Google تطلق إطار عمل Mantis المفتوح المصدر لأتمتة عمليات تدقيق أمان البرمجيات

MOUNTAIN VIEW, Calif. — أطلقت شركة التكنولوجيا العملاقة Google إطار عمل Mantis، وهو إطار عمل مفتوح المصدر مدفوع بوكلاء الذكاء الاصطناعي، مُصمم لتبسيط دورة حياة الثغرات الأمنية للبرمجيات من خلال التحقق من العيوب الأمنية، وتقليل الإنذارات الخاطئة، وأتمتة إصلاحات الأكواد البرمجية. وأُعلن عن الأداة في September 6, 2026، لتُعالج التحديات المزمنة في تدقيق الأمان المؤتمت حيث تُغرق الماسحات الضوئية الثابتة التقليدية ونماذج اللغات الكبيرة الخام المطورين غالبًا بسيل من التحذيرات غير الموجودة أو غير القابلة للاستغلال. ومن خلال هيكلة نماذج الذكاء الاصطناعي في وكلاء متخصصين يستخدمون الأدوات ويمكنهم تنفيذ واختبار الخروقات الأمنية المحتملة بيئياً، تسعى Mantis إلى سد الفجوة بين الاكتشاف الأولي للعيوب والنشر الفعلي للتحديثات التصحيحية.

## Key facts - أطلقت Google رسمياً Mantis كمشروع برمجيات مفتوح المصدر في September 6, 2026. - ينسق إطار العمل وكلاء ذكاء اصطناعي متخصصين ومستقلين عبر دورة حياة ثغرات البرمجيات بالكامل، بما في ذلك الاكتشاف، والتحقق، وإعادة الإنتاج، والمعالجة. - تم تصميم Mantis خصيصاً لتقليل معدلات الإنذارات الخاطئة والثغرات الوهمية الشائعة في أدوات اختبار أمان التطبيقات الثابتة ونماذج اللغات الكبيرة المستقلة. - يعتمد إطار العمل على التحقق الديناميكي، حيث يولد اختبارات إثبات المفهوم القابلة للتنفيذ داخل بيئات معزولة (sandboxed) لتأكيد ما إذا كان العيب المبلغ عنه قابلاً للاستغلال فعلياً. - إلى جانب التحقق من الثغرات الأمنية، يولد Mantis تلقائياً ترقيعات برمجية مرشحة وسكريبتات إعادة إنتاج لتقليل الجهد اليدوي لفرق هندسة البرمجيات.

## What happened في إصدار عام تم الإعلان عنه في September 6, 2026، أتاحت Google الكود المصدري لإطار عمل Mantis لمجتمع تطوير البرمجيات والأمن السيبراني العالمي. ووفقاً لتقرير أعده Sergio De Simone، قامت Google بتصميم الأداة كمنظومة وكيلة (agentic harness) لحل الاختناقات التشغيلية المستمرة في كيفية تحديد أنظمة الأمان المؤتمتة للثغرات في الكود المصدري وتصنيفها وإصلاحها.

لعقود من الزمن، اعتمد تدقيق الأمان المؤتمت بشكل كبير على محركات التحليل الثابت التي تفحص الكود المصدري سطرًا بسطر لتحديد الأنماط المرتبطة بنقاط الضعف الأمنية. ورغم أن هذه الأدوات توفر تغطية واسعة، إلا أنها غالبًا ما تولد إنذارات خاطئة مفرطة — حيث تضع علامات على أجزاء من الكود تبدو خطرة بمعزل عن غيرها، ولكن يتم تحييدها بأمان من خلال منطق التطبيق المحيط، أو دلالات تنقية البيانات، أو مسارات التنفيذ غير القابلة للوصول. وفي السنوات الأخيرة، وعد دمج الذكاء الاصطناعي التوليدي ونماذج اللغات الكبيرة (LLMs) بجمعل اكتشاف الثغرات أكثر مرونة. ومع ذلك، أدخلت نماذج LLMs غير المربوطة بسياق واقعي مشكلة جديدة من خلال "هلوسة" العيوب الأمنية بانتظام، وتقديم هياكل برمجية حميدة على أنها ثغرات خطيرة أو إيجاد متجهات استغلال غير موجودة.

طوّرت Google إطار Mantis لاستبدال التحليل السلبي بالتحقق النشط المدعوم بالأدوات. وبدلاً من الاعتماد على فحص ثابت واحد أو نموذج موجه واستجابة بسيط، ينظم Mantis شبكة من وكلاء الذكاء الاصطناعي المخصصين المجهزين بإمكانية الوصول إلى المترجمات (compilers)، وأدوات تصحيح الأخطاء (debuggers)، وبيئات التنفيذ. وعند الإشارة إلى ثغرة محتملة داخل الكود المصدري، لا يقوم Mantis بتنبيه المهندسين البشر على الفور. وبدلاً من ذلك، يقوم وكلاؤه بكتابة وتنفيذ سكريبت هجوم لإثبات المفهوم داخل بيئة معزولة لتحديد ما إذا كان يمكن تحفيز الثغرة فعلياً أثناء التشغيل.

وإذا فشل إثبات المفهوم في إنتاج حالة تنفيذ غير آمنة، يقوم Mantis بتصفية التنبيه أو خفض تصنيفه، مما يمنع التعطيل غير الضروري لفرق التطوير. أما إذا نجح الاستغلال في إثبات وجود عيب حقيقي، فيقوم إطار العمل بتسجيل خطوات إعادة الإنتاج بدقة وتسليم المهمة إلى وكيل المعالجة. يقوم هذا الوكيل الثانوي بصياغة ترقيع للكود المصدري مصمم لسد الثغرة، ثم يعيد تشغيل كل من سكريبت الاستغلال الأصلي واختبارات الوحدة الحالية للتطبيق لضمان أن الإصلاح يقضي على الثغرة دون التسبب في أخطاء تراجعية (regression errors).

## Why it matters يعالج إطلاق Mantis واحدًا من أكثر الاختناقات التشغيلية إلحاحاً في هندسة برمجيات المؤسسات الحديثة: إجهاد التنبيهات في عمليات الأمن السيبراني. تعتمد مستودعات البرمجيات المؤسسية الحديثة بشكل كبير على التبعيات مفتوحة المصدر المترابطة، والتي غالبًا ما تشكل من 80 إلى 90 بالمئة من إجمالي الكود المصدري للتطبيق النهائي. وعندما تقوم خطوط تجميع DevSecOps للمؤسسات بإجراء فحوصات أمنية مستمرة عبر ملايين الأسطر من الكود، تتلقى مراكز عمليات الأمن وفرق المطورين بشكل روتيني آلاف الإشعارات الأمنية منخفضة الثقة.

وعندما يُجبر المهندسون على قضاء مئات الساعات في التحقيق اليدوي في عيوب أمنية وهمية، تنخفض الإنتاجية، وتتأخر إصدارات المنتجات، وتتآكل ثقة المطورين في أدوات الأمان المؤتمتة بشدة. وفي الحالات القصوى، يمكن التغاضي عن ثغرات خطيرة وقابلة للتنفيذ لمجرد أنها مدفونة تحت جبل من التحذيرات غير ذات الصلة.

ومن خلال استبدال مطابقة الأنماط الإحصائية بالتنفيذ التجريبي القائم على الوكلاء، يقدم Mantis إطار عمل يمكنه خفض تكلفة واحتكاك صيانة سلاسل توريد البرمجيات الآمنة بشكل كبير. بالنسبة لمشرفي المشاريع مفتوحة المصدر — الذين يدير الكثير منهم بنية تحتية برمجية عالمية واسعة الاستخدام على أساس تطوعي — فإن تقديم التحقق المؤتمت وتوليد الترقيعات يمكن أن يحدث تحولاً في إدارة الثغرات الأمنية. وفرق الإشراف الصغيرة التي تغمرها حالياً روبوتات الإبلاغ عن الأخطاء الآلية يمكنها نشر بيئات وكيلة لتصنيف التقارير الواردة تلقائياً، مما يسمح للمشرفين البشر بالتركيز حصرياً على القرارات المعمارية ذات الأولوية العالية ومراجعات الأكواد المعقدة.

## The background لفهم سبب بناء Google لإطار Mantis، من الضروري فحص المسار التاريخي لاختبار أمان التطبيقات والتحول اخیر نحو أنظمة الذكاء الاصطناعي الوكيلة. تاريخياً، اعتمد تدقيق البرمجيات المؤتمت على منهجيتين رئيسيتين: اختبار أمان التطبيقات الثابت (SAST) واختبار أمان التطبيقات الديناميكي (DAST).

تفحص أدوات اختبار أمان التطبيقات الثابت (SAST) الكود المصدري الخام غير المترجم بحثاً عن أنماط نحوية معروفة بتسببها في الثغرات، مثل مدخلات المستخدم غير المصدقة أو استدعاءات الدوال التشفيرية غير الآمنة. ورغم أن SAST يوفر تغطية شاملة في مرحلة مبكرة من دورة حياة التطوير، إلا أن عدم قدرته على ملاحظة تدفقات البيانات أثناء التشغيل تؤدي إلى معدلات إنذارات خاطئة مرتفعة للغاية. وعلى العكس من ذلك، تفحص أدوات اختبار أمان التطبيقات الديناميكي (DAST) التطبيقات المترجمة والمشغلة من الخارج لاكتشاف الثغرات القابلة للوصول. ورغم أن DAST ينتج إنذارات خاطئة أقل بكثير لأنه يلاحظ سلوك التشغيل الفعلي، إلا أنه يتطلب بيئات نشر معقدة وغالبًا ما يفشل في الوصول إلى مسارات المنطق الشرطي العميقة المدفونة داخل واجهات البرمجيات الخلفية.

وعندما بدأت شركات التكنولوجيا المؤسسية في تطبيق نماذج اللغات الكبيرة على أمان الأكواد بين عامي 2022 و2024، كشفت التطبيقات المبكرة عن حدود معمارية أساسية. ونظرًا لأن نماذج LLMs تعمل كأنظمة إكمال نصوص احتمالية بدلاً من محركات تنفيذ حتمية، فإنها تعاني من التفكير المكاني عبر مستودعات الأكواد متعددة الملفات، وغالبًا ما تبتكر مخاطر أمنية غير موجودة عند مواجهة بناء نحوي معقد.

لتجاوز هذه الحدود، تحول بحث علوم الكمبيوتر نحو معماريات الذكاء الاصطناعي "الوكيلة" (agentic) خلال عامي 2024 و2025. وفي إطار العمل الوكيل، يعمل نموذج LLM داخل حلقة تحكم تكرارية، مستخدمًا أدوات خارجية، وواجهات سطر الأوامر، والمترجمات، وبيئات الاختبار للتحقق من تفكيره الداخلي قبل توليد إجابة نهائية. ويعتمد إطلاق Google لإطار Mantis على برامج أبحاث الأمن السيبراني العريقة لديه — بما في ذلك وحدة أبحاث الثغرات Project Zero وبنيته التحتية للاختبار المؤتمت OSS-Fuzz — من خلال تطبيق الحلقات الوكيلة مباشرة على دورة حياة أمان البرمجيات. ومن خلال اشتراط إثبات وكلاء الذكاء الاصطناعي للثغرات من خلال التنفيذ أثناء التشغيل والتحقق من الإصلاحات من خلال اختبار التراجع، يربط Mantis نماذج الذكاء الاصطناعي بسلوك البرمجيات التجريبي الحتمي.

## Reaction نظرًا لأنه تم إطلاق Mantis كمشروع مفتوح المصدر في September 6, 2026، فإن التقييمات الصناعية الرسمية ودراسات الحالة المؤسسية تظل محدودة في الأعقاب المباشرة للإعلان. ومع ذلك، من المتوقع أن يخضع مشرفو البرمجيات ومتخصصو أمان التطبيقات إطار العمل لاختبارات عملية صارمة. وفي منتديات المطورين ومستودعات الأكواد العامة، أعرب مهندسو الأمان عن طلب طويل الأمد لأدوات قابلة لتقليل ضوضاء الإنذارات الخاطئة، لا سيما بعد سنوات من أدوات الإبلاغ الآلية التي ملأت أجهزة تتبع مشكلات المشاريع مفتوحة المصدر بادعاءات ثغرات غير متحقق منها.

ومن المتوقع أن تجري فرق DevSecOps في المؤسسات عمليات دمج تجريبية لإطار Mantis ضمن خطوط أنابيب التكامل المستمر والنشر المستمر لتقييم مقاييس الأداء الرئيسية، مثل استهلاك رموز النموذج (token consumption)، وزمن انتقال التشغيل، وتكاليف البنية التحتية. وتعد منظمات معايير الصناعة، بما في ذلك مؤسسة أمان المصادر المفتوحة (OpenSSF)، من الجهات الفاعلة الرئيسية التي من المرجح أن تراقب ما إذا كان يمكن دمج المنظومات الوكيلة بشكل قياسي في البنية التحتية لتدقيق البرمجيات العامة مفتوحة المصدر لحماية البنية التحتية الرقمية العالمية الحيوية.

## What we don't know yet على الرغم من التفاصيل المقدمة عند إطلاقه، لا تزال العديد من المعلمات التشغيلية الرئيسية المتعلقة بـ Mantis غير متحقق منها في التقارير الأولية. ومن غير الواضح حالياً أي واجهات خلفية محددة لنماذج اللغات الكبيرة — مثل نماذج Gemini من Google أو نماذج الأوزان المفتوحة من أطراف ثالثة — مدعومة بشكل افتراضي، أو ما هو مستوى الضبط الدقيق المطلوب للأداء الأمثل عبر لغات البرمجة المختلفة.

علاوة على ذلك، لم تحدد التقارير العامة بعد أرقاماً قياسية مفصلة تقارن معدلات تقليل الإنذارات الخاطئة لـ Mantis مباشرة بأسطح منصات SAST و DAST الصناعية الراسخة مثل SonarQube أو Snyk أو GitHub CodeQL. كما لا توضح التقارير الأولية كيف يؤدي Mantis عند تدقيق الأنظمة الموزعة المعقدة، أو معماريات الخدمات المصغرة (microservices)، أو التطبيقات التي تتطلب حالات مصادقة متخصصة وإعدادات قواعد بيانات خارجية يصعب تكرارها داخل بيئات معزولة مؤتمتة. وأخيراً، سيراقب محللو الأمن السيبراني عن كثب ما إذا كان يمكن تسليح قدرات إعادة إنتاج الاستغلال المؤتمتة داخل Mantis من قبل جهات التهديد التي تسعى إلى تسريع الاستغلال الهجومي لثغرات اليوم الصفر (zero-day).

## What to watch على مدى الأشهر القادمة، ستحدد عدة مؤشرات ملموسة معدل اعتماد إطار عمل Mantis وفعاليته العملية عبر صناعة التكنولوجيا. أولاً، سيراقب محللو الصناعة مستودع Mantis الرسمي على GitHub لمتابعة مساهمات مجتمع المصادر المفتوحة، وتطوير الملحقات من أطراف ثالثة، وموصلات الدمج لمنصات النشر الرئيسية مثل GitHub Actions و GitLab CI و Jenkins.

ثانياً، من المتوقع أن تنشر المؤسسات الأكاديمية المستقلة ومختبرات أبحاث الأمن السيبراني دراسات مقارنة رسمية، تختبر Mantis مقابل مجموعات بيانات الثغرات الراسخة مثل OWASP Benchmark أو NIST Juliet Test Suite لقياس دقتها بالضبط ومعدلات الاستدعاء ودقة الترقيع. ثالثاً، سيبحث مراقبو الصناعة عن إعلانات تتعلق بالنشر الداخلي لـ Mantis داخل البنية التحتية لتطوير البرمجيات الخاصة بـ Google نفسها أو دمجها في عروض السحابة المؤسسية مثل Google Cloud Security Command Center. وأخيراً، ستكون المؤسسات الرئيسية للبرمجيات مفتوحة المصدر بمثابة مؤشر رئيسي حيث يقرر المشرفون ما إذا كانوا سيقبلون رسمياً الترقيعات المتحقق منها بواسطة Mantis في مسارات عمل المستودعات العامة.

يستند هذا التقرير إلى التغطية الأصلية التي أعدها Sergio De Simone.