يقيس تقرير اصطياد التهديدات لعام 2026 الصادر عن CrowdStrike نافذة الاستغلال بالساعات — ويقول إن الذكاء الاصطناعي المتقدم لم يقلّصها في المقام الأول

نشرت CrowdStrike تقريرها «تقرير صيد التهديدات 2026» في 3 أغسطس 2026، وكان الرقم الذي انتشر هو 88%: فخلال الفترة من يناير إلى يونيو 2026، تقول الشركة إن 88% من عمليات الاستغلال التي رصدتها ضد ثغرات يتوفر لها إثبات مفهوم علني بدأت خلال 48 ساعة من إصدار ذلك الإثبات. ويُنسب التقرير إلى CrowdStrike Intelligence وCrowdStrike OverWatch، ويغطي الاثني عشر شهرًا من يوليو 2025 إلى يونيو 2026، ويتتبع ما تصفه الشركة بأنه أكثر من 290 خصمًا مسمّى. وتحمل نتيجتان الصلة بالذكاء الاصطناعي — حملة LLMJacking ولّدت ما يقرب من 200,000 طلب API في دقيقتين، ومؤشرات كشف يرفعها وكلاء ذكاء اصطناعي تصل بمعدل يبلغ 2.5 مرة معدل نظيراتها التي يحركها البشر. ولا يرتبط بمدخل الأرشيف أي ضحية مسمّاة أو رقم خسارة أو تهمة؛ بل يُصنّف كتقرير، بدرجة خطورة «معلومات»، مع تأكيد مشاركة الذكاء الاصطناعي. وتقع درجة خطورة السجل وتقييم ثقته وقائمة مصادره في أرشيف حوادث الذكاء الاصطناعي، إلى جانب الإدخالات المسجّلة حوله.

تبدأ الساعة من إثبات المفهوم، وليس من التصحيح.

الجملة الواردة في منشور CrowdStrike على المدونة دقيقة، ويستحق الاقتباس منها بدلًا من إعادة صياغتها: من يناير حتى يونيو 2026، "جرى 88% من" عمليات استغلال الثغرات ذات إثبات المفهوم العام (PoC) التي رصدتها CrowdStrike "خلال 48 ساعة من إصدار PoC." والفترة الزمنية تمتد من لحظة أصبحت شيفرة الاستغلال العاملة علنية إلى لحظة استخدامها، وليس من لحظة إصدار التصحيح. وكتب Duncan Riley من SiliconANGLE، في يوم النشر، عنها بقوله: "بين يناير ويونيو، كانت تلك الفجوة أقل من 48 ساعة في 88% من الحالات." ووصف Chi-gyu Hwang من DigitalToday الطريقة نفسها: فقد "قاس CrowdStrike الفترة من إصدار استغلال إثبات المفهوم إلى استخدامه في هجمات حقيقية بالساعات."

هناك تحفّظان مضمنان في تلك الجملة، وغالبًا ما يسقطان منها أثناء الانتقال إلى عنوان رئيسي. الأول هو المقام: فالنسبة 88% تصف فقط الثغرات التي كان لديها بالفعل إثبات مفهوم علني، لذا لا تقول شيئًا عن المجموعة الأكبر بكثير من العيوب التي لا يحصل أي منها على إثبات مفهوم. والثاني هو الساعة نفسها. يضغط الملخص المكوّن من سطر واحد الخاص بالأرشيف النتيجة إلى «ضمن 48 ساعة من الإفصاح»، وإصدار إثبات المفهوم والإفصاح عن التصحيح حدثان مختلفان في أيام مختلفة. وحين يتباين الحدثان، يقيس التقرير الأكثر تسامحًا منهما: يمكن الإفصاح عن عيب وتصحيعه قبل أشهر من نشر أي شخص لكود الاستغلال، وتبدأ الـ48 ساعة الخاصة بـ CrowdStrike عند الحدث الثاني.

المثال العملي الأوضح في التقرير هو مجموعة ذات صلة ببيلاروسيا تسميها CrowdStrike ‏UMBRAL BISON، وتقول إنها استغلت CVE-2026-31431، وهو ثغرة تصعيد امتيازات محلية في Linux، في أبريل 2026. وبحسب التقرير، جرى الكشف عن الثغرة علنًا في 29 أبريل 2026؛ وفي اليوم التالي رصد OverWatch انتشارًا واسع النطاق لاستغلال الثغرة؛ وكان ما يقرب من 94% من الأحداث في أول 24 ساعة عبارة عن سلوك اختباري مبني على كود PoC العام بدلًا من تطوير مخصص. وتقول CrowdStrike إنها كشفت نشاط الفاعل "في غضون ما يزيد قليلًا على 20 ساعة بعد الكشف العلني". هذه حالة واحدة، من بيانات القياس عن بُعد الخاصة بالمورّد نفسه، وهي نوع التحديد الذي لا يمكن للنسبة المئوية الإجمالية أن توفره.

إلى جانب ذلك، يسجّل التقرير أن استغلال ثغرات يوم الصفر ارتفع بنسبة 42% على أساس سنوي، وهو رقم تنقله SiliconANGLE عن الوثيقة نفسها. ويصف الرقمان مجموعتين مختلفتين — ثغرات جرى استغلالها دون وجود PoC علني، وثغرات جرى استغلالها بعد توفّر واحد — ولا يجمع التقرير بينهما.

React2Shell: 800 عميل محتمل، 80 ضحية، أربعة أيام

أكثر دراسات الحالة ملموسيةً في التقرير هي React2Shell، المتتبَّعة تحت الرمز CVE-2025-55182 — ثغرة تنفيذ تعليمات برمجية عن بُعد دون مصادقة في React Server Components وNext.js. ويسجّل SiliconANGLE أن الإفصاح والإصلاحات جاءا في 3 ديسمبر 2025 وأن شفرة استغلال عاملة ظهرت في اليوم التالي. وتقول CrowdStrike إن المجموعتين المرتبطتين بالصين والتي تسميهما VAULT PANDA وGENESIS PANDA شنّتا هجمات متعمّدة خلال 24 ساعة من الإفصاح العلني عن الثغرة، وإن OverWatch استجابت لأكثر من 800 خيط اصطياد عبر أكثر من 80 مؤسسة ضحية في الأيام الأربعة الأولى. ويُبلِغ DigitalToday عن المجموعتين نفسيهما وعن رقم الـ24 ساعة نفسه، محسوبًا في روايته من ظهور شفرة الاستغلال.

قراءة تلك الحالة إلى جانب نسبة 88% تتطلب قدرًا من العناية، لأن الاثنتين تقعان في فترتين مختلفتين من فترة التقرير. فقد أُعلن عن React2Shell في 3 ديسمبر 2025، ضمن النصف الأول من نافذة التقرير الممتدة من يوليو 2025 إلى يونيو 2026؛ بينما يغطي الإجمالي البالغ 88% الفترة من يناير إلى يونيو 2026 فقط. وهما ملاحظتان من وثيقة واحدة، وليسا قياسين لاتجاه واحد، والقارئ الذي يجمعهما في منحنى متسارع واحد إنما يقرأ شيئًا لم يذكره التقرير.

ما تؤكده قضية React2Shell هو شكل المشكلة التي يواجهها المدافع. كانت الفجوة بين كود الاستغلال العلني والهجمات تُقاس بالساعات، ولم تكن النتيجة عددًا من المضيفين المخترقين، بل عددًا من خيوط التحري — 800 خيط، موزعة على نحو 80 منظمة، خلال أربعة أيام. هذا رقم مرتبط بحجم العمل، وحجم العمل هو ما يستطيع مزوّد خدمات اصطياد التهديدات إحصاءه فعليًا.

نتائج الذكاء الاصطناعي، وتلك التي لا يحمل رقمًا مرتبطًا بها

تُعد حملة LLMJacking أدق تفصيل مرتبط بالذكاء الاصطناعي في التقرير، ويتضمن تقرير SiliconANGLE تفاصيل عنها أكثر مما يتضمنه منشور المدونة. ففي حملة جرت في مايو ضد خدمة نموذج أساسي تابعة لمزوّد سحابي، صعّد أحد الفاعلين هويةً مخترقة إلى صلاحيات مسؤول، وقدّم نموذج حالة الاستخدام المطلوب لفتح الوصول إلى النموذج، ثم أرسل ما يقرب من 200,000 طلب API "في موجة أولية استمرت دقيقتين قبل أن يبدأ التقييد." ويقول ملخص CrowdStrike نفسه إن الحملة ولّدت ما يقرب من 200,000 طلب API في دقيقتين، "مما أدى إلى تأثير مالي وتشغيلي واسع النطاق."

هنا ينتهي السجل. ولا يقدّم التقرير أي رقم بالدولار عن الأثر، ولا اسمًا لمزوّد الخدمة السحابية، ولا اسمًا للفاعل. وعبارة "الأثر المالي والتشغيلي واسع النطاق" هي توصيف المورّد، وليست خسارة مقاسة، ولا شيء في التقارير المكتوبة الثلاثة المستقلة التي روجعت لإعداد هذا المقال يضيف رقمًا إليها. وبناءً على ذلك، لا يسجّل الأرشيف أي ضرر حقيقي لهذا المدخل — لا لأن شيئًا لم يحدث، بل لأن التقرير يحدّد الآلية كمّيًا ويترك التكلفة كوصف نثري.

الرقم الثاني المتعلق بالذكاء الاصطناعي هو نسبة وليس حادثة. تقول CrowdStrike إن خيوط الاكتشاف التي يثيرها وكيل الذكاء الاصطناعي "تظهر الآن خيوط تهديد أكثر بـ2.5x من النشاط الذي يُدار يدويًا"، وهي نتيجة تنسبها إلى OverWatch؛ وتعرضها eSecurity Planet على أنها خيوط اكتشاف مولّدة بالذكاء الاصطناعي تظهر "بمعدل 2.5 مرة أكثر تكرارًا من الخيوط المولّدة بشريًا". وإذا قُرئت قراءة مباشرة، فهذا تصريح عن حجم العمل الوارد إلى مركز عمليات أمنية، لا عن كفاءة الوكلاء الذين ينتجونه، ولا يقدّم التقرير معدّل دقة أو معدّل إيجابيات كاذبة يرافقه.

الثالث هو جزء من تصنيف: تقول CrowdStrike إن تقنيات الوصول إلى نماذج الذكاء الاصطناعي شكّلت 16% من تقنيات MITRE ATLAS التي رصدتها خلال العام، إذ وظّفت مجموعة مرتبطة بكوريا الشمالية تسميها FAMOUS CHOLLIMA البيئات المتمحورة حول الذكاء الاصطناعي كسلاح ضد شركات العملات المشفرة والبلوكشين — وهو مثال على تقنية ATLAS الخاصة باختراق سلسلة توريد الذكاء الاصطناعي، AML.T0010. وتُعد النتائج المتعلقة بسلسلة التوريد أكثر ما جاء في التقرير تحديدًا: فقد استخدمت المجموعة التي تسميها STARDUST CHOLLIMA بيانات اعتماد مسروقة لمشرفين في مارس 2026 لاختراق حزمة Axios npm، وفي يونيو 2026 حقنت حزمة خبيثة في 131 حزمة على الأقل من حزم إطار عمل Mastra AI؛ كما اخترقت المجموعة التي تسميها ALTERED SPIDER أكثر من 300 تبعية برمجية في يوم واحد؛ و87% من تهديدات سجلات البرمجيات التي حددتها CrowdStrike في النصف الأول من 2026 كانت تتضمن حزم npm.

ما يقوله التقرير على خلاف عنوانه

عنوان التقرير هو "نافذة الاستغلال تُغلق مع تسارع استخدام الذكاء الاصطناعي"، وهو ما يُقرأ كادعاء سببي. لكن النص الأساسي لا يقدّم ادعاءً كهذا. تكتب CrowdStrike في منشور المدونة إن "هذا النمط يسبق ظهور نماذج الذكاء الاصطناعي المتقدمة"، وإن نشر هذه الأنظمة "على الأرجح" سيضغط الجداول الزمنية للاستغلال أكثر عبر تسريع اكتشاف الثغرات وتطوير أدوات الاستغلال. وفي صياغة التقرير نفسه، فإن الذكاء الاصطناعي عامل تسريع يصل فوق اتجاه كان يُقاس أصلاً بالساعات — وهدف جديد، لأن أنظمة الذكاء الاصطناعي تحتفظ بأسرار ووصول إلى النماذج وقوة حاسوبية يريدها الخصوم.

نقلت SiliconANGLE عن آدم مايرز، رئيس عمليات مواجهة الخصوم في CrowdStrike، قوله: "أصبح الذكاء الاصطناعي الآن مدمجًا في عمليات الخصوم الحديثة"، وإنه يجب على المؤسسات "أن تؤمّن الذكاء الاصطناعي بلا هوادة بقدر ما تعتمده". ولا هذا الاقتباس ولا متن التقرير يزعم أن الذكاء الاصطناعي تسبب في نافذة الـ48 ساعة؛ بل يؤرخ التقرير هذا النمط صراحةً على أنه أسبق من النماذج الرائدة.

كلمة "من المرجح" تؤدي دورًا حقيقيًا في تلك الجملة، وهي الحد الصادق للوثيقة. فكل ما يقوله التقرير عن أن الذكاء الاصطناعي يضيّق النافذة أكثر هو توقع، بل وتوقع من مورّد. أما ما يستطيع التقرير دعمه بالبيانات فأضيق نطاقًا، وهو أنفع ببعض الوجوه: فالجهات الفاعلة سريعة تجاه الثغرات التي تتوفر لها شيفرة استغلال منشورة، وبنية الذكاء الاصطناعي التحتية أصبحت الآن سطح هجوم ومووردًا يمكن سرقته في آن واحد، وعبء عمل الكشف يتزايد بوتيرة أسرع من قدرة البشر على استيعابه.

ما الذي حملته التغطية المستقلة، وما لم تقسه أيٌّ منها

كتبت ثلاث وسائل إعلام خارج CrowdStrike تقاريرَها عن التقرير في يوم النشر أو قريبًا منه، والاختلافات بينها مُعلِّمة بشأن النتائج التي ظلّت صامدة عند احتكاكها بغرفة أخبار ثانية.

نقلت SiliconANGLE رقم 88% بمنهجيتها، والتسلسل الزمني لـ React2Shell بما يشمل عددي 800 من العملاء المحتملين و80 ضحية، وارتفاع الثغرات يوم الصفر بنسبة 42%، وحصة ATLAS البالغة 16%، وحملة LLMJacking بأكمل صورها، ونسبة أسبقية الكشف البالغة 2.5x، واقتباس Meyers. ولم تنقل قضية UMBRAL BISON.

أوردت eSecurity Planet، في مقال كين أندرهيل بتاريخ 4 أغسطس 2026، رقم 88%، ونسبة 2.5×، وادعاءً بأن التهديدات السيبرانية الممكّنة بالذكاء الاصطناعي ارتفعت بنسبة 89% في 2025، وحصة npm عند 87%، وتبعيات ALTERED SPIDER التي تتجاوز 300، وارتفاعًا بنسبة 171% في الهجمات السحابية ذات الدافع المالي، وتضاعف التصيّد الصوتي (vishing) وارتفاع التصيّد عبر رمز الجهاز 15 ضعفًا، وارتفاعًا إجماليًا بنسبة 4% على أساس سنوي في عمليات الاختراق مقابل 27% في العام السابق. ولم تذكر VAULT PANDA أو GENESIS PANDA أو React2Shell أو OverWatch أو LLMJacking.

نشرت DigitalToday رقم 88% مع الساعة المستندة إلى PoC، وفترة التقرير من يوليو 2025 إلى يونيو 2026، وعدد الخصوم الذي يتجاوز 290، وتوقيت React2Shell مع كلتا المجموعتين المرتبطتين بالصين.

النقطة الأهم هي ما تشترك فيه الجهات الثلاث جميعًا: كل رقم ورد أعلاه ينشأ داخل بيانات القياس عن بُعد الخاصة بـ CrowdStrike. ولم يقس أيٌّ من المنافذ الثلاثة نافذة الـ48 ساعة، ولا أحصى خيوط التحري، ولا راجع نسبة تقدّم الاكتشاف بشكل مستقل؛ بل نقلوا ما قاله المورّد بدقة، وعزوه إليه. لذلك فإن التصديق المستقل على هذا السجل قائم على مستوى التغطية الإخبارية — أي اتفاق ثلاث غرف أخبار على ما تقوله الوثيقة — وليس على مستوى القياس، وهو بالضبط ما تصفه درجة الثقة A الخاصة بالأرشيف وما لا تصفه.

ما لا يتضمنه السجل

الفجوات محددة. لا تُسمّى أي منظمة ضحية في أي موضع من نتائج التقرير كما لخّصتها CrowdStrike أو كما لخّصته الوسائل الإعلامية الثلاث: المنظمات التي يزيد عددها على 80 والتي تقف وراء خيوط React2Shell هي مجرد عدد، لا قائمة. ولحملة LLMJacking آلية وحجم طلبات، لكن لا رقم للخسائر. ونسبة 88% لا مقام منشور لها — كم عدد الثغرات، وكم عدد أحداث الاستغلال — في منشور المدونة أو في أي من التغطيات الثانوية التي جرى مراجعتها لهذا المقال. ولا توجد أي حصة من التسارع يمكن عزوها إلى الذكاء الاصطناعي في أي موضع من الوثيقة، لأن موقف CrowdStrike هو أن التسارع يسبق الذكاء الاصطناعي المتطور.

لا شيء من ذلك يجعل السجل خاطئًا. بل يجعله تقريرًا لاستخبارات التهديدات صادرًا عن مورّد، له منهجية مسماة ولا كيانات مسماة، وهذا هو شكل هذا النوع. وسبب قراءته بتمعّن بدلًا من المرور سريعًا على نسبة 88% هو أن التقرير أكثر حذرًا من عنوانه الرئيسي نفسه: فهو يفصل القياس عن التوقّع، ويؤرّخ اتجاه السرعة إلى وقت أبكر من التقنية التي يريد الجميع إلقاء اللوم عليها، ويترك تكلفة الحملات الخاصة بالذكاء الاصطناعي كعبارة لا كرقم.

ما من شأنه أن يغيّر الصورة هو قياس خارجي للفترة الزمنية نفسها — مركز CERT وطني ينشر توزيعه الخاص للزمن بين إثبات المفهوم والاستغلال، أو جهة تنظيمية تفرض بيانات توقيت الحوادث. لا يظهر شيء من هذا القبيل في المصادر التي روجعت هنا. وإلى أن يحدث ذلك، فإن نافذة الـ48 ساعة هي رؤية شركة واحدة لبيانات القياس الذاتية الخاصة بها، نُشرت في 3 أغسطس 2026، وأكّدتها ثلاث غرف تحرير إخبارية قرأتها بالطريقة نفسها.