GPT-6.1 Sol أصبح الآن محرك الأمان لدى CodeRabbit — ما الذي يمنحك إياه عرض الفحص المجاني بقيمة مليون دولار فعليًا

تغطي CodeRabbit ما يصل إلى 5,000 دولار من مراجعة الأمان بالذكاء الاصطناعي لكل مؤسسة، وتُغلق النافذة عند الساعة 23:59:59 بتوقيت PST في 8 نوفمبر 2026. والنموذج الذي تُشغّل ذلك العمل من خلاله هو GPT-6.1 Sol، الذي أطلقته OpenAI في 29 سبتمبر — وهذه ليست قصة إطلاق، وعمر النموذج هو أقل ما يثير الاهتمام فيه. ما تغيّر بين 23 أكتوبر و26 أكتوبر أضيق نطاقًا وأعظم أثرًا: شركة لمراجعة الشيفرة تتمتع بوصول مؤسسي حقيقي وضعت ذلك النموذج في قلب منتج أمني، ونشرت سير العمل المحيط به، وربطت موعدًا نهائيًا بالسماح للغرباء بتجربته.

وصلت ثلاثة مستندات خلال أربعة أيام. منشور مدونة CodeRabbit نفسه في 24 أكتوبر، وقصة عميل من OpenAI في 26 أكتوبر، وبيان صحفي من Business Wire في اليوم نفسه يعلن التزام الفحص المجاني ودخول CodeRabbit إلى Daybreak Defense Network التابعة لـ OpenAI. وعند قراءتها معًا، فإنها تصف نمط نشر يستحق الفهم حتى لو لم تشترِ أيًا من المنتجين قط. وعند قراءتها منفصلة، فهي مواد تسويقية. والعمل المفيد هو الفصل بين الاثنين.

ما الذي بنته CodeRabbit فعليًا حول GPT-6.1 Sol

دراسة حالة OpenAI محددة بشأن التوظيف، وهو الجانب المهم: يُوصف GPT-6.1 Sol بأنه النموذج الأساسي في وكيل الأمن لدى CodeRabbit، ويعمل جنبًا إلى جنب مع نماذج رائدة أخرى ومع الماسحات الضوئية التي يستخدمها العملاء بالفعل. وهو لا يُقدَّم بديلًا عن التحليل الساكن. ويذهب منشور CodeRabbit نفسه أبعد قليلًا، إذ يقول إن CodeRabbit Secure يستخدم «نماذج GPT 6.1 Sol وGPT Cyber» — أي منظومة متكاملة، وليس استدعاءً واحدًا.

يتكوّن المنتج من ثلاث طبقات، وهي مهام مختلفة حقًا:

• مراجعة PR — يقرأ كل تغيير فور وصوله، ضمن مسار المراجعة المعتاد.

• المسح العميق — يرسم خريطة للمستودع بأكمله بدلًا من فرق واحد، متتبعًا كيفية تفاعل المكوّنات والتبعيات.

• CodeRabbit Secure — يوسّع ذلك ليشمل المستودعات المرتبطة، بحيث يكشف أي خلل في مكتبة مصادقة مشتركة عن نطاق تأثيره عبر كل خدمة تستوردها.

تقع الهندسة المثيرة للاهتمام في نهاية السلسلة. وبالنسبة للنتائج التي يختارها المستخدم، يحاول CodeRabbit التحقق من قابلية الاستغلال عبر التنفيذ مقابل المشكلة في بيئة اختبار معزولة — وليس في بيئة الإنتاج صراحةً — ويعيد واحدة من ثلاث حالات: أُعيد إنتاجها، أو لم يُعَد إنتاجها، أو غير حاسمة. فقط النتائج المدعومة تتحول إلى إصلاح مقترح، يُسلَّم كطلب سحب يراجعه إنسان ويختبره ويدمجه. لا تنتقل بوابة الدمج أبدًا إلى النموذج.

هذا الترتيب — إمكانية الوصول أولًا، والتنفيذ ثانيًا، والترقيع ثالثًا — هو سبب استحقاق هذا النشر للقراءة عنه. معظم منتجات «اكتشاف الأخطاء بالذكاء الاصطناعي» تتوقف عند الخطوة الأولى وتمنحك قائمة مرتبة حسب ثقة نموذج لغوي. وإضافة بيئة اختبار معزولة تحوّل ادعاءً إلى اختبار. وإضافة PR إصلاح تحوّل اختبارًا إلى فرق يستطيع CI الخاص بك الحكم عليه فعليًا.

عرض الفحص المجاني، ضمن الشروط التي تحدد ما إذا كان بإمكانك استخدامه

صفحة الهبوط الخاصة بـ CodeRabbit صريحة بشكل غير معتاد بشأن آليات العمل، مما يجعل تقييم العرض سهلًا بدلًا من التحديق فيه.

• الفترة — من 23 أكتوبر إلى 8 نوفمبر 2026، وتنتهي عند 23:59:59 PST.

• الحد الأعلى — حتى 5,000 دولار لكل مؤسسة في استخدام Deep Scan والإصلاحات.

• إجمالي الرصيد — مليون دولار، يُسحب من حدّ مشترك قدره 1,000,000 رصيد، والأولوية لمن يأتي أولاً.

• الأهلية — المؤسسات التي لديها عضوان أو أكثر. المشاريع مفتوحة المصدر، والعملاء الحاليون، والعملاء السابقون، والفرق التي لم تتعامل مع CodeRabbit قط — جميعها مؤهلة.

• ما الذي يتحوّل — فقط {{1}}النتائج المدعومة{{/1}} تصبح إصلاحات، لذا يشتري الرصيد التحقيق والمعالجة، وليس وعدًا بأن كل ما يتم العثور عليه سيتم ترقيعه.

• رصيد غير مستخدَم — لا تُرحَّل الأرصدة المُطالَب بها وغير المستهلَكة بعد انقضاء الموعد النهائي أو بعد استنفاد المجموعة المشتركة.

سطر الأهلية ذلك هو ما ينبغي قراءته مرتين. عبارة «أي منظمة» في البيان الصحفي تعني أي منظمة لديها عضوان على الأقل، وهو ما يستبعد المشرفين الفرديين — وهي فئة تدير حصة كبيرة من الشيفرة مفتوحة المصدر التي تعتمد عليها معظم الشركات. إذا كنت شخصًا واحدًا لديه مستودع، فإن العرض لا ينطبق عليك، ولن يغيّر ذلك أي قدر من التسجيل.

الشيء الثاني الذي يجب التخطيط له هو العداد. فـ Deep Scan يُحتسب على أساس الاستخدام، والسياق عبر المستودعات جزء مما يفرض عليه رسومًا؛ والمستودعات المرتبطة للقراءة فقط، وهو ما يحدّ من عمق التحقيق الممكن لكنه لا يحدّ من تكلفة المحاولة. سقف قدره 5,000 دولار سخي لمستودع أحادي كبير الحجم نسبيًا وليس استثنائيًا لمستودع ضخم، لذا فإن الخطوة العملية هي توجيه الفحص الأول إلى المستودع الذي تخشاه أكثر من غيره بدلًا من المستودع الأسهل في التسليم.

لماذا يُعد نموذج المليون رمز الشكل المناسب للعمل على المستودعات

تشرح مواصفات GPT-6.1 Sol مدى الملاءمة أفضل من أي نص تسويقي. فهو يحمل نافذة سياق تبلغ 1,050,000 رمز مع مخرجات تصل إلى 128,000 رمز، ويقبل إدخال النصوص والصور، ويدعم المعالجة الدفعية لكنه لا يدعم الضبط الدقيق. تاريخ انتهاء المعرفة هو 30 أبريل 2026. وتأتي معه خمسة إعدادات للاستدلال — منخفض، ومتوسط، ومرتفع، وxhigh، وmax — مع متوسط كإعداد افتراضي، ولا يوجد خيار "none" أو "minimal" لإيقاف الاستدلال تمامًا.

التسعير هو النقطة التي يتحوّل فيها الشكل إلى استراتيجية. السعر القياسي المدرج هو 2 دولار لكل مليون رمز إدخال و10 دولارات لكل مليون رمز إخراج، مع الإدخال المخزّن مؤقتًا بسعر 0.10 دولار وكتابات الذاكرة المؤقتة بسعر 2.50 دولار. تُحتسب الطلبات التي تتجاوز 272,000 رمز بضعف السعر على الإدخال والذاكرة المؤقتة، وبمرة ونصف على الإخراج، لكامل الطلب. يعمل Batch وFlex بنسبة 50% من Standard؛ ويضاعف الوضع السريع ذلك؛ وتضيف نقاط النهاية الإقليمية نحو 10%.

إذا قرأت هاتين الحقيقتين معًا، فإن تصميم CodeRabbit لم يعد يبدو اعتباطيًا. فملف تكلفة وكيل الأمان ليس ملف تكلفة محادثة. فهو يقرأ كميات هائلة من الشيفرة المصدرية التي لا يتغير معظمها، وينتج مخرجات قليلة نسبيًا، ويستفيد من التخزين المؤقت للمطالبات أكثر من أي حمل عمل آخر تقريبًا — فالمستودع الذي تفحصه أسبوعيًا هو مستودع لا يكاد سياقه يتغير بين التشغيلات. وبسعر $0.10 لكل مليون رمز إدخال مخزّن مؤقتًا، تصبح إعادة قراءة قاعدة شيفرة كبيرة رخيصة على نحو لا تكون عليه عند إعادة قراءتها بسعر $2. وعتبة الرسوم الإضافية البالغة 272K هي الرقم الجدير بالمراقبة: فهي نحو ربع النافذة، ما يعني أن عمليات الفحص الكبيرة جدًا تدفع مضاعف التكلفة على كل رمز في الطلب، وليس على الفائض فقط.

إذا أردت حساب تكلفة ذلك مقابل مستودعك الخاص، فإن GPT-6.1 Sol متاح على OrcaRouter بسعر القائمة — تمرير مباشر بهامش ربح 0%، لذا فإن سعري 2$/10$ وسعر الإدخال المخزّن مؤقتًا البالغ 0.10$ هي الأرقام نفسها التي تنشرها OpenAI، وتتغيّر في اليوم نفسه الذي تغيّرها فيه OpenAI. وهذا أهم في عبء العمل هذا مما هو في المحادثة: فالإدخال المخزّن مؤقتًا يؤدي معظم العمل، وأي نسبة مئوية تُضاف فوقه تتراكم عبر كل فحص في سلسلة.

أرقام القدرات المنشورة من OpenAI لهذا النموذج، والتي أبلغ عنها المورّد ولم تُعَد إنتاجها بشكل مستقل:

• DeepSWE v1.1 — ‏75.22% عند مستوى جهد مرتفع، بتكلفة نحو 0.65 دولار لكل مهمة.

• Terminal-Bench Science 0.1 — 57.02% بأقصى جهد، بنحو 5.47 دولار لكل مهمة.

• OSWorld 2.0 — 71.42% بأقصى جهد، بتكلفة نحو 1.27 دولار لكل مهمة.

• AutomationBench — 36.10% بأقصى جهد؛ GDP.pdf — 32.0% بمستوى مرتفع.

معدل الأخطاء الواقعية — 7.7% عند الجهد المنخفض، مقابل 11.4% لدى GPT-6 Sol، وهو انخفاض تصفه OpenAI بأنه نحو 32% نسبيًا.

ثمة تفصيل في ذلك الجدول يستحق انتباهًا أكثر مما يحظى به: في DeepSWE، يسجّل الجهد العالي 75.22% ويسجّل أقصى جهد 71.90%. فقد أنتج المزيد من الاستدلال نتيجةً أسوأ. وأي شخص يختار الإعداد الأعلى افتراضيًا على افتراض أنه أفضل على نحوٍ موحّد ينبغي أن ينظر إلى هذين الرقمين قبل ضبط خط أنابيب أمني على أقصى جهد.

الرقم المستقل الذي ينبغي أن يخفف من حدة الطرح الترويجي

قبل تسعة أيام من إعلان CodeRabbit، نشرت Endor Labs تقييمًا يتصل اتصالًا مباشرًا بالسؤال الذي تتركه دراسة الحالة مفتوحًا. شغّلت Agent Security League التابعة لها 200 مهمة عبر Codex CLI 0.144.6 ضمن عائلة GPT-6، وقيّمت أمرين: ما إذا كان الوكيل قد أنجز المهمة على الإطلاق، وما إذا كان قد أنجزها بأمان.

سجّل GPT-6.1 Sol نسبة 77.7% في FuncPass و34.1% في SecPass عبر 179 مهمة مُقيَّمة. وسجّل GPT-6 Astra نسبة 82.1% و34.6%. وسجّل GPT-6 Sol نسبة 72.1% و25.1%. وكانت نسبة SecPass إلى FuncPass لدى Sol، وهي 43.9%، الأفضل بين نماذج Codex الأربعة التي جرى اختبارها — أي أنه فقد أقل قدر من الصحة عند تطبيق قيود الأمان، رغم أن معدل اجتيازه المطلق للأمان يقل عن معدل Astra بمهمة واحدة فقط.

أن تفشل ثلثا المهام في الأمان هو العنوان الرئيسي، وهو نتيجة حقيقية. لكنه ليس قياسًا لاكتشاف الثغرات. يسأل SecPass عمّا إذا كان وكيل البرمجة قد كتب شيفرة عاملة كانت آمنة أيضًا — وهو سؤال مختلف عن عمّا إذا كان وكيل أمني يكتشف عيوبًا في شيفرة كتبها شخص آخر. وقراءة 34.1% على أنها «يفوّت GPT-6.1 Sol ثلثي الثغرات» ستكون خطأً فئويًا، ومنشور Endor لا يقدم هذا الادعاء. ما يدعمه هو نقطة أضيق وأصعب: في المهام التي يتنافس فيها الأمان والوظائف، تضحي النماذج الحدودية الحالية بأحدهما مقابل الآخر أكثر مما توحي به الشركات المصنعة. وأفضل فهم لمنتج أمني مبني على هذه النماذج أنه مراجع إضافي بميزانية قراءة غير معتادة، وليس مرجعًا معصومًا.

أرقام Endor التشغيلية هي الجزء المفيد لأي شخص يحسب تكلفة هذا. الوسيط 7.9 دقيقة لكل مهمة، والمتوسط 13.5، وتسع حالات مهلة، وتشغيل كامل بأربعة عمال ينتهي في نحو 13 ساعة. كان استخدام التوكنات نحو 235 مليون توكن إدخال بمعدل تخزين مؤقت يقارب 94%، مع 1.5 مليون توكن إخراج — بتكلفة تقديرية تتراوح بين 70 و85 دولارًا بمعدلات القائمة، مقابل 104 دولارات لـ GPT-6 Sol و468 دولارًا لـ GPT-6 Astra. كما رصدت Endor 13 حالة اشتباه في الغش عبر خمس إشارات، وبرّأت جميعها، وأبلغت عن صفر حالات مؤكدة.

ما لا تخبرك به دراسة الحالة

لا تتضمن قصة عميل OpenAI أي معدل إيجابيات كاذبة، ولا أي فرق في الكشف مقارنةً بإعداد CodeRabbit ما قبل Sol، ولا أي أرقام كمون، ولا أي تكلفة لكل اكتشاف. كما لا توفّرها منشورات CodeRabbit هي الأخرى. ولا يلزم أي منهما بذلك — فقصة العميل ليست تقييمًا — لكن هذه الفجوة تحدد مقدار الثقل الذي يمكن أن يحمله الإعلان.

الإحصائية الأكثر اقتباسًا من البيان تحتاج إلى أكبر قدر من العناية. يذكر CodeRabbit أكثر من 8,000 ثغرة أمنية عالية أو حرجة الخطورة تم اكتشافها عبر 600 مؤسسة خلال 30 يومًا، إذ يمثل التحكم المعطوب في الوصول وحقن SQL وإخفاقات المصادقة أكثر من 70% منها. هذا رقم إجمالي خاص بـ CodeRabbit Secure، وليس نتيجة GPT-6.1 Sol، ولا يوجد أي شيء منشور ينسب أي جزء منه إلى النموذج بدلًا من أدوات الفحص والبشر المحيطين به.

هناك أيضًا رقم متداول على نطاق واسع يُساء فهمه. يستشهد تحليل ثانوي لهذا النشر بمعدل رفض اقتراحات يبلغ 56.3% من استبيان مطورين لعام 2026 — دون تسمية الجهة المقدمة للاستبيان أو حجم العينة أو المنهجية. الرفض ليس مرادفًا للإيجابية الكاذبة: يمكن للمطور أن يستبعد نتيجة صحيحة لأنها خارج النطاق، أو سيئة الصياغة، أو ببساطة غير ملائمة. تعامل مع 56.3% كدليل على أن ضوضاء المراجعة مكلفة، لا كمعدل إيجابية كاذبة مقاس، لأن لا أحد نشر واحدًا.

التحفّظ الثالث خاص بالتصميم. لأن بيئة الاختبار المعزولة تُرجع «غير حاسم» كنتيجة مستقلة إلى جانب «أُعيد إنتاجها» و«لم يُعَد إنتاجها»، فإن الفريق الذي يفرز بسرعة سيتعلّم تخطّي تلك الفئة. وبمجرد أن يصبح التخطّي عادةً، تُكتم التنبيهات دفعةً واحدة — وهو نمط الفشل نفسه الذي جعل أدوات SAST القديمة سهلة التجاهل. خصّص انتباهًا كافيًا للنتائج غير الحاسمة، وإلا فستتحوّل الأداة إلى مجرّد مربّع اختيار للامتثال.

لا شيء مما سبق يبرر عدم إجراء الفحص المجاني، بل يبرر إجراؤه كتقييم مع مقارنة قبل وبعد، لا كبديل. وإطار CodeRabbit نفسه يضع Secure كمكمّل للأدوات الموجودة، وهذا هو الافتراضي الصحيح: أبقِ Snyk أو Semgrep أو CodeQL في خط الأنابيب، وقِس ما تضيفه الطبقة الجديدة فوق ذلك بدلاً مما تقوله عن نفسها.

البوابة التي لا يضعها أحد في البيان الصحفي

تُصنِّف OpenAI نموذج GPT-6.1 Sol ضمن فئة "الأمن السيبراني الحرج والمخاطر البيولوجية/الكيميائية العالية"، وتوجِّه الوصول إليه عبر مجموعة أدوات الحماية نفسها المستخدمة مع GPT-6 Astra، بما في ذلك Trusted Access وDaybreak. عملياً، يعني ذلك أن الاستخدامات ذات القدرات السيبرانية تخضع لبوابات تحكم، وأن هذه البوابات تُنتج بدورها إيجابيات كاذبة.

هناك حالة موثّقة. في 3 أكتوبر، أفاد أحد المطوّرين في منتدى مجتمع OpenAI بأن مراجعة طلب سحب (pull request) دفاعية للقراءة فقط في مجال أمن التطبيقات (AppSec)، أُجريت على مستودعه الخاص، قد حُجبت كليًا بوصفها محتوى مقيدًا في الأمن السيبراني؛ وقد صنّفها رد الدعم ضمن Daybreak Blue وTrusted Access for Cyber. هذا تقرير مستخدم واحد مقابل حجم غير معروف من الطلبات الناجحة، وليس قياسًا — لكنه نمط الفشل الذي ينبغي التخطيط له. إذا كانت المراجعة الأمنية اعتمادًا إنتاجيًا، فافترض أن نسبة من العمل الدفاعي المشروع ستُرفض، واحتفظ بمسار لا يمر عبر نقطة نهاية مقيّدة.

تُعدّ Daybreak Defense Network النصف الآخر من تلك البنية. فهي برنامج شراكة تابع لـ OpenAI يهدف إلى إدخال نماذج سيبرانية متقدمة في منتجات وخدمات موردي الأمن المعتمدين، بدلًا من إيصالها مباشرة إلى أيدي العملاء، مع التحقق من الهوية والاختبار محدود النطاق والتسجيل والإشراف البشري. وإن انضمام CodeRabbit إليه، وخططه لإدخال نماذج GPT السيبرانية المخصصة من OpenAI إلى CodeRabbit Secure، إشارة أهم من استبدال النموذج نفسه: فهذا يشير إلى أن حزمة مراجعة الأمان تُقسَّم، بحيث يتولى نموذج استدلال عام التعامل مع الاتساع، وتتولى نماذج سيبرانية مخصصة التعامل مع الجانب الأكثر حدة.

النمط الجدير بالنسخ حتى لو تجاهلت كلا المنتجين

إذا جرّدنا العلامة التجارية، فإن ما نشرته CodeRabbit هو حلقة من ثلاث مراحل يمكن لأي فريق تجميعها: منح النموذج سياقًا على مستوى المستودع بما في ذلك التبعيات المرتبطة، وإجبار النتائج المشتبه بها على المرور عبر تحقق قائم على التنفيذ في بيئة معزولة، وإصدار فرق قابل للمراجعة ليدمجه إنسان. النموذج هو الجزء الأقل احتكارية. فبيئة العزل وبوابة الدمج هما ما يجعلان المخرجات جديرة بالثقة، وكلاهما من الأشياء التي تتحكم بها.

وهذه أيضًا أرخص طريقة لتقرير ما إذا كان العرض المجاني يستحق وقتك. خذ مستودعًا يحتوي على ثغرة معروفة أصلحتها منذ أشهر، وشغّل الفحص، وانظر هل يكشف تلك المشكلة، وكم يستغرق، وكم من التقرير ستتصرف بناءً عليه فعلاً. إذا وجد الحالة المزروعة والتزم الصمت فيما عدا ذلك، فإن إنفاق $5,000 يستحق العناء قبل 8 نوفمبر. أما إذا أعاد جدارًا من النتائج غير الحاسمة، فقد تعلمت ذلك مقابل ثمن بعد ظهر واحد.

بالنسبة للفرق التي تبني الحلقة بنفسها بدلًا من شرائها، فإن طبقة التوجيه هي حيث يكمن الخطر التشغيلي. إن تشغيل نموذج غير مُثبت على مسار مراجعة إنتاجي هو مجازفة، والتجاوز التلقائي عند الفشلهو طريقتك لخوضها دون فقدان خط المعالجة عندما يتراجع أداء مزوّد ما — إذ يذهب الطلب إلى نموذج بديل بدلًا من أن تفشل المهمة. وتخدم نقطة النهاية نفسها كلاً من GPT-6.1 Sol والنماذج التي قد تلجأ إليها كبديل، لذا فإن مقارنتها لا تكلّفك سوى تغيير معامل بدلًا من عقد ثانٍ وSDK ثانٍ.

ماذا نفعل في الأيام الاثني عشر القادمة؟

هذا العرض ليس إطلاق نموذج، وينبغي ألا يُقيَّم على هذا الأساس. فـ GPT-6.1 Sol متاح للاستدعاء منذ 29 سبتمبر، ونتائجه في الاختبارات المعيارية علنية منذ ذلك الحين؛ ولم يتغير شيء في قدراته هذا الأسبوع. ما تغيّر هو أن مورّدًا أمنيًا ذا انتشار مؤسسي التزم به علنًا، ونشر سير عمل التحقق المرتبط به، ووضع موعدًا نهائيًا صارمًا للوصول المجاني.

إذا كنت تدير فريقًا يضم عضوين أو أكثر ولديك قاعدة شيفرة تقلق بشأنها، فالحساب بسيط: سقف قدره 5,000 دولار، ورصيد يُمنح على أساس أسبقية الحضور، وأحد عشر يومًا متبقية بعد اليوم. احجز الفحص على أسوأ مستودع لديك الآن، وازرع خطأً معروفًا إن أردت عنصرًا ضابطًا، ودوّن ما يخطئ فيه التقرير بعناية ما تدوّن به ما يصيب. أما إذا كنت تعمل منفردًا، أو إذا كانت شيفرتك مغطاة أصلًا بفاحصات تثق بها، فالإجابة الصادقة أن هذا الإعلان لا يغيّر الكثير بالنسبة لك — فقد كان النموذج متاحًا قبل البيان الصحفي، وسيبقى متاحًا بعد نفاد الأرصدة.