🤖 AI

CyberForge: Verified Vulnerability Injection at Repository Level for Cybersecurity Agent Training

إن CyberForge هو إطار عمل يعمل على توليف والتحقق ديناميكياً من بيانات تدريب أمنية قابلة للتنفيذ وعلى مستوى المستودعات عبر حقن ثغرات في مشاريع حقيقية بلغة C/C++، مما يحسن بشكل كبير من قدرات اكتشاف الثغرات ومعالجتها لدى الوكلاء السيبرانيين عبر مختلف أحجام النماذح ولغات البرمجة.

المؤلفون الأصليون: Amine Lbath, Manan Suri, Aurelien Delaitre, Vadim Okun, Massih-Reza Amini, Ram D. Sriram, Dinesh Manocha

نُشر 2026-08-10

📖 3 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Amine Lbath, Manan Suri, Aurelien Delaitre, Vadim Okun, Massih-Reza Amini, Ram D. Sriram, Dinesh Manocha

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل العالم الرقمي كمدينة صاخبة وعظيمة مبنية بالكامل من الأكواد البرمجية. في هذه المدينة، البرامج هي المباني، والمهندسون الذين يكتبونها هم المعماريون. لفترة طويلة، واجه هؤلاء المعماريون مهمة شاقة: كان عليهم فحص كل طوبة ونافذة وباب في ناطحات السحاب الخاصة بهم للتأكد من عدم قدرة أي شخص على التسلل وسرقة الكنز. وفي الوقت نفسه، يحتاج "الأشرار" (المخترقون) فقط إلى العثور على طوبة واحدة صغيرة مهتزة لاقتحام المكان. إنها معركة غير عادلة.

ولمساعدة الأخيار، قمنا ببناء محققين رقميين يُطلق عليهم "الوكلاء الذكيون" (AI agents). هؤلاء هم برامج حاسوبية ذكية تم تدريبها للبحث عن تلك الطوب المهتز. لكن المشكلة تكمن في أنه لتعليم المحقق كيف يكتشف عملية اقتحام حقيقية، يتعين عليك عادةً أن تريه عملية اقتحام حقيقية. والمشكلة هي أن عمليات الاقتحام الحقيقية (التي تسمى "الثغرات" أو "الأخطاء البرمجية") نادرة، ويصعب العثين عليها، وغالبًا ما تُحفظ سرًا حتى يتم إصلاحها. الأمر يشبه محاولة تعليم رجل إطفاء كيف يطفئ حريقًا من خلال عرض صور لحرائق حدثت قبل عشر سنوات فقط، بينما تستمر المدينة في تغيير قوانين البناء الخاصة بها. نحن بحاجة إلى طريقة لإنشاء "حرائق تدريبية" جديدة وواقعية يمكن للذكاء الاصطناعي التعلم منها، دون حرق أي شيء بالفعل.

هنا يأتي دور إطار عمل جديد يسمى CyberForge. فكر في CyberForge كمصنع "أشرار" آلي فائق الذكاء، لا يكتفي بمجرد نسخ الجرائم القديمة، بل يبتكر جرائم جديدة في اللحظة ذاتها. لقد أخذ الباحثون وراء CyberForge 80 مشروعًا برمجيًا من العالم الحقيقي (مثل المخططات لبنايات فعلية) واستخدموا الذكاء الاصطناعي لتسلل نقاط ضعف صغيرة وغير مرئية إليها. لكنهم لم يتوقفوا عند هذا الحد؛ فقد بنوا نظام "مفتش سلامة" صارم للتأكد من أن نقاط الضعف الجديدة هذه كانت حقيقية. يتحقق المفتش من شيئين: أولاً، يجب أن يظل المبنى صامدًا أمام جميع اختباراته العادية (بمعنى أن الخطأ البرمجي مخفي ولا يؤدي إلى تعطل البرنامج فورًا)، وثانيًا، يجب أن يكون هناك "إثبات محدد للثغرة" (مفتاح خاص) يمكنه فتح الباب في المبنى المعيب فقط، وليس في المبنى السليم.

والنتيجة هي مكتبة ضخمة تضم 1,034 فخًا أمنيًا واقعيًا وموثقًا. وعندما استخدم الباحثون هذه المكتبة لتدريب محققي الذكاء الاصطناعي، كانت النتائج مبهرة. فقد أصبح وكلاء الذكاء الاصطناعي أفضل بكثير في العثور على هذه الثغرات وإصلاحها. في الواقع، كان التدريب فعالًا لدرجة أن نموذج ذكاء اصطناعي أصغر، بعد دراسة هذه المكتبة، قدم أداءً يقارب أداء نموذج "معلم" أكبر وأغلى ثمنًا بكثير. والأكثر دهشة هو أن هذا التدريب ساعد الذكاء الاصطناعي على فهم كيفية إصلاح الثغرات في أنواع مختلفة تمامًا من البرمجيات (مثل بايثون أو جافا سكريبت) رغم أن المكتبة صُنعت بالكامل من لغتي C و C++. الأمر كما لو أن تعلم رصد صدع في جدار من الطوب قد ساعد المحقق فجأة في رصد صدع في نافذة زجاجية.

يثبت CyberForge أننا لسنا مضطرين لانتظار المخترقين الحقيقيين للعثور على الأخطاء لتدريب المدافعين. فمن خلال إنشاء تحديات أمنية اصطناعية والتحقق منها بصرامة، يمكننا بناء مصدر بيانات تدريب واسع النطاق ولا نهائي. وهذا يعيد التوازن نحو المدافعين، مما يمنحهم الأدوات لبناء برمجيات أقوى وأكثر أمانًا قبل أن يظهر الأشرار حتى. تشير الورقة البحثية إلى أن طريقة "حقن" و"التحقق" من نقاط الضعف هذه هي وسيلة قوية وجديدة لتوسيع نطاق التدريب على الأمن السيبراني، مما يحول الذكاء الاصطناعي من طالب يرى فقط الكتب المدرسية القديمة إلى محقق تدرب على آلاف السيناريوهات الواقعية.

أبحاث مشابهة