كيف اكتشف Claude Mythos ٢٧١ ثغرة أمنية في Firefox

ملخص

نجح نموذج Claude Mythos Preview، وهو نموذج رائد غير مُصدر من شركة Anthropic، في تحديد ٢٧١ ثغرة أمنية في متصفح Firefox خلال عملية تقييم واحدة مع فريق أمن Mozilla. تم إطلاق الإصلاحات في Firefox 150 في ٢١ أبريل ٢٠٢٦ بموجب الاستشارة الأمنية لمؤسسة Mozilla رقم MFSA 2026-30، والتي تدرج ٤١ ثغرة أمنية عامة (CVEs) — ثلاثة منها نُسبت صراحةً إلى Claude (وهي CVE-2026-6746، وCVE-2026-6757، وCVE-2026-6758). طوال شهر أبريل ٢٠٢٦، شحنت Mozilla إجمالي ٤٢٣ إصلاحًا أمنيًا — ٢٧١ منها من فحص Mythos، و41 تم الإبلاغ عنها خارجيًا، و١١١ تم العثور عليها داخليًا — مع مشاركة أكثر من ١٠٠ مساهم في Mozilla في عمليات التصحيح والمراجعة وفرز المتراكمات.^١٢٣ ويُعد هذا أحد أكبر عمليات الكشف عن الثغرات الأمنية بمساعدة الذكاء الاصطناعي المسجلة لمتصفح رئيسي.

---

ما ستتعلمه

• النطاق الدقيق لتصحيح Firefox 150 وما تحتويه الاستشارة MFSA 2026-30
• لماذا حصلت ٣ فقط من أصل ٢٧١ ثغرة على معرفات CVE عامة
• كيف تعمل آلية Mozilla البرمجية ثلاثية المسارات (fuzzing، يدوي، وكيل ذكاء اصطناعي) فعليًا
• فجوة الأداء بين Claude Opus 4.6 (٢٢ ثغرة) وMythos Preview (٢٧١ ثغرة)
• ماذا يعني مشروع Glasswing لمسؤولي صيانة البرمجيات الحساسة الآخرين
• كيف يجب على المدافعين إعادة ضبط خططهم الأمنية بعد هذه النتيجة

---

Firefox 150 بالأرقام

أصدرت Mozilla متصفح Firefox 150 في ٢١ أبريل ٢٠٢٦، مصحوبًا بـ MFSA 2026-30، وهي الاستشارة الأمنية التي تصدر مع كل إصدار رئيسي من Firefox. يحتوي جدول CVE العام للاستشارة على ٤١ إدخالاً، بما في ذلك تجميعات سلامة الذاكرة القياسية التي تقدمها Mozilla عند كل إصدار.^١

رقم ٤١ CVE هذا هو ما التقطته معظم أدوات تتبع الأمن. ما يميز هذا الإصدار هو التفاصيل الأعمق وراءه. في إفصاح منفصل في نفس اليوم، أعلنت Mozilla أن مجموعة تصحيحات Firefox 150 تتضمن إصلاحات لـ ٢٧١ ثغرة أمنية إضافية تم تحديدها خلال تقييم أولي لنسخة مبكرة من Claude Mythos Preview.^٢

لوحة نتائج أبريل الكاملة، التي نُشرت بعد أسبوعين على مدونة Mozilla Hacks:^٣

المصدر	الثغرات التي تم إصلاحها في أبريل ٢٠٢٦
Claude Mythos Preview (المسح الأولي)	٢٧١
المبلغون الخارجيون (الباحثون، تقديم المكافآت)	٤١
الاكتشاف الداخلي في Mozilla (fuzzing، المراجعة اليدوية)	١١١
إجمالي الإصلاحات المشحونة في أبريل	٤٢٣

للمقارنة، شحنت Mozilla ما يقرب من ٣١ إصلاحًا أمنيًا في أبريل من العام السابق.^٣ حجم الإصلاحات في أبريل ٢٠٢٦ يزيد عن ١٣ ضعف الأساس السنوي.

---

لماذا نُسبت ٣ معرفات CVE فقط إلى Claude

كانت هناك نقطة ارتباك شائعة في التغطية الأولية وهي الفجوة بين "٢٧١ ثغرة أمنية" وأرقام CVE الثلاثة (CVE-2026-6746، CVE-2026-6757، CVE-2026-6758) المرتبطة صراحةً بـ Claude في MFSA 2026-30.^٤

هذا التفاوت ليس تناقضًا. يتم إصدار معرفات CVE العامة للثغرات التي تستوفي حدًا معينًا من الخطورة — عادةً تنفيذ التعليمات البرمجية عن بُعد (RCE)، أو الهروب من بيئة الحماية (sandbox escape)، أو فئات أخرى عالية التأثير تستدعي الإفصاح لموزعي الحزم والمشغلين. تندرج الثغرات المتبقية التي أظهرها Mythos ضمن الفئات التي تصلحها Mozilla بشكل روتيني دون تسجيل CVE:

• مشكلات الدفاع المتعمق التي تخفف من حدة الاستغلال ولكنها لا تمكنه بشكل مباشر
• تحسينات التحصين حيث كان مسار الكود غير آمن بناءً على التدقيق، ولكن لم يثبت قابليته للاستغلال
• ثغرات في مسارات كود غير قابلة للاستغلال والتي لا تزال تستحق التصحيح من أجل الدقة
• ثغرات منطقية منخفضة الخطورة يتم إصلاحها بهدوء دون تنسيق عام

استوفت ثلاث ثغرات من أصل ٢٧١ المعايير المطلوبة للحصول على CVE عام. أما الـ ٢٦٨ الأخرى فقد تم شحنها بهدوء كجزء من الإصدار العادي لـ Firefox 150، وهي الطريقة المحافظة والصحيحة للتعامل معها — فشركة Mozilla لا تضخم عدد CVE الخاص بها للإعلان عن حصيلتها.

---

آلية Mozilla ثلاثية المسارات لصيد الثغرات

في ٧ مايو ٢٠٢٦، نشر فريق الأمن في Mozilla تقريرًا من وراء الكواليس يصف كيف تم شحن ٤٢٣ إصلاحًا بالفعل. أكد الفريق أن عملية اكتشاف الثغرات في Firefox تعمل الآن عبر ثلاثة مسارات متوازية:^٣

1. أنظمة fuzzing المستمرة — توليد مدخلات قائمة على الطفرات تعمل لفترات طويلة ضد المحللات (parsers)، وفك التشفير (decoders)، ومحرك JavaScript.
2. الفحص اليدوي — مراجعة الكود، ونمذجة التهديدات، والبحث الأمني البشري الموجه نحو المكونات عالية المخاطر.
3. آلية ذكاء اصطناعي وكيل جديدة — Claude Mythos Preview بالإضافة إلى نماذج رائدة أخرى، تعمل ضد Firefox من خلال إطار عمل مخصص يعكس دلالات قاعدة الكود وأدواتها وعملياتها.

تؤكد Mozilla أن مسار الذكاء الاصطناعي خاص بقاعدة الكود، وليس مجرد ماسح ضوئي عام. يعمل إطار العمل ضد نسخة مطهرة (sanitizer build) من Firefox ويستخدم تعطل AddressSanitizer كإشارة نجاح حتمية، مع حلقة إعادة محاولة حتى ينتج الوكيل إثباتًا للمفهوم (PoC) تم التحقق منه — مما يلغي معظم النتائج الإيجابية الكاذبة التخمينية التي عابت محاولات التحليل الساكن السابقة.

تغير شيئان بين تجربة Opus 4.6 في فبراير وفحص Mythos في أبريل، وفقًا للتحليل البعدي:

• أصبحت النماذج أكثر قدرة. قدرات Mythos Preview في اكتشاف الثغرات وتطوير الاستغلال ليست تحسينات تدريجية على Opus 4.6 — بل هي قفزات نوعية (انظر القسم التالي).
• أصبح إطار العمل أفضل. قامت Mozilla بتطوير كيفية توجيه النماذج وقياسها وتكديسها — مما أدى إلى توليد إشارات عالية الحجم وتصفية الضوضاء قبل أن تصل إلى المفرز البشري.

النتيجة: جهد داخلي شارك فيه أكثر من ١٠٠ شخص لتصحيح ومراجعة واختبار وشحن حجم إصلاحات كان سيستغرق شهورًا في ظل سير العمل السابق.

---

من ٢٢ إلى ٢٧١: الفجوة بين Mythos وOpus 4.6

من الأفضل قراءة نتيجة Firefox 150 مقارنة بـ أساس Firefox 148. في فبراير ٢٠٢٦، أجرت Mozilla تجربة مماثلة — ولكن على نطاق أصغر — باستخدام Claude Opus 4.6. أنتجت تلك الجولة ٢٢ ثغرة مؤكدة في Firefox في غضون أسبوعين تقريبًا، مع شحن الإصلاحات في Firefox 148 (الصادر في ٢٤ فبراير ٢٠٢٦).^٥

بعد شهرين، أنتج فحص Mythos Preview عدد ٢٧١ ثغرة. قفزة القدرات واضحة عبر كل المعايير التي نشرتها Anthropic:^٦

المعيار (Benchmark)	Claude Opus 4.6	Claude Mythos Preview
SWE-bench Verified	٨٠٫٨٪	٩٣٫٩٪
USAMO 2026	٤٢٫٣٪	٩٧٫٦٪
CyberGym (إعادة إنتاج الثغرات)	٦٦٫٦٪	٨٣٫١٪
تطوير استغلال محرك Firefox 147 JS	استغلالان يعملان (من بين مئات المحاولات)	١٨١ استغلالاً يعمل + ٢٩ مع التحكم في السجلات (register control)

تعد تجربة تطوير استغلال محرك JavaScript في Firefox 147 هي الفارق الأكثر ملموساً في القدرات. فبالنظر إلى نفس الثغرات البرمجية لتحويلها إلى سلاح، أنتج Opus 4.6 استغلالين يعملان لـ JS-shell عبر مئات المحاولات. بينما أنتج Mythos Preview‏ ١٨١ استغلالاً — وهو تحسن بنحو ٩٠ ضعفاً في نفس المهمة.^٦

هذا الملف التعريفي للقدرات هو السبب في قرار Anthropic عدم إصدار Mythos للجمهور. وهو أيضاً السبب في أن Mozilla كانت شريكاً مدعواً في وقت مبكر.

---

مشروع Glasswing: نموذج التوزيع

إن Mythos Preview غير متاح على Claude API العام. الوصول مقيد من خلال مشروع Glasswing، وهو التحالف الذي تقوده Anthropic والذي تم الإعلان عنه جنباً إلى جنب مع النموذج في ٧ أبريل ٢٠٢٦.^٧

يغطي شركاء الإطلاق الـ ١٢ المجالات التي يهم فيها نموذج بهذه القدرات أكثر من غيرها: السحابة، وأنظمة تشغيل المستهلكين، والبنية التحتية للشبكات، والتمويل، ونظام Linux البيئي.

المنظمة	المجال
Amazon Web Services	البنية التحتية السحابية
Anthropic	مزود النموذج / قائد التحالف
Apple	أنظمة تشغيل المستهلكين، المتصفحات، الأجهزة
Broadcom	أشباه الموصلات والشبكات
Cisco	شبكات المؤسسات
CrowdStrike	كشف الاستجابة للنقاط النهائية (EDR)
Google	Chrome، Android، البحث، السحابة
JPMorgan Chase	البرمجيات الحساسة في القطاع المالي
Linux Foundation	النظام البيئي مفتوح المصدر
Microsoft	Windows، Edge، Azure
NVIDIA	برامج تشغيل GPU، البنية التحتية للذكاء الاصطناعي
Palo Alto Networks	جدران حماية الشبكة والسحابة

قامت Anthropic بتوسيع نطاق الوصول إلى Mythos Preview ليشمل أكثر من ٤٠ منظمة إضافية تحافظ على البنية التحتية للبرمجيات الحساسة، والتزمت بتقديم ما يصل إلى ١٠٠ مليون دولار من أرصدة الاستخدام بالإضافة إلى ٤ ملايين دولار في شكل تبرعات مباشرة لمنظمات الأمن مفتوحة المصدر لتمويل العمل.^٧ بالنسبة للشركاء خارج مجمع الأرصدة، يبلغ سعر Mythos Preview‏ ٢٥ دولاراً لكل مليون توكن إدخال و١٢٥ دولاراً لكل مليون توكن إخراج — أي خمسة أضعاف سعر Claude Opus 4.6 (٥ دولارات / ٢٥ دولاراً).^٨ نافذة السياق هي مليون توكن إدخال مع حد أقصى للإخراج يبلغ ١٢٨ ألف توكن.^٨

نشرت Palo Alto Networks، أحد شركاء الإطلاق، تقييمها الخاص في "دليل المدافع" لشهر أبريل ٢٠٢٦. ملخصها: في أقل من ثلاثة أسابيع من التحليل بمساعدة النموذج، عادل الفريق جهداً كاملاً لمدة عام من اختبار الاختراق اليدوي، مع تغطية أوسع من الأساس البشري فقط.^٩

---

ماذا يعني هذا خارج Firefox

يعد Firefox قاعدة كود خضعت لعمليات فحص مكثفة (fuzzing) وتدقيق شديد مع طاقم أمني بدوام كامل. إذا تمكن Mythos Preview من العثور على ٢٧١ ثغرة أمنية في تلك المساحة في تقييم واحد، فإن التبعات على قواعد الكود التي تفتقر إلى تلك الموارد ستكون مقلقة.

بدأت بعض الاستنتاجات الدفاعية في الظهور:

• البرمجيات التي تتم صيانتها تراكم مخاطر كامنة أكثر مما يوحي به الفحص (fuzzing). نجت العديد من الأخطاء في مجموعة Firefox 150 من سنوات من الاختبارات الآلية. كشفها Mythos لأنه يحلل الدلالات البرمجية (semantics)، وليس فقط المدخلات.
• خط العمل هو عمل مخصص لقاعدة الكود، وليس مجرد إضافة (plug-in). تطلبت نتائج Mozilla هندسة أدوات ربط (harness engineering) كبيرة. لا يوجد سير عمل جاهز "للفحص باستخدام Mythos" حتى الآن، وقد قيدت Anthropic استخدام Mythos Preview في أعمال الأمن السيبراني الدفاعية بموجب شروط مشروع Glasswing.
• دورة التصحيح التي تبلغ ٩٠ يوماً ستصبح مختلفة. عندما تنتج دورة تقييم واحدة ٢٧١ إصلاحاً يتم شحنها في إصدار واحد، فإن الضغط اللاحق على القائمين على الحزم، ومصنعي المعدات الأصلية المدمجة (embedded OEMs)، وتوزيعات الدعم طويل الأمد (LTS) يتغير شكله. استوعبت Mozilla ذلك لأنها تمتلك قاعدة الكود بالكامل؛ أما البائعون الذين لديهم ضوابط تغيير أكثر صرامة فقد لا يتمتعون بنفس الرفاهية.
• التقدير العام سيقلل من عدد الأخطاء التي يكتشفها الذكاء الاصطناعي. ستظهر ٣ فقط من أصل ٢٧١ إصلاحاً لـ Mozilla في إحصائيات CVE. أي شخص يتتبع تأثير الذكاء الاصطناعي على الأمن عبر أعداد CVE وحدها سيقلل من تقديره بشكل منهجي.

للحصول على نظرة أوسع حول ما يمكن لـ Mythos Preview القيام به خارج Firefox — بما في ذلك ثغرة OpenBSD التي يبلغ عمرها ٢٧ عاماً والتي كشفها وإعلان مشروع Glasswing الأوسع — راجع Claude Mythos Preview: الذكاء الاصطناعي الأخطر من أن يُصدر. وللاطلاع على التقييم المستقل لمعهد أمن الذكاء الاصطناعي في المملكة المتحدة (UK AI Security Institute) لنموذج Mythos مقابل تحديات CTF على مستوى الخبراء، راجع تقييم AISI لـ Claude Mythos: الذكاء الاصطناعي يسيطر على هجوم شبكي من ٣٢ خطوة. وللحصول على دليل على أن حدود القدرات متعرجة — وأن بعض النماذج ذات ٣٫٦ مليار بارامتر يمكن أن تضاهي Mythos في مهام محددة — راجع الحدود المتعرجة للأمن السيبراني للذكاء الاصطناعي: النماذج الصغيرة مقابل Mythos.

---

الخلاصة

يُعد تحديث Firefox 150 أحد أول العروض التوضيحية واسعة النطاق والموثقة علنًا لما يبدو عليه البحث عن الثغرات الأمنية بمساعدة الذكاء الاصطناعي على نطاق متطور. ٢٧١ إصلاحًا في دفعة واحدة، و٤٢٣ على مدار الشهر، ضد قاعدة كود برمجية كانت تتمتع بالفعل بتغطية بشرية وفحص عشوائي (fuzzing) من النخبة — هذا هو المعيار الجديد. الرقم الرئيسي ليس ٢٧١؛ العنوان الحقيقي هو أن ٢٦٨ من الثغرات التي أصلحتها Mozilla لن تحصل أبدًا على معرف CVE، وتقريبًا كل من يتتبع الذكاء الاصطناعي والأمن عبر خلاصات CVE سيبدأ قريبًا في تقدير الأرقام بأقل من حقيقتها.

بالنسبة لمطوري البرمجيات الحساسة، فإن الدلالة واضحة ومباشرة: الفجوة بين "نحن خضعنا لتدقيق جيد" و"لدينا مخاطر كامنة ملموسة" قد ضاقت للتو. لم يجد Mythos ثغرات كان الفحص العشوائي (fuzzing) على وشك اكتشافها في الأسبوع التالي، بل وجد ثغرات عجزت سنوات من الفحص العشوائي عن كشفها.