Mozilla: إصلاحات Firefox الأمنية تضاعفت أكثر من 7 مرات، وتأخير نشر الاختبارات لحماية فترة الـ patch gap

نشر فريق Firefox على مدونة Mozilla في 29 أكتوبر 2026 مقالًا بعنوان «Defending the patch gap against automated attackers»، كتبه Bobby Holley. ويقول المقال إن عدد الإصلاحات الأمنية التي أصدرها الفريق أصبح أكثر من 7 أضعاف الفترة نفسها من عام 2025.

ويعود السبب إلى أن الفريق يعمل منذ فبراير 2026 بوصول مبكر إلى موديلات من Anthropic وOpenAI، ووجد أن هذه الموديلات صارت تكتشف الثغرات بكفاءة كبار باحثي الأمن. وهذا الجزء كله في صالح الدفاع.

أما الجزء الثاني من المقال فيتعلق بما يُسمى الـ patch gap، وهو الوقت بين ظهور الإصلاح في الكود ووصوله إلى معظم المستخدمين. وهذه الفجوة لا يمكن تجنبها، لأن أي إصدار يحتاج إلى أيام من الاختبار قبل أن يصل إلى ملايين الأجهزة. والمشكلة أن الإصلاح نفسه يصف الثغرة، إذ يمكن الرجوع منه إلى الكود القديم ومعرفة الخطأ. والفكرة ليست جديدة، لكن تكلفتها انخفضت كثيرًا.

ويذكر المقال الدليل بالاسم: موديل GLM 5.3 تمكن من استغلال بعض الإصلاحات لثغرات اكتشفتها موديلات أقوى منه. أي أن موديلًا مفتوحًا ورخيصًا يستطيع أن يحوّل عمل موديل أغلى إلى هجوم.

وردّ الفريق بثلاث خطوات: خفض دورة الإصدار إلى النصف فصارت أسبوعية، وفحص كل commit جديد، وتأخير نشر الـ regression test حتى يصل الإصلاح إلى المستخدمين، بعد أن قاس الفريق أن GLM 5.3 يصبح أقل فاعلية بكثير حين لا يتوفر الاختبار. كما يجمع الإصلاحات بحيث لا تتزامن فجوة ثغرة الـ renderer مع فجوة ثغرة الخروج من الـ sandbox، فيحتاج المهاجم إلى ثغرة جديدة من الصفر.

ويأتي ذلك بعد تغيير Firefox وcurl سياسة الثغرات في اتجاهين متعاكسين بسبب الذكاء الاصطناعي. ويختم المقال بأن البرمجيات التي يعمل عليها الإنترنت لم تدخل هذه المرحلة مستعدة. وبالنسبة لأي مشروع في مستودع عام، يصبح الـ commit الذي يصلح ثغرة أوضح وصف لها، والاختبار المرافق له حالة استغلال جاهزة.