# Anthropic تشغّل Claude على 25 مشروعًا مفتوح المصدر لرسم سطح الهجوم فيجد 493 مشكلة

> **المغزى:** المغزى: تقليل الخطر لا يتطلب دائمًا العثور على الثغرة، فمعرفة ما يُنفَّذ قبل التحقق من الهوية وأي الإعدادات تتعارض بصمت تخفض قيمة الثغرات قبل أن تُكتشف.

- المصدر: المغزى (https://almaghza.com/a/2026-10-21-anthropic-attack-surface-reduction-claude/)
- التاريخ: 10 جمادى الأولى - 21 أكتوبر 2026 (2026-10-21)
- القسم: أمن سيبراني
- الوسوم: Anthropic، Claude، الثغرات الأمنية، المصادر المفتوحة

نشرت Anthropic في 20 أكتوبر 2026 بحثًا من فريق Frontier Red Team، كتبه Chris Rohlf، شغّلت فيه Claude على 25 مشروعًا مفتوح المصدر تضم أكثر من 5 ملايين سطر. ولم يكن المطلوب البحث عن ثغرات، بل رسم أمرين: الكود الذي يمكن الوصول إليه قبل تسجيل الدخول، والإعدادات التي تتعارض مع بعضها.

وأسفرت التجربة عن 493 مشكلة. منها 162 تركيبة إعدادات تُقبل دون تحذير ودون توثيق لسلوكها، و94 منها تعطّل حماية بصمت. ومن الأمثلة تركيبة من إعدادين في أحد المشاريع تلغي التحقق من هوية العميل بالكامل، وهي موجودة في الكود منذ 21 عامًا.

وتكرر نمط واحد في 4 مشاريع لا رابط بينها. يكتب المسؤول قاعدة منع باسم مضيف بدل عنوان IP. لكن الخادم، كي يعرف اسم العميل، يحتاج إلى بحث عكسي في الـ DNS، وهو معطّل في أغلب المشاريع. فلا يكون لدى الخادم إلا عنوان الـ IP، واسم المضيف لا يطابق عنوان IP أبدًا. والنتيجة أن قاعدة المنع لا تعمل إطلاقًا، وتفشل القائمة وهي مفتوحة دون أن يظهر أي خطأ.

والفكرة الأهم في البحث أن تقليل الخطر لا يتطلب بالضرورة العثور على الثغرة. فإذا كان الكود الذي يحتويها غير قابل للوصول قبل تسجيل الدخول، تبقى الثغرة موجودة لكن قيمتها لدى المهاجم تنخفض كثيرًا.

ويجعل ذلك هذا النوع من الفحص في متناول فرق لا تضم خبراء أمان، إذ يبدأ من سؤال واحد عن الكود: ما الذي يُنفَّذ قبل التحقق من الهوية؟ كما يشير البحث إلى أن الإعدادات التي تُقبل بصمت قد تكون مصدر خطر لا يقل عن الأخطاء في الكود نفسه.

## المصادر

- [بحث Anthropic الكامل](https://www.anthropic.com/research/attack-surface-reduction)
- [صفحة أبحاث Anthropic](https://www.anthropic.com/research)
- [ملاحظات إصدارات OpenSSH](https://www.openssh.com/releasenotes.html)