Claude يكتشف 22 ثغرة أمنية في Firefox خلال أسبوعين لصالح Mozilla
اكتشف Claude من أنثروبيك 22 ثغرة أمنية في Firefox خلال أسبوعين ضمن شراكة أمنية مع Mozilla، بحسب ما نُشر في 6 مارس 2026، وصنّفت Mozilla 14 منها عالية الخطورة. وأُصلح معظمها في Firefox 148. وتقول أنثروبيك إن هذه الثغرات الـ 14 تعادل نحو خُمس ثغرات Firefox عالية الخطورة التي أُصلحت في عام 2025 كله. وبالنسبة إلى شركات البرمجيات، يُظهر ذلك أن الذكاء الاصطناعي يستطيع العثور على أخطاء خطيرة بسرعة، وأن العمل ينتقل إلى التحقق مما يبلّغ عنه وإصلاحه.
لماذا كان متصفح Mozilla اختبارا صعبا لصيد الأخطاء بالذكاء الاصطناعي
Firefox من أكثر المشاريع مفتوحة المصدر اختبارا في العالم، ولهذا اختارته أنثروبيك. وقالت الشركة إنها اختارت Firefox لأنه "قاعدة كود معقدة، ومن أكثر المشاريع مفتوحة المصدر اختبارا وأمانا في العالم". ويستخدمه مئات الملايين يوميا، وثغرات المتصفحات خطيرة لأن المستخدمين يحمّلون باستمرار محتوى غير موثوق.
وكان لدى مهندسي Mozilla سبب للحذر. فقد كتب براين غرينستيد وكريستيان هولر أنهم رأوا نتائج متفاوتة من أنظمة سابقة لكشف الأخطاء بمساعدة الذكاء الاصطناعي.
ما الذي فعلته أنثروبيك وMozilla معا
استخدم فريق أنثروبيك Claude Opus 4.6 لمدة أسبوعين، بدءا بمحرك JavaScript في Firefox ثم انتقالا إلى أجزاء أخرى من المتصفح. وكان المحرك نقطة بداية مناسبة: يمكن تحليله وحده، وهو يعالج كودا غير موثوق من الويب.
وبعد عشرين دقيقة من الاستكشاف، أبلغ Claude عن ثغرة من نوع Use After Free، وهي خلل في الذاكرة قد يتيح لمهاجم الكتابة فوق البيانات. وتحقق منها ثلاثة باحثين في أنثروبيك قبل أن يسجلها الفريق في Bugzilla، نظام تتبع المشكلات لدى Mozilla، مع رقعة إصلاح مقترحة كتبها Claude. وبحلول تسجيل ذلك البلاغ الأول، كان Claude قد وجد خمسين مدخلا فريدا آخر يسبب انهيار المتصفح.
كيف انتقلت البلاغات من الذكاء الاصطناعي إلى الإصلاحات
غيّرت Mozilla العملية لتواكب الوتيرة. فبعد نقاش تقني، طلب باحث في Mozilla من أنثروبيك تقديم نتائجها دفعة واحدة دون التحقق من كل منها. وفي المجمل، فحص الفريق نحو 6,000 ملف C++ وقدّم 112 بلاغا فريدا.
"خلال ساعات، بدأ مهندسو المنصة لدينا في دمج الإصلاحات، وأطلقنا تعاونا وثيقا مع أنثروبيك لتطبيق الأسلوب نفسه على بقية قاعدة كود المتصفح." براين غرينستيد وكريستيان هولر، مهندسان في Mozilla
ما الذي وجده أسبوعان من صيد الأخطاء بالذكاء الاصطناعي
النتيجة: 22 ثغرة أمنية في Firefox، صدر لها 22 معرّف CVE. وصنّفت Mozilla 14 منها عالية الخطورة، وهو ما تقول أنثروبيك إنه نحو خُمس كل ثغرات Firefox عالية الخطورة التي أُصلحت في 2025. وكانت الثغرات الـ 22 التي وُجدت في فبراير 2026 أكثر مما أُبلغ عنه في أي شهر منفرد من 2025.
وصدرت معظم الإصلاحات في Firefox 148، الذي طُرح في فبراير، والباقي مقرر في الإصدارات المقبلة. ومنذ ذلك الحين بدأ باحثو Mozilla تجربة Claude في العمل الأمني داخليا.
لماذا كان Claude أفضل في اكتشاف الأخطاء منه في استغلالها
اختبرت أنثروبيك أيضا قدرة Claude على تحويل الثغرات إلى هجمات. فأجرت الاختبار عدة مئات من المرات وأنفقت نحو 4,000 دولار من أرصدة واجهة البرمجة (API)، ومع ذلك لم ينتج Claude استغلالا عاملا إلا في حالتين. ولم يعمل هذان الاستغلالان إلا في بيئة اختبار أُزيلت منها بعض حمايات المتصفح، ومنها بيئة العزل (sandbox).
واستخلصت أنثروبيك درسين: Claude أفضل بكثير في العثور على الأخطاء منه في استغلالها، والعثور على ثغرة يكلف أقل بمرتبة عشرية من بناء استغلال لها. وحذرت الشركة أيضا من أن هذه الفجوة على الأرجح لن تدوم طويلا.
ماذا يعني صيد الأخطاء بالذكاء الاصطناعي لشركات البرمجيات
بالنسبة إلى أي شركة تطلق برمجيات، المهمة هنا هي العثور على الثغرات الخطيرة قبل المهاجمين. والذكاء الاصطناعي يجعل هذا البحث أسرع وأرخص، لكنه يُغرق القائمين على المشاريع بالبلاغات أيضا. وكان جواب Mozilla أن تخبر أنثروبيك بدقة بالنتائج التي تريدها، وأن تقبل التقديم الجماعي.
وتوصي أنثروبيك بمنح وكلاء الذكاء الاصطناعي "أداة تحقق من المهمة"، أي طريقة موثوقة للتحقق من عملهم، مثل اختبارات تؤكد أن الخطأ لم يعد قابلا للتفعيل وأن الإصلاح لا يكسر شيئا آخر. وأشار موقع TechCrunch إلى أن أدوات الذكاء الاصطناعي قد تجلب سيلا من طلبات الدمج الرديئة إلى جانب المفيدة، ما يجعل خطوة التحقق هذه التكلفة الحقيقية التي يجب التخطيط لها.
أسئلة وأجوبة
كم ثغرة أمنية في Firefox اكتشف Claude؟
اكتشف Claude Opus 4.6 نحو 22 ثغرة خلال أسبوعين، وصنّفت Mozilla 14 منها عالية الخطورة. وأُصلح معظمها في Firefox 148.
هل استطاع Claude استغلال الأخطاء التي وجدها؟
نادرا فقط. فبعد عدة مئات من المحاولات، بنى Claude استغلالا بدائيا في حالتين، وفي بيئة اختبار فقط أُزيلت منها حمايات مثل بيئة العزل.
هل لا تزال Mozilla تستخدم Claude في الأمن؟
تقول أنثروبيك إن باحثي Mozilla بدؤوا منذ ذلك الحين تجربة Claude لأغراض أمنية داخليا.
رؤية MOZGII
كيف كنا سنبنيه
العثور على الأخطاء بالذكاء الاصطناعي بات النصف السهل. أما النصف الصعب فهو قائمة الانتظار التي تليه: على شخص ما أن يؤكد كل بلاغ، ويقرر خطورته، ويطلق إصلاحا. لو كنا نبني ذلك لشركة برمجيات، لصممنا النظام حول هذه القائمة لا حول النموذج.
كان النموذج سيفحص جزءا واحدا من الكود في كل مرة، بدءا من حيث يصل المدخل غير الموثوق. وكانت كل نتيجة ستأتي مع حالة اختبار تعيد إنتاج الانهيار ورقعة إصلاح مقترحة. وقبل أن يراها أي شخص، كانت أداة ثانية ستعيد تشغيل الاختبار، وتتحقق من أن الرقعة تزيل الانهيار، وتشغّل مجموعة الاختبارات القائمة لالتقاط أي شيء تكسره الرقعة. ولن يصل إلى فريق الأمن إلا ما يجتاز ذلك، ويبقى للفريق القرار النهائي بشأن الخطورة.
نقطة الانكسار هي الحجم. فالنموذج الذي يجد خمسين مدخلا يسبب الانهيار بينما يتحقق شخص من واحد سيدفن فريقا صغيرا. كنا سنتفق مع القائمين على المشروع مسبقا على أنواع النتائج التي يريدونها، كما فعلت Mozilla، ونُسقط الباقي تلقائيا.
المقياس الوحيد الذي كنا سنراقبه هو نسبة بلاغات الذكاء الاصطناعي التي يؤكد القائمون على المشروع أنها ثغرات أمنية حقيقية. فإذا انخفضت، فالمرشحات تحتاج إلى عمل قبل توسيع الفحص. وبعد ذلك كنا سنوجّه الإعداد نفسه نحو رقع الإصلاح ذاتها، حتى تُختبر الإصلاحات بالصرامة نفسها التي وُجدت بها الأخطاء.
المصادر
من أين جاءت حقائق هذا الخبر.