الذكاء الاصطناعي يكشف 21 ثغرة خطيرة في FFmpeg وجوجل تعالج رقماً قياسياً من الثغرات في كروم

قبل سنوات، كان اكتشاف ثغرة أمنية كبيرة يتطلب فريقاً من الباحثين وأشهرًا من التدقيق اليدوي. اليوم، يكفي أن تُطلق وكيلاً ذكياً على مستودع برمجي ضخم ليعود إليك بعشرات العلل المدفونة. هذا الأسبوع قدّم مثالاً صريحاً على هذا التحول، بعدما كشف وكيل ذكاء اصطناعي عن 21 ثغرة يوم صفر في مكتبة FFmpeg، بالتزامن مع إطلاق جوجل تحديث Chrome 149 الذي عالج رقماً قياسياً بلغ 429 ثغرة أمنية دفعة واحدة.

مكتبة FFmpeg ليست مشروعاً هامشياً؛ إنها العمود الفقري لملايين تطبيقات الفيديو، من خدمات البث إلى أدوات المونتاج، مروراً بالمكتبات المضمنة داخل الحاويات البرمجية وصور الخوادم. الوكيل المستقل الذي طورته شركة DepthFirst فحص نحو 1.5 مليون سطر من لغة C، وأنتج 21 ثغرة مؤكدة مع أمثلة استغلال قابلة لإعادة الإنتاج.

اللافت أن بعض هذه الثغرات ظل كامناً بين 15 و20 عاماً، إحداها تعود إلى 2003. نحن لا نتحدث عن أخطاء سطحية، بل عن فيوضان في الذاكرة من نوع heap وstack داخل محللات الصيغ ووحدات demuxer، وهي مكوّنات تتعامل مباشرة مع مدخلات غير موثوقة مثل تدفقات RTSP أو AV1 عبر RTP. بمعنى آخر، نقاط تماس مفتوحة مع الإنترنت.

بحسب الشركة، لم تتجاوز تكلفة التشغيل نحو ألف دولار. هذا الرقم وحده يكفي لإعادة تعريف معادلة اكتشاف الثغرات. إذا كان استخراج 21 يوم صفر يمكن أن يتم بكلفة محدودة وأتمتة شبه كاملة، فإن حاجز الدخول إلى عالم البحث الأمني تغيّر جذرياً.

لكن انخفاض تكلفة الاكتشاف لا يعني انخفاض تكلفة المعالجة. تصحيح مكتبة مثل FFmpeg يعني تحديث توزيعات لينكس، وإعادة بناء حزم Python، وتحديث صور Docker، وأحياناً انتظار موردي الأجهزة لتضمين الإصلاحات.

في الجبهة الأخرى، أطلقت جوجل Chrome 149 مع 429 إصلاحاً أمنياً، أكثر من 100 منها بدرجة خطورة عالية أو حرجة. أخطرها CVE-2026-10881، ثغرة قراءة وكتابة خارج الحدود في محرك الرسوميات ANGLE تتيح الهروب من العزل الرملي وتنفيذ تعليمات برمجية على النظام المضيف.

المفارقة أن معظم الثغرات الخطيرة جاءت من داخل جوجل نفسها، لا من باحثين خارجيين. الشركة لم تربط الرقم القياسي مباشرة بالذكاء الاصطناعي، لكنها عدّلت برنامج المكافآت في أبريل الماضي للتعامل مع سيل بلاغات مولّدة آلياً، مطالبةً بتقارير أقصر مع مُعيد إنتاج واضح بدلاً من الشروح المطولة.

ما يحدث يتجاوز FFmpeg وChrome. أدوات مستقلة رصدت مؤخراً ثغرة تنفيذ أوامر عن بعد في Redis ظلت لأكثر من عامين دون اكتشاف، ودراسة أكاديمية أظهرت قدرة وكلاء ذكيين على إعادة إنتاج نماذج استغلال لأكثر من نصف 100 ثغرة حقيقية في نواة لينكس، متفوقين على أساليب fuzzing التقليدية.

الضغط اليوم لا يتمثل في العثور على الخلل، بل في فرز البلاغات، التحقق من صحتها، تطوير التصحيحات، ثم دفعها إلى المستخدمين عبر دورات تحديث أقصر. كثير من هذه المسؤولية لا يزال يقع على متطوعين ومُراجعين بشريين يلاحقون وتيرة آلات لا تتعب.

للمؤسسات، الأمر يعني أن إدارة التبعيات لم تعد مهمة دورية هامشية. أي مكتبة لمعالجة الوسائط قد تخفي بداخلها ثغرات عمرها عقدان. التحديثات الأمنية باتت جزءاً من استراتيجية المخاطر، لا مجرد تحسينات. أما للمستخدم العادي، فالتأكد من تفعيل التحديث التلقائي للمتصفح والنظام لم يعد رفاهية رقمية.

نحن أمام مرحلة يصبح فيها الذكاء الاصطناعي أداة مزدوجة: يقلّص زمن اكتشاف الثغرات إلى أيام، لكنه يكشف هشاشة متراكمة بُنيت عبر عقود. السؤال لم يعد كم ثغرة سنكتشف، بل كيف سنبني أنظمة قادرة على امتصاص هذا السيل المستمر من الحقائق غير المريحة.