اسرق بتكويني: ضجة ثغرات PHP أمام الواقع

إذا قضيت أي وقت على منصات التواصل المتخصصة في الأمن مؤخراً، فقد رأيت الادعاء: ثغرات تنفيذ الكود عن بُعد الجديدة في PHP بسيطة لدرجة أن وكلاء الذكاء الاصطناعي يستغلون السيرفرات المعرضة بالآلاف بشكل مستقل. أسراب منها. لا يمكن إيقافها. ضاق أحد المطورين ذرعاً بالضجيج،ففعل شيئاً بسيطاً ومباشراً بشكل رائع. أقام سيرفراً يعمل بنسخة PHP قبل الترقيع، وأخفى مفتاح بيتكوين يساوي نحو خمسمئة دولار في مكان يمكن للمهاجم الناجح الوصول إليه، ونشر رابطاً مع دعوة من كلمتين: اسرقه. فبحسب الادعاء، يكفي أن يُنتج الذكاء الاصطناعي استغلالاً لثغرة PHP قبل الغداء. بدأ المؤقت في الموقع يعد للأعلى. ثم حدث شيء مثير للاهتمام: لا شيء.

مرت ساعات، والعملات في مكانها. امتلأ قسم التعليقات بنوع محدد جداً من الصمت، ذلك الذي يلتزم فيه عشرات الأشخاص الذين قضوا أياماً يؤكدون أن الاستغلال لعبة أطفال، فجأة بأسباب ملحة تمنعهم من إثبات ذلك. مهما كان رأيك في هذه الحركة، فقد فعلت شيئاً نادراً في الخطاب الأمني: حولت ادعاءً منتشراً إلى شيء قابل للدحض.

سيرفر مُصمَّم ليُسرق

يستعير هذا الإعداد آلياته من مسابقات «التقاط الراية» (CTF). لا يُخزَّن مفتاح بيتكوين الخاص في ملف ضمن جذر الويب أو في متغير بيئة، بل يحتفظ به ملف تنفيذي اسمه print-flag يمكن لحساب مستخدم PHP الوصول إليه. هذا يعني أن المهاجم الناجح يحتاج إلى تنفيذ كود فعلي على الجهاز، لا مجرد تسريب معلومات أو اجتياز مسار. عليه أن يفتح صدفة (shell)، ويشغّل الملف، ويقرأ المفتاح، ويفرّغ المحفظة قبل أن يسبقه غيره. اختير إصدار PHP عمداً من الفترة السابقة لترقيعات الثغرات الأخيرة، وأُعلن عن كل شيء بتنويه مرح يفيد بأن كل الحركة مسجلة وأنه لا ينبغي اعتبار أي شيء على الجهاز خاصاً.

يوجد مفتاح بيتكوين مخفي على هذا السيرفر يساوي نحو 502 دولار. يمكن لحساب مستخدم PHP الوصول إليه عبر الملف التنفيذي print-flag. أول من يحصل على المحفظة يفوز.

أضاف صاحب الموقع لمسة من الرقي: إن لم تكن بحاجة إلى المال، فكّر في التبرع به للجمعيات الخيرية. وعرض الموقع عدّاداً حياً لعدد الساعات دون اختراق ناجح، فتحولت الصفحة كلها إلى لوحة نتائج. كل ساعة إضافية كانت بحد ذاتها معلومة. وخلال يوم واحد صار العداد أكثر مقياس أمني إثارة للاهتمام على الإنترنت، تحديداً لأنه يقيس توقعاً راهن عليه الناس بسمعتهم.

لماذا تحوّل جائزة 500 دولار إلى آلة للدحض

معظم الادعاءات في الأمن غير قابلة للدحض بطبيعتها. «المهاجمون يستغلون هذه الثغرة فعلياً في البرية» — استناداً إلى بيانات تيليمتري لا يستطيع أحد رؤيتها. «أي محلل مبتدئ يستطيع تحويل هذه الثغرة إلى سلاح في فترة بعد الظهر» — لم يُثبت ذلك أبداً. «وكلاؤنا وجدوا استغلالات تعمل بشكل مستقل» — صدّق فيديو العرض. لا توجد طريقة لإثبات النفي، فتتراكم الادعاءات. الذعر رخيص لأنه بلا مساءلة.

تغيّر الجائزة العلنية مع المؤقت العلني معادلة الحساب. إذا كان آلاف الوكلاء المستقلين يجوبون الإنترنت فعلاً ويستغلون كل سيرفر PHP غير مرقّع يجدونه، فإن جهازاً يعلن هذه الثغرة تحديداً، مع جائزة نقدية وإذن صريح، يُفترض أن يسقط خلال دقائق. لا ساعات. دقائق. الحوافز متوافقة تماماً: الأمر قانوني ومشجَّع ومدفوع الأجر. لكن العداد استمر في الصعود، وتلقّى ادعاء بعينه ضربة مباشرة، وهو أن الاستغلال الجماعي الآلي كان يحدث بالفعل. وكما قال أحد المعلقين، فإن رواية أسراب الوكلاء الذين يخترقون كل شيء أمامهم لم تكن تحدث بوضوح، وإلا لاختفت العملات.

هذه حيلة تستحق أن تسرقها لعملك. في المرة القادمة التي يخبرك فيها بائع أو مؤثر بأن ثغرة ما تُستغل في كل مكان، اسأل: ما الملاحظة التي ستثبت خطأه؟ إن لم توجد، فأنت لا تسمع تحليلاً، بل تسمع تسويقاً. نجحت جائزة البيتكوين لأنها حوّلت الانطباعات إلى رهان، والرهانات تتميز بخاصية جميلة: يمكن تسويتها.

اقتصاد الاستغلال: لماذا لا يشارك المهاجمون الحقيقيون

إليك الحجة المعاكسة، وهي حجة وجيهة: الصمت يثبت أقل مما يبدو، لأن استغلالاً يعمل لثغرة جديدة (CVE) يساوي أكثر بكثير من 500 دولار، لكن فقط بوصفه سراً. في كل مرة تطلق فيها استغلالاً على هدف، تخاطر بتسجيله وهندسته العكسية وإحراقه. وهل تطلقه على سيرفر صاحبه أعلن مسبقاً أن كل الحركة مسجلة والإنترنت كله يراقب؟ هذا ليس جائزة، بل محرقة.

ظهر هذا المنطق نفسه في الخيط من الجانبين. للجهات الهجومية أهداف أعلى قيمة من محفظة بـ500 دولار، ولا ترغب في تسليم أدواتها لمن يقرأ السجلات. ولدى الباحثين الدفاعيين معلومات مميزة عن الثغرات ونافذة ترقيع يجب حمايتها، فقد قال الرئيس التنفيذي لشركة أمنية علناً إن فريقه يملك استغلال تنفيذ كود عن بُعد يعمل، لكنه لن يعرضه لأن تداول التفاصيل بينما الناس ما زالوا يرقّعون سيضر فعلاً. أجرى الطرفان الحساب نفسه: القيمة المتوقعة لأخذ العملات هي خمسمئة دولار، والكلفة المتوقعة هي إحراق شيء أغلى بكثير. صفقة سيئة. لذلك فالقراءة الصادقة للجائزة التي لم تُطالَب بها ليست «لا يوجد استغلال». بل «لا أحد يملك استغلالاً ويفضّل 500 دولار على السرية». هذان استنتاجان مختلفان جداً، ولم يكن الموضوع المطروح للمحاكمة إلا أحدهما.

فحص واقعي لوكلاء الذكاء الاصطناعي

أكثر ما في الخيط إمتاعاً كان مشاهدة ادعاءات الذكاء الاصطناعي تصطدم بهدف حقيقي. وجّه أحد المعلقين خمسة نماذج متقدمة نحو التحدي، ونشر النتائج كاملة. اعتبر نموذجان التحدي طلباً عاماً مشروعاً، وهو كذلك، فشرعا في العمل. صنّف أحدها الطلب على أنه طلب يتعلق بالأمن السيبراني ووجّه المستخدم إلى برنامج تدقيق. رفض أحدها رفضاً قاطعاً. وأوقف أحدها فلتر محتوى من جهة المزود قبل أن يجيب أصلاً. إذاً من بين خمسة أنظمة بأحدث ما توصلت إليه التقنية، وافق اثنان فقط على المحاولة، ولم ينتج أي منهما العلم في المراحل الأولى.

هذه النتيجة المختلطة أهم من أي من الموقفين المتطرفين. فالمقولة الانفعالية بأن «الذكاء الاصطناعي لن يخترق أي شيء» خاطئة، فالنماذج تفاعلت فعلاً، والاستغلال الوكيل لأهداف معروفة الثغرات بأسلوب CTF يتحسن بالفعل. لكن فريق «الأسراب الذاتية تفرغ كل سيرفر غير مرقّع» كان يطلق ادعاءً أقوى بكثير، وهو الادعاء الذي تختبره فعلاً مصيدة عامة ومُصرّح بها ومدفوعة الجائزة. وفي الأثناء، ادعى خبير اختبار اختراق معروف أنه بنى إثبات مفهوم عاماً يعمل باستخدام روبوت محادثة خلال ساعتين، ثم انتقل، في صدفة لا أشك أنها بلا علاقة، إلى الترويج لمنصته في اختبار الاختراق بالذكاء الاصطناعي. لو صح ادعاؤه لاختفت الجائزة قبل أن يمر ساعة. لم تختفِ. وقد رأينا هذا النمط من قبل: العروض وجداول المتصدرين تجمّل قدرات تنهار عند أول احتكاك بعمل حقيقي، وهذه هي الفجوة نفسها التي تناولناها في لماذا تفوّت اختبارات الذكاء الاصطناعي معظم العمل الحقيقي.

هل كانت التجربة مزوَّرة؟

قبل أن نتوج المؤقت كعلم، هناك اعتراض تقني يستحق أن يُعرض بأقوى صيغه: قد لا تكون إعدادات السيرفر المحددة قابلة للاستغلال بالثغرات المعنية أصلاً. وقد شرح معلق حاد الذهن الأمر، فالجهاز يشغّل خادم سطر الأوامر في PHP بدلاً من إعداد CGI التقليدي، ويحدد الطلبات بـ1 ميبي بايت، ويقدم صفحة شبه خاملة، ويسمح بحد ذاكرة مرتفع. وبحسب مسارات الكود التي تعيش فيها الثغرات، قد تغلق هذه التركيبة الأدوات التي يحتاجها الاستغلال. بعبارة أخرى، ربما يكون المصيدة محصّنة ليس لأن الثغرات صعبة، بل لأن هذا الجهاز تحديداً لا يعرّض سطح الهجوم الضعيف.

إن صح ذلك، فالتجربة ما زالت مفيدة، فهي تجمع محاولات إثبات المفهوم لإعدادات معرضة فعلاً للخطر، وتدحض ادعاء الاستغلال التافه الشامل الذي يعمل في كل مكان. لكنها لا تدحض وجود استغلال يعمل ضد نشرات العالم الحقيقي، التي لا تشبه في الغالب صندوق CTF مُحصَّناً. هذا هو الدرس العام عن النتائج السلبية في الأمن: قوتها بقدر دقة بيئة الاختبار. فغياب الدليل لا يعني غياب الشيء إلا إذا كنت تبحث فعلاً في المكان الصحيح وبالأدوات الصحيحة. يقيس المؤقت قدرة الإنترنت على اختراق هذا السيرفر تحديداً، وهو سؤال أضيق وأكثر إثارة من السؤال الذي كان الجميع يتجادلون حوله.

ما الذي ينبغي للمدافعين أن يأخذوه فعلاً

لا شيء من هذا دعوة للتراخي. فنافذة الترقيع بعد ظهور ثغرة تنفيذ كود عن بُعد في PHP خطيرة فعلاً، وقد كتبنا عن لماذا كان سحب القابس أفضل من الإصلاحات الذكية خلال نافذة ثغرة PHP السابقة، وتلك النصيحة ما زالت قائمة. ما تغيّره الجائزة هو معايرة خوفك. رقّع لأن ثغرات RCE المكشوفة للإنترنت تهدد الوجود، لا لأن خيطاً أخبرك أن السماء تسقط بالفعل.

• اطلب قابلية الدحض. عندما يدّعي أحدهم أن استغلالاً جماعياً جارٍ، اسأل ما الدليل الذي سيحسم الأمر. المصيدة العامة بمؤقت فكرة فجة، لكنها أدق من ألف إعادة نشر.
• شغّل إنذاراتك المبكرة الخاصة. ذكر أحد المعلقين أنه احتفظ لسنوات بمحفظة بيتكوين غير مشفّرة على جهازه الشخصي كفخ إنذار. رموز الإنذار (Canary tokens) وبيانات الاعتماد المُصيدة وملفات الطُعم وسائل إنذار مبكر رخيصة، تحوّل سؤال «هل أنا مخترق؟» من مسألة انطباعات إلى مسألة بيانات تيليمتري.
• احترم الاقتصاد. يكدّس المهاجمون المهرة الاستغلالات، ويحوّل المعلقون الصاخبون الخوف إلى مال. ولا تتوافق حوافز أي من الفريقين مع حاجتك إلى تقييم دقيق للتهديدات، لذا أعطِ بيانات التيليمتري الأولية وزناً أكبر من التعليقات.
• افصل الادعاءات. «يوجد استغلال»، و«الاستغلال يحدث فعلاً»، و«وكلاء مستقلون يستغلون كل شيء» ثلاث عبارات مختلفة لكل منها معيار إثبات مختلف. الذعر يدمجها في واحدة. لا تسمح بذلك.
• رقّع بسرعة على كل حال. المصيدة الهادئة لا تعني تعرضاً هادئاً. سيرفرات الإنتاج لديك لا تقدم جائزة بـ500 دولار، وهذا مفارقة تجعلها أكثر جاذبية لمن يملك استغلالاً يعمل.

أفضل ما في هذه الحركة كلها أنها كلّفت صاحبها تقريباً لا شيء وأنتجت إشارة حقيقية. خادم خاص افتراضي (VPS)، ونسخة PHP ضعيفة، وملف تنفيذي للعلم، و500 دولار، وهي تكلفة اشترت قياساً كان الخطاب كله بحاجة إليه. الفجوة بين «يوجد استغلال» و«الاستغلال موجود في كل مكان» هي المكان الذي يعيش فيه الذعر، والآن يعد مؤقت صامت في منتصف تلك الفجوة، يتحدى أي أحد أن يسدّها.