ᴀʙᴅᴇʟʀʜᴍᴀɴ ᴢᴀʏᴇᴅ

هل يقدم Claude Code Security أي جديد ؟ إنه لمن الجميل أن نسمع أن شركة ذات قيمة مليارية مثل أنثروبيك تقوم بعمل لدعم المصدر المفتوح، مثل الدراسة التي قامت بها و"كشفت" عن طريقها عن أكثر من 500 ثغرة أمنية في مكتبات مفتوحة المصدر. إنه عالمٌ جميل حقاً نرى فيه أفعالاً إيثاريّة من شركة أحبت أن تعطي شيئاً ما للمجتمع. إنه لمثالٌ صارخ للقيمة التي يقدمها الذكاء الاصطناعي. لكن هل كان هذا حقاً الدافع؟ إنه لمن الحكيم حقاً ألا نتعجل الحكم على الأخبار، إذ حالما تكشف الأيام عن النوايا الحقيقيّة وراء أي لفتة إيثاريّة تقوم بها أي شركة. أو كما يقول المثل الشعبي "يا خبر بفلوس بكرا ببلاش". هذا ما يخطر ببالي حقاً عند قراءتي لتدوينة أنثروبيك وهي تعلن إطلاق Claude Code Security. فكيف وظّفت أنثروبيك كَشفها لهذه الـ500 ثغرة في إطار منتجها الجديد؟ تطور عرض القيمة لأنثروبيك تصف أنثروبيك نفسها بأنها شركة متخصصة في مجال سلامة الذكاء الاصطناعي وأبحاثه، تعمل على بناء أنظمة ذكاء اصطناعي موثوقة وقابلة للتفسير والتوجيه. وعلى الرغم من طرحها منتج Claude للمستهلكين في وقت مبكر، ولكن إيراداتها من الأعمال التجارية/API/المؤسسات أصبحت هي السائدة، وأصبح التوجه نحو المؤسسات أولاً واضحًا خلال عام 2025. في غضون عام واحد، قفزت إيراداتها السنوية من مليار دولار إلى أكثر من تسعة مليارات، وهي تتطلع إلى سبعين ملياراً بحلول عام 2028. والأهم من الرقم هو مصدره: 80% من هذه الإيرادات تأتي من عملاء المؤسسات، أي الشركات لا الأفراد. وحين أطلقت Claude Code في مايو 2025، بلغ إيراده المُحوَّل سنوياً نصف مليار دولار خلال ثلاثة أشهر فحسب. هذا التركيز على استهداف المؤسسات ليس مجرد قرار تجاري عابر، بل هو إعادة تعريف كاملة لهوية الشركة. وفي هذا السياق تحديداً يجب أن تُقرأ تدوينة Claude Code Security، لا كإعلان بحثي، بل كوثيقة مبيعات مُحكمة الصياغة. محرك الإيرادات "الاستحواذ والتوسع" — الأمن كوسيلة لزيادة المبيعات صرّح رئيس المنتجات في أنثروبيك، مايك كريغر، صراحةً بأن استراتيجية الشركة مع المؤسسات تقوم على مبدأ "land and expand"، أي اصطد العميل بمنتج واحد، ثم وسّع انتشارك داخله. وتشير البيانات إلى أن أكثر من 60% من عملاء أنثروبيك في قطاع الأعمال يستخدمون منتجات متعددة بالفعل. فمثلاً تدوينة الـ500 ثغرة تخدم هذا المسار بدقة جرّاح متمرس: يقرأ مدير أمن المعلومات العنوان فيُصاب بالقلق، ثم تأتيه رسالة ضمنية مفادها "كودك يعاني من نفس المشكلات". ومن هناك تبدأ الرحلة: Claude Code Enterprise، ثم Claude.ai Enterprise، ثم الواجهة البرمجية الكاملة. وقد جرى تضمين Claude Code ضمن الباقات المؤسسية في أغسطس 2025، ما يعني أن السرديّة البحثية هي في الوقت ذاته مادة ترويجية لطبقة تجارية قائمة بالفعل. بينما تدعي المدونة أن كلود كشف أكثر من 500 ثغرة في مشاريع مفتوحة المصدر، ما يُقرأ كدليل على أن كود المؤسسة يعاني من نفس المشكلات، إلا أن هذا يمتد إلى إدعاءات أخرى تبدو مصممة في سياقٍ تجاري: - إدعاء توفير الوقت ووجود المراقبين البشريين الذي يطمن مخاوف التنفيذيين حول تكلفة الاستثمار وضرورة الامتثال المؤسسي - تقييد الوصول بحجة المعاينة البحثيّة والتوافريّة المُقيَّدة يخلقات وهم النُّدرة المصطنعة كل هذا مصمم لمخاطبة المدراء التنفيذيين قبل مسؤولي الأمن. بوابة "معاينة البحث" هي خطوة تأهيلية للمبيعات تقول التدوينة إن الوصول مقصور على "الباحثين الأمنيين، ومشرفي المصدر المفتوح، والعملاء المؤسسيين". يبدو هذا تحفظاً علمياً رصيناً، لكنه من منظور المبيعات آلية تصفية للعملاء المحتملين: تُبعد غير المؤهلين وتستقطب أصحاب صلاحيات الشراء. وهذا يتوافق مع تضاعف فريق "Applied AI" لدى أنثروبيك خمس مرات، لغرض واحد: التغلغل داخل المؤسسات وبناء سير عمل على أساس كلود. نقد تقني: ماذا تقول الدراسات؟ حتى الآن تحدثنا عن النوايا التجارية. لكن ماذا عن المحتوى التقني نفسه؟ هل الادعاءات صحيحة؟ "يقرأ الكود مثل باحث بشري" هذا هو الادعاء الأكثر مبالغة في التدوينة. توصّل باحثون مستقلون في دراسة نشرت عام 2025 (the A.S.E study from 2025) إلى أن "نماذج اللغة الكبيرة لا تزال تعاني في مجال كتابة الكود الآمن"، وأن "تعقيد السيناريوهات على مستوى مستودعات الكود يُشكّل تحدياً للنماذج التي تؤدي أداءً جيداً على مستوى مقتطفات الكود". وهذا الفارق جوهري: النموذج يرى الكود، لكنه لا يرى النظام. قد يتجاوز فحص الصلاحية لمستخدم بنجاح، لكنه سيفوّت cross-tenant data leak لأنه لا يملك نموذجاً ذهنياً للتصميم المعماري للنظام. ادعاء وجود 500 ثغرة أمنية الرقم ظهر حتى الآن في مدونة أنثروبيك فحسب، مع الإشارة إلى أن "الفرز والإفصاح المسؤول لا يزالان جاريَين". ما يعني غياباً تاماً للتحقق المستقل. والأهم: لم يُفصَح عن معدل الإيجابيات الكاذبة. في التجارب الميدانية، أظهر وكلاء الذكاء الاصطناعي معدلات إيجابيات كاذبة مرتفعة مقارنةً باختبار الاختراق البشري، حتى حين يتفوقون على البشر في الحجم. الإعلان عن 500 ثغرة دون نسبة إيجابيات حقيقية موثّقة هو تكتيك مألوف: الرقم الكبير في العنوان، والتحفظ الهادئ في الحاشية. مسرحية التحقق الذاتي تصف التدوينة "عملية تحقق متعددة المراحل" يُعيد فيها كلود فحص نتائجه. لكن هذا في جوهره كلود يتحقق من عمل كلود. هذا النهج يعالج الهلوسات لكنه لا يعالج النقاط العمياء. إذا كان النموذج يُخطئ في فهم تدفق البيانات، فسيُكرر هذا الخطأ في كل مراحل المراجعة الذاتية. الثغرات التشفيرية كإعادة استخدام متجه التهيئة (IV) في block ciphers تستلزم تتبع حالة التطبيق عبر طلبات متعددة، وهو ما يُفلت بشكل منهجي من النماذج بصرف النظر عن عدد جولات المراجعة. النقاط العمياء التي لا يذكرها المنشور ثمة مخاوف غائبة كلياً عن التدوينة تستحق الذكر: أولاً، حقن الأوامر من داخل الكود المُدَّقق: يمكن للكود الخبيث المضمّن في التعليقات أو السلاسل النصية أن يتلاعب بمخرجات تحليل كلود، وهي مخاطرة موثّقة ضمن قائمة OWASP Top 10 لنماذج اللغة الكبيرة. ثانياً، عدم قابلية النموذج للتكرار: مخرجات كلود تتغيّر عبر تحديثات النموذج، ما يجعل التدقيق المتسق في النتائج السابقة أمراً متعذراً. ثالثاً، تلوّث بيانات التدريب: قد "يكتشف" النموذج ثغرات تعلّمها من قواعد بيانات CVE العامة، مما يخلق وهم الاكتشاف الجديد. رابعاً، وهو الأهم، غياب الخط القياسي للمقارنة: لا توجد في التدوينة أي مقارنة بين Claude Code Security وأدوات راسخة كـCodeQL أو Semgrep أو Snyk. وقد أظهر CodeQL دقة تصل إلى 88% مع نسبة إيجابيات كاذبة لا تتجاوز 5% في تقييمات مستقلة. دون هذا الخط القياسي، يبقى ادعاء "يجد ما تفتقده الأدوات التقليدية" ادعاءً غير قابل للدحض. الخلاصة حتى لا نكون أكثر قسوة مما ينبغي: الكشف عن الثغرات بمساعدة نماذج اللغة الكبيرة هو اتجاه واعد بالفعل. هذه النماذج تكتشف فئات معينة من المشكلات السياقية التي تُفوّتها أدوات التحليل الساكن التقليدية. والإطلاق المقيّد عبر معاينة بحثية، بدلاً من الإتاحة التجارية الفورية، يُعدّ أكثر تحفظاً من كثير من دورات المبالغة المعتادة في هذا المجال. لكن هذا لا يغيّر طبيعة ما بين أيدينا: نحن أمام تقييم ذاتي غير مُحقَّق، من شركة تبيع المنتج الذي تُقيّمه، تستهدف عملاء مؤسسيين بإيرادات محتملة تبلغ سبعين مليار دولار. وكما تُقرأ أي تقارير التهديدات الصادرة عن شركات أمن المعلومات، يجب أن تُقرأ هذه التدوينة بوصفها "تسويقاً يحتوي على بعض البيانات الحقيقية"، مع الإدراك التام بأن غياب معدلات الإيجابيات الكاذبة والمعايير المستقلة وتأكيد طرف ثالث ليس إغفالاً غير مقصود، بل خيار محسوب يُبقي المنتج بعيداً عن أي ادعاء قابل للدحض قبل أن تبدأ محادثة المبيعات. المراجع المستخدمة: (تم عمل الأبحاث للمقالة باستخدام perplexity) arxiv.org/abs/2508.18106 — دراسة ASE 2025 حول نماذج اللغة الكبيرة والترميز الآمن kodus.io/en/claude-code-secu… — تحليل مستقل لأداء كلود في مراجعات الأمن arxiv.org/html/2508.18106v3 — النسخة الموسعة من دراسة ASE blog.qualys.com/product-tech… — تقرير Qualys حول تأثير نماذج اللغة على الأمن السيبراني arxiv.org/html/2512.09882v1 — دراسة حول معدلات الإيجابيات الكاذبة في وكلاء الذكاء الاصطناعي reco.ai/learn/claude-securit… — تحليل reco.ai حول عدم قابلية النموذج للتكرار vikingcloud.com/blog/disadva… — مخاطر حقن الأوامر blog.qualys.com/vulnerabilit… — OWASP Top 10 لنماذج اللغة الكبيرة sanj.dev/post/ai-code-securi… — مقارنة أدوات الأمن ودقة CodeQL europeanbusinessmagazine.com… — تقييم أنثروبيك بـ380 مليار دولار forbes.com/sites/richardniev… — تقرير Forbes حول استراتيجية أنثروبيك المؤسسية و"land and expand" techcrunch.com/2025/11/04/an… — توقعات إيرادات 70 مليار بحلول 2028 techcrunch.com/2025/08/20/an… — تضمين Claude Code في الباقات المؤسسية deepresearchglobal.com/p/ant… — تحليل شامل لأنثروبيك reuters.com/business/retail-… — تقرير Reuters حول أهداف الإيرادات assets.anthropic.com/m/66daa… — الكتيب المؤسسي الرسمي لأنثروبيك cxtoday.com/contact-center/a… — تضاعف فريق Applied AI خمس مرات