات، لم ينجح أي باحث في الوصول إلى بيانات العملاء الفعلية.
اكتشافات حرجة في نواة Linux
تجلى الاكتشاف الأبرز للبرنامج في رصد ثغرتين مستقلتين داخل حزمة الشبكات الخاصة بنواة نظام Linux، وليس في الشيفرة البرمجية الخاصة بشركة Vercel بحد ذاتها. يتسبب الخلل الأول في تسريب للذاكرة من نواة النظام المضيف، في حين يؤدي الخلل الثاني إلى تعطل المضيف بالكامل.
وتحمل هذه الثغرات تداعيات أمنية واسعة النطاق، نظراً لاعتماد كبار مزودي الخدمات السحابية على الطبقة ذاتها من نواة Linux لعزل بيئات عمل عملائهم، ما يهدد أمن سلاسل الإمداد السحابية بشكل مباشر.
بفضل هذا البرنامج، تمكنت Vercel من اكتشاف هذه العيوب قبل أسبوعين من وصولها إلى مطوري النواة الأساسيين، وتخضع الإصلاحات البرمجية حالياً لمراجعة تقنية تمهيداً لإصدار معرفات الثغرات الرسمية (CVE).
على صعيد آخر، أسفر اختبار الصندوق الأبيض الذي نفذه مهندسو شركة Trail of Bits عن 20 اكتشافاً متنوعاً. وكانت الفائدة الكبرى لشركة Vercel متمثلة في التوجيهات الهندسية والمعمارية؛ حيث دعم المهندسون نهج الشركة في استخدام المحاكاة الافتراضية، وقدموا ثلاث توصيات هيكلية محورية، كان أهمها التوقف النهائي عن منح أي موثوقية للأنظمة المستضافة (نظام الضيف). فقد تبين أن مستوى التحكم في Vercel كان يستقبل قيماً مسترجعة من برمجيات تعمل داخل الأجهزة الافتراضية المصغرة، وهي تمثل فعلياً مدخلات من المستخدمين. ولمعالجة ذلك، تقرر أن يتم توليد أي بيانات تتجاوز هذه الحدود الأمنية من جهة الخادم مباشرة، أو أن يتم تأمينها باستخدام مفتاح تشفير لا يمكن لنظام الضيف الوصول إليه.
فرز التقارير الآلي وإلغاء التدخل البشري
فرض الحجم الهائل للتقارير تحدياً تشغيلياً معقداً على فريق العمل. في البداية، اعتمدت Vercel على التدخل البشري لمراجعة كل تقرير وتوثيق القرارات ضمن محادثات مخصصة. نجح هذا النموذج الأولي مع التقارير الخمسين الأولى، لكنه سرعان ما أثبت عدم فعاليته أمام تدفق أكثر من ألف تقرير إضافي.
لمواجهة ذلك، طورت الشركة حلاً مستقلاً يعتمد على الفرز الآلي عبر وكيل ذكي مبني على إطار عمل Vercel Eve. يتولى هذا الوكيل قراءة كل تقرير، ومطابقته مع سياسات البرنامج، والبحث عن التقارير المكررة عبر آلاف الملفات، بالإضافة إلى سحب الشيفرة المصدرية وتشغيل كود إثبات المفهوم (PoC) الذي أرفقه الباحث داخل بيئة Vercel المعززة الحقيقية. وتعتزم الشركة طرح هذا الوكيل، المدعوم بمنصة Kimi K3، كمشروع مفتوح المصدر ليكون نموذجاً مرجعياً تستفيد منه الشركات الأخرى.
وبناء على هذه التجربة، خلصت Vercel إلى ضرورة دمج آليات الدفاع المدعومة بالذكاء الاصطناعي للتصدي للهجمات السيبرانية السريعة والمعقدة. وكانت الخطوة الأكثر أهمية هي استبعاد التدخل البشري من عملية فرز التقارير لضمان سرعة الاستجابة الأمنية، متجاوزة بذلك الجدل الشائع حول تفضيل العملاء للتدقيق البشري؛ حيث أن أي تأخير زمني في بيئات العمل فائقة السرعة قد يؤدي إلى عواقب وخيمة.
في النهاية، ساهم برنامج المكافآت في رفع مستوى الأمان لبيئة Vercel المعززة، إذ تم تحليل كل تقنية هجومية مكتشفة ودمجها في آليات الدفاع لحماية الأنظمة مستقبلاً. واختتمت الشركة تجربتها ببيان يوضح أن عدم اكتشاف ثغرات أمنية لا يعني بالضرورة غيابها التام.
