ثغرة OpenSSH في ألبين وتجاوز وضع الحماية في ChatGPT: لا تثق بالدرع وحده

في صباح واحد وصلتني قصتان أمنيتان تبدوان مختلفتين: الأولى عن خادم SSH على لينكس، والثانية عن أداة ذكاء اصطناعي يستخدمها الملايين. لكن بعد قراءتهما وجدت بينهما خيطًا واحدًا، وهو أن الميزة التي نعتمد عليها لحمايتنا قد تحمل ثغرة، وأن المهم هو طريقة استعدادنا لذلك.

ماذا حدث؟

بحسب The Hacker News، أصدر فريق OpenSSH إصلاحًا طارئًا لثغرة تسمح للمهاجم بتسجيل الدخول إلى حسابات لا تملك كلمة مرور، مثل الحسابات التي تعتمد على مفاتيح SSH فقط. الثغرة تخص بعض خوادم Alpine Linux التي تشغّل حزمة openssh-server القياسية. يحتاج المهاجم إلى وصول شبكي للخادم، واسم حساب، وكلمة مرور طولها بين 257 و1,024 بايت. صنّف OpenSSH الثغرة على أنها حرجة وأصدر النسخة 10.6p2 لسدّها، ونشرت Alpine حزمًا مُصححة.

القصة الثانية نقلها موقع The Hacker News أيضًا. كشف باحثون تفاصيل ثغرة، تم إصلاحها الآن، سمحت بتجاوز وضع Lockdown في ChatGPT. قدّمت OpenAI هذا الوضع في يونيو 2026 كإعداد اختياري يقلل مخاطر تسريب البيانات الناتجة عن هجمات حقن الأوامر. وبحسب العنوان، أمكن استخراج المحادثات دون أي تفاعل من المستخدم.

وفي السياق نفسه، أشار TechCrunch إلى أن OpenAI أطلقت نموذجًا جديدًا للأمن السيبراني، بينما تواجه مختبرات الذكاء الاصطناعي تدقيقًا في عملها لحماية البنية التحتية الرقمية.

لماذا يهمنا في الخليج؟

شركاتنا تتحول إلى السحابة والحاويات بسرعة، وكثير من الفرق التقنية تعتمد توزيعات خفيفة مثل Alpine لأنها صغيرة وسريعة. وفي مثل هذه البيئات قد يقع الخادم في صورة جاهزة لا يتذكر أحد أنها تحتوي على خدمة SSH أصلًا. أما حسابات المفاتيح فقط، التي ننصح بها دائمًا، فقد ظهر أن لها حالة استثنائية تحتاج انتباهًا.

أما في الذكاء الاصطناعي، فالموظفون عندنا يلصقون في ChatGPT عقودًا وعروض أسعار وبيانات عملاء ليختصروا الوقت. هذا الاستخدام لا يبدو خطرًا إلى أن تتسرب المحادثات. والمؤسسات الحكومية وشركات القطاع المالي في الإمارات والخليج تخضع لمتطلبات صارمة في حماية البيانات، لذلك لا يكفي أن نقول إن الأداة فيها وضع حماية.

ماذا أنصح أن تفعل؟

• جرد الخوادم: اعرف أين تعمل Alpine عندك، سواء على خوادم مباشرة أو داخل صور الحاويات، وهل فيها openssh-server.
• حدّث فورًا: ثبّت الحزم المصححة من Alpine، واتبع إصدار OpenSSH 10.6p2 حيثما ينطبق، ثم أعد بناء الصور القديمة بدل ترقيعها يدويًا.
• قلّل التعرض: لا تترك منفذ SSH مفتوحًا للإنترنت العام. اقصره على شبكة داخلية أو VPN أو عناوين محددة، فالثغرة تحتاج وصولًا شبكيًا أصلًا.
• راجع السجلات: ابحث عن محاولات دخول بكلمات مرور طويلة بشكل غير معتاد على حسابات لا يفترض أن تستخدم كلمات مرور.
• ضع سياسة للذكاء الاصطناعي: حدد ما يُسمح بإدخاله في أدوات المحادثة وما يُمنع، وفعّل إعدادات الحماية المتاحة، لكن لا تجعلها بديلًا عن تصنيف البيانات.
• اختر البيانات قبل الأداة: إن كانت المعلومة سرية فعلًا، فالأفضل ألا تخرج من بيئتك.

رأيي بصراحة

لا أستغرب ما حدث ولا أراه سببًا للهلع. كل برنامج معقد قد يحمل ثغرة، والمهم أن تُكتشف وتُصلح بسرعة، وقد حدث ذلك في الحالتين. ما يقلقني هو الطريقة التي نتعامل بها مع الخبر: بعض الفرق ستقرأه ثم تؤجل التحديث لأن الخادم يعمل بلا مشاكل، وبعض المديرين سيعتبرون وضع الحماية في أداة الذكاء الاصطناعي ضمانًا كاملًا.

أرى أن ثغرة Lockdown درس مفيد بالذات. الوضع الذي صُمم ليخفف المخاطر أصبح نفسه هدفًا للتجاوز. هذا لا يعني أن نتخلى عنه، بل أن نعامله كطبقة من عدة طبقات. وإطلاق OpenAI نموذجًا للأمن السيبراني خطوة جيدة، لكنني أتفق مع روح سؤال TechCrunch: هل هذا يكفي؟ الأدوات وحدها لا تكفي، والثقة تُبنى بالتحديث والمراقبة والانضباط.

نصيحتي العملية: خصص هذا الأسبوع ساعة واحدة لفريقك، افتحوا فيها قائمة الخوادم وقائمة أدوات الذكاء الاصطناعي المستخدمة، وأجيبوا عن سؤالين فقط: ما الذي يحتاج تحديثًا؟ وما البيانات التي لا ينبغي أن تخرج من الشركة؟ ساعة كهذه أوفر بكثير من تكلفة حادثة أمنية.