Visa تطلق Harness أمني مفتوح المصدر بعد كشف Mythos لـ10,000+ ثغرة

مقدمة تحليلية

في خطوة تعكس واقع الأمن السيبراني المتقلب، أعلنت Visa في 28 يوليو 2026، عن إطلاق أداتها Visa Vulnerability Agentic Harness كمشروع مفتوح المصدر على GitHub، وذلك بعد استخدام نموذج Anthropic Claude Mythos لاكتشاف أكثر من 10,000 ثغرة أمنية عالية أو حرجة الخطورة في بنيتها التحتية العالمية. هذه الثغرات، التي عُثر عليها خلال الشهر الأول من الاختبارات ضمن "Project Glasswing" لشركة Anthropic، كشفت عن سلاسل استغلال معقدة كان من الصعب اكتشافها بالطرق التقليدية، مما أجبر Visa على إعادة تقييم منهجيات الدفاع لديها. راجت تانيجا، رئيس قسم التكنولوجيا في Visa منذ عام 2019، والذي انضم للشركة عام 2013 بعد 15 عاماً في Microsoft ومنصب CTO في Electronic Arts، أشار إلى أن النموذج ربط نقاط ضعف ثانوية عميقة في النظام إلى سلاسل استغلال وظيفية. التأكيد على الدفاع "الوكيل" (agentic) في مواجهة الهجمات الوكيلة لم يكن مجرد تنظير، بل دفعه اكتشاف الثغرات في شبكة تدعم أكثر من 200 دولة وإقليماً، وتُسيّر الأموال بـ160 عملة، وتربط نحو 5 مليارات من بيانات الاعتماد بـ175 مليون موقع تاجر، مما يستوجب تحديثاً جذرياً لمنظومة أمنها.

التحليل التقني

يُمثل Visa Vulnerability Agentic Harness، والذي وصل إلى جيله الخامس، خط أنابيب مُحكَم يحكم نماذج الذكاء الاصطناعي المتطورة عبر مهام أمنية منظمة، مع فرض ضوابط حتمية وبوابات سياسات ورقابة بشرية في كل مرحلة. صُممت الأداة لتعمل عبر أربع مراحل وأحد عشرة خطوة، بدءاً من استيعاب الكود ونمذجة التهديدات وصولاً إلى التحقق العميق، وتوليف سلاسل الاستغلال، وأخيراً المعالجة والتحقق من الإصلاح. لضمان جودة الاكتشافات، تستند الأداة إلى ثلاث خيارات تصميمية أساسية:

• نمذجة التهديدات قبل التحليل: لتركيز الجهود على سطح الهجوم الفعلي بدلاً من المسح العشوائي.
• التصويت الحتمي متعدد الوكلاء: يتطلب هذا التقارب بين سلاسل الاستدلال المستقلة قبل ترحيل أي اكتشاف.
• آثار الفرز المنظمة: تُقلص دورة الحياة من الاكتشاف إلى نتيجة يمكن للمطورين تطبيقها فوراً.

النموذج الافتراضي للأداة، عند تشغيله، ينفذ جميع المراحل الأحد عشر ويُعدّل ملفات المصدر في المستودع المستهدف في وضع الإصلاح، مطبقاً التصحيحات المرشحة ما لم يوقفه المشغل. الأداة مُصممة لتكون متعددة النماذج (multi-model)، مع طبقة تجريد للنماذج اللغوية الكبيرة (LLM) تسمح لـVisa بتبديل أو دمج مزودي النماذج دون تغيير مستوى التحكم. الإصدار مفتوح المصدر متوافق مع Anthropic Claude، ونماذج متوافقة مع OpenAI، أو مزيج منهما. ومع ذلك، هناك قيود واضحة: تتطلب مراحل المعالجة والتحقق من الإصلاح حالياً نماذج Anthropic للحصول على الوظائف الكاملة، نظراً لأدوات تعديل الملفات التي توفرها Anthropic وحدها.

في المقابل، يقتصر دور النماذج المتوافقة مع OpenAI في هذه المراحل على إنتاج تقارير فقط. هذه التبعية، على الرغم من مرونة التصميم النظري، تُشكل نقطة ضعف جوهرية في قدرة الأداة على العمل بشكل مستقل تماماً عن مزود معين. وأشار التقرير الأبيض الصادر عن Visa إلى أن أدوات SAST التقليدية لا تزال تحتفظ بمكانتها كخط دفاع أول ضد أنماط الثغرات المعروفة، لكن مطابقة الأنماط وحدها لا يمكنها تتبع خصم يفكر منطقياً عبر تدفق البيانات وسلاسل الاستغلال الكامنة بين التواقيع.

السياق وتأثير السوق

لم يعد اكتشاف الثغرات هو التحدي الأكبر، بل سرعة تأكيد استغلالها وإصلاحها وإثبات إغلاق مسار الهجوم، وهو ما تسميه Visa "متوسط وقت التكيف" (Mean Time to Adapt - MTTA). هذا المقياس الجديد، الذي يتتبع ثلاث أبعاد رئيسية، يُشكل تحولاً عن المقاييس القديمة مثل متوسط وقت الكشف أو عدد إغلاقات CVEs الخام التي قد تُظهر تحسناً وهمياً. تُشير بيانات CISA Known Exploited Vulnerabilities إلى أن أقل من 1% من ثغرات CVEs يتم استغلالها فعلياً، مما يُبرر التركيز على MTTA الذي يجبر الفرق على قياس النتائج الفعلية. سياسة SSDLC لـVisa تفترض الآن أن كل مسار قابل للاستغلال سيتم ممارسته في الإنتاج، وتتطلب معالجته قبل ترحيل الكود.

يتجاوز التهديد بيئة Visa الخاصة ليشمل سلسلة التوريد. تُحذر Visa في تقريرها الأبيض من أن المؤسسات المُحصنة جيداً تظل معرضة للخطر عبر البائعين والمكونات مفتوحة المصدر الضعيفة. لذا، جعلت Visa الوضع الأمني الخاص بالذكاء الاصطناعي بعداً غير قابل للتفاوض في العناية الواجبة للموردين، مع توقعات بالتحقق المستمر من الثغرات وقوائم مواد برمجية حية وخطوط أساس MTTA. انضمت Visa أيضاً إلى Project Lightwell، المبادرة البالغة قيمتها 5 مليارات دولار من IBM وRed Hat لتقوية المكونات مفتوحة المصدر واسعة الاستخدام، إلى جانب مؤسسات مالية كبرى مثل Bank of America وJPMorganChase وGoldman Sachs وMastercard، مما يعكس تحالفاً صناعياً واسعاً لمواجهة ضعف سلسلة التوريد.

تتجه Visa أيضاً نحو تأمين التجارة القائمة على الوكلاء (agentic commerce)، حيث يتوقع تانيجا مستقبلاً تتفاعل فيه وكلاء الذكاء الاصطناعي نيابة عن المستهلكين والمؤسسات. Visa تعمل على بناء إطار الثقة وطبقة الهوية ونظام تسجيل جاهزية الوكلاء. تُشير أبحاث Pulse لـVentureBeat في الربع الثاني من عام 2026 إلى أن 69% من المؤسسات تستخدم بالفعل مشاركة بيانات الاعتماد في بعض عمليات نشر الوكلاء، وأن الشركات ذات بيانات الاعتماد المشتركة تُبلغ عن حوادث أمنية أو شبه حوادث بمعدل 63.5%، مقابل 40.9% حيث لكل وكيل هوية خاصة به. تعالج Visa هذه الفجوة في ممارساتها الـ12 غير القابلة للتفاوض، والتي تتضمن اعتبار وكلاء الذكاء الاصطناعي هويات تتطلب أذونات محددة، ودمجاً في حوكمة IAM لكل وكيل يستدعي API.

رؤية Glitch4Techs

إن ادعاء Visa بأن "الثقة مبنية على التشاؤم والبارانويا" في أنظمتها، يتناقض بشكل صارخ مع اكتشاف Mythos لـ10,000+ ثغرة أمنية حرجة، والتي تصفها Visa بأنها كشفت عن "افتراضات كان الفريق يعمل بموجبها وتحتاج إلى إعادة تفكير". هذا الاكتشاف يؤكد أن عقوداً من الاستثمار في الدفاع المتعمق لم تكن كافية لمواجهة التهديدات الحديثة المدفوعة بالذكاء الاصطناعي. بينما تُسوّق Visa أداتها Vulnerability Agentic Harness كمساهمة مفتوحة المصدر (595 نجمة و97 عملية fork على GitHub حتى 20 يوليو)، فإن التزامها الوظيفي بـAnthropic لتطبيق الإصلاحات يجعل من ادعاء المرونة في تبديل المزودين أمراً نظرياً. لا يمكن أن تدّعي الشركة تقديم حلول "agentic" للدفاع بينما تُقيّد القدرة على المعالجة الكاملة بنموذج خاص بائع واحد.

التغيير إلى MTTA ليس ابتكاراً بقدر ما هو اعتراف بخلل عميق في مقاييس الأداء السابقة، التي كانت تُظهر إغلاق مئات الثغرات شهرياً دون التأكد من كسر سلاسل الهجوم الفعلية. هذه ليست ريادة، بل استجابة متأخرة لواقع أمني كان يجب أن يكون متوقعاً من قبل مؤسسة تدعي "البارانويا" كعقيدة أمنية. الفرصة للحصول على السبق ضد المهاجمين ذوي السرعة الآلية، التي يُشير التقرير الأبيض إلى أنها "لن تبقى مفتوحة"، هي شهادة على أن Visa لم تكن مستعدة بالقدر الكافي في المقام الأول.