أبل تصلح 22 ثغرة أمنية في متصفح سافاري مع إسناد 9 منها إلى Codex Security

أدرجت شركة أبل نظام OpenAI Codex Security ضمن الجهات المُساهمة في اكتشاف تسع ثغرات من أصل اثنتين وعشرين ثغرة أمنية في محرك WebKit تم إصلاحها في التحديث Safari 26.6.1، مما يقدم مثالاً ملموساً على مساهمة أبحاث الثغرات الأمنية المدعومة بالذكاء الاصطناعي في الإصدارات الأمنية لأنظمة التشغيل. ومع تزايد تعقيد الأنظمة البرمجية، تشكل محركات عرض المتصفحات مساحات هجوم واسعة تمثل تحدياً لاختبارات الأمان التقليدية. تاريخياً، اعتمد اكتشاف الثغرات على مجموعات الاختبار العشوائي المخصصة، وعمليات التدقيق اليدوي للكود البرمجي، وتقارير اكتشاف الأخطاء الخارجية. ومن خلال الجمع بين نمذجة التهديدات الخاصة بقواعد الكود البرمجي والتحقق الآلي من الثغرات في بيئات معزولة، تعمل وكلاء الأمان القائمون على الذكاء الاصطناعي على تعزيز مسارات الإبلاغ عن الثغرات عبر البنية التحتية للمتصفحات عالية التعرض للخطر.

ما الذي أصلحته أبل في التحديث Safari 26.6.1: تفكيك ثغرات WebKit الـ 22

لمحة سريعة

• أصدرت أبل التحديث Safari 26.6.1 في 18 أغسطس 2026، لمعالجة اثنتين وعشرين ثغرة أمنية في محرك WebKit عبر أنظمتي macOS Sonoma وmacOS Sequoia.
• تم إسناد الفضل في تسع ثغرات (CVE) إلى OpenAI Codex Security (الباحثة إيمي بورنيت)، وهو ما يُمثل نحو واحد وأربعين بالمائة من الإرشادات الأمنية المدرجة.
• يعالج التحديث عدة فئات من مشكلات WebKit، بما في ذلك الوصول خارج حدود الذاكرة، وحالات استخدام الذاكرة بعد تحريرها، وتلف الذاكرة، وتسريب البيانات الحساسة.

لطالما دمجت الشركات المُصنّعة للمتصفحات بين الأبحاث الأمنية الداخلية، والتقارير الخارجية، واختبارات الفحص العشوائي لتحديد الثغرات. ورغم فاعلية هذه الطرق، إلا أن مراجعة الكود البرمجي يدوياً تواجه صعوبة في مواكبة القواعد البرمجية المعقدة الحديثة التي تحتوي على ملايين الأسطر من لغة C++ ولغة التجميع.

ولمعالجة هذه الثغرات الأمنية عبر منظومة المتصفح الخاصة بها، نشرت أبل المحتوى الأمني للتحديث Safari 26.6.1 بالتزامن مع تحديثات أنظمة التشغيل macOS Sonoma وmacOS Sequoia، كما هو موضح بالتفصيل على صفحة إصدارات الأمان الرسمية لشركة أبل. يقدم التحديث إصلاحات لاثنتين وعشرين ثغرة أمنية (CVE) تؤثر على WebKit، وهو محرك العرض مفتوح المصدر الذي يشغل متصفح سافاري.

يوضح إصدار Safari 26.6.1 كيف تدخل أبحاث الثغرات الأمنية المدعومة بالذكاء الاصطناعي في سير عمل أمان البرمجيات المُعتمد. تم إسناد تسع ثغرات من أصل اثنتين وعشرين (حوالي واحد وأربعين بالمائة من الثغرات المدرجة في التحديث) إلى الباحثة إيمي بورنيت باستخدام نظام OpenAI Codex Security. وقد جاءت مساهمات أمنية أخرى من مجموعات بحثية مستقلة، بما في ذلك Cisco Talos وCitadelo وOut of Bounds وTrendAI Zero Day Initiative وCalif.io وفريق أمان Braze، كما ورد في التحليل التقني لموقع 9to5Mac.

الآليات الداخلية: كيف ساهم Codex Security في أبحاث ثغرات Safari 26.6.1

على مستوى البنية المعمارية، تكون محركات المتصفحات معرضة للخطر بشكل خاص لأنها تقوم باستمرار بتحليل محتوى الويب غير الموثوق به أثناء تفاعلها مع الذاكرة المعقدة حدود الحماية المعزولة (sandboxes). يتحول محرك WebKit إلى المسؤول عن تحليل ملفات HTML غير الموثوقة، وتنفيذ جافا سكريبت المعقدة، وإدارة تخصيص الذاكرة، وعزل موارد مصدر-عبر-آخر داخل بيئات التشغيل المعزولة.

تنضوي الثغرات التي تم حلها في Safari 26.6.1 تحت عدة فئات متميزة من مشكلات WebKit. ومن الأمثلة على ذلك:

• الوصول إلى الذاكرة خارج الحدود (CVE-2026-64784): تمت معالجة مشكلة الوصول خارج الحدود من خلال تحسين التحقق من الحدود، وفقاً للملاحظات الأمنية لشركة أبل.
• ثغرات استخدام الذاكرة بعد تحريرها (CVE-2026-64715, CVE-2026-64787): تمت معالجة مشكلة استخدام الذاكرة بعد تحريرها من خلال تحسين إدارة الذاكرة.
• تلف الذاكرة عبر القفل والتحقق من المدخلات (CVE-2026-64782, CVE-2026-64781): تمت معالجة ثغرة تلف الذاكرة من خلال تحسين آلية القفل، كما تمت معالجة مشكلة تتسبب في تعطل سافاري بشكل غير متوقع من خلال تحسين التحقق من صحة المدخلات.
• تسريب البيانات الحساسة في سجل WebKit (CVE-2026-64778): تمت معالجة مشكلة في سجل WebKit حيث يمكن لزيارة موقع ويب مصمم خصيصاً لهذا الغرض تسريب بيانات حساسة، وذلك من خلال تحسين عمليات التحقق.

تنسب ملاحظات الإصدار الأمني لشركة أبل الفضل إلى OpenAI Codex Security في تسع ثغرات من أصل اثنتين وعشرين ثغرة في WebKit. ورغم أن أبل لا تنشر قصة اكتشاف منفصلة لكل إقرار فردي، إلا أن هذه الإישادات تقدم مثالاً ملموساً على مشاركة Codex Security في أبحاث الثغرات الأمنية في العالم الحقيقي.

وفقاً للوثائق الرسمية لـ OpenAI Codex Security، يقوم النظام ببناء نموذج تهديدات خاص بالمشروع بناءً على بنية مستودع الملفات المستهدف وتاريخه. وهو يستخدم استدلال نموذج اللغة لاستكشاف مسارات التنفيذ الواقعية، والتحقق من المشكلات المحتملة داخل بيئات اختبار معزولة، وطرح مقترحات الإصلاحات لمراجعتها من قبل البشر.

يوضح الرسم البياني أدناه الاختلافات الهيكلية بين طرق الفحص التقليدية واكتشاف الثغرات الواعي بالسياق:

[مسار SAST]
الكود المصدري
  └──> القواعد الثابتة / تحليل تدفق البيانات
        └──> النتائج المُبلّغ عنها
              └──> فرز المحلل

[مسار الاختبار العشوائي (Fuzzing)]
الملف الثنائي / أداة الاختبار المستهدفة
  └──> توليد المدخلات والتعديل عليها
        └──> التنفيذ وتحليل التغطية
              └──> فرز حالات التعطل

[سير عمل Codex Security]
سياق المستودع
  └──> نموذج التهديدات ومسارات الهجوم
        └──> التحقق المعزول
              └──> اقتراح الإصلاح والمراجعة البشرية

يهدف هذا النهج إلى التحقيق في الثغرات التي قد يكون من الصعب تقييمها من خلال القواعد الثابتة المعزولة وحدها، لا سيما عندما تعتمد الخصائص الأمنية على سياق النظام الأوسع وسلوك البرنامج المعقد.

كيف تختلف أبحاث الثغرات الأمنية المدعومة بالذكاء الاصطناعي عن الفحص التقليدي

مع دخول اكتشاف الثغرات الآلي في سير العمل الأمني المُعتمد، يجب على مهندسي الأمان فهم كيفية عمل هذه الأدوات عبر دورة حياة اختبار البرمجيات. وتختلف هذه الأساليب في طريقة اكتشافها للثغرات والتحقق منها.

التقييم المنهجي: التحليل الثابت، والاختبار العشوائي، وعملاء الذكاء الاصطناعي

تُكمل وكلاء الأمان المعتمدون على الذكاء الاصطناعي طرق أبحاث الثغرات الأمنية الحالية بدلاً من استبدالها. وفي حين تقوم أدوات SAST بتحليل الكود المصدري باستخدام القواعد الثابتة، وتدفق البيانات، وتقنيات تحليل البرمجيات، فإن أدوات الفحص العشوائي (Fuzzing) تختبر سلوك وقت التشغيل باستخدام مدخلات مولدة أو معدلة لكشف حالات التعطل. أما الوكلاء الواعون بالسياق فيقومون بتحليل القصد الدلالي ومنطق التنفيذ عبر الوحدات المترابطة.

يقارن الجدول أدناه المنهجيات القياسية لتحديد الثغرات في البرمجيات المعقدة:

من خلال دمج استكشاف مسارات الهجوم الآلي مع التحقق المعزول، تُمكّن وكلاء الأمان الباحثين من التحقق مما إذا كان الشذوذ البرمجي النظري يمثل ثغرة حقيقية قبل تقديم مقترحات المعالجة إلى مطوري المكونات الأساسية.

قائمة التحقق الهندسية: ما يجب على فرق الأمان التحقق منه قبل تبني عملاء الأمان المعتمدين على الذكاء الاصطناعي

لدمج اكتشاف الثغرات المساعد بالذكاء الاصطناعي في سير العمل الهندسي للمؤسسات بطريقة مسؤولة، يمكن لقادة الأمان وضع إرشادات تشغيلية منظمة.

قائمة تحقق التنفيذ لفرق الأمان

• إنشاء التحقق في بيئة معزولة (Sandbox): التأكد من أن جميع وكلاء الأمان للذكاء الاصطناعي ينفذون مسارات عمل التحقق داخل بيئات مقسمة بدقة لمنع أي تنفيذ غير مقصد.
• فرض المراجعة البشرية (Human-in-the-Loop): مطالبة مهندسي الأمان ذوي الخبرة بتقييم والتحقق من جميع نتائج الثغرات التي تم إنشاؤها بواسطة الذكاء الاصطناعي ومقترحات الإصلاح قبل نشرها.
• تحديد نطاق مستودع الملفات وصلاحيات الوصول: تكوين أذونات الوصول بأقل امتياز ممكن للوكلاء الآليين، مع ضمان قيامهم فقط بفحص الكود المصدري المستهدف دون الوصول إلى بيانات الاعتماد الخاصة ببيئة الإنتاج.

قائمة تحقق الحوكمة والرقابة التشغيلية

• قياس نسب الإشارة إلى الضوضاء: قياس معدل الإنذارات الكاذبة للتنبيهات الأمنية التي ينتجها الذكاء الاصطناعي مقارنةً بمسارات تحليل SAST والتحليل الديناميكي الحالية لضمان الكفاءة الهندسية.
• الحفاظ على شفافية الإفصاح عن الثغرات الأمنية (CVE): الالتزام بمعايير الإفصاح المنسق عن الثغرات، وتزويد مطوري البرمجيات بخطوات إعادة إنتاج واضحة ومقترحات معالجة مُتحقق منها.
• نشر التصحيحات الأمنية لأنظمة التشغيل بسرعة: التأكد من تلقي نقاط النهاية في المؤسسات لتحديثات المتصفحات مثل Safari 26.6.1 لمعالجة عيوب الذاكرة والتعامل مع الحالة في محرك WebKit المُعلن عنها.

يقدم إصدار Safari 26.6.1 مثالاً ملموساً على مساهمة أبحاث الثغرات الأمنية المدعومة بالذكاء الاصطناعي في إصدار أمني واقعي للمتصفحات. وبدلاً من استبدال الباحثين البشر، يمكن لوكلاء الذكاء الاصطناعي توسيع نطاق تحليل الثغرات الآلي مع إبقاء عمليات التحقق والمعالجة تحت الإشراف والمراجعة البشرية.

بالنسبة لفرق الأمان، فإن الدرس المستفاد عملياً هو ضرورة الجمع بين سياق المستودع، والتحقق من الثغرات، والمراجعة البشرية، بدلاً من الاعتماد على طريقة اكتشاف واحدة. ومن خلال تنفيذ اختبارات صارمة في بيئات معزولة وإفصاحات منسقة، يمكن للمؤسسات تحديد ومعالجة الثغرات المعقدة قبل أن تصل البرمجيات إلى بيئات الإنتاج.