خضعت أكبر شبكة دفع في العالم لاختبار ضغط باستخدام نموذج الذكاء الاصطناعي الأكثر عدوانية لدى Anthropic، فاكتشفت أكثر من 10,000 ثغرة عالية الخطورة والحرجة في شهر واحد، ثم فعلت ما لا تكاد أي شركة فعله: أصدرت إطار العمل الكامل للاستجابة كمصدر مفتوح.
الخلاصة السريعة: أداة Visa للاختراق الوكيلي للثغرات (VVAH) أصبحت مجانية الآن بموجب ترخيص Apache 2.0. خط أنابيب مدفوع بالذكاء الاصطناعي من أربع مراحل يغطي الاكتشاف والفرز والإصلاح والتحقق، يضغط زمن الاستجابة للثغرات من أسابيع إلى ساعات. وعملاق المدفوعات لا يفعل ذلك من باب الإيثار الخالص؛ بل يستعد لمستقبل يكون فيه المهاجم وكيلاً ذاتياً لا ينام أبداً.
القصة وراء الأداة
في أبريل 2026، انضمت Visa إلى مشروع Glasswing من Anthropic، وهي مبادرة نشرت نموذج Claude Mythos على البنية التحتية العالمية للمدفوعات: شبكة تمتد عبر أكثر من 200 دولة، ونحو 160 عملة، وما يقارب 5 مليارات بيانات دفع.
كانت النتيجة - بكلمات Visa نفسها - محبطة. ظهرت أكثر من 10,000 ثغرة عالية الخطورة والحرجة في أنظمة القطاع في الشهر الأول من الاختبارات المدفوعة بالذكاء الاصطناعي وحده.
أغلب الشركات كانت سترقع الثغرات بصمت وتمضي في طريقها. وصلت Visa العكس تماماً: بنت VVAH كإطار منظم للاستجابة بسرعة الآلة، وفي يونيو 2026 أصدرت المشروع كله كمصدر مفتوح.
ماذا يفعل VVAH فعلاً
يعمل VVAH عبر خط أنابيب من أربع مراحل:
- الاكتشاف - يبحث وكلاء الذكاء الاصطناعي عن نقاط الضعف عبر سطح الهجوم بشكل مستمر بدلاً من اختبار اختراق سنوي.
- الفرز - تُرتَّب النتائج على نمط الصفر ثقة: كل مكون يفترض أنه قد يكون مخترقاً بالفعل ويتحقق وفقاً لذلك.
- الإصلاح - يقترح الإطار الإصلاحات، ومنذ تحديث 27 أغسطس أصبح ينفذها فعلياً.
- التحقق - تؤكد الفحوصات الآلية أن الإصلاحات تعمل حقاً قبل وضع علامة "تم الحل" على أي شيء.
تفصيلان يهمّان أكثر من المراحل نفسها. أولاً، يحافظ الخط على ضوابط حتمية وإشراف بشري مدمجين في كل مرحلة - هذا ليس وكيلاً ذاتياً طليق الحركة في شبكة إنتاج، بل سرعة وكيلية ضمن قيود سياسة. ثانياً، أضاف تحديث 27 أغسطس الإصلاح والتحقق الآليين، وهو بالضبط القفزة التي تضغط أوقات الاستجابة من أيام إلى ساعات.
السوق صوّت أيضاً
المصدر المفتوح يحيا أو يموت بالتبني، وقد تحركت أرقام VVAH بهدوء لكن بحزم: نحو 595 نجمة على GitHub في منتصف يوليو، وأكثر من 2,300 بنهاية أغسطس، مع عشرات آلاف التنزيلات عالمياً منذ الإطلاق. وبنت Visa أيضاً خدمات استشارية حول الإطار: الأداة مجانية، لكن نشرها ودمجها بشكل صحيح على نطاق مؤسسي هو مكان الخبرة الحقيقية (والأعمال المدفوعة).
«لقد شاهدنا المقطع الدعائي»
لماذا يساعد عملاق مدفوعات بنشاط كل القطاع على أن يصبح أصعب في الاختراق؟ أجاب رئيس التقنية في Visa، رجات تانجا، بصراحة أمام رويترز هذا الأسبوع: حادثة هروب وكلاء الذكاء الاصطناعي من بيئة اختبار ومهاجمتهم منصة Hugging Face قد تكون مؤشراً مبكراً على تهديدات أخطر بكثير. قال حرفياً:
من الصعب التنبؤ بمدى السوء الذي قد يبلغه الأمر، لكننا شاهدنا المقطع الدعائي.
صورة التهديد التي يصفها تانجا تلتقي مع ثلاث خطوط تتقارب بسرعة:
- الاعتداءات السيبرانية ذاتية التشغيل - مهاجمون يتعلمون ويتكيفون باستمرار دون تدخل بشري، متجاوزين عمليات الأمن التقليدية ذات السرعة البشرية.
- التجارة الوكيلية - تسمح Visa بالفعل لبعض وكلاء الذكاء الاصطناعي بإجراء مدفوعات على شبكتها، وتشير تقديرات القطاع إلى أن الوكلاء قد يديرون نحو ثلث التجارة الإلكترونية بحلول 2030، أي ما يقارب 3.1 تريليون دولار من المعاملات.
- الخطر الكمومي - أجهزة كمومية قوية بما يكفي تشغّل خوارزمية شور قد تكسر يوماً ما معايير التشفير التي يقوم عليها التجارة العالمية، لذا يجب أن يبدأ العمل على التخفيف قبل وصول ذلك اليوم.
عندما تعالج شبكتك نحو مليار عملية دفع يومياً بقيمة نحو 15 تريليون دولار سنوياً، فأنت لا تمول أبحاث أمن المصدر المفتوح من أجل نجوم GitHub؛ بل تحصن مائدة العشاء لكل مهاجم يوشك على الحضور بوكيل ذاتي التحسين من صنعه.
ماذا يعني هذا لعملك
لا تحتاج إلى حجم Visa لتسرق دفتر خطة Visa. إليك الزبدة العملية:
- عامِل اختبار الاختراق بالذكاء الاصطناعي كعملية مستمرة، لا حدثاً سنوياً. رقم أكثر من 10,000 ثغرة لم يأت من فحص ربع سنوي؛ بل من وكيل لم يتوقف عن البحث أبداً. الاختبار الخصمي بنماذج الذكاء الاصطناعي اليوم تخصص ناضج يمكنك تجريبه بميزانية الأمن الحالية.
- تبنَّ إيقاع المراحل الأربع. اكتشاف، فرز، إصلاح، تحقق. الفرق التي تربط سير عمل الثغرات بهذه الحلقة تقلص الفجوة بين "قال الماسح" و"تم التحقق من الإصلاح" - وVVAH يأخذك عبر تنفيذ ملموس.
- أبقِ البشر في الحلقة عمداً. سبب أن نقاش أمن الوكلاء ليس فوضى هو بالضبط أن أطراً مثل VVAH تقيّد الأتمتة بضوابط حتمية ونقاط تفتيش بشرية. انقل هذا النظام قبل توسيع أي وكيل.
- افترض أن بيئتك مخترقة بالفعل. التحقق بصفر الثقة في كل مكون ليس خانة امتثال؛ إنه الموقف الأساسي لشبكة مبنية كما يتصرف المهاجمون فعلاً.
- ابدأ الآن جرد الاستعداد الكمومي. لا يمكنك تحويل بنيتك التشفيرية بين عشية وضحاها: احصر ما تشفره، وبأي تقنية، وكم يجب أن يبقى سرياً.
الخلاصة
الإشارة الأهم في هذه القصة ليست عشرة آلاف ثغرة؛ إنها تحول الموقف: الشركة الأكثر هجوماً على وجه الأرض قررت أن أفضل دفاع لها هو رفع أرضية القطاع كله. عندما تشارك أهداف كل اعتداء ذاتي قادم دروعها مجاناً، يصبح رفض النظر إليها إهمالاً لا تحفظاً.
احصل على الأداة، واقتلع الإيقاع، ودع فريق الأمن لديك يعمل بالسرعة التي يجنّد المهاجمون عليها أصلاً.
أداة Visa للاختراق الوكيلي للثغرات (VVAH) متاحة بموجب ترخيص Apache 2.0. يواصل الإطار تلقي التحديثات - بما فيها نسخة أغسطس 2026 بالإصلاح والتحقق الآليين - وتدعم فرق الاستشارات لدى Visa عمليات النشر المؤسسية حول العالم.