Agentic Vulnerability Reasoning on Windows COM Binaries
يقدم هذا المساهمة SLYP، وهو مسار وكيل (agent pipeline) متكامل يكتشف ذاتياً ثغرات "حالة السباق" (race-condition) في ملفات Windows COM الثنائية ويولد كود إثبات مفهوم (PoC) مُتحقق منه، حيث نجح في تحديد 28 ثغرة غير معروفة سابقاً في خدمات إنتاجية وحصد 140,000 دولار من المكافآات، متفوقاً بشكل كبير على أدوات التحليل الساكن ووكلاء البرمجة الحاليين.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل خزنة بنك ضخمة وعالية التأمين (نظام التشغيل ويندوز) حيث يتم التعامل مع أكثر العمليات حساسية من قبل فريق من الحراس النخبة، ذوي القدرات الخارقة (خدمات COM). يمتلك هؤلاء الحراس مفاتيح الماستر للمبنى بأكته. ومع ذلك، هناك عقبة: يُسمح لمئات الموظفين العاديين (المستخدمين المصرح لهم) بالاقتراب من منصات الحراس لطلب تنفيذ مهام معينة.
المشكلة تكمن في أن هؤلاء الحراس قد يصابون بالارتباك أحيانًا عندما يحاول موظفان التحدث إليهم في نفس اللحظة تمامًا. إذا افتقر الحراس إلى قاعدة صارمة "بأن يكون شخص واحد فقط في المرة الواحدة"، فقد يسقطون مفتاحًا، أو يحذفون ملفًا كانوا يمسكونه، أو يسلمون مفتاح الماستر بالخطأ للشخص الخطأ. في علوم الحاسوب، تُسمى هذه المواقف بـ "حالات السباق" (Race Conditions)، وهي التي تسمح للمستخدم العادي بسرقة قدرات "الحارس الخارق"، وهي عملية تُعرف باسم "تصعيد الامتيازات" (Privilege Escalation).
المشكلة: البحث عن الثغرة
لسنوات، حاول خبراء الأمن العثور على هذه الثغرات باستخدام طريقتين رئيسيتين:
- "المُفحّص" (المطرقة): هذا يشبه إلقاء آلاف الكرات العشوائية ضد باب الخزنة لمعرفة ما إذا كان أي منها سيحطم الباب. إنه جيد في العثور على الثقوب الكبيرة، لكنه سيئ للغاية في اكتشاف أخطاء التوقيت الدقيقة والمحددة حيث يتحدث شخصان في نفس جزء الملي ثانية.
- "المحلل الساكن" (قارئ الخرائط): هذه الأداة تقرأ مخططات الخزنة للعثور على المشكلات المحتملة. ومع ذلك، بما أن المخططات لهذه الخدمات في ويندوز غالبًا ما تكون مكتوبة بخط يد غير واضح (كود مجمع بدون تسميات واضحة)، فإن قارئ الخريطة يرتبك، ويتجاهل الأخطار الحقيقية، ويصرخ "خطر!" رغم عدم وجود خطر فعلي (إنذارات كاذبة).
الحل: Slyp (العميل المحقق)
قام مؤلفو هذه الورقة بتطوير نظام جديد يسمى Slyp. لا تنظر إلى Slyp كمطرقة أو قارئ خرائط، بل كـ عميل محقق فائق الذكاء مجهز بمجموعة أدوات خاصة.
يستخدم Slyp "عقلاً" (نموذج لغوي كبير - LLM) بارع جدًا في قراءة وفهم الأكواد الفوضوية، واستيعاب معناها حتى عندما تفتقر إلى التسميات. ومع ذلك، العقل وحده لا يكفي؛ فهو يحتاج إلى أيدٍ لتلمس الأدلة.
أدوات Slyp الثلاث الخاصة:
- مستكشف الثنائيات (المصباح اليدوي): تسلط هذه الأداة الضوء على الكود المظلم والفوضوي، وتترجم الهراء إلى جمل مفهومة، وتحدد أي الأبواب "الافتراضية" يستخدمها الحراس للدخول إلى الغرف.
- مفتش COM (ماسح الهوية): تتحقق هذه الأداة من السجل الرسمي لمعرفة كيفية استدعاء الحراس بالضبط، وما هي أسماؤهم، وما هي الصلاحيات التي يمتلكونها. إنها تشبه امتلاك رقم الهاتف الدقيق ورمز المصافحة السري لكل حارس.
- المصحح الديناميكي (دمية اختبار التصادم): هذه هي الأداة الأكثر أهمية. بدلًا من مجرد التخمين، يكتب Slyp برنامج اختبار صغير، ويقوم بتشغيله ضد الحارس الحقيقي، ويراقب ما يحدث. إذا تعثر الحارس وسقط (انهيار/Crash)، يقوم Slyp برصد السقوط، وتسجيل كيفية حدوثه بدقة، وكتابة تقرير عنه.
كيف يعمل: حلقة المحقق
لا يخمن Slyp لمرة واحدة فقط، بل يعمل في حلقة مستمرة:
- التفكير: يفحص عقل المحقق الكود ويقول: "أعتقد أنه إذا طلب شخصان ملفًا في نفس الوقت، فقد يسقط الحارس الملف".
- التنفيذ: يستخدم الأدوات لفحص الكود، وإيجاد نقطة "السقوط" المحددة، وكتابة نص برمجي لاختبار هذا الأمر.
- الملاحظة: يقوم بتشغيل الاختبار. هل سقط الحارس؟
- لا؟ يقول المحقق: "حسنًا، توقيتي كان خاطئًا. سأحاول مرة أخرى بنص برمجي معدل قليلاً".
- نعم؟ يقول المحقق: "أمسكت بك!" ويكتب تقريرًا رسميًا مدعومًا بالأدلة.
النتائج: رحلة صيد قياسية
اختبرت الورقة نظام Slyp مقابل أفضل الأدوات الموجودة والخبراء البشريين:
- اختبار المعيار المرجعي: في مجموعة اختبار مكونة من 20 منطقة مشكلة معروفة، وجد Slyp المشكلات بدقة بلغت 97.3%. بينما حقق أفضل "قارئ خرائط" (المحلل الساكن) دقة تقارب 30% فقط. أما أفضل "المطارق" (المفحّص) وروبوتات البرمجة القياسية فقد تعثرت أو فاتتها معظم المشكلات.
- البحث في العالم الحقيقي: نشر المؤلفون نظام Slyp على خدمات ويندوز حقيقية تعمل فعليًا. وقد وجد 28 ثغرة أمنية جديدة تمامًا لم تكن معروفة من قبل (Zero-Days).
- أكد فريق أمن مايكروسوفت جميع الثغرات الـ 28.
- أصدروا 16 رقم CVE رسمي (أرقام تحذير أمني).
- حصل المؤلفون على مكافآت قدرها 140,000 دولار لاكتشاف هذه الثغرات.
لماذا يهم هذا؟
تزعم الورقة أن Slyp هو أول نظام قادر على العمل بمفرده — دون مساعدة بشرية في كتابة كود الاختبار — بدءًا من "مراقبة الكود الفوضوي" وصولًا إلى "إثبات وجود خطأ برمجي مع انهيار يعمل فعليًا".
الأمر يشبه امتلاك محقق لا يكتفي فقط برصد لوح أرضي مرتخٍ في غرفة مظلمة، بل يقفز عليه أيضًا، ويثبت أنه مكسور، ويسلمك القطعة المكسورة كدليل. هذا يجعل تتبع هذه الثغرات الأمنية المعقدة المرتبطة بالتوقيت أسرع وأكثر موثوقية من أي وقت مضى.
باختصار: Slyp هو محقق ذكاء اصطناعي مزود بمجموعة أدوات خاصة يمكنه العثور على أفخاخ التوقيت المخفية في برمجيات ويندوز، وإثبات خطورتها عبر التسبب في انهيار (Crash)، والإبلاغ عنها للسلطات، كل ذلك دون الوصول إلى الكود المصدري الأصلي.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.