بعد سبعة أشهر من فحص Anthropic للمشاريع المفتوحة: 37,966 اكتشافًا مقابل 217 إصلاحًا مسجلًا

تلقى مشروع curl، وهو من أوسع المكتبات استخدامًا لنقل البيانات عبر الشبكة، 45 بلاغ ثغرة مصدرها أدوات Anthropic. ونُشر من هذه البلاغات 34 حتى الأسبوع الأول من نوفمبر 2026، وتبين أن 19 منها ليست ثغرات أصلًا، و6 منها منخفضة الخطورة. والرقم ليس حالة معزولة، بل نافذة على طريقة عمل الخدمة نفسها.

فقد أطلقت Anthropic في أكتوبر 2026 خدمة OSS Scanner لفحص المشاريع مفتوحة المصدر، وهي خدمة يطلبها المشروع بنفسه فيتلقى ما يجده الموديل من ثغرات محتملة. وتقول صفحة الشركة صراحة إن البلاغ يخرج من الموديل مباشرة، بلا مراجعة بشرية وبلا triage، أي بلا فرز أولي يحدد ما يستحق المتابعة وما هو إنذار كاذب. وتذكر الصفحة أن الشركة أرسلت قرابة 5000 بلاغ غير مراجع إلى المشاريع التي طلبت تلقي كل النتائج، وأنها وجدت نحو 29 ألف ثغرة محتملة، راجع البشر منها يدويًا 6000 فقط.

وهنا تكمن الآلية. في نموذج الفحص التقليدي، يمر البلاغ على محلل أمني يتحقق من أنه قابل للحدوث فعلًا قبل أن يصل إلى المشروع. أما هنا فقد حُذفت هذه الخطوة من جهة المرسل، لكن العمل لم يختفِ، بل انتقل إلى الطرف الآخر: مشرف يدير مكتبة مفتوحة المصدر، غالبًا في وقته الخاص، عليه الآن أن يقرأ كل بلاغ ويختبره ويقرر هل هو حقيقي. وفي حالة curl، كان أكثر من نصف ما نُشر عملًا من هذا النوع انتهى إلى أن لا ثغرة هناك.

وتتابع شركة VulnCheck، وهي شركة تجارية متخصصة في معلومات الثغرات، سجل هذه النتائج من الخارج. وبحسب تقريرها المنشور في 9 نوفمبر 2026، نُسبت إلى Anthropic 442 ثغرة مسجلة برقم CVE خلال سبعة أشهر، اثنتان منها استُغلتا فعليًا. وفي 2 نوفمبر كان السجل يضم 37,966 اكتشافًا، منها 217 فقط مُعلَّمة بأنها أُصلحت. والأوضح من ذلك اتجاه الأرقام: بين 8 سبتمبر و2 نوفمبر زاد عدد الاكتشافات 11,813، بينما زاد عدد الإصلاحات المسجلة 15. وتشير VulnCheck نفسها إلى تفاوت في عدد البلاغات المكررة، فهذه أرقامها هي وليست إحصاء رسميًا.

وللصورة وجه آخر تعرضه Anthropic على صفحتها. فقد كتب Daniel Stenberg، صاحب مشروع curl، أن الأداة ساعدت فريقه على إيجاد مشكلات حقيقية تستحق الإصلاح، وأن إحداها من أخطر ثغرات curl في السنوات الأخيرة. فالأداة تجد ثغرات، وهذا ليس موضع خلاف.

ما تغير هو من يتحمل كلفة التصفية. بالنسبة لفرق المنتجات في المنطقة العربية، التي تبني معظم برمجياتها على مكتبات مفتوحة المصدر يديرها متطوعون، يعني ذلك أن الفجوة بين ما يُكتشف وما يُصلح قد تتسع، وأن ثغرة معروفة في سجل عام قد تبقى بلا إصلاح لأن مشرفها غارق في بلاغات أخرى. ويصبح السؤال المطروح أمام كل مشرف مكتبة: هل يفتح الباب لكل ما يخرجه الموديل، أم يكتفي بما راجعه البشر؟ وهو سؤال لم تُحسم إجابته بعد، لا عند المشرفين ولا عند الشركة.