استكشاف أخطاء الصيد بالذكاء الاصطناعي: كيف لا تصبح عمالة مجانية للفرز لعامل الذكاء الاصطناعي الخاص بك

إطلاق وكيل ذكاء اصطناعي لبرنامج مكافآت اكتشاف الثغرات (Bug Bounty) يستغرق دقائق، لكن دون تحقق فإنه ينتج كمًا هائلًا من النتائج الإيجابية الكاذبة، مما يحول الباحث إلى مفرز مجاني. على سبيل المثال، من أصل 67 تقريرًا، قد يكون 3 منها فقط صحيحًا. وفقًا لبيانات HackerOne، نما حجم التقارير الواردة في عام 2026 بنسبة 76% على أساس سنوي، بينما لا تزال حصة النتائج المؤكدة القابلة للاستغلال عند 25%، لكن حصة النتائج الحرجة والعالية ارتفعت إلى 32%. في الوقت نفسه، بلغ نمو التقارير الصحيحة من الذكاء الاصطناعي 210%. تفرض المنصات قيودًا: أغلقت شركة curl برنامجها على HackerOne اعتبارًا من 1 فبراير 2026؛ علقت Hackerone تقديم التقارير لبرنامج Internet Bug Bounty؛ أدخلت BI.ZONE وStandoff 365 حدودًا يومية للتقارير؛ وتحظر Brave المستخدمين بعد تقريرين غير مرغوب فيهما. وجدت دراسة (Zheng et al., 2025) على 9,942 تقريرًا أن هجمات XSS تشكل 13.8% من التقديمات، وكشف المعلومات 9.4%، والتحكم في الوصول مع المصادقة أكثر من 10%. تميل نماذج اللغة الكبيرة الحديثة إلى قبول التقارير غير الصالحة، لكن تقنية توليد الاسترجاع المعزز (RAG) تساعد في حل هذه المشكلة. وفقًا لاستطلاعات Bugcrowd، يستخدم 82% من الباحثين الذكاء الاصطناعي التوليدي في عام 2026. يحدد المؤلف أربعة مناهج لصيد الثغرات بالذكاء الاصطناعي: التحليل اليدوي بمستشار LLM، والماسحات التلقائية بتفسير LLM، والوكيل المغلق، وخط الأنابيب المُتحقق منه. تُدفع النماذج باستخدام الإعدادات المحلية (Ollama، LM Studio، vLLM)، وواجهات برمجة التطبيقات (API) (نماذج قوية)، والاشتراكات (Cursor، Claude.ai، ChatGPT)، أو المنصات المؤسسية (Bedrock، Azure OpenAI، Vertex AI). تتضمن بنية التحقق من النتائج ثلاث طبقات: قواعد الوكيل (مثل التحقق الزمني لحقن SQL (SQL injection)، والتحقق خارج النطاق لتزوير الطلب من جانب الخادم (Server-Side Request Forgery)، والمتصفح بدون واجهة للتخطي عبر المواقع (Cross-Site Scripting))، وتقنية توليد الاسترجاع المعزز (الوصول إلى قاعدة معرفة بأنماط الثغرات)، وبروتوكول سياق النموذج (أدوات لاختبار الفرضيات النشطة).