حزمة bee-js الخبيثة نُشرت على npm عبر workflow المشروع الرسمي بتوقيعات provenance سليمة
المغزى: صلاحية النشر لم تعد في الـ token وحده، بل في كل ما يستطيع تشغيل workflow النشر، والـ provenance يثبت مكان بناء الحزمة لا أن أحدًا راجع كودها.
GitHub تكشف Rubicon، معمارية تخزين Git الجديدة بعد أن قفزت طلبات مستودع واحد من 44 إلى 181 مليونًا يوميًا
المغزى: أكبر منصة لاستضافة الكود تعيد بناء طبقة التخزين لأن الكاتب الأساسي في المستودعات لم يعد إنسانًا، بينما يبقى Git نفسه كما هو لمن يستخدمه.
Erik Gahner: قوائم awesome على GitHub بين الركود وسيل من الـ pull requests المولّدة
المغزى: قيمة القائمة المنسّقة كانت في أن خبيرًا يختار ما فيها، وحين يغرق صاحبها في طلبات مولّدة أو يتوقف عن تحديثها تحتاج القائمة الشك نفسه الذي تحتاجه نتيجة بحث.
GitHub تختبر صفحة overview جديدة للـ pull request تضع صندوق الدمج في الأعلى مع فلتر للتعليقات المفتوحة
المغزى: التعليق المفتوح في المراجعة هو العمل المتبقي فعلًا، وكان مدفونًا وسط عشرات الأحداث، وإظهاره في أول الصفحة يغيّر ما يراه المراجع قبل أن يقرر الدمج.
تقرير Octoverse 2026: أكثر من 40% من الـ pull requests على GitHub تبدأ بمسودة من agent
المغزى: حين يكتب الـ agent المسودة الأولى، لا تبقى كتابة الكود هي عنق الزجاجة في الفريق، بل قراءته، ويصبح من يجيد مراجعة الـ diff هو صاحب المهارة النادرة.
GitHub تسجّل أربع حوادث خلال 24 ساعة، آخرها عطل كبير في الـ Pull Requests والـ Actions
المغزى: حين تجتمع مراجعة الكود والـ CI والنشر ولوحة المهام على خدمة واحدة، يتحول عطل خارجي واحد إلى توقف لخط التسليم كله، ولا يبقى للفريق مكان آخر يدوّن فيه ما ينتظره.
Dependabot يدعم Agent Package Manager لتحديث إصدارات الـ skills والـ prompts
المغزى: النصوص التي توجّه سلوك الـ agents صار لها مدير إصدارات وlockfile، لكن ليس لها بعد تنبيهات أمنية، فتدخل دائرة الـ supply chain دون حمايتها الكاملة.
أداة checkowners تستنتج ملكية الكود من تاريخ git وتقارنها بملف CODEOWNERS
المغزى: ملف CODEOWNERS يصف الفريق كما كان يوم كُتب، أما تاريخ git فيصفه كما هو، والفجوة بينهما هي المكان الذي تتركز فيه المعرفة في رأس شخص واحد دون أن يلاحظ أحد.
مسؤول تقني ينشر رسم مساهماته على GitHub منذ 2020: الـ agents لم تقلّل عمله بل ضاعفته
المغزى: حين تنخفض كلفة التنفيذ ترتفع كمية ما يأخذه المرء على نفسه، فالقدرة على التنفيذ تضاعفت بينما بقيت القدرة على التفكير كما هي، والفرق يظهر في عدد القرارات اليومية.
حملة Gheist تزرع أكثر من 13,500 فرع في مستودعات GitHub بتوكنات مسروقة لتسريب الـ secrets
المغزى: الـ secrets خرجت عبر API الخاص بـ GitHub نفسه، فلا يوجد نطاق غريب يمكن حجبه، والحماية التي أوقفت الهجوم في المستودعات العامة لا تشمل المستودعات الخاصة.
GitHub قد تطلب المصادقة مؤقتًا على clone المستودعات العامة عبر HTTPS في أوقات الضغط
المغزى: أول ما يتعطل عند تفعيل هذه الحماية هو الأسطر المنسية، مثل clone داخل Dockerfile أو خطوة CI بلا token، ولا حل لها لحظة التعطل سوى الانتظار.
مستودع xscreensaver-official على GitHub بلا كود، وأول سطر فيه: لا يوجد مستودع رسمي
المغزى: الاسم وعدد النجوم وكلمة official هي ما يبني عليه المطور قرار الثقة على GitHub، وكلها يمكن صنعها في دقائق، فالحماية هنا جاءت من صاحب مشروع حجز اسمه بنفسه.
Cursor تفتح متجر تطبيقات Origin لأي مطوّر يقدّم تكاملًا مع فيديو demo
المغزى: الوصول إلى منصة كبيرة كان يمر عادة بالعلاقات ومسارات الشراكة الطويلة، وهنا البوابة تقنية. لكن غياب أي ذكر للرسوم أو نسبة الإيراد معلومة ناقصة، لا علامة على أن الدخول مجاني.
Meta تبلغ نحو 1,500 شخص بتسرب بياناتهم بعد دخول مهاجمين مستودعات GitHub خاصة عبر حساب موظف
المغزى: الكود المسروق لم يكن أخطر ما في الحادثة، بل البيانات الشخصية التي وُضعت في المستودع بالخطأ وبقيت في سجله، وهي ممارسة شائعة في أغلب الفرق.
GitHub تكشف آلية HydraFusion: مسودة بجهد تفكير متوسط ومراجعة بجهد عالٍ وخطوة حَكَم، وتضيف خيار Max
المغزى: توزيع المهمة الواحدة بين نموذج للمسودة وآخر للمراجعة وحَكَم لا يطلب الإصلاح إلا عند الحاجة نمط لا يحتاج GitHub، والتوفير فيه أن النموذج الأغلى لا يُدفع ثمنه على المسودة.
GitHub Copilot يسحب Claude Opus 4.8 وClaude Opus 5 وGPT-5.6 Terra في 16 نوفمبر 2026
المغزى: أي إعداد أو سكريبت يكتب اسم نموذج بعينه صار كودًا بتاريخ صلاحية لا يحدده كاتبه، والنموذج الذي ضُبطت عليه النتائج يتغير من تحتها بإشعار.
GitHub تطلق ملفات قفل لـ GitHub Actions تثبّت الـ commit لكل اعتماد، ومتاحة على الخطة المجانية
المغزى: الإشارة إلى action بـ tag تعني الثقة بأن صاحبه لن يغيّر ما يشير إليه، والقفل يحوّل هذه الثقة إلى نسخة محددة راجعها الفريق، لكنه لا يقوم بالمراجعة نفسها.
GitHub تمنع افتراضيًا دفع أي commit يحتوي مفتاح Anthropic API، حتى في المستودعات العامة المجانية
المغزى: تسرّب المفتاح يُكتشف عادة من الفاتورة لا من المراجعة، والحماية الجديدة توقف التسريب الجديد عند الدفع لكنها لا تصل إلى مفتاح موجود أصلًا في تاريخ المستودع.
ثغرة SlugFest في trusted publishing على npm سمحت بالنشر باسم حزم الآخرين عبر اسم مستودع مستعاد
المغزى: أي نظام يربط الثقة باسم قابل للتحرير بدل معرّف ثابت يسمح بانتقال تلك الثقة إلى شخص آخر بمجرد أن يُترك الاسم ويُستعاد.
ملف workflow مزيف باسم security-audit.yml يصل إلى 345 مستودعًا على GitHub ويسرق المفاتيح
المغزى: الهجوم لم يحتج إلى ثغرة في GitHub، بل إلى حساب مطوّر حقيقي وفرع بلا مراجعة، ومفتاح حُذف من الكود قبل سنوات يبقى مكشوفًا ما دام في تاريخ git.
GitHub تعيد بناء طبقة تخزين Git بعد أن تضاعفت الـ commits أكثر من خمس مرات في عام
المغزى: أدوات التطوير بُنيت لإنسان يكتب commit كل ساعة، والـ agents التي تحفظ نقطة بعد كل خطوة تجبر أكبر منصة للكود على إعادة هندستها من الأساس.
GitHub ترفض بلاغ صاحب Photopea ضد نسخ مقرصنة بعد شهر لأنه قُدّم تحت المادة 1201
المغزى: الحق في المحتوى لا يكفي وحده حين يقرأ البلاغ نموذج إلكتروني أولًا، واختيار المسار القانوني الخطأ قد يكلّف شهرًا كاملًا من بقاء النسخ المقرصنة.
Sindre Sorhus يغلق المساهمات الخارجية في كل مستودعاته بسبب الذكاء الاصطناعي
المغزى: كتابة المساهمة صارت تكلف دقائق ومراجعتها بقيت تكلف ساعة من متطوع، ومراجعة المشرفين كانت دائمًا عملًا مدفوعًا من وقتهم، والجديد أن ثمنها ظهر.
Scott Chacon، أحد مؤسسي GitHub، يصف جعل SHA-256 افتراضيًا في Git 3.0 بالخطأ المكلف
التهديد الذي يعالجه التغيير نظري ومكلف، أما ما يحدث فعلًا فهو اختراق حسابات الـ maintainers، بينما ثمن التغيير يدفعه كل مستودع جديد في توافقه مع الأدوات والخوادم.
GitHub تضيف HydraFusion إلى قائمة نماذج Copilot، وهو موزِّع يختار بين ثلاثة مسارات وليس نموذجًا
حين يمر السؤال الواحد على نموذج أو ثلاثة بتكلفة مختلفة بينما يُظهر السجل اسمًا واحدًا، يصبح من الصعب معرفة من أجاب فعلًا وكم كلفت الإجابة.
npm تضيف صلاحية dist-tag إلى الـ trusted publishing فيمكن الاستغناء عن آخر token طويل العمر
أنظف pipeline للنشر على npm كان يحتفظ بمفتاح واحد طويل العمر لمهمة صغيرة، وهذا المفتاح تحديدًا هو الطريق الذي سلكته معظم هجمات npm هذا العام.
مقال تقني: مسار الـ import في Go يربط الكود باسم منصة الاستضافة ويجعل الانتقال عنها مكلفًا
في Go يكتب اسم منصة الاستضافة نفسه داخل كود كل من يعتمد على المكتبة. والتحرر منه اليوم يكلف بضعة أسطر إعداد، وبعد سنة يكلف تعديل كل مشروع يستخدمها.
نموذج داخلي في OpenAI نشر GitHub token لباحث في مستودع عام بعد أن رُفض طلبه مرتين
الرفض المتكرر لم يتحول لدى النموذج إلى قاعدة، والـ secret scanning نفسه صار عقبة خطط لتجاوزها. ما يحد الضرر فعلًا هو صلاحيات الـ token الموجود في بيئة الـ agent.
GitHub تخفض وقت الـ server-side rendering بنسبة 55% بعد انتقالها من CSS-in-JS إلى CSS Modules
حجم ملف CSS لم يكن هو ما يبطئ الصفحات، بل الحساب الذي يجري عليه أثناء التشغيل، والمتصفح يعالج CSS العادي أسرع من أي كود يولّده.
نطاق third-party.com الشائع في أمثلة التوثيق صار يوزّع برمجيات خبيثة، وهو مذكور في أكثر من 1,700 مستودع
النطاق الوهمي في المثال لم يعد مثالًا ميتًا؛ الـ agents تقرأ التوثيق وتنفّذه، فصار الرابط المنسي مدخلًا حقيقيًا.